CVE-2024-56644

Nel kernel Linux, è stata risolta la seguente vulnerabilità:

net/ipv6: rilascio del dst eccezionale scaduto memorizzato in socket

Gli oggetti Dst vengono leakati in ip6_negative_advice() quando questa funzione viene eseguita per una route IPv6 scaduta situata nella tabella delle eccezioni. Ci sono diverse condizioni che devono essere soddisfatte affinché si verifichi il leak:
* viene ricevuto un pacchetto ICMPv6 che indica un cambiamento dell'MTU per il percorso, creando così un exception dst
* una connessione TCP che utilizza l'exception dst per instradare i pacchetti deve iniziare a scadere, affinché TCP inizi le retransmissioni
* dopo che l'exception dst scade, il garbage collector FIB6 non deve essere eseguito prima che TCP esegua ip6_negative_advice() per l'exception dst scaduto

Quando TCP esegue ip6_negative_advice() per un exception dst scaduto e se nessun altro socket detiene un riferimento all'exception dst, il refcount dell'exception dst è 2, corrispondente all'incremento fatto da dst_init() e all'incremento fatto dal socket TCP per cui la connessione sta scadendo. Il refcount del socket non viene mai rilasciato. Il refcount del dst viene decrementato in sk_dst_reset(), ma tale decremento viene controbilanciato da un dst_hold() inserito intenzionalmente subito prima di sk_dst_reset() in ip6_negative_advice(). Dopo che ip6_negative_advice() ha terminato, non vi sono altri oggetti collegati al dst. Il socket ha perso il riferimento memorizzato in sk_dst_cache e il dst non è più presente nella tabella delle eccezioni. L'exception dst diventa un oggetto leakato.

Come risultato di questo leak del dst, viene segnalato un refcount squilibrato per il dispositivo loopback di una net namespace che viene distrutta su kernel che non contengono e5f80fcf869a ("ipv6: give an IPv6 dev to blackhole_netdev"): unregister_netdevice: waiting for lo to become free. Usage count = 2

Correggere il leak del dst rimuovendo il dst_hold() in ip6_negative_advice(). La patch che ha introdotto dst_hold() in ip6_negative_advice() è 92f1655aa2b22 ("net: fix __dst_negative_advice() race"). Tuttavia, 92f1655aa2b22 ha semplicemente rifattorizzato il codice riguardo al refcount del dst, quindi il problema era presente anche prima di questa patch. Il bug è stato introdotto in 54c1a859efd9f ("ipv6: Don't drop cache route entry unless timer actually expired.") dove la route cache scaduta viene eliminata e il membro sk_dst_cache del socket viene impostato a NULL chiamando dst_negative_advice(), ma il refcount appartenente al socket rimane sbilanciato.

La versione IPv4 - ipv4_negative_advice() - non è interessata da questo bug. Quando la connessione TCP scade, ipv4_negative_advice() semplicemente resetta il sk_dst_cache del socket decrementando il refcount dell'exception dst.