CVE-2024-56693

Nel kernel Linux, è stata risolta la seguente vulnerabilità:

brd: defer automatic disk creation until module initialization succeeds

Il mio collega Wupeng ha riscontrato i seguenti problemi durante un'iniezione di fault:

BUG: impossibile gestire page fault per l'indirizzo: fffffbfff809d073
PGD 6e648067 P4D 123ec8067 PUD 123ec4067 PMD 100e38067 PTE 0
Oops: Oops: 0000 [#1] PREEMPT SMP KASAN NOPTI
CPU: 5 UID: 0 PID: 755 Comm: modprobe Non contaminato 6.12.0-rc3+ #17
Nome hardware: QEMU Standard PC (i440FX + PIIX, 1996), BIOS
1.16.1-2.fc37 04/01/2014
RIP: 0010:__asan_load8+0x4c/0xa0
...
Call Trace:
<TASK>
blkdev_put_whole+0x41/0x70
bdev_release+0x1a3/0x250
blkdev_release+0x11/0x20
__fput+0x1d7/0x4a0
task_work_run+0xfc/0x180
syscall_exit_to_user_mode+0x1de/0x1f0
do_syscall_64+0x6b/0x170
entry_SYSCALL_64_after_hwframe+0x76/0x7e

loop_init() chiama loop_add() dopo che __register_blkdev() ha avuto successo e
ignora il fallimento di disk_add() da parte di loop_add(), poiché
il fallimento di quest'ultimo non è fatale e i dischi creati con successo sono già visibili a
bdev_open().

brd_init() attualmente chiama brd_alloc() prima che __register_blkdev()
abbia successo e rilascia i dischi creati con successo quando brd_init()
ritorna un errore. Questo può causare UAF nei seguenti casi:

caso 1:
T1:
modprobe brd
brd_init
brd_alloc(0) // successo
add_disk
disk_scan_partitions
bdev_file_open_by_dev // allocazione file
fput // non verrà liberato fino a quando non si torna in user space
brd_alloc(1) // fallito a causa di errore di allocazione memoria
// percorso di errore per modprobe rilascerà il segmento di codice
// tornato in user space
__fput
blkdev_release
bdev_release
blkdev_put_whole
bdev->bd_disk->fops->release // fops ora è stato liberato, UAF!

caso 2:
T1: T2:
modprobe brd
brd_init
brd_alloc(0) // successo
open(/dev/ram0)
brd_alloc(1) // fallimento
// percorso di errore per modprobe

close(/dev/ram0)
...
/* UAF! */
bdev->bd_disk->fops->release

Risolvete questo problema seguendo quanto fa loop_init(). Inoltre,
reintrodurre brd_devices_mutex per aiutare a serializzare le modifiche a
brd_list.