CVE-2024-56702

Nel kernel Linux, è stata risolta la seguente vulnerabilità:

bpf: Contrassegna gli argomenti raw_tp con PTR_MAYBE_NULL

Gli argomenti di un raw tracepoint sono contrassegnati come trusted, il che implica che il puntatore sarà non-NULL. Tuttavia, in alcuni casi, un argomento raw tracepoint può risultare NULL. Maggiori dettagli su questa problematica sono disponibili in [0].

Pertanto, esiste una discrepanza tra la realtà, secondo cui gli argomenti raw_tp possono effettivamente essere NULL, e la conoscenza del verificatore, che li considera mai NULL, portando alla rimozione di controlli NULL espliciti e a potenziali crash del kernel quando si accede a tali puntatori.

Per risolvere il problema, si contrassegnano gli argomenti raw_tp come PTR_MAYBE_NULL, e si gestiscono in modo speciale le dereferenzioni e le aritmetiche sui puntatori per consentirle, permettendo anche di passarli agli helpers/kfuncs; queste eccezioni sono riservate esclusivamente ai programmi raw_tp. Si assicura inoltre che questa modifica non venga applicata quando ref_obj_id > 0, poiché in tal caso si tratta di un oggetto acquisito che non necessita di tali aggiustamenti.

La logica mask_raw_tp_trusted_reg viene applicata perché altri controlli verificano se il registro è un trusted_reg, e quindi considerano il nostro registro come non trusted quando rilevano la presenza del flag PTR_MAYBE_NULL.

Per consentire dereferenzioni sicure, si abilita la marcatura PROBE_MEM quando si rilevano carichi in puntatori trusted con PTR_MAYBE_NULL.

Sebbene gli argomenti raw_tp trusted possano anche essere passati agli helpers o kfuncs, dove questa assunzione errata potrebbe causare problemi, un futuro set di patch affronterà separatamente il loro caso, poiché PTR_TO_BTF_ID (senza PTR_TRUSTED) può già essere passato agli helpers e provoca problemi simili. Per ora, quindi, vengono lasciati invariati.

È possibile che questi controlli consentano anche di passare argomenti non raw_tp che sono PTR_TO_BTF_ID trusted con marcatura NULL. In tal caso, consentire la dereferenziazione quando il puntatore è NULL amplia il comportamento consentito, senza causare regressioni ai programmi esistenti. Il caso di passare questi argomenti agli helpers è analogo a quanto sopra e sarà affrontato successivamente.

Viene inoltre aggiornata la gestione del fallimento nel selftest tp_btf_nullable per riflettere il nuovo comportamento, poiché il verificatore non genererà più un errore quando si dereferenzia direttamente un argomento raw tracepoint contrassegnato come __nullable.

[0]: https://lore.kernel.org/bpf/[email protected]