Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - net_schedsch_sfq1 パケット制限を許可しません。現在の実装は 1 の制限で正しく動作しません。iproute2 は実際にこれをチェックし、このパッチはカーネルのチェックも追加します。これは、次の syzkaller による報告されたクラッシュを修正します UBSANnet/sched/sch_sfq.c:210:6 array-index-out-of-bounds インデックス65535 はタイプ「struct sfq_head[128]」の範囲外です CPU0 PID2569 Commsyz-executor101汚染されていない 5.10.0-smp-DEV #1 ハードウェア名: Google Google Compute Engine/Google Compute Engine、BIOS Google 09/13/2024 呼び出しトレース: __dump_stack lib/dump_stack.c:79 [インライン] dump_stack+0x125/0x19f lib /dump_stack.c:120 ubsan_epilog lib/ubsan.c:148 [inline] __ubsan_handle_out_of_bounds+0xed/0x120 lib/ubsan.c:347 sfq_link net/sched/sch_sfq.c:210 [inline] sfq_dec+0x528/0x600 net/sched /sch_sfq.c:238 sfq_dequeue+0x39b/0x9d0 net/sched/sch_sfq.c:500 sfq_reset+0x13/0x50 net/sched/sch_sfq.c:525 qdisc_reset+0xfe/0x510 net/sched/sch_generic.c:1026 tbf_reset+ 0x3d/0x100 net/sched/sch_tbf.c:319 qdisc_reset+0xfe/0x510 net/sched/sch_generic.c:1026 dev_reset_queue+0x8c/0x140 net/sched/sch_generic.c:1296 netdev_for_each_tx_queue include/linux/netdevice.h:2350 [インライン] dev_deactivate_many+0x6dc/0xc20 net/sched/sch_gen eric.c:1362 __dev_close_many+0x214/0x350 net/core/dev.c:1468 dev_close_many+0x207/0x510 net/core/dev.c:1506 unregister_netdevice_many+0x40f/0x16b0 net/core/dev.c:10738 unregister_netdevice_queue+0x2be /0x310 net/core/dev.c:10695 unregister_netdevice include/linux/netdevice.h:2893 [inline] __tun_detach+0x6b6/0x1600 drivers/net/tun.c:689 tun_detach drivers/net/tun.c:705 [inline] ] tun_chr_close+0x104/0x1b0 drivers/net/tun.c:3640 __fput+0x203/0x840 fs/file_table.c:280 task_work_run+0x129/0x1b0 kernel/task_work.c:185 exit_task_work include/linux/task_work.h:330 [ inline] do_exit+0x5ce/0x2200 kernel/exit.c:931 do_group_exit+0x144/0x310 kernel/exit.c:1046 __do_sys_exit_group kernel/exit.c:1057 [inline] __se_sys_exit_group kernel/exit.c:1055 [inline] __x6it_sy_sys_sys_sys_sys_sys_sys_sys_sys_sysmond で0x3b/0x40 kernel/exit.c:1055 do_syscall_64+0x6c/0xd0 entry_SYSCALL_64_after_hwframe+0x61/0xcb RIP0033:0x7fe5e7b5244fコードRIP 0x7fe5e7b5244fでオペコードバイトにアクセスできません。RSP002b:00007ffd3c800398 EFLAGS00000246 ORIG_RAX00000000000000e7 RAX
    ffffffffffffffda RBX: 0000000000000000 RCX: 00007fe5e7b52479 RDX: 000000000000003c RSI: 00000000000000e7 RDI: 0000000000000000 RBP: 00007fe5e7bcd2d0 R08: ffffffffffffffb8 R09: 0000000000000014 R10:
     R110000000000000000  : 0000000000000246 R12: 00007fe5e7bcd2d0 R13: 0000000000000000 R14: 00007fe5e7bcdd20 R15: 00007fe5e7b24270 The crash can be also be reproduced with the following (with a tc recompiled to allow for sfq limits of 1): tc qdisc add dev dummy0処理 1root tbf レート 1Kbit バースト 100b lat 1s ../iproute2-6.9.0/tc/tc qdisc 追加 dev dummy0 処理 2: 親 1:10 sfq 制限 1 ifconfig dummy0 up ping -I dummy0 -f -c2 -W0。 1 8.8.8.8 sleep 1 クラッシュを発生させるシナリオ* 最初のパケットが送信され、TBF および SFQ でキューに入れられます。 qdisc qlen が 1 * TBF dequeueSFQ からピークされ、パケットが gso_skb リストに移動し、qdisc qlen を 1 に設定し続けます。TBF はトークンが不足しているため、後で自身をスケジュールします。 * 2 番目のパケットが送信され、TBF はこれを SFQ へキューイングしようとします。 qdisc qlen が 2 であり、SFQ 制限が 1 であるため、パケットは SFQ によってドロップされます。この時点で qlen は 1 になり、すべての SFQ スロットは空ですが、q->tail は NULL ではありません。この時点でパケットがキューに入れられないと仮定すると、sch_dequeue が再度実行されると、現在の空のスロットに対して qlen がデクリメントされ、アンダーフローとそれに続く領域外アクセスが発生します。CVE-2024-57996

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-57996

medium Nessus プラグイン ID 231025

バージョン 1.16