Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: proteger cl_cb_session con RCU para corregir un uso después de liberar (use-after-free) en el desmontaje de la sesión Tras un DESTROY_SESSION, la ruta de desmontaje por sesión puede liberar una sesión mientras rpciod aún mantiene una rpc_task de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: set SC_STATUS_FREED in nfsd4_drop_revoked_stid for delegations nfsd4_drop_revoked_stid() gestiona FREE_STATEID para las delegaciones revocadas por el administrador, pero no establece SC_STATUS_FREED antes de liberar cl_lock. revoke_delegation()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: size fh_verify server sockaddr slot by xpt_locallen Los tracepoints nfsd_fh_verify y nfsd_fh_verify_err declaran el slot de sockaddr del servidor dimensionado por xpt_remotelen, pero lo rellenan a partir de xpt_local usando xpt_locallen: Cuando…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: add fh_want_write() for early-verified SETATTR in nfsd_proc_setattr() La rama BOTH_TIME_SET llama a fh_verify() de forma temprana para que setattr_prepare() pueda inspeccionar el dentry. Esto hace que nfsd_setattr() omita fh_want_write(), por lo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: no liberar ranuras de sesión que todavía están en uso nfsd4_sequence() puede liberar la misma ranura que está procesando en ese momento. Cuando el reductor (shrinker) de sesiones ha reducido se_target_maxslots por debajo de se_fchannel.maxreqs,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: soltar el stateid, no el stateowner, al reintentar el replay de seqid_op En nfs4_preprocess_seqid_op() el stateid se obtiene de nfsd4_lookup_stateid(), que mantiene una referencia sobre el nfs4_stid (sc_count) pero no toma ninguna referencia…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir BUG_ON en nfsd4_alloc_layout_stateid por condición de carrera con la revocación de una delegación nfsd4_alloc_layout_stateid lee fp->fi_deleg_file sin mantener fi_lock cuando el stateid padre es una delegación. Una revocación concurrente…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir una condición de carrera de doble referencia en el worker de fence de layout El núcleo de workqueue borra WORK_STRUCT_PENDING antes de invocar la retrollamada, por lo que delayed_work_pending() en lm_breaker_timedout() puede devolver…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir un posible fh_compose del dentry incorrecto en nfsd4_create_file() dentry_create() podría, hipotéticamente, proporcionar un dentry distinto del que se le pasa. Esto podría ocurrir, por ejemplo, si el sistema de archivos exportado es NFS…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir una entrada IDR s2s_cp_stateids obsoleta en COPY asíncrono En un COPY asíncrono, nfsd4_copy() llamaba a nfs4_init_copy_state() antes de dup_copy_fields(), por lo que el IDR s2s_cp_stateids apuntaba a &u->copy->cp_stateid, memoria del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir un UAF en la cancelación y el apagado de copias asíncronas Una copia asíncrona podía liberarse o usarse después de liberarse mientras un llamante de desmantelamiento (OFFLOAD_CANCEL, nfsd4_shutdown_copy, nfsd4_cancel_copy_by_sb) competía…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir el cálculo de la longitud XDR en nfsd4_ff_encode_layoutget El cálculo del tamaño del búfer XDR en nfsd4_ff_encode_layoutget() tiene varios errores que pueden dar lugar a una escritura fuera de límites o a la filtración de memoria del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: condicionar el setacl de nfs2 a argp->mask La ruta SETACL de NFSACL v2 comparte la convención de decodificación usada por su equivalente v3: nfsaclsvc_decode_setaclargs() rellena argp->acl_access solo cuando NFS_ACL está establecido en la máscara…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: condicionar el setacl de nfs3 a argp->mask nfsd3_proc_setacl() llama a set_posix_acl() incondicionalmente tanto para ACL_TYPE_ACCESS como para ACL_TYPE_DEFAULT, pasando argp->acl_access y argp->acl_default tal cual. El decodificador de ACL de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: inicializar el stateid de copy-notify antes de publicarlo nfsd4_copy_notify() terminaba de inicializar el estado cpntf después de que nfs4_alloc_init_cpntf_state() ya lo hubiera enlazado en el IDR s2s_cp_stateids y en la sc_cp_list del padre, con…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del propietario de bloqueo durante el desmantelamiento del cliente __destroy_client() libera los propietarios de apertura de un cliente, pero un propietario de bloqueo cuya única referencia es un bloqueo en espera…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar (use-after-free) del cliente durante la revocación administrativa de estado Un stateid solo mantiene un puntero simple a su nfs4_client; una referencia al stateid no lo fija. El cliente sobrevive únicamente porque…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar (use-after-free) del cliente durante la revocación de delegaciones Un stateid de delegación solo mantiene un puntero simple a su nfs4_client propietario y no lo mantiene vivo. El cliente sobrevive a sus stateids…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del cliente durante la limpieza de estado revocado de NFSv4.0 nfs40_clean_admin_revoked() toma una referencia al stateid bajo clp->cl_lock, suelta nn->client_lock y llama a nfsd4_drop_revoked_stid(), que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: rechazar buckets con ids de CRUSH no coincidentes crush_decode() almacena los datos de los buckets por posición del array, y el mapper deriva después el índice del espacio de trabajo de cada bucket a partir del id del bucket decodificado. Por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en __kick_flushing_caps() por una entrada cf liberada durante el desbloqueo list_for_each_entry() itera ci->i_cap_flush_list pero suelta i_ceph_lock para enviar mensajes de cap. Durante la ventana de desbloqueo,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en check_new_map() por una sesión liberada durante el desbloqueo check_new_map() itera mdsc->sessions[] y, para cada sesión activa, suelta mdsc->mutex para realizar operaciones por sesión. La ruta de cierre forzado (rango…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: rechazar rangos de export_targets >= CEPH_MAX_MDS en la decodificación del mdsmap Las entradas export_targets del MDSMap están controladas por el monitor. check_new_map() usa cada entrada como número de bit en un mapa de bits fijo en la pila, por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del nombre de dentry copiado en get_name de la exportación NFS ceph_get_name() copia el nombre proporcionado por el MDS en el búfer de tamaño NAME_MAX del llamante con memcpy(name, rinfo->dname, rinfo->dname_len) y luego…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la decodificación de path y fs_name de MDSCapAuth en handle_session() handle_session() decodifica los registros MDSCapAuth que transporta un mensaje CEPH_SESSION_OPEN (msg_version >= 6). Para cada registro, las cadenas de bytes match.path…