Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: rechazar nsegundos fuera de rango en SETATTR y las operaciones de creación de NFSv3 Un cliente puede enviar un SETATTR, CREATE, MKDIR, SYMLINK o MKNOD de NFSv3 con un atime o mtime cuyo campo de nanosegundos esté fuera de rango. El valor está…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: rechazar microsegundos fuera de rango en SETATTR/CREATE de NFSv2 El decodificador sattr de NFSv2 convierte los microsegundos de la red a nanosegundos en svcxdr_decode_sattr(): tmp2 es un u32 y NSEC_PER_USEC es 1000, por lo que el producto se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: liberar las ACL posix decodificadas por OPEN mediante op_release nfsd4_decode_createhow4() llama a nfsd4_decode_fattr4(), que asigna objetos struct posix_acl con contador de referencias mediante posix_acl_alloc() y los almacena en open->op_pacl y…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: revocar los stateids de copy-notify antes de soltar su referencia Los stateids de copy-notify residen en el IDR s2s_cp_stateids y en la sc_cp_list del stid padre, fijados por una única referencia de pertenencia. _free_cpntf_state_locked() solo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del propietario de bloqueo durante el desmantelamiento del cliente __destroy_client() libera los propietarios de apertura de un cliente, pero un propietario de bloqueo cuya única referencia es un bloqueo en espera…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar posterior al apagado en unlock_filesystem Escribir una ruta de sistema de archivos en /proc/fs/nfsd/unlock_filesystem ejecuta nfsd4_cancel_copy_by_sb() antes de mantener nfsd_mutex y antes de que el manejador…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del cliente durante la limpieza de estado revocado de NFSv4.0 nfs40_clean_admin_revoked() toma una referencia al stateid bajo clp->cl_lock, suelta nn->client_lock y llama a nfsd4_drop_revoked_stid(), que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: validar los mapas de extensiones del OSD antes de avanzar el cursor net/ceph/osd_client.c:osd_sparse_read() valida que la longitud de datos de la lectura dispersa coincide con la suma de las longitudes de las extensiones, pero no valida que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: rechazar buckets con ids de CRUSH no coincidentes crush_decode() almacena los datos de los buckets por posición del array, y el mapper deriva después el índice del espacio de trabajo de cada bucket a partir del id del bucket decodificado. Por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en __kick_flushing_caps() por una entrada cf liberada durante el desbloqueo list_for_each_entry() itera ci->i_cap_flush_list pero suelta i_ceph_lock para enviar mensajes de cap. Durante la ventana de desbloqueo,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en check_new_map() por una sesión liberada durante el desbloqueo check_new_map() itera mdsc->sessions[] y, para cada sesión activa, suelta mdsc->mutex para realizar operaciones por sesión. La ruta de cierre forzado (rango…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: rechazar rangos de export_targets >= CEPH_MAX_MDS en la decodificación del mdsmap Las entradas export_targets del MDSMap están controladas por el monitor. check_new_map() usa cada entrada como número de bit en un mapa de bits fijo en la pila, por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del nombre de dentry copiado en get_name de la exportación NFS ceph_get_name() copia el nombre proporcionado por el MDS en el búfer de tamaño NAME_MAX del llamante con memcpy(name, rinfo->dname, rinfo->dname_len) y luego…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la decodificación de path y fs_name de MDSCapAuth en handle_session() handle_session() decodifica los registros MDSCapAuth que transporta un mensaje CEPH_SESSION_OPEN (msg_version >= 6). Para cada registro, las cadenas de bytes match.path…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar el array num_export_targets para la información de mds v2/v3 ceph_mdsmap_decode() en fs/ceph/mdsmap.c lee num_export_targets de cada registro de información por mds y avanza el cursor de decodificación num_export_targets * sizeof(u32) sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del valor de xattr en __build_xattrs() __build_xattrs() decodifica el blob de xattr proporcionado por el MDS un atributo a la vez. Para cada atributo lee una longitud de nombre de 32 bits, avanza más allá de los bytes del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar el número de inodos delegados en ceph_parse_deleg_inos() ceph_parse_deleg_inos() decodifica conjuntos de intervalos de números de inodo delegados de una respuesta de creación con delegación del MDS. Para cada conjunto lee un inicio de 64…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: no repetir ceph_trim_dentries() si no es posible avanzar ceph_cap_reclaim_work() se vuelve a poner en cola mientras ceph_trim_dentries() devuelva -EAGAIN, lo que ocurre siempre que un recorrido de leases agota su presupuesto `nr_to_scan`. Esto…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir una fuga de referencia de inodo al abortar la escritura diferida en el desmontaje ceph_dirty_folio() toma una reclamación de wrbuffer sobre cada folio recién ensuciado: incrementa i_wrbuffer_ref (tomando un ihold() en la transición de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: btrfs: soltar las referencias a las raíces de reubicación recuperadas cuando falla la recuperación Durante la recuperación de la reubicación, cada raíz fs obtiene una referencia a su raíz de reubicación. Si falla la carga o la adición de una raíz…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: audit: evitar soltar la referencia de árbol activa en la autoeliminación de reglas de fsnotify audit_del_rule() se usa tanto para las plantillas de eliminación de netlink como para la autoeliminación interna de fsnotify. La primera pasa una plantilla…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: llamar a pagecache_isize_extended() en cifs_setsize() al ampliar cifs_setsize() llama a truncate_pagecache() pero omite pagecache_isize_extended() al ampliar. truncate_setsize() muestra el patrón correcto: pagecache_isize_extended() pone a cero…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: borrar tcon tras cifsFileInfo_put() en cifs_file_set_size() Cuando la rama else de cifs_file_set_size() encuentra un identificador de archivo con permiso de escritura mediante find_writable_file(), toma prestados tcon y server del tlink del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: corregir un desbordamiento por defecto de loff_t en cifs_remap_file_range() cuando len == 0 Con len == 0 (clonar hasta EOF), la longitud efectiva se calcula como: Si off > i_size, es un loff_t negativo, lo que corrompe el ByteCount de la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: usar cifs_invalidate_cache() en cifs_do_truncate() para O_TRUNC cifs_do_truncate() se invoca desde cifs_open() sin i_rwsem, por lo que no puede usar cifs_resize_file_locked() para realizar un redimensionamiento adecuado de la cookie de fscache.…