Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir el cálculo de la longitud XDR en nfsd4_ff_encode_layoutget El cálculo del tamaño del búfer XDR en nfsd4_ff_encode_layoutget() tiene varios errores que pueden dar lugar a una escritura fuera de límites o a la filtración de memoria del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir el cálculo del relleno XDR en ff_encode_getdeviceinfo nfsd4_ff_encode_getdeviceinfo() calcula la reserva de da_addr_body como 16 + netid_len + addr_len, pero las llamadas posteriores a xdr_encode_opaque() emiten 8 + round_up(netid_len,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: condicionar el setacl de nfs2 a argp->mask La ruta SETACL de NFSACL v2 comparte la convención de decodificación usada por su equivalente v3: nfsaclsvc_decode_setaclargs() rellena argp->acl_access solo cuando NFS_ACL está establecido en la máscara…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: condicionar el setacl de nfs3 a argp->mask nfsd3_proc_setacl() llama a set_posix_acl() incondicionalmente tanto para ACL_TYPE_ACCESS como para ACL_TYPE_DEFAULT, pasando argp->acl_access y argp->acl_default tal cual. El decodificador de ACL de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: mantener rcu durante el reintento de cmpxchg de localio Los objetos nfsd_file se liberan mediante call_rcu (filecache.c:296), y nfsd_file_slab se crea sin SLAB_TYPESAFE_BY_RCU (KMEM_CACHE(nfsd_file, 0) en filecache.c:789), por lo que la página…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: inicializar el stateid de copy-notify antes de publicarlo nfsd4_copy_notify() terminaba de inicializar el estado cpntf después de que nfs4_alloc_init_cpntf_state() ya lo hubiera enlazado en el IDR s2s_cp_stateids y en la sc_cp_list del padre, con…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: mover nfsd_debugfs_init() después de nfsd4_init_slabs() en init_nfsd() nfsd_debugfs_init() se ejecuta antes de nfsd4_init_slabs() en init_nfsd(). Si la asignación de slab falla, el simple "return retval" omite nfsd_debugfs_exit(), dejando…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: rechazar nsegundos fuera de rango en SETATTR y las operaciones de creación de NFSv3 Un cliente puede enviar un SETATTR, CREATE, MKDIR, SYMLINK o MKNOD de NFSv3 con un atime o mtime cuyo campo de nanosegundos esté fuera de rango. El valor está…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: rechazar microsegundos fuera de rango en SETATTR/CREATE de NFSv2 El decodificador sattr de NFSv2 convierte los microsegundos de la red a nanosegundos en svcxdr_decode_sattr(): tmp2 es un u32 y NSEC_PER_USEC es 1000, por lo que el producto se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: liberar las ACL posix decodificadas por OPEN mediante op_release nfsd4_decode_createhow4() llama a nfsd4_decode_fattr4(), que asigna objetos struct posix_acl con contador de referencias mediante posix_acl_alloc() y los almacena en open->op_pacl y…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: revocar los stateids de copy-notify antes de soltar su referencia Los stateids de copy-notify residen en el IDR s2s_cp_stateids y en la sc_cp_list del stid padre, fijados por una única referencia de pertenencia. _free_cpntf_state_locked() solo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del propietario de bloqueo durante el desmantelamiento del cliente __destroy_client() libera los propietarios de apertura de un cliente, pero un propietario de bloqueo cuya única referencia es un bloqueo en espera…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar posterior al apagado en unlock_filesystem Escribir una ruta de sistema de archivos en /proc/fs/nfsd/unlock_filesystem ejecuta nfsd4_cancel_copy_by_sb() antes de mantener nfsd_mutex y antes de que el manejador…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del cliente durante la limpieza de estado revocado de NFSv4.0 nfs40_clean_admin_revoked() toma una referencia al stateid bajo clp->cl_lock, suelta nn->client_lock y llama a nfsd4_drop_revoked_stid(), que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: validar los mapas de extensiones del OSD antes de avanzar el cursor net/ceph/osd_client.c:osd_sparse_read() valida que la longitud de datos de la lectura dispersa coincide con la suma de las longitudes de las extensiones, pero no valida que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: rechazar buckets con ids de CRUSH no coincidentes crush_decode() almacena los datos de los buckets por posición del array, y el mapper deriva después el índice del espacio de trabajo de cada bucket a partir del id del bucket decodificado. Por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en __kick_flushing_caps() por una entrada cf liberada durante el desbloqueo list_for_each_entry() itera ci->i_cap_flush_list pero suelta i_ceph_lock para enviar mensajes de cap. Durante la ventana de desbloqueo,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en check_new_map() por una sesión liberada durante el desbloqueo check_new_map() itera mdsc->sessions[] y, para cada sesión activa, suelta mdsc->mutex para realizar operaciones por sesión. La ruta de cierre forzado (rango…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: rechazar rangos de export_targets >= CEPH_MAX_MDS en la decodificación del mdsmap Las entradas export_targets del MDSMap están controladas por el monitor. check_new_map() usa cada entrada como número de bit en un mapa de bits fijo en la pila, por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del nombre de dentry copiado en get_name de la exportación NFS ceph_get_name() copia el nombre proporcionado por el MDS en el búfer de tamaño NAME_MAX del llamante con memcpy(name, rinfo->dname, rinfo->dname_len) y luego…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la decodificación de path y fs_name de MDSCapAuth en handle_session() handle_session() decodifica los registros MDSCapAuth que transporta un mensaje CEPH_SESSION_OPEN (msg_version >= 6). Para cada registro, las cadenas de bytes match.path…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar el array num_export_targets para la información de mds v2/v3 ceph_mdsmap_decode() en fs/ceph/mdsmap.c lee num_export_targets de cada registro de información por mds y avanza el cursor de decodificación num_export_targets * sizeof(u32) sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del valor de xattr en __build_xattrs() __build_xattrs() decodifica el blob de xattr proporcionado por el MDS un atributo a la vez. Para cada atributo lee una longitud de nombre de 32 bits, avanza más allá de los bytes del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar el número de inodos delegados en ceph_parse_deleg_inos() ceph_parse_deleg_inos() decodifica conjuntos de intervalos de números de inodo delegados de una respuesta de creación con delegación del MDS. Para cada conjunto lee un inicio de 64…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: no repetir ceph_trim_dentries() si no es posible avanzar ceph_cap_reclaim_work() se vuelve a poner en cola mientras ceph_trim_dentries() devuelva -EAGAIN, lo que ocurre siempre que un recorrido de leases agota su presupuesto `nr_to_scan`. Esto…