CVE-2025-40271

Zusammenfassung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: fs/proc: behebt UAF in proc_readdir_de(). Pde wird mittels rb_erase() aus dem subdir-rbtree entfernt, der Knoten wird jedoch nicht auf EMPTY gesetzt, was zu einem UAF-Zugriff führen kann. Wir sollten RB_CLEAR_NODE() verwenden, um den entfernten Knoten auf EMPTY zu setzen; dann gibt pde_subdir_next() NULL zurück, um einen UAF-Zugriff zu vermeiden. Wir haben ein UAF-Problem bei Tests mit stress-ng gefunden; dazu müssen die Testfälle getdent und tun gleichzeitig ausgeführt werden. Die Schritte des Problems sind wie folgt: 1) getdent verwenden, um das Verzeichnis /proc/pid/net/dev_snmp6/ zu durchlaufen; das aktuelle pde ist tun3; 2) im [Zeitfenster] die Netdevices tun3 und tun2 abmelden und sie aus dem rbtree entfernen. Zuerst tun3 entfernen, dann tun2 entfernen. Das pde(tun2) wird an den Slab freigegeben; 3) den getdent-Prozess fortsetzen; dann gibt pde_subdir_next() das freigegebene pde(tun2) zurück, was einen UAF-Zugriff verursacht. CPU 0 | CPU 1 ------------------------------------------------------------------------- Verzeichnis /proc/pid/net/dev_snmp6/ durchlaufen | unregister_netdevice(tun->dev) //tun3 tun2 sys_getdents64() | iterate_dir() | proc_readdir() | proc_readdir_de() | snmp6_unregister_dev() pde_get(de); | proc_remove() read_unlock(&proc_subdir_lock); | remove_proc_subtree() | write_lock(&proc_subdir_lock); [Zeitfenster] | rb_erase(&root->subdir_node, &parent->subdir); | write_unlock(&proc_subdir_lock); read_lock(&proc_subdir_lock); | next = pde_subdir_next(de); | pde_put(de); | de = next; //UAF | rbtree von dev_snmp6 | pde(tun3) / \ NULL pde(tun2)

• CVE-2025-40271Forschung

  Technische Analyse von CVE-2025-40271, einer kritischen Use-After-Free-Schwachstelle im /proc-Dateisystem des Linux-Kernels, einschließlich Ursachenanalyse, Reproduktionsschritten und Patch-Details.