CVE-2025-40271

🔴 CVE-2025-40271: Kritische Use-After-Free-Schwachstelle im Linux-Kernel

---

🛡️ Details der Schwachstelle

Das CVE-2025-40271 ist eine kritische Use-After-Free-Schwachstelle (UAF), die das /proc-Dateisystem des Linux-Kernels betrifft. Der Fehler liegt in der Funktion proc_readdir_de(), die für die Auflistung der Verzeichnisinhalte innerhalb von /proc zuständig ist.

🔍 Das Problem

Wenn ein Verzeichniseintrag (PDE) über rb_erase() aus dem Binärbaum (rbtree) entfernt wird, markierte der Kernel den Knoten nicht als leer. Dies erzeugt ein gefährliches Szenario:

• Wenn ein Prozess gerade ein Verzeichnis liest (z. B. /proc/pid/net/dev_snmp6/), während ein anderer Netzwerkschnittstellen entfernt (wie tun-Geräte), kann der Zeiger auf bereits freigegebenen Speicher zeigen.
• Beim Versuch, auf den nächsten Knoten im Baum zuzugreifen, verwendet der Kernel ungültigen Speicher, was Folgendes verursacht:
  • Kernel Panic (Systemabsturz).
  • Mögliche Ausführung von Schadcode (wenn ein Angreifer die Race-Condition ausnutzt).

---

📊 Status und Metriken

---

🛠️ Lösung (Patch)

Das Kernel-Entwicklungsteam hat einen kritischen Patch implementiert, der die Behandlung des Knotens durch RB_CLEAR_NODE() ersetzt. Dies gewährleistet:

• Beim Entfernen eines Knotens aus dem Baum jeder Leseversuch NULL zurückgibt statt eines Zeigers auf freigegebenen Speicher.
• die UAF vermieden wird, indem der Knoten korrekt invalidiert wird.

📌 Gepatchte Kernel-Versionen

Der Patch ist bereits in den folgenden stabilen Zweigen verfügbar:

• 6.1.x
• 6.6.x
• 6.12.x
• 6.13.x

---

🔗 Offizielle Referenzen (Git Kernel.org)

Um den genauen Code des Patches zu prüfen, sieh dir diese Commits an:

• Commit 03de7ff
• Commit 6f24827

---

📜 Technische Beschreibung (NIST)

"Im Linux-Kernel wurde die folgende Schwachstelle behoben: fs/proc: fix uaf in proc_readdir_de(). Der PDE wird über rb_erase() aus dem Subdir-rbtree entfernt, aber der Knoten wird nicht auf EMPTY gesetzt, was zu einem UAF-Zugriff führen kann. Wir sollten RB_CLEAR_NODE() verwenden, um den entfernten Knoten auf EMPTY zu setzen; dann gibt pde_subdir_next() NULL zurück, um UAF-Zugriffe zu vermeiden."

🔄 Schritte zur Reproduktion des Problems

1. Prozess 1: Verwende getdent, um /proc/pid/net/dev_snmp6/ zu durchlaufen (der aktuelle Zeiger ist tun3).
2. Prozess 2: In einem kritischen Zeitfenster werden Netzwerkgeräte (tun3 und tun2) abgemeldet und aus dem Baum entfernt.
   • Zuerst wird tun3 entfernt, dann tun2 (in den Slab freigegeben).
3. Prozess 1: Setzt den Durchlauf mit getdent fort, aber pde_subdir_next() gibt tun2 (bereits freigegeben) zurück, was eine UAF verursacht.

---

📊 Metriken und Schwachstellen-Enumeration

---

🔗 Nützliche Links

---

⚠️ Abschließende Empfehlung: Wenn du Kernel-Versionen 6.1.x, 6.6.x, 6.12.x oder 6.13.x verwendest, aktualisiere sofort auf eine gepatchte Version. Falls das nicht möglich ist, erwäge, die Commits manuell anzuwenden oder den Zugriff auf /proc über Sicherheitsrichtlinien einzuschränken (z. B. chroot, SELinux).