CVE-2025-38001

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été résolue : net_sched: hfsc: Corriger la réinsertion réentrante d'une classe dans eltree à deux reprises. Savino dit : « Nous vous écrivons pour signaler que ce récent correctif (141d34391abbb315d68556b7c67ad97885407547) [1] peut être contourné, et qu'une UAF peut toujours se produire lorsque HFSC est utilisé avec NETEM. Le correctif ne vérifie que le champ cl->cl_nactive pour déterminer s'il s'agit de la première insertion ou non [2], mais ce champ n'est incrémenté que par init_vf [3]. En utilisant HFSC_RSC (qui utilise init_ed) [4], il est possible de contourner la vérification et d'insérer la classe deux fois dans eltree. Dans des conditions normales, cela conduirait à une boucle infinie dans hfsc_dequeue pour les raisons que nous avons déjà expliquées dans ce rapport [5]. Cependant, si TBF est ajouté comme qdisc racine et configuré avec un débit très faible, il peut être utilisé pour empêcher le retrait des paquets de la file. Ce comportement peut être exploité pour effectuer des insertions ultérieures dans l'eltree de HFSC et provoquer une UAF. » Pour corriger à la fois l'UAF et la boucle infinie, avec netem comme enfant de hfsc, vérifiez explicitement dans hfsc_enqueue si la classe est déjà dans eltree chaque fois que l'indicateur HFSC_RSC est défini. [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u

• CVE-2025-38001PoC

  CVE-2025-38001: Linux HFSC Eltree Use-After-Free - Debian 12 PoC