CVE-2025-40271

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été corrigée : fs/proc: corrige une UAF dans proc_readdir_de(). Pde est supprimé du rbtree des sous-répertoires via rb_erase(), mais le nœud n'est pas défini sur EMPTY, ce qui peut entraîner un accès UAF. Nous devrions utiliser RB_CLEAR_NODE() pour définir le nœud supprimé sur EMPTY, puis pde_subdir_next() retournera NULL pour éviter un accès UAF. Nous avons trouvé un problème d'UAF lors des tests avec stress-ng ; il faut exécuter les cas de test getdent et tun en même temps. Les étapes du problème sont les suivantes : 1) utiliser getdent pour parcourir le répertoire /proc/pid/net/dev_snmp6/, et le pde courant est tun3 ; 2) dans la [fenêtre temporelle], désenregistrer les netdevices tun3 et tun2, et les supprimer du rbtree. Supprimer d'abord tun3, puis tun2. le pde(tun2) sera libéré dans le slab ; 3) continuer le processus getdent, puis pde_subdir_next() retournera pde(tun2) qui est libéré, cela causera un accès UAF. CPU 0 | CPU 1 ------------------------------------------------------------------------- traverse dir /proc/pid/net/dev_snmp6/ | unregister_netdevice(tun->dev) //tun3 tun2 sys_getdents64() | iterate_dir() proc_readdir() | proc_readdir_de() | snmp6_unregister_dev() pde_get(de); | proc_remove() read_unlock(&proc_subdir_lock); | remove_proc_subtree() | write_lock(&proc_subdir_lock); [time window] | rb_erase(&root->subdir_node, &parent->subdir); | write_unlock(&proc_subdir_lock); read_lock(&proc_subdir_lock); | next = pde_subdir_next(de); | pde_put(de); | de = next; //UAF | rbtree of dev_snmp6 | pde(tun3) / \ NULL pde(tun2)

• CVE-2025-40271Recherche

  Analyse technique de CVE-2025-40271, une vulnérabilité critique de type Use-After-Free dans le système de fichiers /proc du noyau Linux, incluant la cause racine, les étapes de reproduction et les détails du correctif.