CVE-2025-40271

🔴 CVE-2025-40271 : Vulnérabilité Critique Use-After-Free dans le Noyau Linux

---

🛡️ Détails de la Vulnérabilité

Le CVE-2025-40271 est une vulnérabilité critique de type Use-After-Free (UAF) qui affecte le système de fichiers /proc du noyau Linux. La faille réside dans la fonction proc_readdir_de(), chargée de lister le contenu des répertoires dans /proc.

🔍 Le Problème

Lorsqu'une entrée de répertoire (PDE) est supprimée de l'arbre binaire (rbtree) via rb_erase(), le noyau ne marquait pas le nœud comme vide. Cela génère un scénario dangereux :

• Si un processus lit un répertoire (ex. /proc/pid/net/dev_snmp6/) pendant qu'un autre supprime des interfaces réseau (comme des périphériques tun), le pointeur peut rester pointant vers une mémoire déjà libérée.
• En tentant d'accéder au nœud suivant dans l'arbre, le noyau utilise une mémoire invalide, provoquant :
  • Kernel Panic (plantage du système).
  • Possible exécution de code malveillant (si un attaquant exploite la condition de concurrence).

---

📊 État et Métriques

---

🛠️ Solution (Correctif)

L'équipe de développement du noyau a implémenté un correctif critique qui remplace la gestion du nœud par RB_CLEAR_NODE(). Cela garantit que :

• Lors de la suppression d'un nœud de l'arbre, toute tentative de lecture renvoie NULL au lieu d'un pointeur vers une mémoire libérée.
• Évite l'UAF en invalidant correctement le nœud.

📌 Versions du Noyau Patchées

Le correctif est déjà disponible dans les branches stables suivantes :

• 6.1.x
• 6.6.x
• 6.12.x
• 6.13.x

---

🔗 Références Officielles (Git Kernel.org)

Pour consulter le code exact du correctif, reportez-vous à ces commits :

• Commit 03de7ff
• Commit 6f24827

---

📜 Description Technique (NIST)

"In the Linux kernel, the following vulnerability has been resolved: fs/proc: fix uaf in proc_readdir_de(). PDE is erased from subdir rbtree through rb_erase(), but not set the node to EMPTY, which may result in UAF access. We should use RB_CLEAR_NODE() to set the erased node to EMPTY, then pde_subdir_next() will return NULL to avoid UAF access."

🔄 Étapes pour Reproduire le Problème

1. Processus 1 : Utilise getdent pour parcourir /proc/pid/net/dev_snmp6/ (le pointeur actuel est tun3).
2. Processus 2 : Dans une fenêtre de temps critique, désenregistre les périphériques réseau (tun3 et tun2), les supprimant de l'arbre.
   • D'abord tun3 est supprimé, puis tun2 (libéré vers le slab).
3. Processus 1 : Continue le parcours avec getdent, mais pde_subdir_next() renvoie tun2 (déjà libéré) , provoquant un UAF.

---

📊 Métriques et Énumération des Faiblesses

---

🔗 Liens Utiles

---

⚠️ Recommandation Finale : Si vous utilisez les versions de noyau 6.1.x, 6.6.x, 6.12.x ou 6.13.x, mettez à jour immédiatement vers une version patchée. Si ce n'est pas possible, envisagez d'appliquer les commits manuellement ou de restreindre l'accès à /proc via des politiques de sécurité (ex. chroot, SELinux).