CVE-2025-38001

सारांश

लिनक्स कर्नेल में, निम्नलिखित भेद्यता को हल कर दिया गया है: net_sched: hfsc: Address reentrant enqueue adding class to eltree twice साविनो कहते हैं: "हम यह रिपोर्ट करने के लिए लिख रहे हैं कि हालिया पैच (141d34391abbb315d68556b7c67ad97885407547) [1] को बायपास किया जा सकता है, और जब HFSC का उपयोग NETEM के साथ किया जाता है तब भी UAF हो सकता है। पैच केवल cl->cl_nactive फ़ील्ड की जाँच करता है ताकि यह निर्धारित किया जा सके कि यह पहला सम्मिलन है या नहीं [2], लेकिन यह फ़ील्ड केवल init_vf द्वारा बढ़ाया जाता है [3]। HFSC_RSC (जो init_ed का उपयोग करता है) [4] का उपयोग करके, जाँच को बायपास करना और eltree में क्लास को दो बार सम्मिलित करना संभव है। सामान्य परिस्थितियों में, यह hfsc_dequeue में अनंत लूप की ओर ले जाएगा, उन कारणों के लिए जिन्हें हम पहले ही इस रिपोर्ट में समझा चुके हैं [5]। हालाँकि, यदि TBF को रूट qdisc के रूप में जोड़ा जाता है और इसे बहुत कम दर के साथ कॉन्फ़िगर किया जाता है, तो इसका उपयोग पैकेटों को डीक्यू होने से रोकने के लिए किया जा सकता है। इस व्यवहार का फायदा उठाकर HFSC eltree में बाद में सम्मिलन किए जा सकते हैं और UAF उत्पन्न किया जा सकता है।" UAF और अनंत लूप दोनों को ठीक करने के लिए, netem को hfsc चाइल्ड के रूप में रखते हुए, hfsc_enqueue में स्पष्ट रूप से जाँच करें कि जब भी HFSC_RSC फ़्लैग सेट हो, क्लास पहले से ही eltree में है या नहीं। [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u

• CVE-2025-38001PoC

  CVE-2025-38001: Linux HFSC Eltree Use-After-Free - Debian 12 PoC