CVE-2025-40271

सारांश

Linux कर्नेल में, निम्नलिखित भेद्यता को हल किया गया है: fs/proc: proc_readdir_de() में uaf को ठीक करें। Pde को rb_erase() के माध्यम से subdir rbtree से हटा दिया जाता है, लेकिन नोड को EMPTY सेट नहीं किया जाता है, जिसके परिणामस्वरूप uaf एक्सेस हो सकता है। हमें हटाए गए नोड को EMPTY सेट करने के लिए RB_CLEAR_NODE() का उपयोग करना चाहिए, फिर pde_subdir_next() NULL लौटाएगा जिससे uaf एक्सेस से बचा जा सके। हमें stress-ng परीक्षण के दौरान एक uaf समस्या मिली; getdent और tun टेस्टकेस को एक साथ चलाने की आवश्यकता है। समस्या के चरण इस प्रकार हैं: 1) /proc/pid/net/dev_snmp6/ डिर को ट्रैवर्स करने के लिए getdent का उपयोग करें, और वर्तमान pde tun3 है; 2) [समय विंडो] में netdevice tun3 और tun2 को unregister करें, और उन्हें rbtree से हटाएँ। पहले tun3 को हटाएँ, और फिर tun2 को हटाएँ। pde(tun2) slab में रिलीज़ हो जाएगा; 3) getdent प्रक्रिया जारी रखें, फिर pde_subdir_next() रिलीज़ किया गया pde(tun2) लौटाएगा, जिससे uaf एक्सेस होगा। CPU 0 | CPU 1 ------------------------------------------------------------------------- traverse dir /proc/pid/net/dev_snmp6/ | unregister_netdevice(tun->dev) //tun3 tun2 sys_getdents64() | iterate_dir() | proc_readdir() | proc_readdir_de() | snmp6_unregister_dev() pde_get(de); | proc_remove() read_unlock(&proc_subdir_lock); | remove_proc_subtree() | write_lock(&proc_subdir_lock); [time window] | rb_erase(&root->subdir_node, &parent->subdir); | write_unlock(&proc_subdir_lock); read_lock(&proc_subdir_lock); | next = pde_subdir_next(de); | pde_put(de); | de = next; //UAF | rbtree of dev_snmp6 | pde(tun3) / \ NULL pde(tun2)

• CVE-2025-40271अनुसंधान

  CVE-2025-40271 का तकनीकी विश्लेषण, Linux कर्नेल के /proc फाइल सिस्टम में एक महत्वपूर्ण Use-After-Free भेद्यता, जिसमें मूल कारण, पुनरुत्पादन चरण और पैच विवरण शामिल हैं।