CVE-2025-38001

Riepilogo

Nel kernel Linux, è stata risolta la seguente vulnerabilità: net_sched: hfsc: gestire l'enqueue rientrante che aggiunge due volte la classe all'eltree Savino dice: "Scriviamo per segnalare che questa recente patch (141d34391abbb315d68556b7c67ad97885407547) [1] può essere aggirata e una UAF può ancora verificarsi quando HFSC viene utilizzato con NETEM. La patch controlla solo il campo cl->cl_nactive per determinare se si tratta del primo inserimento o meno [2], ma questo campo viene incrementato solo da init_vf [3]. Utilizzando HFSC_RSC (che usa init_ed) [4], è possibile aggirare il controllo e inserire la classe due volte nell'eltree. In condizioni normali, ciò porterebbe a un ciclo infinito in hfsc_dequeue per i motivi che abbiamo già spiegato in questo report [5]. Tuttavia, se TBF viene aggiunto come root qdisc e configurato con una velocità molto bassa, può essere utilizzato per impedire che i pacchetti vengano rimossi dalla coda. Questo comportamento può essere sfruttato per eseguire inserimenti successivi nell'eltree HFSC e causare una UAF." Per correggere sia la UAF che il ciclo infinito, con netem come figlio di hfsc, controllare esplicitamente in hfsc_enqueue se la classe è già nell'eltree ogni volta che il flag HFSC_RSC è impostato. [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u

• CVE-2025-38001PoC

  CVE-2025-38001: Linux HFSC Eltree Use-After-Free - Debian 12 PoC