0xatharv/cve-2025-40019-pocUn Proof Of Concept per CVE-2025-40019
CVE-2025-40019 riguarda il meccanismo Encrypted Salt-Sector Initialization Vector (crypto/essiv.c) che presenta una validazione insufficiente della lunghezza dei dati di autenticazione associati (AAD) rispetto alla dimensione del vettore di inizializzazione (IV), portando a un accesso alla memoria fuori dai limiti. Il codice fornito in questo repository è solo un trigger del bug, ma questo bug è facilmente sfruttabile.
Mi sono imbattuto in questo bug nel foglio di calcolo kernelctf qui. Poiché non c'erano post di blog o poc associati a questo bug, ho deciso di esplorare il sottosistema crypto del kernel Linux per scoprire cosa ha causato il problema.
Per comprendere la necessità di ESSIV, dobbiamo guardare a come i dati vengono memorizzati sul disco. La crittografia del disco (come LUKS o dm-crypt) opera tipicamente su settori. Ogni settore deve essere crittografato indipendentemente in modo che la lettura di un settore non richieda la lettura dell'intero disco.
Nella modalità CBC (Cipher Block Chaining) standard, è richiesto un vettore di inizializzazione (IV) per ogni operazione di crittografia. Le prime implementazioni di crittografia del disco utilizzavano il numero del settore come IV.
Tuttavia, poiché i numeri dei settori sono prevedibili, un attaccante può eseguire un "attacco watermarking." Scrivendo dati appositamente costruiti su un settore noto, l'attaccante può osservare pattern nel ciphertext che rivelano la presenza di file specifici, aggirando efficacemente la riservatezza della crittografia.
ESSIV (Encrypted Salt-Sector Initialization Vector) è stato progettato per rendere l'IV imprevedibile. Funziona:
Ciò garantisce che anche se un attaccante conosce il numero del settore, non può predire l'IV senza conoscere la chiave segreta.
Ogni algoritmo, che sia un cifrario di base come AES o un wrapper come ESSIV, implementa una struttura che il kernel utilizza per instradare le chiamate:
struct skcipher_alg {
int (*setkey)(struct crypto_skcipher *tfm, const u8 *key, unsigned int keylen);
int (*encrypt)(struct skcipher_request *req);
int (*decrypt)(struct skcipher_request *req);
// ...
struct skcipher_alg_common co; // Contains ivsize, chunksize, etc.
};
La vulnerabilità è un classico caso in cui si presume che i metadati forniti dall'utente (la lunghezza AAD) soddisfino sempre i requisiti interni della trasformata crittografica. Nel percorso "in-place" o di decifratura (!enc), il codice calcola un offset: req->assoclen - crypto_aead_ivsize(tfm). Ma non controlla mai se req->assoclen < ivsize. Il che significa che questo offset può essere negativo.
static int essiv_aead_crypt(struct aead_request *req, bool enc)
{
struct crypto_aead *tfm = crypto_aead_reqtfm(req);
const struct essiv_tfm_ctx *tctx = crypto_aead_ctx(tfm);
struct essiv_aead_request_ctx *rctx = aead_request_ctx(req);
struct aead_request *subreq = &rctx->aead_req;
struct scatterlist *src = req->src;
int err;
crypto_cipher_encrypt_one(tctx->essiv_cipher, req->iv, req->iv);
/*
* dm-crypt embeds the sector number and the IV in the AAD region, so
* we have to copy the converted IV into the right scatterlist before
* we pass it on.
*/
rctx->assoc = NULL;
if (req->src == req->dst || !enc) {
scatterwalk_map_and_copy(req->iv, req->dst,
req->assoclen - crypto_aead_ivsize(tfm), // <------- bug !
crypto_aead_ivsize(tfm), 1);
} else {
u8 *iv = (u8 *)aead_request_ctx(req) + tctx->ivoffset;
int ivsize = crypto_aead_ivsize(tfm);
int ssize = req->assoclen - ivsize;
struct scatterlist *sg;
int nents;
.
.
.
Guardando la funzione scatterwalk_map_and_copy, possiamo vedere che esegue semplicemente una memcpy sullo scatterlist sg:
static inline void scatterwalk_map_and_copy(void *buf, struct scatterlist *sg,
unsigned int start,
unsigned int nbytes, int out)
{
if (out)
memcpy_to_sglist(sg, start, buf, nbytes);
else
memcpy_from_sglist(buf, sg, start, nbytes);
}
La patch per questo bug è stata molto semplice: controlla semplicemente se assoclen è minore di ivsize
diff --git a/crypto/essiv.c b/crypto/essiv.c
index d003b78fcd855a..a47a3eab693519 100644
--- a/crypto/essiv.c
+++ b/crypto/essiv.c
@@ -186,9 +186,14 @@ static int essiv_aead_crypt(struct aead_request *req, bool enc)
const struct essiv_tfm_ctx *tctx = crypto_aead_ctx(tfm);
struct essiv_aead_request_ctx *rctx = aead_request_ctx(req);
struct aead_request *subreq = &rctx->aead_req;
+ int ivsize = crypto_aead_ivsize(tfm);
+ int ssize = req->assoclen - ivsize;
struct scatterlist *src = req->src;
int err;
+ if (ssize < 0)
+ return -EINVAL;
+
crypto_cipher_encrypt_one(tctx->essiv_cipher, req->iv, req->iv);
/*
@@ -198,19 +203,12 @@ static int essiv_aead_crypt(struct aead_request *req, bool enc)
*/
rctx->assoc = NULL;
if (req->src == req->dst || !enc) {
- scatterwalk_map_and_copy(req->iv, req->dst,
- req->assoclen - crypto_aead_ivsize(tfm),
- crypto_aead_ivsize(tfm), 1);
+ scatterwalk_map_and_copy(req->iv, req->dst, ssize, ivsize, 1);
} else {
u8 *iv = (u8 *)aead_request_ctx(req) + tctx->ivoffset;
- int ivsize = crypto_aead_ivsize(tfm);
- int ssize = req->assoclen - ivsize;
struct scatterlist *sg;
int nents;
- if (ssize < 0)
- return -EINVAL;
-
nents = sg_nents_for_len(req->src, ssize);
if (nents < 0)
return -EINVAL;