CVE-2025-40271

🔴 CVE-2025-40271: Vulnerabilità Critica di Use-After-Free nel Kernel Linux

---

🛡️ Dettagli della Vulnerabilità

Il CVE-2025-40271 è una vulnerabilità critica di tipo Use-After-Free (UAF) che colpisce il filesystem /proc del kernel Linux. Il difetto risiede nella funzione proc_readdir_de(), incaricata di elencare i contenuti delle directory all'interno di /proc.

🔍 Il Problema

Quando una voce di directory (PDE) viene eliminata dall'albero binario (rbtree) tramite rb_erase(), il kernel non contrassegnava il nodo come vuoto. Ciò genera uno scenario pericoloso:

• Se un processo sta leggendo una directory (ad es. /proc/pid/net/dev_snmp6/) mentre un altro elimina interfacce di rete (come dispositivi tun), il puntatore può rimanere indirizzato a memoria già liberata.
• Tentando di accedere al nodo successivo nell'albero, il kernel utilizza memoria non valida, provocando:
  • Kernel Panic (crash del sistema).
  • Possibile esecuzione di codice malevolo (se un attaccante sfrutta la race condition).

---

📊 Stato e Metriche

---

🛠️ Soluzione (Patch)

Il team di sviluppo del kernel ha implementato una patch critica che sostituisce la gestione del nodo con RB_CLEAR_NODE(). Ciò garantisce che:

• All'eliminazione di un nodo dall'albero, qualsiasi tentativo di lettura restituisca NULL anziché un puntatore a memoria liberata.
• Previene l'UAF invalidando correttamente il nodo.

📌 Versioni del Kernel Patchate

La patch è già disponibile sui seguenti rami stabili:

• 6.1.x
• 6.6.x
• 6.12.x
• 6.13.x

---

🔗 Riferimenti Ufficiali (Git Kernel.org)

Per rivedere il codice esatto della patch, consulta questi commit:

• Commit 03de7ff
• Commit 6f24827

---

📜 Descrizione Tecnica (NIST)

"In the Linux kernel, the following vulnerability has been resolved: fs/proc: fix uaf in proc_readdir_de(). PDE is erased from subdir rbtree through rb_erase(), but not set the node to EMPTY, which may result in UAF access. We should use RB_CLEAR_NODE() to set the erased node to EMPTY, then pde_subdir_next() will return NULL to avoid UAF access."

🔄 Passi per Riprodurre il Problema

1. Processo 1: Usa getdent per scorrere /proc/pid/net/dev_snmp6/ (il puntatore corrente è tun3).
2. Processo 2: In una finestra di tempo critica, deregistra dispositivi di rete (tun3 e tun2), rimuovendoli dall'albero.
   • Prima viene rimosso tun3, poi tun2 (liberato nella slab).
3. Processo 1: Continua lo scorrimento con getdent, ma pde_subdir_next() restituisce tun2 (già liberato), causando UAF.

---

📊 Metriche e Enumerazione delle Debolezze

---

🔗 Link Utili

---

⚠️ Raccomandazione Finale: Se utilizzi kernel versioni 6.1.x, 6.6.x, 6.12.x o 6.13.x, aggiorna immediatamente a una versione patchata. Se non è possibile, considera l'applicazione manuale dei commit o la restrizione dell'accesso a /proc tramite policy di sicurezza (es. chroot, SELinux).