CVE-2025-38001

概要

Linuxカーネルにおいて、以下の脆弱性が解決されました: net_sched: hfsc: 再入可能なenqueueがクラスをeltreeに2回追加する問題に対処 Savino氏は次のように述べています: 「この最近のパッチ (141d34391abbb315d68556b7c67ad97885407547) [1] は回避可能であり、HFSCをNETEMと共に使用した場合、依然としてUAFが発生し得ることを報告するために連絡しています。このパッチは、最初の挿入であるかどうかを判断するために cl->cl_nactive フィールドのみをチェックします [2] が、このフィールドは init_vf によってのみインクリメントされます [3]。HFSC_RSC (init_ed を使用する) [4] を使用することで、チェックを回避して eltree にクラスを2回挿入することが可能です。通常の条件下では、このレポート [5] で既に説明した理由により、hfsc_dequeue で無限ループが発生します。しかし、TBF がルート qdisc として追加され、非常に低いレートで構成されている場合、パケットのデキューを防ぐために利用される可能性があります。この動作は、HFSC eltree への後続の挿入を実行し、UAF を引き起こすために悪用される可能性があります。」 UAFと無限ループの両方を修正するには、netem を hfsc の子として使用する場合、HFSC_RSC フラグが設定されているときは常に、hfsc_enqueue でクラスが既に eltree にあるかどうかを明示的にチェックしてください。 [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u

• CVE-2025-38001PoC

  CVE-2025-38001: Linux HFSC Eltree Use-After-Free - Debian 12 PoC

• CVE-2025-38001PoC