CVE-2025-38001

Resumo

No kernel Linux, a seguinte vulnerabilidade foi resolvida: net_sched: hfsc: Corrigir enfileiramento reentrante adicionando a classe ao eltree duas vezes > Savino diz: "Estamos escrevendo para relatar que este patch recente (141d34391abbb315d68556b7c67ad97885407547) [1] pode ser contornado, e um UAF ainda pode ocorrer quando HFSC é utilizado com NETEM. O patch apenas verifica o campo cl->cl_nactive para determinar se é a primeira inserção ou não [2], mas este campo é incrementado apenas por init_vf [3]. Ao usar HFSC_RSC (que usa init_ed) [4], é possível contornar a verificação e inserir a classe duas vezes no eltree. Sob condições normais, isso levaria a um loop infinito em hfsc_dequeue pelos motivos que já explicamos neste relatório [5]. No entanto, se TBF for adicionado como qdisc raiz e configurado com uma taxa muito baixa, ele pode ser utilizado para impedir que pacotes sejam desenfileirados. Esse comportamento pode ser explorado para realizar inserções subsequentes no eltree do HFSC e causar um UAF." Para corrigir tanto o UAF quanto o loop infinito, com netem como filho de hfsc, verifique explicitamente em hfsc_enqueue se a classe já está no eltree sempre que o flag HFSC_RSC estiver definido. [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u

• CVE-2025-38001PoC

  CVE-2025-38001: Linux HFSC Eltree Uso-Após-Liberação - Debian 12 PoC