CVE-2025-40271

🔴 CVE-2025-40271: Vulnerabilidade Crítica de Use-After-Free no Kernel do Linux

---

🛡️ Detalhes da Vulnerabilidade

O CVE-2025-40271 é uma vulnerabilidade crítica do tipo Use-After-Free (UAF) que afeta o sistema de arquivos /proc do kernel do Linux. A falha reside na função proc_readdir_de(), responsável por listar os conteúdos dos diretórios dentro de /proc.

🔍 O Problema

Quando uma entrada de diretório (PDE) é eliminada da árvore binária (rbtree) através de rb_erase(), o kernel não marcava o nó como vazio. Isso gera um cenário perigoso:

• Se um processo está lendo um diretório (ex.: /proc/pid/net/dev_snmp6/) enquanto outro elimina interfaces de rede (como dispositivos tun), o ponteiro pode ficar apontando para memória já liberada.
• Ao tentar acessar o próximo nó na árvore, o kernel utiliza memória inválida, provocando:
  • Kernel Panic (queda do sistema).
  • Possível execução de código malicioso (se um atacante explorar a condição de corrida).

---

📊 Estado e Métricas

---

🛠️ Solução (Patch)

A equipe de desenvolvimento do kernel implementou um patch crítico que substitui o manuseio do nó por RB_CLEAR_NODE(). Isso garante que:

• Ao apagar um nó da árvore, qualquer tentativa de leitura retorne NULL em vez de um ponteiro para memória liberada.
• Evita o UAF ao invalidar corretamente o nó.

📌 Versões do Kernel Patchadas

O patch já está disponível nas seguintes ramificações estáveis:

• 6.1.x
• 6.6.x
• 6.12.x
• 6.13.x

---

🔗 Referências Oficiais (Git Kernel.org)

Para revisar o código exato do patch, consulte estes commits:

• Commit 03de7ff
• Commit 6f24827

---

📜 Descrição Técnica (NIST)

"In the Linux kernel, the following vulnerability has been resolved: fs/proc: fix uaf in proc_readdir_de(). PDE is erased from subdir rbtree through rb_erase(), but not set the node to EMPTY, which may result in UAF access. We should use RB_CLEAR_NODE() to set the erased node to EMPTY, then pde_subdir_next() will return NULL to avoid UAF access."

🔄 Passos para Reproduzir o Problema

1. Processo 1: Usa getdent para percorrer /proc/pid/net/dev_snmp6/ (o ponteiro atual é tun3).
2. Processo 2: Em uma janela de tempo crítica, desregistra dispositivos de rede (tun3 e tun2), eliminando-os da árvore.
   • Primeiro se elimina tun3, depois tun2 (liberado para a slab).
3. Processo 1: Continua o percurso com getdent, mas pde_subdir_next() retorna tun2 (já liberado), causando UAF.

---

📊 Métricas e Enumeração de Fraquezas

---

🔗 Links Úteis

---

⚠️ Recomendação Final: Se você utiliza versões do kernel 6.1.x, 6.6.x, 6.12.x ou 6.13.x, atualize imediatamente para uma versão patchada. Se não for possível, considere aplicar os commits manualmente ou restringir o acesso a /proc através de políticas de segurança (ex.: chroot, SELinux).