CVE-2025-38001

Резюме

В ядре Linux была устранена следующая уязвимость: net_sched: hfsc: Устранение повторного enqueue, добавляющего класс в eltree дважды Савино пишет: «Мы пишем, чтобы сообщить, что этот недавний патч (141d34391abbb315d68556b7c67ad97885407547) [1] можно обойти, и UAF всё ещё может произойти при использовании HFSC с NETEM. Патч проверяет только поле cl->cl_nactive, чтобы определить, является ли это первой вставкой или нет [2], но это поле инкрементируется только в init_vf [3]. Используя HFSC_RSC (который использует init_ed) [4], можно обойти проверку и вставить класс в eltree дважды. В нормальных условиях это привело бы к бесконечному циклу в hfsc_dequeue по причинам, которые мы уже объяснили в этом отчёте [5]. Однако, если TBF добавлен в качестве корневого qdisc и настроен на очень низкую скорость, его можно использовать для предотвращения извлечения пакетов из очереди. Это поведение можно использовать для выполнения последующих вставок в HFSC eltree и вызвать UAF.» Чтобы устранить и UAF, и бесконечный цикл, когда netem является дочерним элементом hfsc, в hfsc_enqueue следует явно проверять, не находится ли класс уже в eltree, всякий раз, когда установлен флаг HFSC_RSC. [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u

• CVE-2025-38001PoC

  CVE-2025-38001: Linux HFSC Eltree — использование после освобождения — PoC для Debian 12