CVE-2025-40271

🔴 CVE-2025-40271: Критическая уязвимость Use-After-Free в ядре Linux

---

🛡️ Детали уязвимости

CVE-2025-40271 — это критическая уязвимость типа Use-After-Free (UAF), затрагивающая файловую систему /proc ядра Linux. Ошибка находится в функции proc_readdir_de(), отвечающей за перечисление содержимого каталогов в /proc.

🔍 Проблема

Когда запись каталога (PDE) удаляется из бинарного дерева (rbtree) с помощью rb_erase(), ядро не помечало узел как пустой. Это создаёт опасную ситуацию:

• Если процесс читает каталог (например, /proc/pid/net/dev_snmp6/), пока другой удаляет сетевые интерфейсы (например, устройства tun), указатель может указывать на уже освобождённую память.
• При попытке доступа к следующему узлу в дереве ядро использует недопустимую память, что приводит к:
  • Kernel Panic (падение системы).
  • Возможное выполнение вредоносного кода (если злоумышленник использует состояние гонки).

---

📊 Статус и метрики

---

🛠️ Решение (Патч)

Команда разработчиков ядра реализовала критический патч, который заменяет обработку узла на RB_CLEAR_NODE(). Это гарантирует, что:

• При удалении узла из дерева любая попытка чтения возвращает NULL вместо указателя на освобождённую память.
• Предотвращает UAF за счёт правильного аннулирования узла.

📌 Исправленные версии ядра

• 6.1.x
• 6.6.x
• 6.12.x
• 6.13.x

---

🔗 Официальные ссылки (Git Kernel.org)

Чтобы просмотреть точный код патча, обратитесь к этим коммитам:

• Commit 03de7ff
• Commit 6f24827

---

📜 Техническое описание (NIST)

"В ядре Linux была устранена следующая уязвимость: fs/proc: исправлен UAF в proc_readdir_de(). PDE удаляется из поддерева rbtree через rb_erase(), но узел не устанавливается в EMPTY, что может привести к доступу UAF. Следует использовать RB_CLEAR_NODE(), чтобы установить удалённый узел в EMPTY, тогда pde_subdir_next() вернёт NULL, чтобы избежать доступа UAF."

🔄 Шаги для воспроизведения проблемы

1. Процесс 1: Использует getdent для обхода /proc/pid/net/dev_snmp6/ (текущий указатель — tun3).
2. Процесс 2: В критическом временном окне удаляет сетевые устройства (tun3 и tun2), удаляя их из дерева.
   • Сначала удаляется tun3, затем tun2 (освобождён в slab).
3. Процесс 1: Продолжает обход с помощью getdent, но pde_subdir_next() возвращает tun2 (уже освобождённый), вызывая UAF.

---

📊 Метрики и перечень слабостей

---

🔗 Полезные ссылки

---

⚠️ Итоговая рекомендация: Если вы используете ядра версий 6.1.x, 6.6.x, 6.12.x или 6.13.x, немедленно обновитесь до исправленной версии. Если это невозможно, рассмотрите применение коммитов вручную или ограничение доступа к /proc с помощью политик безопасности (например, chroot, SELinux).