Katalog podatności CVE

W jądrze Linux funkcja mnt_change_mountpoint() nie resetowała pola ->overmount starego rodzica, w przeciwieństwie do __umount_mnt(). W ścieżce reparent()/propagate_umount() prowadziło to do wskaźnika wiszącego i use-after-free, gdy deskryptor pliku utrzymywał przy życiu odmontowany mount, a do_lock_mount() podążał za ->overmount do zwolnionego obiektu.

W jądrze Linux funkcja statmount_mnt_basic() odczytywała identyfikatory rodzica przez m->mnt_parent z namespace_sem, co jest bezpieczne tylko dla mountów w przestrzeni nazw. Dla mountu odmontowanego celowo i utrzymywanego tylko przez deskryptor pliku (STATMOUNT_BY_FD) końcowe mntput() mogło zwolnić rodzica równolegle, powodując wyłuskanie już zwolnionego mountu.

W jądrze Linux naprawiono błąd w clone_mnt(), gdzie flaga MNT_UMOUNT była dziedziczona przez klonowane punkty montowania. Pozwalało to na tworzenie kopii leniwie odmontowanego montowania (utrzymywanego przez deskryptor pliku nsfs/pidfs), co prowadziło do licznych błędów: wycieków struktur, nieprawidłowego odmontowywania sąsiadów, problemów z propagacją i reparentowaniem. Poprawka dodaje MNT_UMOUNT do MNT_INTERNAL_FLAGS, aby flaga nie była kopiowana.

W jądrze Linux funkcja may_copy_tree() akceptowała mount, którego korzeń jest plikiem nsfs lub pidfs, przed sprawdzeniem czy mount jest zamontowany. Wyjątek ten dopuszczał także bind mount takiego pliku po lazy unmount, utrzymywany tylko przez deskryptor pliku, przez co rekurencyjne kopiowanie (MS_REC/AT_RECURSIVE) kopiowało cały odmontowany stos mountów.

W jądrze Linux występuje luka use-after-free w mechanizmie powiadomień o montowaniu. Funkcja mnt_notify_add() nie sprawdza, czy dany montaż jest już w kolejce notify_list, co przy wielokrotnym wywołaniu umount_tree() w ramach jednego namespace_sem prowadzi do dodania tego samego montażu dwukrotnie i uszkodzenia listy. Późniejsze operacje montowania na hoście odwołują się do zwolnionej pamięci.

W jądrze Linux funkcje shrink_submounts() i mark_mounts_for_expiry() najpierw zbierają punkty montowania do odmontowania, a następnie je odmontowują. Odmontowanie pierwszego punktu zmienia drzewo propagacji, przez co drugi punkt montowania może zostać odmontowany mimo że jest zajęty (busy), co prowadzi do stanu MNT_SYNC_UMOUNT z aktywnymi użytkownikami. Problem dotyczy punktów montowania z flagą MNT_SHRINKABLE, np. automatycznie montowanych podmontowań NFS, AFS, CIFS lub tracefs pod debugfs.

W jądrze Linux naprawiono podatność w obsłudze przestrzeni nazw mountów, gdzie rekurencyjne bind-mountowanie plików przestrzeni nazw (nsfs) mogło prowadzić do cyklicznych zależności i wycieku pamięci. Funkcja do_loopback() sprawdzała tylko początkowy dentry, a przy MS_REC kopiowała pliki przestrzeni nazw poniżej źródła bez weryfikacji, czy nie tworzą one pętli. Umożliwiało to procesowi w starszej przestrzeni nazw wielokrotne wyciekanie pamięci poprzez stackowanie bind-mountów.

W jądrze Linux naprawiono podatność w mechanizmie open_tree(OPEN_TREE_NAMESPACE), który tworzy nową przestrzeń nazw montowań z kopii drzewa pod podaną ścieżką. Nieuprzywilejowany użytkownik mógł najpierw utworzyć przestrzeń nazw użytkownika, a następnie uzyskać dostęp do zawartości ukrytej przez zamontowane punkty montowania (np. maskowanie /proc i /sys w kontenerach).

W jądrze Linux funkcja attach_recursive_mnt() prealokuje punkt montowania dla korzenia najwyższego montowania źródła, ale pętla przechodząca przez łańcuch montowań nie sprawdza najwyższego montowania. Jeśli najwyższe montowanie jest jedynym plikiem przestrzeni nazw montowań w łańcuchu, istniejące montowanie zostaje przypięte pod korzeniem pliku przestrzeni nazw (dentry nsfs), przez co staje się niedostępne i nie można go zsynchronizować odmontować. Prowadzi to do błędnego zachowania przy move_mount i umount.

W jądrze Linux funkcja mnt_ns_release() usuwa znaczniki fanotify przestrzeni nazw montowań w kontekście procesu, ale mnt_ns_tree_remove() przekazuje referencję do call_rcu(), przez co znaczniki są usuwane z softirq RCU. Powoduje to błąd „sleeping function called from invalid context” oraz ostrzeżenia lockdep dotyczące blokady connectora. Wystarczy grupa fanotify ze znacznikiem FAN_MARK_MNTNS na przestrzeni nazw montowań innego zadania.

W jądrze Linux naprawiono błąd use-after-free w funkcji path_pivot_root() wywoływanej przez pivot_root(). Funkcja odczytywała wskaźnik rodzica (mnt_parent) dla montowania, które mogło zostać już odmontowane i zwolnione, jeśli tylko deskryptor pliku utrzymywał je przy życiu. Sprawdzenie przynależności do przestrzeni nazw montowań następuje teraz przed odczytem rodziców.

W jądrze Linux funkcja attach_recursive_mnt() tworzy drugi punkt montowania dla korzenia montowania źródła bez blokady inode, a d_set_mounted() odrzuca tylko dentry, które są odlinkowane. Między detach_mounts() a d_delete() ofiara jest wciąż w hashu, więc bind mount usuwanego katalogu może zostać przeniesiony pod istniejące montowanie i nigdy nie zostanie odłączony. Prowadzi to do pozostawienia montowania na usuniętym katalogu.

W jądrze Linux ksys_unshare() wywołuje put_nsproxy() na nsproxy, które nigdy nie zostało zainstalowane, gdy set_cred_ucounts() zawiedzie. Powoduje to przejście liczników referencji nowych przestrzeni nazw z zera na minus jeden oraz utratę referencji do przestrzeni nazw współdzielonych z wywołującym. W efekcie przestrzenie nazw, w których żyje wywołujący, przestają być widoczne w listns().

W jądrze Linux d_alloc_pseudo() zwraca dentry z flagą DCACHE_NORCU, które są natychmiast zwalniane, o ile nie stanowią korzenia montowania. Bind mounting /proc/self/fd/<fd> takiego pliku (np. tokenu BPF na bpffs) czyni taki dentry korzeniem montowania, co prowadzi do use-after-free podczas ścieżki __follow_mount_rcu(). Może to spowodować dostęp do zwolnionej pamięci.

W jądrze Linux występuje luka wyścigu w funkcji __detach_mounts() podczas odłączania punktów montowania od wpisu katalogowego. Między detach_mounts() a d_delete() wpis pozostaje w dcache jako dodatni, mimo że nic go już nie przykrywa, co pozwala współbieżnym wyszukiwaniom odsłonić ukrytą zawartość. Problem dotyczy usuwania plików lub katalogów będących punktami montowania w innych przestrzeniach nazw montowania.

W jądrze Linux naprawiono podatność w mechanizmie namei (refwalk), która pozwalała ujawnić wpisy przesłonięte przez punkt montowania. W wąskim oknie czasowym między odłączeniem montowań a usunięciem nazwy (unlink/rmdir/rename) refwalk mógł zwrócić podstawowy wpis zamiast zamontowanej zawartości. Poprawka dodaje sprawdzenie flagi DCACHE_CANT_MOUNT po step_into(), aby wykryć taki przypadek.

W jądrze Linux występuje błąd w obsłudze przestrzeni nazw montowania, który pozwala na dodanie automontowania pod punktem montowania nienależącym do przestrzeni nazw wywołującego. Funkcja clone_private_mount() ustawia MNT_NS_INTERNAL, przez co test poprawności przechodzi, a count_mounts() dereferencjonuje wskaźnik błędu, powodując general protection fault. Podatność można wywołać z przestrzeni użytkownika przez fanotify, a błąd występuje przy trzymanej blokadzie namespace_sem, co blokuje kolejne operacje montowania w systemie.

W jądrze Linux występuje błąd w obsłudze zamontowań zablokowanych (locked mounts), które mają chronić ukryte pliki i katalogi przed ujawnieniem. Gdy właściciel przestrzeni nazw użytkownika umieści montowanie pod zablokowanym montowaniem za pomocą MOVE_MOUNT_BENEATH, właściwość blokady przenosi się na dolne montowanie, umożliwiając odmontowanie górnego montowania i ujawnienie ukrytego katalogu. Poprawka powoduje, że zwykłe umount() zwraca EBUSY, a zablokowane montowanie jest usuwane razem z rodzicem.

W jądrze Linux naprawiono błąd w obsłudze blokad montowania dla automontowań w przestrzeniach nazw. Nieprawidłowe porównanie przestrzeni nazw użytkownika powodowało, że blokada trafiała na montowanie hosta zamiast na kopię w przestrzeni nazw procesu potomnego, co uniemożliwiało hostowi zmianę flag własnych montowań.

W jądrze Linux naprawiono podatność w obsłudze przestrzeni nazw montowania. Funkcja attach_recursive_mnt() przenosiła flagę MNT_LOCKED z górnego montowania na montowanie przenoszone pod nie, co pozwalało właścicielowi przestrzeni nazw użytkownika odblokować i odmontować chronione montowanie /proc lub root, ujawniając ukryte dane.