原文

Linuxカーネルにおいて、以下の脆弱性が解決されました。bpf: BPF_ADD_CONSTスカラーに対するregsafeベースIDの整合性の強制についてです。regsafe()はBPF_ADD_CONSTを持つ2つのスカラーレジスタを比較する際、check_scalar_ids()によりそれらの複合ID（ベースIDとBPF_ADD_CONSTフラグの論理和）を1つのidmapエントリとしてマッピングします。しかし、フラグを取り除いたベースIDが既存のidmapマッピングと整合しているかどうかは検証していませんでした。これにより、旧状態でR3 = R2 + 10（両者がベースID Aを共有）である一方で、現在の状態ではR3 = R4 + 10（ベースID Cで、R2とは無関係）となる2つの検証状態を作り出せます。idmapはA-＞B（R2用）とA|flag-＞C|flag（R3用）の2つの独立したエントリを作成し、A-＞CがA-＞Bと矛盾していることを検出しません。その結果、状態の刈り取り（pruning）が誤って成功してしまいます。この問題を修正するために、BPF_ADD_CONSTが設定されている場合は、複合IDをマッピングした後にベースID（フラグビットを取り除いたもの）に対してもcheck_ids()を呼び出し、ベースIDマッピングの整合性を追加で検証するようにしました。これにより、もしソースレジスタの比較でAがすでにBにマッピングされている場合、ADD_CONST派生のIDもBに由来し、無関係なCには由来しないことが保証されます。