原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。net/smcに関して、空のism_devスロットに一致するCHIDが0のACCEPTを拒否するSMC-Dクライアントがあります。ini-＞ism_dev[]およびini-＞ism_chid[]のスロット0はSMC-Dv1デバイス用に予約されています。smc_find_ism_v2_device_clnt()はインデックス1からV2エントリを割り当てるため、V1デバイスが選択されない場合、スロット0はkzalloc()された状態のままになり、ism_dev[0]はNULL、ism_chid[0]は0となります。その後、smc_v2_determine_accepted_chid()は、ピアのCHIDを配列のインデックス0からCHIDのみで照合します。悪意のあるピアがCHID == 0のSMC-Dv2専用の提案に応答すると、空のスロットに一致し、ini-＞ism_selectedが0になります。そして続くsmc_conn_create()内でism_dev[0]-＞lgr_lockの参照が行われますが、offsetof(struct smcd_dev, lgr_lock) == 0x68の位置で障害が発生します。具体的には、以下のエラーが起こります。BUG: KASAN: null-ptr-deref in _raw_spin_lock_bh+0x79/0xe0、サイズ4の書き込みがアドレス0000000000000068に対して行われ、タスク exploit/144によって発生しました。コールトレースは次のとおりです。_raw_spin_lock_bh、smc_conn_create (net/smc/smc_core.c:1997)、__smc_connect (net/smc/af_smc.c:1447)、smc_connect (net/smc/af_smc.c:1720)、__sys_connect、__x64_sys_connect、do_syscall_64です。CHIDの一致を受け入れる前に、ism_dev[i]がNULLでないことを必須条件としています。