原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。tracing: func_set_flag()におけるNULLポインター逆参照の修正です。func_set_flag()は現在のトレーサーが実際に関数トレーサーであるかを検証する前にtr-＞current_trace_flagsを逆参照していました。アクティブなトレーサーが「function」から別のトレーサー（例: 「wakeup_rt」）に切り替えられた場合、tr-＞current_trace_flagsがNULLになることがあり、NULLポインター逆参照によるカーネルクラッシュが発生していました。この問題を引き起こす呼び出し連鎖は以下の通りです。trace_options_write() → __set_tracer_option() → trace-＞set_flag() （func_set_flag）です。func_set_flag()内で最初の操作は以下の通りです。if (!!set == !!(tr-＞current_trace_flags-＞val & bit))。この時点でtr-＞current_trace_flagsを無条件に逆参照しています。非関数トレーサーに対する安全チェックは以下のように記述されていました。if (tr-＞current_trace != &function_trace) return 0; しかし、このチェックは逆参照の後に置かれており、遅すぎました。以下のクラッシュダンプで本問題が観測されています。BUG: unable to handle page fault at 0000000000000000 RIP: func_set_flag+0xd Call Trace: __set_tracer_option+0x27 trace_options_write+0x75 vfs_write+0x12a ksys_write+0x66 do_syscall_64+0x5b RIP: ffffffff914c973d RSP: ff67ec88b01dfdf0 RFLAGS: 00010202 RAX: 0000000000000000 RBX: ff3a826e80354580 RCX: 0000000000000001 RDX: 0000000000000001 RSI: 0000000000000000 RDI: ffffffff93918080。ディスアセンブルは以下のとおりで、フォルトを裏付けています。func_set_flag+0: mov 0x1f08(%rdi), %rax （RAX = tr-＞current_trace_flags = NULL）、func_set_flag+13: mov (%rax), %eax （ページフォルト：NULL逆参照）。クラッシュ時の状況は以下の通りです。tr-＞current_trace_flags = 0x0 (NULL)、tr-＞current_trace = wakeup_rt_tracer （function_traceではありません）。シナリオとしては、プロセスがfunction tracerのオプションファイル（例: "func_stack_trace"）を開き、その後現在のトレーサーが別のトレーサー（例: "wakeup_rt"）に切り替わり、current_trace_flagsがNULLに設定されます。その後、プロセスがオプションファイルへ書き込みを行うとfunc_set_flag()が呼ばれ、NULL逆参照によってクラッシュします。この問題はcurrent_trace_flagsの逆参照前にcurrent_traceのチェックを移動することで修正されており、function tracerがアクティブでない場合はfunc_set_flag()が早期にリターンするよう改善されています。