原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。usbipのvudcにおけるvep_dequeue()内のNULL参照の問題です。vep_alloc_request()がvrequest-＞udcを初期化していなかったため、FunctionFSのAIOパスでのキャンセル処理が、有効なUDC参照なしにvep_dequeueに到達していました。vrequest-＞udcは実際にはどこでも正しく使用されていなかったため、これを削除し、他のvep_操作との整合性を取るために、vep_dequeueをep_to_vudc()を使ってudcの参照を取得するよう更新しました。このバグは約10年間存在していたと考えられます。usbipのvudcでFunctionFSのAIOパスを本格的にストレステストした人はほとんどいなかったようです。私はこの修正をQEMUのaarch64ゲスト環境でFunctionFSエンドポイントをAIO経由で操作してテストしました。修正前は、ホストから「usbip attach」を実行すると、ゲストが次のバックトレース付きでカーネルパニック（oops）を起こしていました。Call trace: vep_dequeue+0x1c/0xe4 (P) usb_ep_dequeue+0x14/0x20 ffs_aio_cancel+0x24/0x34 __arm64_sys_io_cancel+0xb0/0x124 do_el0_svc+0x68/0x100 el0_svc+0x18/0x5c el0t_64_sync_handler+0x98/0xdc el0t_64_sync+0x154/0x158