遠端 CentOS Linux 9 主機上安裝的套件受到 kernel-5.14.0-536.el9 版本變更記錄中提及的多個弱點影響。

  - 在 Linux 核心中已解決下列弱點： 藍牙：HCI：修正潛在的 null-ptr-deref 修正 hci_le_big_sync_established_evt() 中可能的 null-ptr-deref。 (CVE-2024-36011)

  - 在 Linux 核心中已解決下列弱點： 藍牙：L2CAP：修正 l2cap_connect 中的 uaf [Syzbot reported] 錯誤：KASAN: l2cap_connect.constprop.0+0x10d8/0x1270 net/bluetooth/l2cap_core.c:3949 中的 slab-use-after-free 讀取尺寸 8，位於 addr ffff8880241e9800 按任務 kworker/u9:0/54 CPU: 0 UID: 0 PID: 54 Comm: kworker/u9:0 未受污染 6.11.0-rc6-syzkaller-00268-g788220eee30d #0 硬體名稱：
    Google Google Compute Engine/Google Compute Engine、BIOS Google 08/06/2024 工作佇列：hci2 hci_rx_work 呼叫追踪：<TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:119 print_address_description mm/kasan/report.c:377 [inline] print_report+0xc3/0x620 mm/kasan/report.c:488 kasan_report+0xd9/0x110 mm/kasan/report.c:601 l2cap_connect.constprop.0+0x10d8/0x1270 net/bluetooth/l2cap_core.c:3949 l2cap_connect_req net/bluetooth/l2cap_core.c:4080 [inline] l2cap_bredr_sig_cmd net/bluetooth/l2cap_core.c:4772 [inline] l2cap_sig_channel net/bluetooth/l2cap_core.c:5543 [inline] l2cap_recv_frame+0xf0b/0x8eb0 net/bluetooth/l2cap_core.c:6825 l2cap_recv_acldata+0x9b4/0xb70 net/bluetooth/l2cap_core.c:7514 hci_acldata_packet net/bluetooth/hci_core.c:3791 [inline] hci_rx_work+0xaab/0x1610 net/bluetooth/hci_core.c:4028 process_one_work+0x9c5/0x1b40 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xed0 kernel/workqueue.c:3389 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 ... 已由工作 5245 釋放：
    kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 kasan_save_free_info+0x3b/0x60 mm/kasan/generic.c:579 vulnerabilities_slab_object+0xf7/0x160 mm/kasan /common.c:240
    __kasan_slab_free+0x32/0x50 mm/kasan/common.c:256 kasan_slab_free include/linux/kasan.h:184 [inline] slab_free_hook mm/slub.c:2256 [inline] slab_free mm/slub.c:4477 [inline] kfree+0x12a/0x3b0 mm/slub.c:4598 l2cap_conn_free net/bluetooth/l2cap_core.c:1810 [inline] kref_put include/linux/kref.h:65 [inline] l2cap_conn_put net/bluetooth/l2cap_core.c:1822 [inline] l2cap_conn_del+0x59d/0x730 net/bluetooth/l2cap_core.c:1802 l2cap_connect_cfm+0x9e6/0xf80 net/bluetooth/l2cap_core.c:7241 hci_connect_cfm include/net/bluetooth/hci_core.h:1960 [inline] hci_conn_failed+0x1c3/0x370 net/bluetooth/hci_conn.c:1265 hci_abort_conn_sync+0x75a/0xb50 net/bluetooth/hci_sync.c:5583 abort_conn_sync+0x197/0x360 net/bluetooth/hci_conn.c:2917 hci_cmd_sync_work+0x1a4/0x410 net/bluetooth/hci_sync.c:328 process_one_work+0x9c5/0x1b40 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xed0 kernel/workqueue.c:3389 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 (CVE-2024-49950)

  - 在 Linux 核心中已解決下列弱點：藍牙：hci_conn：修正 hci_enhanced_setup_sync 中的 UAF 如此會檢查 ACL 連線是否維持有效，因為當 hci_enhanced_setup_sync 在 cmd_sync 上擱置時可能遭到損毀，進而導致下列追踪：錯誤：KASAN：hci_enhanced_setup_sync+0x91b/0xa60 中的 slab-use-after-free 讀取尺寸 1，位於 addr ffff888002328ffd 依任務 kworker/u5:2/37 CPU: 0 UID: 0 PID: 37 Comm: kworker/u5:2 未受污染 6.11.0-rc6-01300-g810be445d8d6 #7099 硬體名稱：QEMU Standard PC (Q35 + ICH9, 2009)、BIOS 1.16.3-2.fc40 04/01/2014 工作佇列：hci0 hci_cmd_sync_work 呼叫追踪： <TASK> dump_stack_lvl+0x5d/0x80 ? hci_enhanced_setup_sync+0x91b/0xa60 print_report+0x152/0x4c0 ? hci_enhanced_setup_sync+0x91b/0xa60？ __virt_addr_valid+0x1fa/0x420 ? hci_enhanced_setup_sync+0x91b/0xa60 kasan_report+0xda/0x1b0 ? hci_enhanced_setup_sync+0x91b/0xa60 hci_enhanced_setup_sync+0x91b/0xa60 ? __pfx_hci_enhanced_setup_sync+0x10/0x10 ?
    __pfx___mutex_lock+0x10/0x10 hci_cmd_sync_work+0x1c2/0x330 process_one_work+0x7d9/0x1360 ?
    __pfx_lock_acquire+0x10/0x10 ? __pfx_process_one_work+0x10/0x10 ? assign_work+0x167/0x240 worker_thread+0x5b7/0xf60 ? __kthread_parkme+0xac/0x1c0 ? __pfx_worker_thread+0x10/0x10 ?
    __pfx_worker_thread+0x10/0x10 kthread+0x293/0x360 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2f/0x70 ?
    __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> 由工作 34 配置：
    kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x8f/0xa0
    __hci_conn_add+0x187/0x17d0 hci_connect_sco+0x2e1/0xb90 sco_sock_connect+0x2a2/0xb80
    __sys_connect+0x227/0x2a0 __x64_sys_connect+0x6d/0xb0 do_syscall_64+0x71/0x140 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 37: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x101/0x160 kfree+0xd0/0x250 device_release+0x9a/0x210 kobject_put+0x151/0x280 hci_conn_del+0x448/0xbf0 hci_abort_conn_sync+0x46f/0x980 hci_cmd_sync_work+0x1c2/0x330 process_one_work+0x7d9/0x1360 worker_thread+0x5b7/0xf60 kthread+0x293/0x360 ret_from_fork+0x2f/0x70 ret_from_fork_asm+0x1a/0x30 (CVE-2024-50029)

  - 在 Linux 核心中已解決下列弱點：藍牙：RFCOMM：修正 rfcomm_sk_state_change 中可能的鎖死 rfcomm_sk_state_change 嘗試使用 sock_lock，因此絕對不能在鎖定的情況下呼叫它，但 rfcomm_sock_ioctl 會一律嘗試鎖定它，造成下列追踪：
    ================================================== ==== 警告：偵測到可能的循環鎖定相依性 6.8.0-syzkaller-08951-gfe46a7dd189e #0 未受污染
    ------------------------------------------------------ syz-executor386/5093 正在嘗試取得鎖定：
    ffff88807c396258 (sk_lock-AF_BLUETOOTH-BTPROTO_RFCOMM){+.+.}-{0:0}，於：lock_sock include/net/sock.h:1671 [inline] ffff88807c396258 (sk_lock-AF_BLUETOOTH-BTPROTO_RFCOMM){+.+.}-{0:0}，於：
    rfcomm_sk_state_change+0x5b/0x310 net/bluetooth/rfcomm/sock.c:73 但工作已保留鎖定：
    ffff88807badfd28 (&d->lock){+.+.}-{3:3}，於：__rfcomm_dlc_close+0x226/0x6a0 net/bluetooth/rfcomm/core.c:491 (CVE-2024-50044)

  - 在 Linux 核心中已解決下列弱點：uprobe：避免擷取引數時發生超出邊界記憶體存取。Uprobe 需要將引數擷取到 percpu 緩衝區中，然後再複製到環形緩衝區，以避免非原子內容問題。有時使用者空間字串、陣列可能會非常大，但是 percpu 緩衝區的大小只有頁面大小。同時 store_trace_args() 不會檢查這些資料是否超過單頁，進而造成超出邊界記憶體存取。可透過下列步驟重現：1. 構建啟用 CONFIG_KASAN 的核心 2. 將後續程式另存為 test.c ``` \#include <stdio.h> \#include <stdlib.h> \#include <string.h> // 如果字串長度大於 MAX_STRING_SIZE，fetch_store_strlen() // 會傳回 0，造成 __get_data_size() 傳回較短的大小，且 // store_trace_args() 不會觸發超出邊界存取。 // 因此，請讓字串長度小於 4096。\#define STRLEN 4093 void generate_string(char *str, int n) { int i; for (i = 0; i < n; ++i) { char c = i % 26 + 'a'; str[i] = c; } str[n-1] = '\0'; } void print_string(char *str) { printf(%s\n, str); } int main() { char tmp[STRLEN];
    generate_string(tmp, STRLEN); print_string(tmp); return 0; } ``` 3. 編譯程式 `gcc -o test test.c` 4. 取得下列偏移：`print_string()` ``` objdump -t test | grep -w print_string 0000000000401199 g F .text 000000000000001b print_string ``` 5. 將 uprobe 設定為具有位移 0x1199 ``` off=0x1199 cd /sys/kernel/debug/tracing/ echo p /root/test:${off} arg1=+0(%di):ustring arg2=\$comm arg3=+0(%di):ustring > uprobe_events echo 1 > events/uprobes/enable echo 1 > tracing_on ``` 6. 執行 `test`，然後 kasan 會報告錯誤。 ================================================================== 錯誤：KASAN: use-after-free in strncpy_from_user+0x1d6/0x1f0 寫入尺寸 8，位於 addr ffff88812311c004 依工作 test/499CPU: 0 UID: 0 PID: 499 Comm: test 未受污染 6.12.0-rc3+ #18 硬體名稱：Red Hat KVM, BIOS 1.16.0-4.al8 04/01/2014 呼叫追踪：<TASK> dump_stack_lvl+0x55/0x70 print_address_description.constprop.0+0x27/0x310 kasan_report+0x10f/0x120 ? strncpy_from_user+0x1d6/0x1f0 strncpy_from_user+0x1d6/0x1f0 ? rmqueue.constprop.0+0x70d/0x2ad0 process_fetch_insn+0xb26/0x1470 ?
    __pfx_process_fetch_insn+0x10/0x10 ? _raw_spin_lock+0x85/0xe0 ? __pfx__raw_spin_lock+0x10/0x10 ?
    __pte_offset_map+0x1f/0x2d0 ? unwind_next_frame+0xc5f/0x1f80 ? arch_stack_walk+0x68/0xf0 ? is_bpf_text_address+0x23/0x30 ? kernel_text_address.part.0+0xbb/0xd0 ? __kernel_text_address+0x66/0xb0 ? unwind_get_return_address+0x5e/0xa0 ? __pfx_stack_trace_consume_entry+0x10/0x10 ? arch_stack_walk+0xa2/0xf0 ? _raw_spin_lock_irqsave+0x8b/0xf0 ? __pfx__raw_spin_lock_irqsave+0x10/0x10 ? depot_alloc_stack+0x4c/0x1f0 ? _raw_spin_unlock_irqrestore+0xe/0x30 ? stack_depot_save_flags+0x35d/0x4f0 ? kasan_save_stack+0x34/0x50 ? kasan_save_stack+0x24/0x50 ? mutex_lock+0x91/0xe0 ?
    __pfx_mutex_lock+0x10/0x10 prepare_uprobe_buffer.part.0+0x2cd/0x500 uprobe_dispatcher+0x2c3/0x6a0 ?
    __pfx_uprobe_dispatcher+0x10/0x10 ? __kasan_slab_alloc+0x4d/0x90 handler_chain+0xdd/0x3e0 handle_swbp+0x26e/0x3d0 ? __pfx_handle_swbp+0x10/0x10 ? uprobe_pre_sstep_notifier+0x151/0x1b0 irqentry_exit_to_user_mode+0xe2/0x1b0 asm_exc_int3+0x39/0x40 RIP: 0033:0x401199 程式碼：01 c2 0f b6 45 fb 88 02 83 45 fc 01 8b 45 fc 3b 45 e4 7c b7 8b 45 e4 48 98 48 8d 50 ff 48 8b 45 e8 48 01 d0 ce RSP:
    002b:00007ffdf00576a8 EFLAGS: 00000206 RAX: 00007ffdf00576b0 RBX: 0000000000000000 RCX: 0000000000000ff2 RDX: 0000000000000ffc RSI: 0000000000000ffd RDI: 00007ffdf00576b0 RBP: 00007ffdf00586b0 R08:
    R0900007feb2f9c0d20  : 00007feb2f9c0d20 R10: 0000000000000001 R11: 0000000000000202 R12: 0000000000401040 R13: 00007ffdf0058780 R14: 0000000000000000 R15: 0000000000000000 </TASK> 此提交會強制緩衝區的 maxlen 小於頁面大小，以避免 store_trace_args() 記憶體不足存取。 (CVE-2024-50067)

  - 在 Linux 核心中已解決下列弱點：藍牙：ISO：修正 debugfs 停用時多個 init 如果未成功建立 bt_debugfs (未設定 CONFIG_DEBUG_FS 或 CONFIG_DEBUG_FS_ALLOW_ALL 時會發生此情況)，則 iso_init() 會提早傳回，同時不會將 iso_inited 設為 true。
    這表示後續的 iso_init() 呼叫會導致重複呼叫 proto_register()、bt_sock_register() 等。啟用 CONFIG_LIST_HARDENED 和 CONFIG_BUG_ON_DATA_CORRUPTION 時，proto_register() 的重複呼叫會觸發此 BUG(): list_add double add：new=ffffffffc0b280d0、prev=ffffffffbab56250、next=ffffffffc0b280d0。 ------------[cut here]------------ lib/list_debug.c:35! 的核心錯誤Oops: 無效 opcode: 0000 [#1] PREEMPT SMP PTI CPU: 2 PID: 887 Comm: bluetoothd 未受污染的 6.10.11-1-ao-desktop #1 RIP: 0010:__list_add_valid_or_report+0x9a/0xa0 ...
    __list_add_valid_or_report+0x9a/0xa0 proto_register+0x2b5/0x340 iso_init+0x23/0x150 [bluetooth] set_iso_socket_func+0x68/0x1b0 [bluetooth] kmem_cache_free+0x308/0x330 hci_sock_sendmsg+0x990/0x9e0 [bluetooth] __sock_sendmsg+0x7b/0x80 sock_write_iter+0x9a/0x110 do_iter_readv_writev+0x11d/0x220 vfs_writev+0x180/0x3e0 do_writev+0xca/0x100 ... 此變更會移除提早傳回。不需要檢查 iso_debugfs 是否為 NULL，當 iso_inited 為 false 時，它一律為 NULL。 (CVE-2024-50077)

  - 在 Linux 核心中已解決下列弱點：藍牙：模組卸載時呼叫 iso_exit() 如果已呼叫 iso_init()，則必須在模組卸載時呼叫 iso_exit()。否則，iso_init() 使用 proto_register() 註冊的 struct proto 會變得無效，進而可能在之後造成無法預測的問題。以我的情況而言，在 CONFIG_LIST_HARDENED 和 CONFIG_BUG_ON_DATA_CORRUPTION 啟用的情況下，再次載入模組通常會觸發此 BUG(): list_add 損毀。 next->prev 應為 prev (ffffffffb5355fd0)，但為 0000000000000068。(next=ffffffffc0a010d0)。 ------------[ cut here]------------ lib/list_debug.c:29! 的核心錯誤Oops：無效的 opcode：0000 [#1] PREEMPT SMP PTI CPU: 1 PID: 4159 Comm: modprobe Not tainted 6.10.11-4+bt2-ao-desktop #1 RIP：
    0010:__list_add_valid_or_report+0x61/0xa0 ... __list_add_valid_or_report+0x61/0xa0 proto_register+0x299/0x320 hci_sock_init+0x16/0xc0 [bluetooth] bt_init+0x68/0xd0 [bluetooth]
    __pfx_bt_init+0x10/0x10 [bluetooth] do_one_initcall+0x80/0x2f0 do_init_module+0x8b/0x230
    __do_sys_init_module+0x15f/0x190 do_syscall_64+0x68/0x110 ... (CVE-2024-50078)

  - 在 Linux 核心中已解決下列弱點：藍牙：SCO：修正 sco_sock_timeout 中的 UAF 在等候 sco_conn_lock 時，conn->sk 可能已取消連結/釋放，因此此時會透過檢查它是否為 sco_sk_list 的一部分，確認 conn->sk 是否仍然有效。(CVE-2024-50125)

  - 在 Linux 核心中已解決下列弱點：藍牙：bnep：修正 proto_unregister 中的 wild-memory-access 存在如下問題：KASAN：可能是範圍 [0xdead...108-0xdead...10f] 中的 wild-memory-access CPU: 3 UID: 0 PID: 2805 Comm: rmmod 已受污染：G W RIP:
    0010:proto_unregister+0xee/0x400 呼叫追踪：<TASK> __do_sys_delete_module+0x318/0x580 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f 因為 bnep_init() 會忽略 bnep_sock_init() 的傳回值，而 bnep_sock_init() 會清理所有資源。然後，當移除 bnep 時，模組會呼叫 bnep_sock_cleanup() 以清理 sock 的資源。若要解決上述問題，請在 bnep_exit() 中傳回 bnep_sock_init() 的傳回值。 (CVE-2024-50148)

  - 在 Linux 核心中已解決下列弱點：藍牙：hci：修正 hci_read_supported_codecs 中的 null-ptr-deref 修正 __hci_cmd_sync_sk()，使其不會對於未知的 opcode 傳回 NULL。
    如果命令傳回狀態事件，則 __hci_cmd_sync_sk() 會傳回 NULL。不過，如果 opcode 不存在於 hci_cc 表格中，它也會傳回 NULL，因為 hci_cmd_complete_evt() 會假設未知 opcode 的狀態 = skb->data[0]。如此會導致 HCI_OP_READ_LOCAL_CODECS 的 cmd_sync 發生 null-ptr-deref，因為沒有 HCI_OP_READ_LOCAL_CODECS 的 hci_cc，而 HCI_OP_READ_LOCAL_CODECS 一律假設 status = skb->data[0]。KASAN：範圍 [0x0000000000000070-0x0000000000000077] 中的 null-ptr-deref CPU: 1 PID: 2000 Comm: kworker/u9:5 未受污染 6.9.0-ga6bcb805883c-dirty #10 硬體名稱：QEMU Standard PC (i440FX + PIIX, 1996)，BIOS 1.15.0-1 04/01/2014 工作佇列：hci7 hci_power_on RIP: 0010:hci_read_supported_codecs+0xb9/0x870 net/bluetooth/hci_codec.c:138 程式碼：08 48 89 ef e8 b8 c1 8f fd 48 8b 75 00 e9 96 00 00 00 49 89 c6 48 ba 00 00 00 00 00 fc ff df 4c 8d 60 70 4c 89 e3 48 c1 eb 03 <0f> b6 04 13 84 c0 0f 85 82 06 00 00 41 83 3c 24 02 77 0a e8 bf 78 RSP: 0018:ffff888120bafac8 EFLAGS: 00010212 RAX: 0000000000000000 RBX: 000000000000000e RCX: ffff8881173f0040 RDX: dffffc0000000000 RSI: ffffffffa58496c0 RDI: ffff88810b9ad1e4 RBP:
    ffff88810b9ac000 R08: ffffffffa77882a7 R09: 1ffffffff4ef1054 R10: dffffc0000000000 R11: fffffbfff4ef1055 R12: 0000000000000070 R13: 0000000000000000 R14: 0000000000000000 R15: ffff88810b9ac000 FS:
    0000000000000000(0000) GS:ffff8881f6c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0:
    0000000080050033 CR2: 00007f6ddaa3439e CR3: 0000000139764003 CR4: 0000000000770ef0 PKRU: 55555554 Call Trace: <TASK> hci_read_local_codecs_sync net/bluetooth/hci_sync.c:4546 [inline] hci_init_stage_sync net/bluetooth/hci_sync.c:3441 [inline] hci_init4_sync net/bluetooth/hci_sync.c:4706 [inline] hci_init_sync net/bluetooth/hci_sync.c:4742 [inline] hci_dev_init_sync net/bluetooth/hci_sync.c:4912 [inline] hci_dev_open_sync+0x19a9/0x2d30 net/bluetooth/hci_sync.c:4994 hci_dev_do_open net/bluetooth/hci_core.c:483 [inline] hci_power_on+0x11e/0x560 net/bluetooth/hci_core.c:1015 process_one_work kernel/workqueue.c:3267 [inline] process_scheduled_works+0x8ef/0x14f0 kernel/workqueue.c:3348 worker_thread+0x91f/0xe50 kernel/workqueue.c:3429 kthread+0x2cb/0x360 kernel/kthread.c:388 ret_from_fork+0x4d/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 (CVE-2024-50255)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

CentOS 9：kernel-5.14.0-536.el9

high Nessus Plugin ID 212094

版本 1.1