Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - binder修正 alloc->vma 在與 munmap() 爭用中的 UAF 在認可 720c24192404 中 (ANDROIDbinder將 down_write 變更為 down_read) binder 假設 mmap 讀取鎖定足以保護 binder_update_page_range() 內的 alloc->vma。這在提交 dd2283f2605e 之前都是正確的 (mmmap在 munmap 中具有讀取 mmap_sem 的 zap 頁面)現在在 munmap() 中將 vma 從 rbtree 卸離之後會降級 mmap_lock。然後在保留讀取鎖定的情況下繼續卸除並釋放 vma。這表示對 binder_update_page_range() 中的 alloc->vma 的存取現在會與 munmap() 中的 vm_area_free() 爭用且可造成如下列 KASAN 追踪所示的 UAF
    ================================================== ================ 錯誤KASAN在 vm_insert_page+0x7c/0x1f0 中發生釋放後使用錯誤。讀取位於位址 ffff16204ad00600 執行的作業 server/558 CPU: 3 PID: 558 Comm在
    伺服器 未受污染的 5.10.150-00001-gdc8dcf942daa #1 硬體名稱linux,dummy-virt (DT) 呼叫追踪
    dump_backtrace+0x0/0x2a0 show_stack+0x18/0x2c dump_stack+0xf8/0x164 print_address_description.constprop.0+0x9c/0x538 kasan_report+0x120/0x200 __asan_load8+0xa0/0xc4 vm_insert_page+0x7c/0x1f0 binder_update_page_range+0x278/0x50c binder_alloc_new_buf+0x3f0/0xba0 binder_transaction +0x64c/0x3040 binder_thread_write+0x924/0x2020 binder_ioctl+0x1610/0x2e5c
    __arm64_sys_ioctl+0xd4/0x120 el0_svc_common.constprop.0+0xac/0x270 do_el0_svc+0x38/0xa0 el0_svc+0x1c/0x2c el0_sync_handler+0xe8/0x114 el0_sync+0x180/0x1c0 由 5x0_stack 工作配置
    __kasan_kmalloc.constprop.0+0xe4/0xf0 kasan_slab_alloc+0x18/0x2c kmem_cache_alloc+0x1b0/0x2d0 vm_area_alloc+0x28/0x94 mmap_region+0x378/0x920 do_mmap+0x3f0/0x600 vm_mmap_pgoff+0x150/0x17c ksys_mmap_pgoff+0x284/0x2dc __arm64_sys_mmap+0x84/0xa4 el0_svc_common .constprop.0+0xac/0x270 do_el0_svc+0x38/0xa0 el0_svc+0x1c/0x2c el0_sync_handler+0xe8/0x114 el0_sync+0x180/0x1c0 已由工作 560 釋放
    kasan_save_stack+0x38/0x6c kasan_set_track+0x28/0x40 kasan_set_free_info+0x24/0x4c
    __kasan_slab_free+0x100/0x164 kasan_slab_free+0x14/0x20 kmem_cache_free+0xc4/0x34c vm_area_free+0x1c/0x2c remove_vma+0x7c/0x94 __do_munmap+0x358/0x710 __vm_munmap+0xbc/0x130 __arm64_sys_munmap+0x4c/0x64 el0_svc_common.constprop.0+0xac/0x270 do_el0_svc +0x38/0xa0 el0_svc+0x1c/0x2c el0_sync_handler+0xe8/0x114 el0_sync+0x180/0x1c0 [...] ========================== ======================================== 若要防止上述爭用情形請回復為採取binder_update_page_range() 中的 mmap 寫入鎖定。預期 mmap 鎖定爭用可能有所增加。不過binder 已透過頂層 alloc->mutex 序列化這些呼叫。此外執行資料夾基準測試時不會顯示任何效能影響。請注意此修補程式專用於穩定分支 5.4 和 5.10。由於在較新的核心版本中資料夾不再快取 vma 的指標。而是重構為使用 vma_lookup()可避免此處所述的問題。此切換是在認可 a43cfc87caaf 中引入 (androidbinder停止儲存 VMA 的指標)。 (CVE-2022-50338)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2022-50338

medium Nessus Plugin ID 265236

找不到變更記錄