CVE-2023-52611

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: rtw88: sdio: respeta el host max_req_size en la ruta RX. Lukas informa errores skb_over_panic en su Banana Pi BPI-CM4 que viene con un SoC Amlogic A311D (G12B) y un RTL8822CS. Tarjeta combinada SDIO wifi/Bluetooth. El error que observó es idéntico a lo que se solucionó en el commit e967229ead0e ("wifi: rtw88: sdio: verifique el bit HISR RX_REQUEST en rtw_sdio_rx_isr()") pero esa confirmación no solucionó el problema de Lukas. Lukas descubrió que deshabilitar o limitar la agregación de RX soluciona el problema durante algún tiempo (pero no lo soluciona por completo). En la siguiente discusión se discutieron algunos temas clave que tienen un impacto en este problema: - El SoC Amlogic A311D (G12B) tiene un error de hardware en el controlador SDIO que impide las transferencias DMA. En lugar de ello, todas las transferencias deben pasar por el controlador SRAM, que limita las transferencias a 1536 bytes. Los chips rtw88 no dividen los paquetes entrantes (RX), por lo que si se recibe un paquete grande, este se reenvía al host en su forma original. Los chips rtw88 pueden realice la agregación RX, lo que significa que el host puede extraer más paquetes entrantes de la tarjeta con una transferencia MMC/SDIO. Esto depende de la configuración en el registro REG_RXDMA_AGG_PG_TH (BIT_RXDMA_AGG_PG_TH limita la cantidad de paquetes que se agregarán, BIT_DMA_AGG_TO_V1 configura un tiempo de espera para la agregación y BIT_EN_PRE_CALC hace que el chip respete los límites de manera más efectiva) Use múltiples lecturas consecutivas en rtw_sdio_read_port() y limite la cantidad de bytes que el host copia desde la tarjeta en una transferencia MMC/SDIO. Esto permite recibir un búfer que es mayor que el max_req_size del host (número de bytes que se pueden transferir en una transferencia MMC/SDIO). Como resultado de esto, el error skb_over_panic desapareció ya que el controlador rtw88 ahora puede recibir más de 1536 bytes de la tarjeta (ya sea porque el paquete entrante es más grande o porque se han agregado varios paquetes). En caso de errores de recepción (Lukas ha observado -EILSEQ), debemos drenar los datos restantes del búfer de la tarjeta; de lo contrario, la tarjeta devolverá datos corruptos para la siguiente llamada a rtw_sdio_read_port().