CVE-2023-52920

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bpf: soporte para derrame/relleno de registros que no sean r10 hacia/desde la pila en seguimiento de precisión. Use el historial de instrucciones (saltos) para registrar instrucciones que realizaron derrame/relleno de registros hacia/desde la pila, independientemente de si esto se hizo a través de un registro r10 de solo lectura, o cualquier otro registro después de copiar r10 en él *y* potencialmente ajustar el desplazamiento. Para que esto funcione de manera confiable, insertamos indicadores adicionales por instrucción en el historial de instrucciones, codificando el índice de ranura de pila (spi) y el número de marco de pila en indicadores adicionales de 10 bits que quitamos de prev_idx en el historial de instrucciones. No tocamos el campo idx para obtener el máximo rendimiento, ya que se verifica con mayor frecuencia durante el seguimiento hacia atrás. Este cambio elimina básicamente la última limitación práctica restante de la lógica de seguimiento hacia atrás de precisión en el verificador BPF. Corrige deficiencias conocidas, pero también abre nuevas oportunidades para reducir la cantidad de estados verificados, exploradas en los parches posteriores. Solo hay tres diferencias en los archivos de objetos BPF de las autopruebas según veristat, todas en la dirección positiva (menos estados). Archivo Programa Insns (A) Insns (B) Insns (DIFF) Estados (A) Estados (B) Estados (DIFF) -------------------------------------- ------------- --------- --------- ------------- ---------- ---------- ------------- test_cls_redirect_dynptr.bpf.linked3.o cls_redirect 2987 2864 -123 (-4,12%) 240 231 -9 (-3,75%) xdp_synproxy_kern.bpf.linked3.o syncookie_tc 82848 82661 -187 (-0,23%) 5107 5073 -34 (-0,67%) xdp_synproxy_kern.bpf.linked3.o syncookie_xdp 85116 84964 -152 (-0,18%) 5162 5130 -32 (-0,62%) Nota: evité cambiar el nombre de jmp_history al más genérico insn_hist para minimizar la cantidad de líneas cambiadas y los posibles conflictos de fusión entre los árboles bpf y bpf-next. Observe también que el puntero cur_hist_entry se restablece a NULL al comienzo del bucle de verificación de instrucciones. Este puntero evita el problema de confiar en el insn_idx de la última entrada del historial de saltos para determinar si ya tenemos una entrada para la instrucción actual o no. Puede suceder que agreguemos una entrada del historial de saltos porque la instrucción actual es_jmp_point(), pero también necesitamos agregar indicadores de instrucción para el acceso a la pila. En este caso, no queremos entradas, por lo que necesitamos reutilizar la última entrada agregada, si está presente. Confiar en la comparación insn_idx tiene el mismo problema de ambigüedad que el que se solucionó recientemente en [0], por lo que lo evitamos. [0] https://patchwork.kernel.org/project/netdevbpf/patch/20231110002638.4168352-3-andrii@kernel.org/