Podatności Linux kernel (nvme-tcp)

W jądrze Linux w sterowniku nvme-tcp występuje luka polegająca na tym, że odbiór danych C2HData był weryfikowany wyłącznie na podstawie blk_rq_payload_bytes(), bez sprawdzenia req->data_len. Dla operacji WRITE_ZEROES, która nie ma segmentów fizycznych, ale ma niezerowe blk_rq_bytes(), prowadzi to do kopiowania danych do niezainicjalizowanego iteratora i błędu wild-memory-access (KASAN) w _copy_to_iter().

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_handle_r2t() nie sprawdza kierunku żądania, którego dotyczy R2T. Złośliwy kontroler może wysłać R2T dla polecenia READ, a host odpowie, wysyłając bufor docelowy odczytu (zawierający stare dane jądra) do kontrolera. Luka ujawnia pamięć jądra, w tym wskaźniki struct page.

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_recv_data() kończy żądanie po odebraniu bieżącego PDU C2HData, nie porównując łącznej liczby odebranych bajtów z długością żądaną przez polecenie. Złośliwy kontroler może odpowiedzieć na odczyt 4096 bajtów tylko 512 bajtami, a żądanie zostanie zgłoszone jako zakończone, ujawniając użytkownikowi 3584 bajty starych danych ze strony. Poprawka zlicza odebrane bajty i odmawia zakończenia niepełnego odczytu.