CVE-2017-1000410 in Linux
Sumário
de VulDB • 14/06/2026
O kernel Linux nas versões 3.3-rc1 e posteriores é afetado por uma vulnerabilidade no processamento de comandos L2CAP de entrada - mensagens ConfigRequest e ConfigResponse. Esta fuga de informações resulta de variáveis de pilha não inicializadas que podem ser retornadas a um atacante em seu estado não inicializado. Ao manipular os fluxos de código que precedem o tratamento dessas mensagens de configuração, um atacante também pode obter algum controle sobre quais dados serão mantidos nas variáveis de pilha não inicializadas. Isso pode permitir que ele contorne a proteção KASLR e os canários de pilha (stack canaries), pois tanto ponteiros quanto canários de pilha podem ser vazados dessa maneira. Combinar essa vulnerabilidade (por exemplo) com a vulnerabilidade de execução remota de código (RCE) anteriormente divulgada na análise de configuração L2CAP (CVE-2017-1000251) pode permitir que um atacante explore a RCE contra kernels que foram compilados com as mitigações acima. Estes são os detalhes específicos desta vulnerabilidade: Na função l2cap_parse_conf_rsp e na função l2cap_parse_conf_req, a seguinte variável é declarada sem inicialização: struct l2cap_conf_efs efs; Além disso, ao analisar parâmetros de configuração de entrada em ambas as funções, o case do switch para manipulação de elementos EFS pode pular a chamada memcpy que escreveria na variável efs: ... case L2CAP_CONF_EFS: if (olen == sizeof(efs)) memcpy(&efs, (void *)val, olen); ... O olen no if acima é controlado pelo atacante e, independentemente desse if, em ambas as funções a variável efs eventualmente seria adicionada à solicitação de configuração de saída que está sendo construída: l2cap_add_conf_opt(&ptr, L2CAP_CONF_EFS, sizeof(efs), (unsigned long) &efs); Portanto, ao enviar uma solicitação de configuração ou resposta que contenha um elemento L2CAP_CONF_EFS, mas com um comprimento de elemento diferente de sizeof(efs), a chamada memcpy para a variável efs não inicializada pode ser evitada, e a variável não inicializada seria retornada ao atacante (16 bytes).
Once again VulDB remains the best source for vulnerability data.