Enterprise Linux 5 互換OS向け CVE-2016-5195 対応手順(手抜き&低信頼性)

Red Hat 社のパッチを待てない子のための、CVE-2016-5195 対応手抜き手順 for EL5。
※たぶんこの手順だと、正式な RPM が公開されたら、問題なく差し替わるはず。
※というか遅くとも一週間でパッチ出るはずだし、逆にもうしないほうがいいと思う。
※EL5にはそもそもバックポートで実装されてる箇所があるため、一部機能がない。
 そのためパッチをだいぶいじっているので、これで無問題か正直不明。
※一応三日ほど色々使ってみて問題なさそうなので公開。

■ビルド環境の準備

$ vi ~/.rpmmacros

※今回はマルチスレッドでビルドしても大丈夫なので %_smp_mflags はコメントアウトしておく。

%_topdir	%(echo $HOME)/rpmbuild
#%_smp_mflags	-j1
%__arch_install_post	/usr/lib/rpm/check-rpaths	/usr/lib/rpm/check-buildroot
%_tmpfilesdir	/usr/lib/tmpfiles.d

■Kernel の SourceRPM を取得してくる

$ mkdir -p ~/rpmbuild/SRPMS/
$ cd ~/rpmbuild/SRPMS/
$ yumdownloader --source  kernel-`uname -r`

※yumdownloader でダウンロードできない場合、カスタマーポータル or vault.centos.org からダウンロードする。

■SRPM の展開

$ rpm -ivh kernel-2.6.18-412.el5.src.rpm

■SOURCES ディレクトリに、[CVE-2016-5195] のパッチを配備

$ cd ~/rpmbuild/SOURCES/
$ vi fix-remove-gup_flags-FOLL_WRITE-games.patch

※此処の表示をコピペしたらエラーします。↑のリンクをお持ち帰りください。
※EL5 用に一部修正してます。オリジナルはこちら。

From: Linus Torvalds <torvalds@linux-foundation.org>

commit 19be0eaffa3ac7d8eb6784ad9bdbc7d67ed8e619 upstream.

This is an ancient bug that was actually attempted to be fixed once
(badly) by me eleven years ago in commit 4ceb5db9757a ("Fix
get_user_pages() race for write access") but that was then undone due to
problems on s390 by commit f33ea7f404e5 ("fix get_user_pages bug").

In the meantime, the s390 situation has long been fixed, and we can now
fix it by checking the pte_dirty() bit properly (and do it better).  The
s390 dirty bit was implemented in abf09bed3cce ("s390/mm: implement
software dirty bits") which made it into v3.9.  Earlier kernels will
have to look at the page state itself.

Also, the VM has become more scalable, and what used a purely
theoretical race back then has become easier to trigger.

To fix it, we introduce a new internal FOLL_COW flag to mark the "yes,
we already did a COW" rather than play racy games with FOLL_WRITE that
is very fundamental, and then use the pte dirty flag to validate that
the FOLL_COW flag is still valid.

Reported-and-tested-by: Phil "not Paul" Oester <kernel@linuxace.com>
Acked-by: Hugh Dickins <hughd@google.com>
Reviewed-by: Michal Hocko <mhocko@suse.com>
Cc: Andy Lutomirski <luto@kernel.org>
Cc: Kees Cook <keescook@chromium.org>
Cc: Oleg Nesterov <oleg@redhat.com>
Cc: Willy Tarreau <w@1wt.eu>
Cc: Nick Piggin <npiggin@gmail.com>
Cc: Greg Thelen <gthelen@google.com>
Cc: stable@vger.kernel.org
Signed-off-by: Linus Torvalds <torvalds@linux-foundation.org>
[wt: s/gup.c/memory.c; s/follow_page_pte/follow_page_mask;
     s/faultin_page/__get_user_page]
Signed-off-by: Willy Tarreau <w@1wt.eu>
---
 include/linux/mm.h |  1 +
 mm/memory.c        | 14 ++++++++++++--
 2 files changed, 13 insertions(+), 2 deletions(-)

diff --git a/include/linux/mm.h b/include/linux/mm.h
index 53b0d70..55590f4 100644
--- a/include/linux/mm.h
+++ b/include/linux/mm.h
@@ -1184,6 +1184,7 @@ struct page *follow_page(struct vm_area_
 #define FOLL_TOUCH	0x02	/* mark page accessed */
 #define FOLL_GET	0x04	/* do get_page on page */
 #define FOLL_ANON	0x08	/* give ZERO_PAGE if no pgtable */
+#define FOLL_COW	0x4000	/* internal GUP flag */
 
 #ifdef CONFIG_XEN
 typedef int (*pte_fn_t)(pte_t *pte, struct page *pmd_page, unsigned long addr,
diff --git a/mm/memory.c b/mm/memory.c
index 10cdade..2ca2ee1 100644
--- a/mm/memory.c
+++ b/mm/memory.c
@@ -978,6 +978,16 @@ unsigned long zap_page_range(struct vm_a
 EXPORT_SYMBOL_GPL(zap_page_range);
 
 /*
+ * FOLL_FORCE can write to even unwritable pte's, but only
+ * after we've gone through a COW cycle and they are dirty.
+ */
+static inline bool can_follow_write_pte(pte_t pte, unsigned int flags)
+{
+	return pte_write(pte) ||
+		((flags & FOLL_COW) && pte_dirty(pte));
+}
+
+/*
  * Do a quick page-table lookup for a single page.
  */
 struct page *follow_page(struct vm_area_struct *vma, unsigned long address,
@@ -1024,7 +1034,7 @@ struct page *follow_page(struct vm_area_
 	pte = *ptep;
 	if (!pte_present(pte))
 		goto no_page;
-	if ((flags & FOLL_WRITE) && !pte_write(pte))
+	if ((flags & FOLL_WRITE) && !can_follow_write_pte(pte, flags))
 		goto unlock;
 	page = vm_normal_page(vma, address, pte);
 	if (unlikely(!page))
@@ -1199,7 +1209,7 @@ int get_user_pages(struct task_struct *t
 				 * subsequent page lookups as if they were reads.
 				 */
 				if (ret & VM_FAULT_WRITE)
-					foll_flags &= ~FOLL_WRITE;
+					foll_flags |= FOLL_COW;
 				
 				switch (ret & ~VM_FAULT_WRITE) {
 				case VM_FAULT_MINOR:
-- 
2.8.0.rc2.1.gbe9624a

■SPEC にパッチを埋め込む

$ cd ~/rpmbuild/SPECS/
$ cp -piav kernel.spec kernel.spec.org
$ vi kernel.spec

※変更点いくつかあるので、Diffを載せてます。

●Red Hat Enterprise Linux 5 [kernel-2.6.18-412.el5]

--- kernel.spec.rh      2016-08-01 21:02:08.000000000 +0900
+++ kernel.spec 2016-10-22 11:21:34.000000000 +0900
@@ -58,7 +58,7 @@ Summary: The Linux kernel (the core of t
 # After branching, please hardcode these values as the
 # %dist and %rhel tags are not reliable in rhel5-era rpm
 # For example dist -> .el5 and rhel -> 5
-%define dist .el5
+%define dist .el5.tsc
 %define rhel 5

 # Values used for RHEL version info in version.h
@@ -427,6 +427,7 @@ Patch3: xen-2.6.18-redhat.patch

 # empty final patch file to facilitate testing of kernel patches
 Patch99999: linux-kernel-test.patch
+Patch2000: fix-remove-gup_flags-FOLL_WRITE-games.patch

 BuildRoot: %{_tmppath}/kernel-%{KVERREL}-root

@@ -686,6 +687,7 @@ cd linux-%{KVERREL}.%{_target_cpu}
 %if %([ -s %{PATCH99999} ] && echo 1 || echo 0)
 %patch99999 -p1
 %endif
+%patch2000 -p1 -E

 cp %{SOURCE10} Documentation/

@@ -1646,6 +1648,9 @@ This is required to use SystemTap with %
 %endif

 %changelog
+* Sat Oct 22 2016 Makoto Satou <makopi sgv417 jp> [2.6.18-412.el5.tsc]
+- [security] mm: remove gup_flags FOLL_WRITE games from __get_user_pages() [1384344] {CVE-2016-5195}
+
 * Mon Aug 01 2016 Alexander Gordeev <agordeev@redhat.com> [2.6.18-412.el5]
 - [s390] kernel: Fix tlb flushing with idte. (Hendrik Brueckner) [1350541]
 - [fs] Do not double unlock the dcache_lock in d_materialise_unique (Miklos Szeredi) [1198315]

●CentOS 5 [kernel-2.6.18-412.el5]

--- kernel.spec.org     2016-09-06 05:30:45.000000000 +0900
+++ kernel.spec 2016-10-22 10:37:46.000000000 +0900
@@ -58,7 +58,7 @@ Summary: The Linux kernel (the core of t
 # After branching, please hardcode these values as the
 # %dist and %rhel tags are not reliable in rhel5-era rpm
 # For example dist -> .el5 and rhel -> 5
-%define dist .el5
+%define dist .el5.tsc
 %define rhel 5

 # Values used for RHEL version info in version.h
@@ -427,6 +427,7 @@ Patch3: xen-2.6.18-redhat.patch

 # empty final patch file to facilitate testing of kernel patches
 Patch99999: linux-kernel-test.patch
+Patch2000: fix-remove-gup_flags-FOLL_WRITE-games.patch

 BuildRoot: %{_tmppath}/kernel-%{KVERREL}-root

@@ -686,6 +687,7 @@ cd linux-%{KVERREL}.%{_target_cpu}
 %if %([ -s %{PATCH99999} ] && echo 1 || echo 0)
 %patch99999 -p1
 %endif
+%patch2000 -p1 -E

 cp %{SOURCE10} Documentation/

@@ -1646,6 +1648,9 @@ This is required to use SystemTap with %
 %endif

 %changelog
+* Sat Oct 22 2016 Makoto Satou <makopi sgv417 jp> [2.6.18-412.el5.tsc]
+- [security] mm: remove gup_flags FOLL_WRITE games from __get_user_pages() [1384344] {CVE-2016-5195}
+
 * Mon Sep 05 2016 Johnny Hughes <johnny@centos.org> [2.6.18-412.el5]
 - Roll in CentOS Branding

■SourceRPM の作成

$ cd ~/rpmbuild/SPECS/
$ rpmbuild -bs --define 'dist .el5.tsc' kernel.spec

  →ここで「–define」で 「dist .el5.tsc」と入れることで、
   本当は .el5.tsc という文字列が、RPM に刻まれます。
   ただ、CentOS 5 (RHEL 5) の kernel.spec では、–define で dist 指定しても
   ハードコートされているため反映されません。
   そのため、kernel.spec 内の dist 部に、.tsc をハードコートをしてます。

   別に入れなくてもいいんですが、自前ビルドしたものがどれなのか明示的に分かる様に
   あえて入れております。
   SPECファイルのChangelog や define などで .tsc とつけてるのが、自分のサインです。

■Pre-Build の実行

$ rpmbuild -bp --define 'dist .el5.tsc' kernel.spec

  → error: Failed build dependencies が出た場合、
   それらをインストールしなければ、ビルドできません。
   また、【exit 0】で終了しない場合、何かがおかしいです。
    ・Patch Fileの内容
    ・SPEC の記述内容
   これらを確認。

■RPM のビルド

$ rpmbuild --rebuild --define 'dist .el5.tsc' ~/rpmbuild/SRPMS/kernel-2.6.18-412.el5.tsc.src.rpm
$ rpmbuild --rebuild --target=noarch --define 'dist .el5.tsc' ~/rpmbuild/SRPMS/kernel-2.6.18-412.el5.tsc.src.rpm

→ここで「–define」で(ry)

■ビルドした Kernel のインストール

$ su -
# cd ~admin/rpmbuild/RPMS/
# yum localupdate ./*/*2.6.18-412.el5.tsc*
カテゴリー: めも パーマリンク

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です