tcp: fix use after free in tcp_xmit_retransmit_queue()
authorEric Dumazet <edumazet@google.com>
Wed, 17 Aug 2016 12:56:26 +0000 (05:56 -0700)
committerWinnie Hsu <whsu@nvidia.com>
Thu, 19 Apr 2018 16:59:19 +0000 (09:59 -0700)
commitdf801a611984f2d440b8edaa3c1b39de891013cc
tree9d2782af812d34fc11d03c6ab93b6f0cd52d018e
parentf8e1def2a2dc506eff85364de331db2543746624
tcp: fix use after free in tcp_xmit_retransmit_queue()

When tcp_sendmsg() allocates a fresh and empty skb, it puts it
at the tail of the write queue using tcp_add_write_queue_tail()

Then it attempts to copy user data into this fresh skb.
If the copy fails, we undo the work and remove the fresh skb.

Unfortunately, this undo lacks the change done to tp->highest_sack and we can leave a dangling pointer (to a freed skb)

Later, tcp_xmit_retransmit_queue() can dereference this pointer and
access freed memory. For regular kernels where memory is not unmapped,
this might cause SACK bugs because tcp_highest_sack_seq() is buggy,
returning garbage instead of tp->snd_nxt, but with various debug
features like CONFIG_DEBUG_PAGEALLOC, this can crash the kernel.

This bug was found by Marco Grassi thanks to syzkaller.

Bug 1823317
Bug 1935735

Change-Id: I9bf709b21e5637f338c34d894617f33d84f93ecc
Reported-by: Marco Grassi <marco.gra@gmail.com>
Signed-off-by: Eric Dumazet <edumazet@google.com>
Signed-off-by: Gagan Grover <ggrover@nvidia.com>
Reviewed-on: http://git-master/r/1260003
(cherry picked from commit 0c20962647685008dfc6a15fb8a2169ed2abafe6)
Reviewed-on: https://git-master.nvidia.com/r/1689499
GVS: Gerrit_Virtual_Submit
Reviewed-by: Bibek Basu <bbasu@nvidia.com>
Tested-by: Amulya Yarlagadda <ayarlagadda@nvidia.com>
Reviewed-by: Winnie Hsu <whsu@nvidia.com>
include/net/tcp.h