Linux Kernel UIO Driver uio_register_device Race Condition and Use-After-Free Analysis

Vulnerability Summary Vulnerability Overview Type: Race condition in the function of the Uio driver. Description: When device registration fails, the pointer is not properly cleaned up, potentially leading to use-after-free vulnerabilities in subsequent operations. Scope of Impact Affected Component: The function in the Linux kernel's . Trigger Condition: After device registration fails, if still points to freed memory, subsequent or operations may trigger a use-after-free. Remediation Fix Commit: ("uio: Prevent device destruction while fds are open") Fix Details: In , ensure that is properly cleaned up when registration fails to prevent use-after-free. Related Commits: - : Fixes use-after-free in within . - : Prevents device destruction while file descriptors are open. POC/Exploit Code ```c // Code snippet before the fix (from diff) static int uio_register_device(struct module owner, struct uio_device udev) { if (udev->name == NULL) return -EINVAL; if (udev->info == NULL) return -EINVAL; udev->info->name = udev->name; udev->info->priv = udev; udev->info->open = uio_open; udev->info->release = uio_release; udev->info->ioctl = uio_ioctl; udev->info->mmap = uio_mmap; udev->info->read = uio_read; udev->info->write = uio_write; udev->info->poll = uio_poll; udev->info->unlocked_ioctl = uio_unlocked_ioctl; udev->info->compat_ioctl = uio_compat_ioctl; udev->info->llseek = uio_llseek; udev->info->fasync = uio_fasync; udev->info->aio_write = uio_aio_write; udev->info->aio_read = uio_aio_read; udev->info->aio_writev = uio_aio_writev; udev->info->aio_readv = uio_aio_readv; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fsync = uio_aio_fsync; udev->info->aio_poll = uio_aio_poll; udev->info->aio_unlink = uio_aio_unlink; udev->info->aio_fs

Goal Reached Thanks to every supporter — we hit 100%!

Linux Kernel UIO Driver uio_register_device Race Condition and Use-After-Free Analysis

More from this source