audit: auparse 解释 AX.25/ATM sockaddr 时堆越界读取（待 backport 上游 9b6c1747）-audit-AtomGit

已开启

audit: auparse 解释 AX.25/ATM sockaddr 时堆越界读取（待 backport 上游 9b6c1747） #69

Lei-Chen创建于 4 天前

4 天前创建

问题描述

auparse 在解释 SOCKADDR 字段时，对 AF_AX25 和 AF_ATMPVC 直接强制转换为固定长度的 sockaddr_ax25 / sockaddr_atmpvc 结构体并读取字段，未校验解码后的字段长度。仅包含 family（2 字节）的 saddr 记录会使 print_sockaddr() 越界读取 au_unescape() 分配的堆缓冲区。

影响范围

audit 3.1.2（openEuler 24.03 LTS SP3）
audit 4.1.2（openEuler 26.09 / master）
触发条件：auparse 解释包含 AX.25 或 ATM PVC family-only saddr 的审计记录，例如 ausearch -i 或调用 auparse_do_interpretation(AUPARSE_TYPE_SOCKADDR, ...)

复现

构造仅含 sa_family_t（2 字节）的 AX.25 / ATM PVC 值，交给 auparse 解释。基线（audit 4.1.2，ASan 构建）输出：

ERROR: AddressSanitizer: heap-buffer-overflow
READ of size 1 at ... in print_sockaddr auparse/interpret.c:1370
    #1 auparse_do_interpretation auparse/interpret.c:3477
0x... is located 3 bytes to the right of 5-byte region

ATM 分支同样在 print_sockaddr() 读取 sap_addr.itf 时越界（READ of size 2）。audit 3.1.2 基线同样可复现。

修复

上游提交 9b6c174758523b81138ee7138f666b7e5c2f7b43（auparse: validate AX.25 and ATM sockaddr lengths）在解引用前检查 sizeof(struct sockaddr_ax25) / sizeof(struct sockaddr_atmpvc)，长度不足时返回 { saddr_fam=... sockaddr len too short }。

上游链接：https://github.com/linux-audit/audit-userspace/commit/9b6c174758523b81138ee7138f666b7e5c2f7b43

验证结果：3.1.2 与 4.1.2 的完整补丁链 + 新补丁均可 -F0 应用；修复前 ASan 报 heap-buffer-overflow，修复后正常返回 short 提示，无越界。

openEuler 侧进展

已按 backport 规范生成补丁并在以下分支验证、推送：

openEuler-24.03-LTS-SP3
openEuler-26.09
master

PR 链接将在创建后补充。上游未为此分配 CVE，属普通内存安全缺陷修复。

二、缺陷分析结构反馈
影响性分析说明：

缺陷严重等级:(Critical/High/Moderate/Low)

缺陷根因说明:

受影响版本排查(受影响/不受影响):
openEuler-20.03-LTS-SP4
openEuler-22.03-LTS-SP4
openEuler-24.03-LTS-SP1
openEuler-24.03-LTS-SP3
openEuler-24.03-LTS-SP4

修复是否涉及abi变化(是/否):
openEuler-20.03-LTS-SP4
openEuler-22.03-LTS-SP4
openEuler-24.03-LTS-SP1
openEuler-24.03-LTS-SP3
openEuler-24.03-LTS-SP4

L Lei-Chen

4 天前 issue类型由任务改变为缺陷

指令	指令说明	使用权限
/check-issue	触发defect-manager校验	不限
/reason xxx	/reason +挂起或取消条件	不限

状态	需分析	内容
已分析	1.影响性分析说明	auparse解释AX.25/ATMfamily-onlysaddr时，print_sockaddr()未校验解码后的字段长度，越界读取au_unescape()分配的堆缓冲区；构造审计记录可触发heap-buffer-overflow（ASan已复现）。
已分析	2.缺陷严重等级	Moderate
已分析	3.缺陷根因定位	print_sockaddr()对AF_AX25/AF_ATMPVC直接强制转换为固定长度sockaddr_ax25/sockaddr_atmpvc并读取字段，缺少sizeof()长度校验。
已分析	4.受影响版本排查	openEuler-20.03-LTS-SP4:受影响,openEuler-22.03-LTS-SP4:受影响,openEuler-24.03-LTS:受影响,openEuler-24.03-LTS-Next:受影响,openEuler-24.03-LTS-SP1:受影响,openEuler-24.03-LTS-SP2:受影响,openEuler-24.03-LTS-SP3:受影响,openEuler-24.03-LTS-SP4:受影响,openEuler-26.09:受影响
已分析	5.abi变化	openEuler-20.03-LTS-SP4:否,openEuler-22.03-LTS-SP4:否,openEuler-24.03-LTS:否,openEuler-24.03-LTS-Next:否,openEuler-24.03-LTS-SP1:否,openEuler-24.03-LTS-SP2:否,openEuler-24.03-LTS-SP3:否,openEuler-24.03-LTS-SP4:否,openEuler-26.09:否

问题描述

影响范围

复现

修复

openEuler 侧进展

Welcome To openEuler Community

Bot Usage Manual

Contact Guide