一个Netfilter 处理畸形包导致内核OOPS的Bug

独孤九贱

原贴讨论在
http://bbs.chinaunix.net/thread-3672415-2-1.html

goter 在12楼已经提到过，对于错误长度的报文，tcp_error应该能够处理它。但是问题的关键在于，tcp_error计算的依据是dataoff，而这个值是上层调用传来下的，其计算在ipv4_get_l4proto函数中：

1. static int ipv4_get_l4proto(const struct sk_buff *skb, unsigned int nhoff,
   
2.                             unsigned int *dataoff, u_int8_t *protonum)
   
3. {
   
4.         const struct iphdr *iph;
   
5.         struct iphdr _iph;
   
6. 
   
7.         iph = skb_header_pointer(skb, nhoff, sizeof(_iph), &_iph);
   
8.         if (iph == NULL)
   
9.                 return -NF_DROP;
   
10. 
    
11.         /* Conntrack defragments packets, we might still see fragments
    
12.          * inside ICMP packets though. */
    
13.         if (iph->frag_off & htons(IP_OFFSET))
    
14.                 return -NF_DROP;
    
15. 
    
16.         *dataoff = nhoff + (iph->ihl << 2);
    
17.         *protonum = iph->protocol;
    
18. 
    
19.         return NF_ACCEPT;
    
20. }

复制代码

可以看到，*dataoff = nhoff + (iph->ihl << 2);这个计算，并没有做合法性检验，虽然在ip_rcv函数中：

1.         len = ntohs(iph->tot_len);
   
2.         if (skb->len < len) {
   
3.                 IP_INC_STATS_BH(dev_net(dev), IPSTATS_MIB_INTRUNCATEDPKTS);
   
4.                 goto drop;
   
5.         } else if (len < (iph->ihl*4))
   
6.                 goto inhdr_error;

复制代码

对于进来的单包是做了检验的，但是对它其它情况呢？从我的遭遇来看，不能依赖于别人，只能相信自己——显然是有另外的情况没有被检测到了，否则这个OOPS是不会被触发的。最先原作者也认为不太可以，不过后来多次沟通后，还是确认了在ipv4_get_l4proto函数中，应该增加对dataoff的检验：

1. ipv4_get_l4proto() in nf_conntrack_l3proto_ipv4.c and tcp_error() in
   
2. nf_conntrack_proto_tcp.c should catch malformed packets, so the errors
   
3. at the indicated lines - TCP options parsing - should not happen.
   
4. However, tcp_error() relies on the "dataoff" offset to the TCP header,
   
5. calculated by ipv4_get_l4proto().  But ipv4_get_l4proto() does not check
   
6. bogus ihl values in IPv4 packets, which then can slip through tcp_error()
   
7. and get caught at the TCP options parsing routines.

复制代码

这是作者发布的补丁，好像最新的内核也还没有应用它。如果遇到和我一样问题的同学，可以打这个补丁：

1. The patch fixes ipv4_get_l4proto() by dropping packets with bogus
   
2. ihl value.
   
3. 
   
4. The patch closes netfilter bugzilla id 771.
   
5. 
   
6. Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>
   
7. ---
   
8. net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c |    8 ++++++++
   
9. 1 files changed, 8 insertions(+), 0 deletions(-)
   
10. 
    
11. diff --git a/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c \
    
12. b/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c index de9da21..6a5f038 100644
    
13. --- a/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c
    
14. +++ b/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c
    
15. @@ -84,6 +84,14 @@ static int ipv4_get_l4proto(const struct sk_buff *skb, unsigned \
    
16.                 int nhoff,
    
17.         *dataoff = nhoff + (iph->ihl << 2);
    
18.         *protonum = iph->protocol;
    
19. 
    
20. +        /* Check bogus IP headers */
    
21. +        if (*dataoff > skb->len) {
    
22. +                pr_debug("nf_conntrack_ipv4: drop bogus IPv4 packet: "
    
23. +                         "nhoff %u, ihl %u, skblen %u\n",
    
24. +                         nhoff, iph->ihl << 2, skb->len);
    
25. +                return -NF_DROP;
    
26. +        }
    
27. +
    
28.         return NF_ACCEPT;
    
29. }

复制代码

Godbach

回复 1# 独孤九贱
感谢九贱兄的分享啊


   

Godbach

回复 1# 独孤九贱
九贱兄，这个 BUG 是你发现的吧，其实你也可以自己提交 patch 吧


   

goter

居然没有加上Reported-by:
官方patch改动了点

commit 07153c6ec074257ade76a461429b567cff2b3a1e
Author: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>
Date:   Tue Apr 3 22:02:01 2012 +0200

    netfilter: nf_ct_ipv4: packets with wrong ihl are invalid
   
    It was reported that the Linux kernel sometimes logs:
   
    klogd: [2629147.402413] kernel BUG at net / netfilter /
    nf_conntrack_proto_tcp.c: 447!
    klogd: [1072212.887368] kernel BUG at net / netfilter /
    nf_conntrack_proto_tcp.c: 392
   
    ipv4_get_l4proto() in nf_conntrack_l3proto_ipv4.c and tcp_error() in
    nf_conntrack_proto_tcp.c should catch malformed packets, so the errors
    at the indicated lines - TCP options parsing - should not happen.
    However, tcp_error() relies on the "dataoff" offset to the TCP header,
    calculated by ipv4_get_l4proto().  But ipv4_get_l4proto() does not check
    bogus ihl values in IPv4 packets, which then can slip through tcp_error()
    and get caught at the TCP options parsing routines.
   
    The patch fixes ipv4_get_l4proto() by invalidating packets with bogus
    ihl value.
   
    The patch closes netfilter bugzilla id 771.
   
    Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>
    Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

diff --git a/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c b/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c
index 750b06a..cf73cc7 100644
--- a/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c
+++ b/net/ipv4/netfilter/nf_conntrack_l3proto_ipv4.c
@@ -84,6 +84,14 @@ static int ipv4_get_l4proto(const struct sk_buff *skb, unsigned int nhoff,
        *dataoff = nhoff + (iph->ihl << 2);
        *protonum = iph->protocol;

+       /* Check bogus IP headers */
+       if (*dataoff > skb->len) {
+               pr_debug("nf_conntrack_ipv4: bogus IPv4 packet: "
+                        "nhoff %u, ihl %u, skblen %u\n",
+                        nhoff, iph->ihl << 2, skb->len);
+               return -NF_ACCEPT;

+       }
+
        return NF_ACCEPT;
}

Godbach

回复 4# goter

是啊，如果是九贱兄最先报出的，应该记录一下。

   

独孤九贱

goter 发表于 2012-05-22 13:16
居然没有加上Reported-by:
官方patch改动了点

你这个在哪儿搜到的，能否发个URL过来呢？我对比一下，谢谢。

独孤九贱

回复 2# Godbach

原来类似问题提交过几回，没得啥回应，后来发现都是些老Bug，别个早就修复了 。所以现在一般都是找到问题，和作者邮件交流，把问题沟通清楚了，我想原作者写个补丁是很简单的事情。这个补丁事实上并没有能真正解决问题，问题的核心在于，这样的报文是如何产生的？我到现在还没有想明白，主要是对新内核的一些新特性还没有掌握呀。


   

goter

独孤九贱 发表于 2012-05-22 15:43
你这个在哪儿搜到的，能否发个URL过来呢？我对比一下，谢谢。

http://git.kernel.org/?p=linux/k ... 490e2ab8bb50d59077a

goter

http://git.kernel.org/?p=linux/k ... 461429b567cff2b3a1e