scsi: 3w-9xxx: fix a missing-check bug
authorWenwen Wang <wang6495@umn.edu>
Tue, 8 May 2018 00:46:43 +0000 (19:46 -0500)
committerMartin K. Petersen <martin.petersen@oracle.com>
Tue, 8 May 2018 05:32:18 +0000 (01:32 -0400)
commitc9318a3e0218bc9dacc25be46b9eec363259536f
tree8af539b104c4265099b214537ff3a5ecf8895d53
parenta217b31165924af2989a0a454c4dff10b63ec6ea
scsi: 3w-9xxx: fix a missing-check bug

In twa_chrdev_ioctl(), the ioctl driver command is firstly copied from
the userspace pointer 'argp' and saved to the kernel object
'driver_command'.  Then a security check is performed on the data buffer
size indicated by 'driver_command', which is
'driver_command.buffer_length'. If the security check is passed, the
entire ioctl command is copied again from the 'argp' pointer and saved
to the kernel object 'tw_ioctl'. Then, various operations are performed
on 'tw_ioctl' according to the 'cmd'. Given that the 'argp' pointer
resides in userspace, a malicious userspace process can race to change
the buffer size between the two copies. This way, the user can bypass
the security check and inject invalid data buffer size. This can cause
potential security issues in the following execution.

This patch checks for capable(CAP_SYS_ADMIN) in twa_chrdev_open()t o
avoid the above issues.

Signed-off-by: Wenwen Wang <wang6495@umn.edu>
Acked-by: Adam Radford <aradford@gmail.com>
Signed-off-by: Martin K. Petersen <martin.petersen@oracle.com>
drivers/scsi/3w-9xxx.c