Fix dnotify/close race (CVE-2008-1375)
commit9a6ec895392ed38549a94c855f045f3a83cb89af
authorAl Viro <viro@ZenIV.linux.org.uk>
Thu, 1 May 2008 02:52:22 +0000 (1 03:52 +0100)
committerGreg Kroah-Hartman <gregkh@suse.de>
Thu, 1 May 2008 21:44:40 +0000 (1 14:44 -0700)
treeb4961a5840748f4444d36a32dea201e5501fb958
parentb0cc38c177802742d847469e0a06f4ad31d011cc
Fix dnotify/close race (CVE-2008-1375)

commit 214b7049a7929f03bbd2786aaef04b8b79db34e2 upstream.

We have a race between fcntl() and close() that can lead to
dnotify_struct inserted into inode's list *after* the last descriptor
had been gone from current->files.

Since that's the only point where dnotify_struct gets evicted, we are
screwed - it will stick around indefinitely.  Even after struct file in
question is gone and freed.  Worse, we can trigger send_sigio() on it at
any later point, which allows to send an arbitrary signal to arbitrary
process if we manage to apply enough memory pressure to get the page
that used to host that struct file and fill it with the right pattern...

Signed-off-by: Al Viro <viro@zeniv.linux.org.uk>
Signed-off-by: Linus Torvalds <torvalds@linux-foundation.org>
Signed-off-by: Greg Kroah-Hartman <gregkh@suse.de>
fs/dnotify.c