简单分析CVE-2015-1805

CVE-2015-1805这个安全漏洞的年限已久，几年前就在upstream Linux内核中被发现，并于2014年4月被修复。但不幸的是，并没有修补完全，直到今年二月C0RE小组告知谷歌该漏洞可以被用于攻击Android操作系统。

漏洞介绍：在linux 内核3.16版本之前的fs/pipe.c当中，由于pipe_read和pipe_write没有考虑到拷贝过程中数据没有同步的一些临界情况，造成了堆数组拷贝越界的问题，因此有可能导致系统crash以及系统权限提升，这种漏洞又称之为” I/O vector array overrun”。

漏洞函数为pipe_read（）

<span style="font-size:14px;">static ssize_t
pipe_read(struct kiocb *iocb, const struct iovec *_iov,
	   unsigned long nr_segs, loff_t pos)
{
	struct file *filp = iocb->ki_filp;
	struct inode *inode = filp->f_path.dentry->d_inode;
	struct pipe_inode_info *pipe;
	int do_wakeup;
	ssize_t ret;
	struct iovec *iov = (struct iovec *)_iov;
	size_t total_len;

	total_len = iov_length(iov, nr_segs);//这是拷贝数据的总长度，正是由于这个值没有能够即时更新所导致的漏洞
	/* Null read succeeds. */
	if (unlikely(total_len == 0))
		return 0;

	do_wakeup = 0;
	ret = 0;
	mutex_lock(&inode->i_mutex);
	pipe = inode->i_pipe;
	for (;;) {
		int bufs = pipe->nrbufs;
		if (bufs) {
			int curbuf = pipe->curbuf;
			struct pipe_buffer *buf = pipe->bufs + curbuf;
			const struct pipe_buf_operations *ops = buf->ops;
			void *addr;
			size_t chars = buf->len;