Linus Torvalds tenía la intención de publicar la versión del núcleo Linux 6.13 este domingo, pero probablemente la prueba de la rama 6.13 se extenderá una semana debido a problemas de estabilidad en los cambios preparados por un empleado de Microsoft y aceptados en la rama 6.13 en noviembre. Además, se destaca que el parche que causó la falla fue presentado de manera no estándar, pero fue aceptado, aunque no recibió ninguna confirmación (ACK) de los mantenedores de la arquitectura x86, lo que es una violación de las prácticas comunes.
El parche añadía la posibilidad de usar grandes páginas de memoria en modo ROX (Read Only Execute) al asignar memoria destinada a contener código ejecutable. ROX permite utilizar memoria con código ejecutable en modo solo lectura, lo que complica la explotación de algunas vulnerabilidades. En el núcleo 6.13, para el código ejecutable de los módulos en sistemas x86_64, se activó por defecto el uso de caché de grandes páginas ejecutables de memoria, reflejadas como ROX. El cambio solucionó el problema de mapeo en modo ROX de páginas para el código ejecutable aún no completamente formado y permitió evitar la re-mapeo temporal de las páginas ROX en modo de escritura antes de completar la preparación de los módulos del núcleo para su funcionamiento.
En la etapa final de prueba del núcleo 6.13, un ingeniero de Intel identificó un fallo que impedía al núcleo salir correctamente del modo de suspensión en algunos portátiles con procesadores Intel (por ejemplo, con CPU basadas en la microarquitectura Alderlake). La falla se manifestaba al compilar el núcleo con el compilador Clang con el modo de protección CFI (Control Flow Integrity) activado, que bloquea las violaciones del orden normal de ejecución (control flow) como resultado de la aplicación de exploits que modifican los punteros a funciones almacenados en la memoria. Como solución temporal, los mantenedores de Intel y AMD, responsables de la arquitectura x86, propusieron desactivar el uso de EXECMEM_ROX en el núcleo 6.13, hasta que se prepare y pruebe un parche completo que resuelva el problema (la primera opción de solución no lo resolvió).
Fuente: opennet.ru
