Glibc 2.39 süsteemiteegi ja GNU Binutils 2.42 utiliitide väljalase

Pärast kuue kuu pikkust arendust on välja antud süsteemiraamatukogu GNU C Library (glibc) versioon 2.39, mis järgib täielikult ISO C11 ja POSIX.1-2017 standardite nõudeid. Uue väljaande koosseisu kuuluvad parandused 67 arendajalt.

Glibc 2.39-s rakendatud täiustuste hulgast tasub esile tõsta:

• On tagatud kaitse varjatud virnast (shadow stack), mis lisandus Linux 6.6 tuumas ja mis võimaldab paljusid ekspluateerimise katseid blokeerida, kasutades Intel protsessorite riistvaralisi võimalusi, et kaitsta funktsioonidest väljumise teel virnast tagasikutsumise aadressi üle kirjutamise eest. Kaitse tuum on see, et pärast funktsiooni käitamiseks üleminekut salvestab protsessor mitte ainult tavalisel virnast, vaid ka eraldi 'varjatud' virna, mida ei saa otseselt muuta. Enne funktsioonist väljumist tõmmatakse tagasikutsumise aadress varjatud virnast ja võrreldakse peamise virna tagasikutsumise aadressiga. Aadresside mittevastavus põhjustab erandi genereerimist, mis blokeerib olukorrad, kus ekspluateerimine on suutnud peamises virnas aadressi üle kirjutada. Käitamiseks on lisatud koostamise valik "--enable-cet."
• Lisatud on uus pealkirjafail <stdbit.h>, mis on määratletud ISO C2X standardi kavandis ja mis sisaldab funktsioone stdc_leading_zeros, stdc_leading_ones, stdc_trailing_zeros, stdc_trailing_ones, stdc_first_leading_zero, stdc_first_leading_one, stdc_first_trailing_zero, stdc_first_trailing_one, stdc_count_zeros, stdc_count_ones, stdc_has_single_bit, stdc_bit_width, stdc_bit_floor ja stdc_bit_ceil variantides tüüpidega 'unsigned char', 'unsigned short', 'unsigned int', 'unsigned long int' ja 'unsigned long long int'.
• Linux platvormile on rakendatud funktsioonid posix_spawnattr_getcgroup_np ja posix_spawnattr_setcgroup_np, samuti lipp POSIX_SPAWN_SETCGROUP, mis võimaldavad seadistada cgroupv2 uues protsessis funktsioonide posix_spawn ja posix_spawnp abil, vältides võistlusolukorra teket. Funktsioonid on GNU laiendused ja nende tööks on vajalik Linuxi südamik, mis toetab süsteemikutsungit clone3.
• Linux platvormile on rakendatud funktsioonid pidfd_spawn ja pidfd_spawnp, mis on semantiliselt sarnased funktsiooniga posix_spawn, kuid tagastavad mitte protsessi identifikaatori (PID), vaid failideskripti, mida saab kasutada funktsioonides, mis toetavad PIDFD-mehhanismi, nagu pidfd_send_signal, poll ja waitid (PIDFD on seotud konkreetse protsessiga ja ei muutu, samas kui PID võib pärast praeguse protsessi lõpetamist olla seotud teise protsessiga, mis on seotud selle PID-iga).
• Linux platvormile on lisatud funktsioon pidfd_getpid, mis määrab protsessi identifikaatori (PID), põhinedes protsessi faili deskriptoril (PIDFD), mille tagastavad funktsioonid pid_spawn, fork_np ja pidfd_open.
• Funktsioonide scanf perekonda on lisatud suuruse modifikaator "wN", mida rakendatakse argumentidele, mille tüübid on intN_t, int_leastN_t, uintN_t ja uint_leastN_t. Näiteks kümnendväärtuste lugemiseks tüüpide int32_t ja int_least32_t puhul saab kasutada "%w32d", ja kuusnurksete väärtuste puhul "%w32x". Samuti on lisatud modifikaator "wfN" tüüpide int_fastN_t ja uint_fastN_t jaoks, mis on esindatud ISO C2X eelnõu standardis.
• Lisatud seade "glibc.cpu.plt_rewrite", mis võimaldab PLT (Procedure Linkage Table) ümberkirjutamist x86-64 süsteemides, kus linkija asendab PLT-s kaudsed harud (indirect branch) otse.
• Lisatud seade "glibc.mem.decorate_maps", et lisada täiendavat teavet mälu eraldamise kohta (näiteks lõimede steki, mille on loonud funktsioon pthread_create, või mäluruumi, mis on eraldatud funktsiooni malloc kaudu).
• Struktuuris "statvfs" on tagatud, et väli "f_type" täidetakse FS tüübi teabega, mis on ekvivalentne struktuuri "statfs" väli sisule. Varasemalt salvestati Linuxis väli "f_type" alati väärtusele 0.
• AArch64 platvormile on libmvec ja math.h lisatud annotatsioonid, mis võimaldavad, kui kompilatsiooni ajal kasutatakse valikut "-ffast-math", rakendada vektorisatsiooni kutsete jaoks, mis on koostatavad GCC 9 ja uuemate kompilatsiooniversioonide puhul. Vektorisatsioon on sisse lülitatud matemaatiliste funktsioonide jaoks, sealhulgas acos, acosf, asin, asinf, atan, atanf, atan2, atan2f, cos, cosf, exp, expf, exp10, exp10f, exp2, exp2f, expm1, expm1f, log, logf, log10, log10f, log1p, log1pf, log2, log2f, sin, sinf, tan ja tanf.
• Komplektist on eemaldatud teek libcrypt ja sellele vastav pealkirjafail "". Rakenduste arendajatele soovitatakse üle minna alternatiivsete teekide, näiteks libxcrypt kasutamisele.
• Utiliidis ldconfig ignoreeritakse nüüd faile, mille nimis on sümbol ‘;’ või mis lõppevad „.dpkg.tmp” ja „.dpkg.new”, mis võimaldab mitte töödelda ajutisi faile pakihaldurite rpm ja dpkg kaudu.
• Toetuse lõpetamine arhitektuurile ia64 (ia64*-*-linux-gnu), mida kasutatakse Intel Itaniumi protsessorites.
• Turbepuudused on kõrvaldatud:
  • CVE-2023-6246, CVE-2023-6779, CVE-2023-6780 — kriitilised haavatavused funktsioonis __vsyslog_internal(), mis võimaldavad SUID-rakenduste käivitamise kaudu saavutada oma koodi täitmine kõrgendatud privileegidega.
  • CVE-2023-4911 — Glibc ld.so haavatavus, mis võimaldab süsteemis saada root-õigusi. Haavatavus tuleneb CLI_TUNABLES keskkonnamuutuja analüüsi koodi veast ja võib viia analüüsitud väärtuse kirjutamiseni väljaspool eraldatud mälupiiri. On olemas töökindlad eksplotsiid.
  • CVE-2023-4806 — haavatavus getaddrinfo funktsioonis, mis on põhjustatud mälu juurdepääsust pärast selle vabastamist (use-after-free). Probleem ilmneb, kui NSS-plugin rakendab ainult 'call-back' kutseid 'gethostbyname2_r' ja 'getcanonname_r', kuid ei toeta kutset 'gethostbyname3_r'. Haavatavuse kasutamiseks peab DNS-server tagastama palju IPv6 ja IPv4 aadresse taotletud hosti jaoks, mis viib getaddrinfo funktsiooni kutsunud protsessi kokkuvarisemiseni, kui on seadistatud AI_CANONNAME, AI_ALL ja AI_V4MAPPED märgid.
  • CVE-2023-4527 — haavatavus getaddrinfo funktsioonis, mis võimaldab lugeda andmeid mälupiiri välistest aladest töötluse käigus DNS-vastuse korral, mis on saadud TCP kaudu, mahus üle 2048 baiti. Haavatavus ilmneb, kui kasutatakse valikut 'no-aaaa' failis /etc/resolv.conf.

  Lisaks tuleb märkida GNU Binutils 2.42 süsteemiteegivahendite komplekti väljaandmist, kuhu kuuluvad sellised programmid nagu GNU linker, GNU assembler, nm, objdump, strings, strip.

  Uues Binutils versioonis:

  • X86-64 süsteemide assemblerile (gas) on lisatud eksperimentaalne valik '--scfi=experimental' CFI (Control Flow Integrity) konstruktsioonide sünteesimiseks käsitsi kirjutatud assemblerikoodi jaoks, mis vastab System V AMD64 ABI-le.
  • Readelf programmi on lisatud valik '--extra-sym-info', et näidata sümbolite (''--symbols'') täiendavat teavet, nagu sektsiooni nimi, millele viitab st_shndx indeks.
  • Objcopy utiliidile on lisatud võimalus kasutada '--set-section-flags' valikul 'large' SHF_X86_64_LARGE lipu seadmise jaoks ELF-objektide jaoks x86-64 süsteemides. '--visualize-jumps' valik toetab s390 arhitektuuri.
  • S390 käskude desassembleerimise käigus on rakendatud võimalus kuvada kommentaare käskude kirjeldustes. Objdump'is saab kirjelduste kuvamiseks näidata parameetrit '-M insndesc' ja gdb's seade 'set disassembler-options insndesc'.
  • Linkerisse on lisatud valikud '-z mark-plt' ja '-z nomark-plt', et tähistada PLT tabeli kirjeid, kasutades märke DT_X86_64_PLT, DT_X86_64_PLTSZ ja DT_X86_64_PLTENT.
  • Linkerisse on lisatud tagurpidi sortimise tugi.
  • Lisatud on valikud «—warn-execstack-objects», «—error-execstack» ja «—error-rxw-segments» hoiatuste või vigade kuvamiseks, kui neid kasutatakse täitmise virnas olevates objektides.
  • Toetatakse ABI 2.30 arhitektuuri LoongArch ning uusi pöördusi, mis on määratud LoongArch 1.10 spetsifikatsioonis.
  • Lisatud on KVX käskude toe, mida kasutatakse Kalray protsessorites (nt kasutatakse SoC Coolidge'is).
  • Intel arhitektuuril põhinevatele süsteemidele on lisatud järgmised laiendused:
    • Intel APX: 32 GPR-id, NDD, PUSH2/POP2, PUSHP/POPP.
    • USER_MSR.
    • AVX10.1.
    • PBNDKB.
    • SM4.
    • SM3.
    • SHA512.
    • AVX-VNNI-INT16.
  • RISC-V arhitektuuri porti on lisatud järgmised laiendused:
    • T-Head (XTheadVector, XTheadZvlsseg ja XTheadZvamo).
    • CORE-V (XCVmac, XCValu).
    • SiFive VCIX (XSfVcp).
  • AArch64 arhitektuuri porti on lisatud järgmised laiendused:
    • SVE2.1 (Skaleeritav vektori laiendus 2.1).
    • SME2.1 (Skaleeritav maatriksi laiendus 2.1).
    • B16B16 (BFloat16 ja BFloat16 SVE2 ja SME2 jaoks).
    • RASv2 (Usaldusväärsus, Saadavus ja Teenindatavus v2).
    • LSE128 (128-bitine aatom).
    • GCS (Kaitstud Kontrolli Virn).
    • CHK (Kontrolli Funktsiooni Seisundit).
    • SPECRES2 (Täpsem Spetsulgemise Piirang).
    • LRCPC3 (Laadimist omandav RCpc).
    • THE (Tõlke Karmistamine).
    • ITE (Käskude Jälgimine).
    • D128 (128-bitised mälu lehekülgede descriptorid).
    • XS (mälu atribuut XS).
  • Toetatakse protsessoreid AArch64 Cortex-A520, Cortex-A720, Cortex-X3 ja Cortex-X4.
  • BPF assemblerisse on lisatud toe kommenteerimise eraldamisel märkide «#» ja «//» kaudu ning ka kasutada tähte «;» väljendite eraldamiseks real (märki «;» ei saa enam kasutada kommentaaride jaoks).

  Allikas: opennet.ru