Podatności Linux kernel

W jądrze Linux w funkcji decode_locker() w cls_lock_client.c wykryto trzy niebezpieczne operacje dekodowania, które pozwalają złośliwemu lub skompromitowanemu OSD na wywołanie odczytów poza granicami (slab-out-of-bounds). Brak kontroli granic przed kopiowaniem nazwy, niekontrolowane przesunięcie wskaźnika oraz nieograniczona długość danych mogą doprowadzić do naruszenia pamięci. Poprawka polega na zastąpieniu niebezpiecznych operacji ich bezpiecznymi odpowiednikami i zwróceniu błędu -EINVAL w przypadku naruszenia granic.

W jądrze Linux w libceph nieprawidłowe indeksy OSD z primary_temp w uszkodzonej mapie osdmap mogą prowadzić do odczytów poza zakresem tablic. Poprawka dodaje walidację indeksów w get_temp_osds().

W jądrze Linux w libceph funkcja decode_watchers() nie sprawdzała granic przed odczytem 32-bitowej wartości, co przy struct_len=0 prowadzi do odczytu poza zakresem bufora. Poprawka używa bezpiecznej wersji ceph_decode_32_safe.

W jądrze Linux w podsystemie s390/vfio_ccw brakuje limitu liczby segmentów programu kanałowego. Przetwarzanie jest rekurencyjne, co może prowadzić do przekroczenia globalnego limitu i potencjalnych problemów.

W jądrze Linux w podsystemie s390/vfio_ccw brakuje weryfikacji, czy pierwszy IDAW pozostaje stały między odczytami. Może to prowadzić do niespójnego zestawu IDAW-ów.

W jądrze Linux w systemie Ceph wykryto podatność, w której funkcja handle_reply() przechowuje wskaźnik ceph_mds_request w current->journal_info podczas wypełniania pamięci podręcznej inode i dentry. Alokacja w tym miejscu może wywołać bezpośrednie odzyskiwanie pamięci (direct reclaim), co prowadzi do przycinania dentry z innego systemu plików, a w konsekwencji do uruchomienia transakcji JBD2 w ext4. JBD2 błędnie interpretuje wskaźnik Ceph jako uchwyt transakcji, co powoduje awarię jądra.

W jądrze Linux w sterowniku ovpn funkcja zwrotna kryptograficzna utrzymuje referencje do slotu klucza i peera. Jeśli referencja peera jest zwalniana przed zakończeniem funkcji zwrotnej, może to prowadzić do użycia po zwolnieniu lub wywołania callbacku RCU po zakończeniu rcu_barrier, co grozi awarią.

W jądrze Linux w protokole SCTP podczas przywracania stanu z ciasteczka COOKIE_ECHO nie są poprawnie walidowane pola AUTH (RANDOM, HMACS, CHUNKS) pochodzące z danych kontrolowanych przez nadawcę. Sfałszowane długości lub identyfikatory mogą prowadzić do odczytów poza zakresem, a nawet zapisu poza bufor, co może umożliwić eskalację uprawnień lokalnych.

W jądrze Linux dla architektury RISC-V zoptymalizowana funkcja strnlen (ZBB) może czytać słowo poza granicą zadanego licznika, gdy adres początkowy jest wyrównany, a licznik jest wielokrotnością rozmiaru słowa. Może to spowodować błąd strony, jeśli następna strona jest nieodwzorowana.

W jądrze Linuxa w module netfilter flowtable występuje podatność polegająca na opublikowaniu węzła w kierunku oryginalnym przed węzłem odpowiedzi, co pozwala mechanizmowi GC (Garbage Collector) obserwować i zwolnić przepływ w trakcie jego instalacji. Może to prowadzić do użycia po zwolnieniu (use-after-free) w ścieżce flowtable/rhashtable, wykrywanego przez KASAN.

W jądrze Linuxa interfejsy ipvlan nie dziedziczą wartości needed_headroom i needed_tailroom z urządzenia fizycznego, co może prowadzić do niedostatecznej rezerwacji miejsca na nagłówki i stopki. Skutkuje to przekroczeniami bufora, niedomiarem headroom lub awariami KASAN (slab-use-after-free).

W jądrze Linuxa interfejsy macvlan nie dziedziczą wartości needed_headroom i needed_tailroom z urządzenia niższego poziomu, co może prowadzić do niedostatecznej rezerwacji miejsca na nagłówki i stopki. Skutkuje to przekroczeniami bufora, niedomiarem headroom lub awariami KASAN (slab-use-after-free).

W jądrze Linuxa w sterowniku am65-cpsw-nuss występuje błąd w ekstrakcji identyfikatora portu z tagu źródłowego. Używane są pełne 16 bitów, podczas gdy tylko dolne 8 bitów reprezentuje ID portu, co może prowadzić do dostępu poza pamięć i awarii systemu.

W jądrze Linux w NFS, operacja FREE_STATEID mogła być opóźniona, co prowadziło do użycia po zwolnieniu (use-after-free) obiektu 'struct nfs_server'. Poprawka zwiększa licznik referencji tego obiektu na czas trwania operacji FREE_STATEID, aby nie został usunięty podczas trwających operacji.

W jądrze Linux w podsystemie ovpn wykryto wyścig (race condition) między operacjami usuwania i ponownego haszowania peerów. Umożliwia to wskrzeszenie już usuniętego peera w tablicach haszujących, co prowadzi do użycia po zwolnieniu (UAF).

W jądrze Linux w systemie plików btrfs wykryto podatność w dekompresji LZO dla inline extentów. Specjalnie spreparowany obraz btrfs może wywołać odczyt poza granicami pamięci (KASAN: slab-out-of-bounds) podczas odczytu pliku, co prowadzi do awarii systemu lub potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku vdpa/mlx5 wykryto podatność prowadzącą do odczytu poza przydzielonym buforem (slab-out-of-bounds). Problem wynika z nieprawidłowego obliczenia rozmiaru bufora wejściowego w funkcji create_direct_keys(), co powoduje odczyt 16 bajtów poza przydzielony obszar pamięci.

W jądrze Linux w funkcji __skb_udp_tunnel_segment() stwierdzono potencjalną podatność use-after-free. Funkcja pobiera nagłówek UDP przed upewnieniem się, że nagłówek tunelu znajduje się w skb head. Jeśli operacja pull ponownie alokuje skb->head, zapisany wskaźnik do nagłówka UDP staje się nieprawidłowy.

W jądrze Linux w protokole SCTP wykryto podatność use-after-free. Funkcja sctp_make_heartbeat_ack() przechowuje wskaźnik do transportu bez zwiększania referencji, a gdy transport jest usuwany, zakolejkowany chunk kontrolny może zachować zwisający wskaźnik, co prowadzi do naruszenia pamięci.

W jądrze Linuxa w IPVS po przetworzeniu błędów ICMP w tunelu nie są czyszczone opcje IPv4, co może prowadzić do zapisu poza stosem przez __ip_options_echo().

W jądrze Linux w generycznym XDP po dostosowaniu fragmentów skb, skb->len nie jest aktualizowany, co powoduje, że skb_headlen() jest większe niż rzeczywisty obszar liniowy. W ścieżce odbioru UDP może to prowadzić do kopiowania danych poza obszar liniowy do przestrzeni użytkownika.

W jądrze Linux w funkcji inet_frag_create() timer kolejki fragmentów jest uzbrajany przed opublikowaniem kolejki w tablicy haszującej. Jeśli limit czasu fragmentacji jest zerowy lub ujemny, timer może zadziałać przed publikacją, co prowadzi do wyścigu i pozostawienia nieaktualnego węzła w tablicy.

W jądrze Linuxa w protokole X.25 występuje błąd użycia po zwolnieniu (use-after-free) gniazda przez jego timery. Timery są uzbrajane za pomocą mod_timer() i anulowane za pomocą timer_delete(), więc oczekujący timer nie trzyma referencji na gniazdo, a anulowanie nie czeka na wywołanie zwrotne już działające na innym CPU. x25_heartbeat_expiry() również bezwarunkowo ponownie uzbraja timer, co może prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w module dibs inicjalizacja blokady dibs->lock odbywa się zbyt późno, bo dopiero w dibs_dev_add(), podczas gdy przerwania mogą wystąpić wcześniej. To może prowadzić do użycia niezainicjalizowanej blokady w obsłudze przerwań.

W jądrze Linuxa funkcja xdpf_clone() tworzy klony ramek XDP, ale nie sprawdza wystarczająco, czy dane mieszczą się w obszarze tailroom skb_shared_info. Może to prowadzić do nadpisania danych podczas konwersji klonu na skb.

W jądrze Linux wykryto podatność w interfejsie veth, gdzie po dostosowaniu fragmentów XDP nieprawidłowo aktualizowano długość skb. Prowadziło to do kopiowania danych poza faktyczny obszar liniowy, w tym do wycieku wskaźników jądra do przestrzeni użytkownika. Dodatkowo, funkcja bpf_xdp_pull_data() mogła wywołać asercję SKB_LINEAR_ASSERT() z powodu nieprawidłowego zarządzania wskaźnikiem ogona.

W jądrze Linuxa w TLS RX, podczas optymistycznej próby TLS 1.3 zero-copy, wskaźnik msg_iter nie jest przywracany po nieudanej próbie, co może prowadzić do nadpisania danych w buforze odbiorcy.

W jądrze Linuxa w kliencie SMB, funkcja cifs_try_adding_channels() może użyć po zwolnieniu pamięci interfejsu, gdy tworzenie kanału nie powiedzie się, a lista interfejsów jest odświeżana równolegle.

W jądrze Linux w funkcji ip6ip6_err() stwierdzono, że klon skb (skb2) przenosi metadane zewnętrznego pakietu IPv6 (w tym wskaźnik dsthao) do odpowiedzi ICMPv6. Może to prowadzić do odczytu poza zakresem cytowanego pakietu wewnętrznego i uszkodzenia struktury skb_shared_info.

W jądrze Linux wykryto podatność w funkcji __filemap_add_folio() w module mm/filemap. Podczas ponawiania próby wstawienia strony (folio) do xarray, indeks nie był przywracany do pierwotnej wartości, co mogło prowadzić do umieszczenia folio pod błędnym (zaokrąglonym w dół) indeksem. Problem objawiał się rzadkimi błędami SIGILL i SIGSEGV w produkcji, gdyż kod wykonywalny znajdował się w niewłaściwej stronie pamięci.

W jądrze Linuxa w protokole SCTP występuje błąd polegający na tym, że chunk nie jest aktualizowany przy przenoszeniu na listę innego transportu. Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy transport zostanie usunięty, a wskaźnik chunk->transport pozostanie nieaktualny. Poprawka ustawia chunk->transport podczas przenoszenia.

W jądrze Linuxa w protokole SCTP występuje podatność na użycie po zwolnieniu (use-after-free) w mechanizmie ASCONF. Zbuforowany chunk ASCONF nie jest poprawnie czyszczony po zwolnieniu, co może prowadzić do dostępu do nieaktualnej pamięci. Poprawka czyści wskaźnik addip_last_asconf po zwolnieniu i zabezpiecza przed wyścigiem z wygaśnięciem timera T4.

W jądrze Linux w podsystemie SCTP wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Zdalny, uwierzytelniony peer SCTP może w jednym żądaniu ASCONF dodać i usunąć transport, pozostawiając wskaźnik new_transport wskazujący na usunięty obiekt. Późniejsze operacje (np. wysyłka HEARTBEAT) mogą odczytać zwolnioną pamięć, co w raporcie KASAN objawia się jako slab-use-after-free w funkcji sctp_outq_select_transport.

W jądrze Linuxa w funkcji fib6_rule_suppress() (IPv6 routing) nie jest czyszczony wskaźnik res->rt6 po usunięciu trasy, co może prowadzić do użycia zwolnionego obiektu rt6_info i wywołania rcuref_put_slowpath() podczas zwalniania.

W jądrze Linuxa w podsystemie iommu/arm-smmu-v3-iommufd występuje podatność polegająca na tym, że funkcja arm_vsmmu_vsid_to_sid() mapuje vSID gościa do pojedynczego fizycznego Stream ID, zakładając, że urządzenie ma dokładnie jeden strumień. Urządzenia z wieloma strumieniami mają mapowany tylko pierwszy, co powoduje, że unieważnienia vSID nie docierają do pozostałych wpisów ATC i IOTLB; urządzenia bez strumieni powodują odczyt poza zakresem. Poprawka dodaje operację arm_vsmmu_vdevice_init() odrzucającą vDEVICE z -EOPNOTSUPP, gdy master->num_streams nie jest równe jeden.

W jądrze Linux w systemie plików NTFS występuje podatność związana z niebezpiecznymi obliczeniami rozmiaru przy realokacji listy przebiegów (runlist). Dodano wspólny pomocnik do bezpiecznego konwertowania liczby elementów na rozmiar bajtowy z kontrolą przepełnienia, używany w funkcjach ntfs_rl_realloc() i ntfs_rl_realloc_nofail().

W jądrze Linux w module netfilter nf_conntrack_sip występuje podatność polegająca na przepełnieniu licznika zmian rozmiaru wiadomości SIP (s16) podczas przepisywania NAT. Pojedyncza wiadomość może urosnąć o więcej niż 32767 bajtów, co powoduje zawinięcie licznika i odczyt poza buforem (use-after-free).

W jądrze Linux w podsystemie KVM/arm64 (VGIC) występuje wyścig (race condition) między zwalnianiem struktury LPI a jej ponowną rejestracją. Może to prowadzić do usunięcia nowo zarejestrowanego LPI z tablicy xarray lub do wycieku pamięci (memory leak) starej struktury. Problem dotyczy operacji DISCARD i MAPTI wykonywanych przez gościa.

W jądrze Linux w module libiscsi_tcp brakowało sprawdzenia rozmiaru segmentu danych w odpowiedziach SCSI, co mogło doprowadzić do przepełnienia bufora conn->data (8192 bajtów) przez złośliwy serwer iSCSI. Podatność dotyczy ścieżki obsługi ISCSI_OP_SCSI_CMD_RSP, gdzie segment danych (dane sense/response) był kopiowany bez odpowiedniego ograniczenia.

W jądrze Linux w sterowniku rtase występuje podwójne zwolnienie (double free) pakietu skb z wieloma fragmentami w przypadku błędu mapowania DMA. Gdy mapowanie DMA głównego bufora nie powiedzie się po zmapowaniu fragmentów, ścieżka błędu zwalnia skb dwukrotnie, co prowadzi do awarii.

W jądrze Linux w serwerze SMB (ksmbd) wykryto podatność polegającą na nieprawidłowym porównywaniu identyfikatorów ClientGUID. ClientGUID jest binarną wartością o stałym rozmiarze i może zawierać wbudowane bajty NUL. Użycie strncmp() powoduje zatrzymanie porównania na pierwszym bajcie NUL, co może prowadzić do błędnego uznania różnych identyfikatorów za równe.

W jądrze Linux wykryto podatność w KVM dla architektury x86, polegającą na opóźnionym przetwarzaniu EOI (End of Interrupt) kontrolera I/O APIC. Jeśli opóźnione zadanie EOI zostanie przetworzone po zniszczeniu vCPU, dochodzi do użycia po zwolnieniu (UAF), co może prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W sterowniku igbvf występuje wyciek pamięci podczas czyszczenia błędów DMA w TX. Z powodu błędu off-by-one, jeśli część mapowań się powiedzie, a potem wystąpi błąd, jedno mapowanie DMA (głowa) nie jest cofane, co prowadzi do wycieku.

W jądrze Linux w module sieciowym SMC wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free) podczas kończenia działania grupy linków. Problem wynika z braku zabezpieczenia gniazda przed równoczesnym zamknięciem, co może doprowadzić do naruszenia integralności pamięci.

W jądrze Linux w module mostka sieciowego (bridge) występuje błąd w funkcji br_multicast_leave_group(), który po usunięciu grupy portów może prowadzić do użycia zwolnionej pamięci (use-after-free) podczas szybkiego opuszczania grupy multicastowej.

W jądrze Linux w sterowniku UML vector występuje błąd use-after-free w funkcji vector_mmsg_rx(), gdy pakiet z nieprawidłowym nagłówkiem jest odrzucany. Zwolniony skb pozostaje w buforze, co prowadzi do podwójnego zwolnienia i potencjalnego wykorzystania podatności.

W jądrze Linux w interfejsie veth występuje podatność polegająca na nieprawidłowym przetwarzaniu pakietów frag_list przed uruchomieniem XDP. Pakiety frag_list mogą mieć ustawione data_len, ale puste frags[], co prowadzi do przekazania fałszywych metadanych do XDP i awarii w trybie kopiowania AF_XDP.

W jądrze Linux w module vxlan funkcja route_shortcircuit() odczytuje adres MAC sąsiada (n->ha) bez zabezpieczenia seqlock, co może prowadzić do niekompletnych lub częściowo zaktualizowanych odczytów.

W jądrze Linux w module vxlan funkcje vxlan_xmit(), arp_reduce() i vxlan_mdb_entry_skb_get() używają pskb_may_pull() zamiast pskb_network_may_pull(), co nie uwzględnia offsetu nagłówka MAC i może pozostawić część nagłówka sieciowego w nieciągłych fragmentach.

W jądrze Linux w module vxlan funkcja route_shortcircuit() używa pskb_may_pull() zamiast pskb_network_may_pull(), co nie uwzględnia offsetu nagłówka MAC i może prowadzić do odczytu poza liniowym buforem przy dostępie do pól nagłówka IP.