Podatności Linux kernel

W jądrze Linuxa w implementacji AVX2 dla zestawów pipapo w netfilter wykryto błąd, który powoduje zwracanie niepasujących wpisów podczas wygasania. Problem występuje, gdy funkcje dopasowujące AVX2 przetwarzają ostatnie pole, nie konsumując całego wejścia, co prowadzi do błędnego raportowania kolizji elementów.

W jądrze Linux w systemie plików ext4 podczas wyszukiwania bloków dla plików mapowanych pośrednio (indirect block mapped) mogło dojść do przekroczenia zakresu numerów bloków 32-bitowych. Problem występuje, gdy ac->ac_g_ex.fe_group jest większe lub równe ngroups, co może prowadzić do alokacji bloków spoza obsługiwanego zakresu. Dodano zabezpieczające ograniczenie (clamp) w ext4_mb_scan_groups().

W jądrze systemu Linux zidentyfikowano podatność, która polega na braku kopiowania danych pakietu z bufora XDP do struktury skb, co prowadzi do wycieku zawartości pamięci jądra do przestrzeni użytkownika. Dodatkowo, niewłaściwe oznaczanie skb do recyklingu może prowadzić do uszkodzenia stanu puli stron.

W jądrze Linux wykryto podatność w funkcji ip6_err_gen_icmpv6_unreach(), gdzie nieczyszczone pole cb[] w skb2 może prowadzić do błędnej interpretacji danych sterujących. Atakujący może wysłać spreparowany pakiet ICMPv4 z opcją CIPSO, co skutkuje odczytem poza zakresem bufora w icmp6_send().

W jądrze Linux wykryto podatność w funkcji ip4ip6_err() tunelu IPv6-over-IPv4. Niezainicjalizowany obszar cb[] w sklonowanym buforze skb może zostać zinterpretowany jako struktura IPv4, co prowadzi do odczytu danych sterowanych przez atakującego i przepełnienia bufora stosowego.

W jądrze Linux w stosie X.25 wykryto podwójne zwolnienie bufora sieciowego (skb). Gdy funkcja x25_queue_rx_frame nie może zaalokować pamięci, zwalnia skb i zwraca błąd, ale wywołująca ją x25_backlog_rcv również próbuje zwolnić ten sam skb, prowadząc do podwójnego free.

W jądrze Linuxa zidentyfikowano podatność związana z użyciem po zwolnieniu w funkcji __ksmbd_close_fd(). Problem występuje, gdy trwały uchwyt pliku przetrwa rozłączenie sesji, co prowadzi do nieprawidłowego zarządzania blokadami bajtów.

W jądrze Linux wykryto podatność w funkcji br_nd_send() mostu sieciowego, która analizuje opcje sąsiedztwa (ND) z pakietów ICMPv6. Funkcja zakładała, że opcje te znajdują się w liniowej części bufora, jednak w niektórych przypadkach mogą być one nieliniowe, co prowadzi do odczytu danych poza przydzielonym buforem liniowym. Problem został rozwiązany przez linearyzację pakietu przed parsowaniem opcji.

W jądrze Linux wykryto podatność w implementacji MPTCP, prowadzącą do użycia po zwolnieniu (use-after-free) w funkcji __inet_lookup_established. Problem wynika z nieprawidłowej inicjalizacji protokołu TCPv6 dla gniazd potomnych MPTCP, które są alokowane przez kmalloc zamiast dedykowanej pamięci podręcznej z flagą SLAB_TYPESAFE_BY_RCU. Umożliwia to równoczesny dostęp do zwolnionej pamięci podczas wyszukiwania w tablicy ehash, co może prowadzić do naruszenia bezpieczeństwa.

W jądrze Linux w seg6 lwtunnel używany jest pojedynczy dst_cache na trasę enkapsulacji, współdzielony między seg6_input_core() i seg6_output_core(). Ścieżki te mogą wykonywać wyszukiwanie SID po enkapsulacji w różnych kontekstach routingu, a pierwsza z nich zapełnia cache, który druga wykorzystuje bez własnego wyszukiwania. Poprawka rozdziela cache na cache_input i cache_output.

W jądrze Linux w module batman-adv funkcja batadv_tt_prepare_tvlv_global_data() oblicza długość alokacji dla globalnej odpowiedzi TT w 16-bitowych zmiennych tymczasowych. Gdy zdalny originator rozgłasza wystarczająco dużą globalną tablicę TT, długość ładunku TT plus offset nagłówka VLAN może przekroczyć 65535 i nastąpić przepełnienie przed kmalloc(). W wyniku tego alokacja jest zbyt mała, a funkcja zapisuje poza końcem obiektu na stercie.

W jądrze Linux w sterowniku stmmac wykryto podatność polegającą na niedomiarze liczby całkowitej w trybie łańcuchowym (chain mode). Funkcja jumbo_frm() oblicza długość jako nopaged_len - bmax, co przy małej części liniowej pakietu i dużym rozmiarze całkowitym prowadzi do zawinięcia wartości i ogromnej liczby iteracji. Skutkuje to mapowaniem dowolnej pamięci jądra do silnika DMA, co umożliwia ujawnienie pamięci jądra i potencjalne uszkodzenie danych.

W jądrze Linuxa w sterowniku USB/IP wykryto podatność polegającą na braku walidacji pola number_of_packets w odpowiedzi RET_SUBMIT. Złośliwy serwer USB/IP może ustawić tę wartość większą niż oryginalna, co prowadzi do zapisu poza przydzieloną pamięcią (heap out-of-bounds write) podczas przetwarzania pakietów ISO.

W jądrze systemu Linux zidentyfikowano podatność, która została rozwiązana poprzez bezpośrednie wywołanie funkcji ->free_folio() w folio_unmap_invalidate(). Problem polegał na tym, że wywołanie filemap_free_folio() bez odpowiedniego zablokowania mapowania mogło prowadzić do błędu use-after-free.

W jądrze Linux w module TLS wykryto podatność use-after-free w ścieżce błędu -EBUSY funkcji tls_do_encryption. Podwójne czyszczenie licznika encrypt_pending i wpisu scatterlist prowadzi do uszkodzenia struktury danych, co umożliwia wywołanie zwrotne na zwolnionej pamięci.

W jądrze Linux w module ksmbd funkcja smb2_calc_max_out_buf_len() używała zakodowanej na stałe wartości hdr2_len zamiast wartości offsetof() wskazującej na pole ->Buffer w strukturze odpowiedzi. Po zmianie zarządzania buforami odpowiedzi na dynamiczną tablicę iov pozostałe miejsca wywołań nie zostały zaktualizowane, co prowadzi do nieprawidłowego obliczania długości bufora.

W jądrze systemu Linux zidentyfikowano podatność dotyczącą nieprawidłowego dostępu do folio, gdy i_blkbits różni się od wielkości I/O. Problem ten dotyczy sytuacji, w której IO może być złożone dla mniejszej części folio, co prowadzi do nieprawidłowego zarządzania kontekstem folio.

W jądrze Linux w systemie plików ext4 wykryto podatność prowadzącą do nieskończonej pętli podczas operacji mkdir/mknod. Błąd występuje, gdy mapowanie bloków logicznych na fizyczne nie powiedzie się po wstawieniu nowego rozszerzenia do drzewa rozszerzeń, co powoduje, że zwolniony blok fizyczny jest ponownie używany przez blok xattr, prowadząc do zakleszczenia i blokady wątku na 143 sekundy.

W jądrze systemu Linux zidentyfikowano podatność w funkcji smb_grant_oplock(), która prowadzi do problemów z użyciem po zwolnieniu pamięci oraz dereferencją wskaźnika NULL. Problemy te wynikają z niewłaściwej sekwencji publikacji oplock, co może prowadzić do nieprzewidywalnych zachowań w systemie.

W jądrze Linux w sterowniku dmaengine idxd funkcja llist_abort_desc() na końcu pętli kończyła deskryptor 'found' zamiast kursora 'd'. Może to prowadzić do wyłuskania wskaźnika NULL, podwójnego zakończenia deskryptora lub wycieku deskryptorów. Poprawka polega na kończeniu 'd' zamiast 'found' w pętli list_for_each_entry_safe().

W jądrze Linuxa w podsystemie netfilter naprawiono błąd w obsłudze oczekiwań (expectations) połączeń. Funkcja nfct_help() była wywoływana bez trzymania referencji do głównego wpisu conntrack, co mogło prowadzić do naruszenia bezpieczeństwa pamięci. Poprawka polega na użyciu expect->helper zamiast nfct_help() w ścieżkach ctnetlink i /proc.

W jądrze Linux w sterowniku dvb-net wykryto podatność na odczyt poza zakresem w tablicach nagłówków rozszerzeń ULE. Indeks htype pochodzący z danych sieciowych może przyjąć wartość 255, co prowadzi do odczytu poza tablicą o rozmiarze 255 elementów, a odczytana wartość może zostać wywołana jako wskaźnik funkcji.

W jądrze Linux w module NFSD (NFSv4.0) wykryto podatność na przepełnienie sterty w mechanizmie pamięci podręcznej replay dla operacji LOCK. Stały 112-bajtowy bufor nie uwzględnia zmiennej długości pola właściciela blokady (do 1024 bajtów), co pozwala na zapis poza zakresem.

W jądrze Linux w module netfilter nf_conntrack_h323 funkcja DecodeQ931() nie sprawdza zerowej długości przed odjęciem 1, co prowadzi do zawinięcia wartości i odczytu poza zakresem.

W jądrze Linux wykryto podatność w funkcji smc_tcp_syn_recv_sock() w module SMC. Problem polega na wyścigu między zamykaniem gniazda SMC a obsługą połączenia TCP w kontekście przerwania programowego, co prowadzi do dereferencji wskaźnika NULL lub użycia po zwolnieniu (UAF). Atakujący może wykorzystać tę lukę do wywołania paniki systemu.

W jądrze Linux w implementacji TLS (tls_sw_cancel_work_tx) występuje warunek wyścigu. Po wywołaniu cancel_delayed_work_sync() z tls_sk_proto_close() funkcja tx_work_handler() może zostać ponownie zaplanowana z innych ścieżek (np. obsługi Delayed ACK lub ksoftirqd), co może prowadzić do wyłuskania zwolnionego obiektu TLS. Poprawka zastępuje cancel_delayed_work_sync() funkcją disable_delayed_work_sync().

W jądrze Linux w systemie plików Btrfs wykryto podatność polegającą na braku wykrywania konfliktów między i-węzłami podczas rejestrowania odwołań do i-węzłów po operacji zmiany nazwy z wymianą. Może to prowadzić do próby usunięcia katalogu zawierającego podwolumin podczas odtwarzania dziennika, co kończy się błędem montowania systemu.

W jądrze Linux w systemie plików btrfs funkcja btrfs_get_or_create_delayed_node() miała błąd kolejności pamięci po przeniesieniu refcount_set do sekcji krytycznej. Może to prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux w bibliotece libceph funkcja decode_pool() nie sprawdzała poprawnie granic podczas dekodowania uszkodzonej mapy OSD. Złośliwie spreparowana mapa może prowadzić do odczytu poza zakresem pamięci.

W jądrze Linux wykryto błąd w sterowniku STMMAC powodujący crash podczas wykonywania akcji XDP_TX w trybie zero copy. Problem wynika z braku sprawdzenia typu pamięci bufora XDP przed jego użyciem, co prowadzi do nieprawidłowych mapowań i awarii systemu.

W sterowniku e1000 jądra Linux wykryto podatność na odczyt poza zakresem (OOB) w funkcji e1000_tbi_should_accept(). Problem występuje, gdy długość ramki zgłoszona przez deskryptor jest zerowa lub większa niż rozmiar bufora RX, co prowadzi do odczytu poza przydzieloną pamięcią i może spowodować awarię systemu.

W jądrze Linux w komponencie svcrdma funkcja svc_rdma_copy_inline_range nie sprawdzała, czy indeks rc_curpage mieści się w przydzielonej tablicy stron. Może to prowadzić do odczytu lub zapisu poza zakresem.

W jądrze Linux w module ksmbd występuje podatność use-after-free podczas współbieżnego odłączania połączenia drzewa. Obiekt tcon jest zwalniany na jednej ścieżce, podczas gdy inna ścieżka nadal go używa.

W jądrze Linux w svcrdma, funkcja svc_rdma_copy_inline_range używa rc_curpage (indeks strony) zamiast rc_pageoff (przesunięcie bajtowe) jako przesunięcia dla memcpy, co powoduje kopiowanie poza bieżącą stronę.

W jądrze Linuxa w systemie plików ksmbd wykryto wyścig danych na polu m_flags w strukturze vfs_cache. Niektóre funkcje odczytują i modyfikują to pole bez odpowiedniego blokowania, co może prowadzić do utraty stanu usuwania przy zamknięciu lub niespójności.

W jądrze Linux w iomap, funkcja iomap_adjust_read_range() zakłada, że pozycja i długość są wyrównane do bloku, co nie zawsze jest prawdą (np. w erofs). Powoduje to pomijanie zbyt wielu bajtów dla zaktualizowanych bloków, co prowadzi do nieprawidłowej pozycji i długości odczytu.

W jądrze Linux w net/handshake, podwójne anulowanie żądania handshake powoduje wyciek gniazda. Gdy drugie anulowanie przychodzi, remove_pending() zwraca false, ale nadal zmniejszany jest licznik referencji gniazda, co prowadzi do niedomiaru.

W jądrze Linux w module RDMA/irdma występuje wyścig danych (data race) na polu cqp_request->request_done. Pole jest odczytywane bez blokady w funkcji irdma_handle_cqp_op i jednocześnie aktualizowane w irdma_cqp_ce_handler. Problem rozwiązano poprzez zastosowanie makr READ_ONCE/WRITE_ONCE, aby zapobiec optymalizacjom kompilatora i ostrzeżeniom KCSAN.

W jądrze Linuxa występuje podatność wyścigu w systemie plików CIFS, podczas łączenia się z drzewem IPC. Dostęp do pola hostname w strukturze TCP_Server_Info nie jest odpowiednio chroniony, co może prowadzić do jego zwolnienia w wątku cifsd i spowodować użycie po zwolnieniu w funkcji __tree_connect_dfs_target().

W jądrze Linuxa występuje podwójne zwolnienie (double free) wskaźnika xprt_ctxt w usłudze SUNRPC. Gdy żądanie RPC jest odroczone, wskaźnik jest przenoszony do svc_deferred_req, ale przy ponownym odroczeniu nie jest czyszczony, co prowadzi do podwójnego zwolnienia lub dodania do listy wolnych, co może spowodować awarię (oops).

W jądrze Linux wykryto podatność w module CIFS, która może prowadzić do awarii systemu (oops) podczas obsługi przerwania blokady oplock. Problem wynika z wyścigu między zamykaniem plików (deferred close) a przerwaniami dzierżawy, co może skutkować użyciem nieprawidłowego wskaźnika podczas odmontowywania systemu plików.

W jądrze Linux wykryto podatność w module sieciowym SMC (Shared Memory Communications). Funkcja smc_llc_srv_add_link() nie była odpowiednio chroniona, co mogło prowadzić do wyścigu i w rezultacie do paniki systemu (crash) podczas tworzenia drugiego łącza przez serwer.

W jądrze Linux w sterowniku mlx5e dla kart sieciowych Mellanox wykryto podatność prowadzącą do nieprawidłowego dostępu do bufora w trybie XSK dla legacy rq. Problem powoduje podwójne zwolnienie bufora w ścieżce XDP_REDIRECT, co może doprowadzić do awarii systemu (crash).

W jądrze Linux w module scsi: target: iscsit występuje podatność polegająca na tym, że polecenia z wpisów odzyskiwania są zwalniane po zamknięciu sesji, co prowadzi do użycia po zwolnieniu (use-after-free) lub błędu NULL pointer dereference. Poprawka przenosi czyszczenie wpisów odzyskiwania przed zwolnienie sesji.

W jądrze Linux w sterowniku SCSI qla2xxx wykryto problemy po resecie układu (chip reset). Polecenia wysłane do firmware'u po resecie nie są zwalniane, a próby ich obsługi prowadzą do błędów BUG_ON oraz problemów z mapowaniem DMA.

W jądrze Linux w sterowniku SCSI qla2xxx występuje błąd polegający na nieprawidłowym zwalnianiu elementu purex. Funkcja qla2xxx_process_purls_iocb() używa kfree() zamiast qla24xx_free_purex_item(), co może prowadzić do uszkodzenia pamięci, gdy element pochodzi z puli prealokowanej.

W jądrze Linux wykryto podatność powodującą uszkodzenie buforów skb podczas segmentacji list fragmentów. Problem występuje, gdy pakiety przetworzone przez rx-gro-list są przekazywane przez most zarówno do lokalnego wejścia, jak i do urządzenia wyjściowego (tun), co prowadzi do niebezpiecznego zapisu do sklonowanych buforów ze współdzielonymi nagłówkami. Skutkuje to błędami krytycznymi, takimi jak dereferencja pustego wskaźnika.

W jądrze Linux w sterowniku ixgbe wykryto podatność powodującą panikę systemu podczas korzystania z XDP_TX na maszynach z więcej niż 64 procesorami. Problem wynika z nieprawidłowego indeksowania pierścieni XDP TX, które nie uwzględnia ograniczenia do 64 pierścieni (cpu % 64), co prowadzi do odwołania poza zakres tablicy i dereferencji pustego wskaźnika. Dodatkowo, mechanizm blokady (ixgbe_xdp_locking_key) jest niepoprawnie dekrementowany podczas zmiany konfiguracji, co umożliwia wystąpienie błędu.

W jądrze Linuxa w kliencie SMB (cifs) występuje problem z brakującym zliczaniem referencji sesji. Użyto nowego pomocnika cifs_smb_ses_inc_refcount(), aby uzyskać aktywne referencje do sesji i dfs_root_ses, co zapobiega use-after-free.