Podatności Linux kernel

W jądrze Linux w module nvmet-tcp brakowało sprawdzenia zakresu dla Transfer Tag (ttag), który jest używany jako indeks do tablicy poleceń. Dodano kontrolę granic, aby zapobiec dostępowi poza zakresem.

W jądrze Linux w frameworku kryptograficznym aead występuje problem z obsługą pola cra_reqsize. Użycie cra_reqsize zamiast crypto_aead_set_reqsize() prowadzi do uszkodzenia pamięci i awarii.

W jądrze Linux w systemie plików Btrfs wykryto podatność prowadzącą do podwójnego zwolnienia pamięci (double free) struktury qgroup record. Problem występuje, gdy funkcja add_delayed_ref_head() zgłasza błąd po tym, jak rekord został już dodany do śledzenia przez btrfs_qgroup_trace_extent_nolock(), co powoduje, że zarówno wywołujący, jak i wywoływany próbują zwolnić tę samą pamięć.

W jądrze Linux w funkcji enc_dec_hypercall() zmieniono parametr z liczby stron na rozmiar w bajtach. Poprzednia wersja wymuszała zaokrąglanie w górę, co powodowało błędne oznaczanie stron jako odszyfrowanych podczas migracji na żywo, prowadząc do trwałego uszkodzenia danych.

W jądrze Linux w module ceph wykryto potencjalną podatność typu use-after-free podczas przycinania limitów (caps). Po zwolnieniu blokady 'session->s_cap_lock' inny wątek może usunąć cap, a użycie nieaktualnej pamięci w callbackach prowadzi do awarii. Poprawka sprawdza istnienie cap po uzyskaniu blokady 'ci->i_ceph_lock'.

W jądrze Linux w interfejsie veth występuje wyścig związany z sekcją xdp_no_direct. Po zakończeniu NAPI inny procesor może uruchomić nową instancję NAPI, co prowadzi do współbieżnego dostępu do kontekstu BPF i potencjalnego wyścigu.

W sterowniku atlantic dla kart sieciowych Aquantia w systemie Linux wykryto podatność polegającą na braku sprawdzania liczby fragmentów w ścieżce odbioru pakietów. Pakiety z więcej niż 17 fragmentami powodują zapis poza zakresem w funkcji skb_add_rx_frag_netmem(), co prowadzi do paniki jądra.

W jądrze Linux w bibliotece libceph wykryto podatność use-after-free w funkcji have_mon_and_osd_map(). Brak synchronizacji przy dostępie do map monmap i osdmap może prowadzić do odwołania do już zwolnionej pamięci, co objawia się błędem KASAN.

W jądrze Linux w bibliotece libceph funkcja handle_auth_session_key() nie sprawdza poprawności długości danych pochodzących z sieci. Pole len pochodzi z niezaufanych pakietów, co może prowadzić do zapisu poza zakresem pamięci podczas deszyfrowania sekretu połączenia lub przetwarzania biletów serwisowych.

W jądrze Linux rozwiązano podatność w module ksmbd: ipc — use-after-free w funkcji ipc_msg_send_request. Funkcja ipc_msg_send_request() oczekuje na odpowiedź generic netlink, używając wpisu ipc_msg_table_entry na stosie; uchwyt generic netlink wypełnia entry->response pod ipc_msg_table_lock, ale ipc_msg_send_request() walidował i zwalniał entry->response bez trzymania tego samego zamka. Przy dużej współbieżności prowadzi to do wyścigu, w którym handle_response() kopiuje dane do entry->response, gdy ipc_msg_send_request() właśnie je zwolnił, co skutkuje slab-use-after-free zgłaszanym przez KASAN.

W jądrze Linux w sterowniku sieci USB qmi_wwan funkcja qmimux_rx_fixup nie inicjalizuje offsetu nagłówka MAC dla pakietów IP surowych (raw IP). Powoduje to, że skb->mac_header pozostaje niezainicjalizowany, co może wywołać panikę jądra na architekturze ARM64 przy dostępie do tego offsetu przez podsystemy takie jak xfrm.

W sterowniku mlx5e (Linux kernel) wykryto błąd w obsłudze buforów XDP dla striding RQ. Programy XDP mogą zmieniać układ xdp_buff, ale sterownik zakładał niezmienność, co prowadziło do generowania błędnych skb lub wyzwalania ostrzeżenia jądra.

W jądrze Linux, w module nvmet-fc, wykryto problem z podwójnym planowaniem usuwania asocjacji. Przy wymuszonym wyłączeniu portu przez configfs, obie funkcje nvmet_port_del_ctrls() i nvmet_disable_port() mogą zaplanować usunięcie tej samej asocjacji, co prowadzi do podwójnego zwolnienia zasobów.

W jądrze Linux w podsystemie RDMA/siw naprawiono błąd polegający na tym, że zniszczenie kolejki QP nie czekało na zwolnienie wszystkich referencji. Opóźniono zakończenie niszczenia QP do momentu, aż wszystkie referencje zostaną zwolnione, aby uniknąć użycia po zwolnieniu (use-after-free).

W jądrze Linux w module cifs występuje problem z kontrolą stanu sesji podczas ponownego łączenia, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka zapobiega zbieraniu kończącej sesji w smb2_reconnect_server(), ponieważ będzie ona wkrótce zwolniona.

W jądrze Linux w module sev-guest zastosowano podwójne buforowanie wiadomości. Wcześniej algorytmy szyfrowania odczytywały i zapisywały bezpośrednio do współdzielonej niezabezpieczonej pamięci, co mogło prowadzić do wycieku informacji oraz umożliwiać hostowi manipulację integralnością wiadomości.

W jądrze Linuxa w cifs istnieje podatność na use-after-free w TCP_Server_Info::hostname. Pole hostname może być aktualizowane podczas reconnect, więc ochrona dostępu poza ścieżką reconnect zapobiega potencjalnym błędom use-after-free.

W kliencie SMB (cifs) w jądrze Linux wykryto potencjalną podatność use-after-free w funkcji smb2_query_info_compound. Podczas ponawiania operacji wcześniej przydzielony cfid mógł zostać zwolniony, a brak resetowania wskaźnika prowadził do użycia po zwolnieniu.

W jądrze Linux w sterowniku NVMe over Fabrics (nvme-fc) występuje podatność polegająca na błędnej kolejności wywołań podczas usuwania kontrolera. Funkcja `nvme_fc_delete_association()` może spowodować zakolejkowanie pracy `->ioerr_work` po tym, jak `cancel_work_sync()` już ją anulował, co prowadzi do uszkodzenia listy i paniki jądra.

W jądrze Linux w funkcji nfsd_set_fh_dentry() występuje wyciek referencji. Gdy klient NFSv3 (lub v2) użyje uchwytu pliku z pseudokorzeniowego systemu plików, eksport jest przechowywany w svc_fh, ale referencja jest zwalniana, co prowadzi do podwójnego zwolnienia i potencjalnego use-after-free.

W jądrze Linux w mechanizmie TLS, gdy funkcja tls_strp_msg_hold nie powiedzie się dla asynchronicznego odszyfrowania, może dojść do użycia po zwolnieniu (UAF) skb lub zapisu do pamięci użytkownika po zakończeniu recv().

W jądrze Linux w module CIFS funkcja parse_dfs_referrals nie sprawdza poprawności odpowiedzi z serwera SMB. Złośliwy serwer może wysłać odpowiedź mniejszą niż oczekiwana lub z nieprawidłową liczbą odnośników, co prowadzi do odczytu poza zakresem pamięci (out-of-bounds).

W stosie IPv4 jądra Linux zmieniono funkcje icmpv4_xrlim_allow() i ip_defrag(), aby zapobiec potencjalnej podatności use-after-free. Dodano również użycie dst_dev_rcu() z obsługą lockdep w kilku innych funkcjach.

W jądrze Linux w kliencie SMB (smb2_compound_op()) występuje błąd indeksowania podczas przetwarzania odpowiedzi na złożone żądania. Użycie nieprawidłowych indeksów może prowadzić do nieprawidłowego przetwarzania wyników oraz, w przypadku przekroczenia limitu MAX_COMPOUND, do odczytu/zapisu poza zakresem pamięci.

W jądrze Linuxa wykryto podatność w sterowniku sieciowym 'ice' (Intel Ethernet Connection), powodującą wyciek stron pamięci podczas obsługi ramek wielobufrowych. Problem występuje, gdy sprzęt dostarcza deskryptor o rozmiarze 0, co prowadzi do pominięcia zwolnienia bufora i utraty strony w pierścieniu RX.

W jądrze Linux występuje luka w obsłudze TLS, gdzie przy zbyt małym buforze gniazda dane są odczytywane wcześniej, a nieprawidłowy nagłówek rekordu nie powoduje przerwania strumienia. Powtarzające się parsowanie i kopiowanie dodatkowych danych może doprowadzić do przepełnienia przydzielonej przestrzeni skb.

W jądrze Linux w module ksmbd (serwer SMB) wykryto podatność w obsłudze transferu danych przez SMBDirect. Nieprawidłowe wartości pól data_offset i data_length w strukturze smb_direct_data_transfer mogą prowadzić do odczytu lub zapisu poza zakresem pamięci.

W jądrze Linux w kliencie SMB funkcja recv_done nie weryfikowała poprawności pól data_offset, data_length i remaining_data_length. Może to prowadzić do błędów w obsłudze odpowiedzi serwera.

W jądrze Linuxa w sterowniku SMB klienta (cifs) wykryto podatność polegającą na braku synchronizacji podczas niszczenia połączenia RDMA. Funkcja smbd_destroy() nie czeka na zakończenie pracy post_send_credits_work, co może prowadzić do użycia pamięci po jej zwolnieniu i wywołania błędu w stosie RDMA (rxe).

W jądrze Linux w module TIPC podczas negocjacji MTU łącza złośliwy peer może wysłać wiadomość Activate z bardzo małą wartością MTU (np. 4). Bez sprawdzenia minimalnego MTU, wartość ta jest ustawiana jako MTU łącza, co prowadzi do przepełnienia liczby całkowitej przy obliczaniu rozmiaru wiadomości i może spowodować awarię systemu.

W jądrze Linux w bibliotece libceph wykryto błąd nieprawidłowego dostępu do unii ceph_connection_v1_info. Kod ogólny w messenger.c odczytuje i zapisuje do członka v1 unii bez sprawdzania, czy jest on aktywny (czy używany jest msgr1). Może to prowadzić do odczytu nieprawidłowych wartości lub zapisu do nakładających się pól.

W sterowniku SCSI lpfc (Linux kernel) wykryto okno use-after-free w ścieżce odroczonego odbioru. Błąd wynikał z nieprawidłowej kolejności zwalniania bufora RQ i czyszczenia wskaźnika kontekstu, co mogło prowadzić do podwójnego zwolnienia lub UAF.

W jądrze Linuxa w NFSD istnieje podatność na przepełnienie bufora wysyłki w NFSv2 READ. Klient może wysłać nadmiernie duży rekord RPC, co powoduje zmniejszenie bufora odpowiedzi i uniemożliwia skonstruowanie pełnego maksymalnego rozmiaru odpowiedzi, co może prowadzić do przepełnienia bufora.

W jądrze Linux wykryto podatność w module sieciowym SMC (Shared Memory Communications). Podczas próby użycia protokołu SMCRv2, a następnie przejścia na SMCRv1, nie są resetowane zasoby przypisane do połączenia, co prowadzi do odwołania do nieprawidłowego wskaźnika i awarii systemu (kernel NULL pointer dereference).

W jądrze Linuxa w NFSv4.2 występuje problem z podwójnym zwalnianiem bufora scratch w READ_PLUS. Poprawka przenosi obsługę scratch do kodu pageio, co zapobiega podwójnemu zwolnieniu i awarii (oops) podczas dekodowania segmentów dziur.

W jądrze Linux w podsystemie lwt (lightweight tunnels) występuje problem z wartościami zwracanymi przez operacje BPF xmit. Funkcje skb_do_redirect i bpf_lwt_xmit_reroute mogą zwracać różne dodatnie wartości, które są błędnie interpretowane jako LWTUNNEL_XMIT_CONTINUE, co prowadzi do użycia po zwolnieniu (UAF) i awarii jądra. Poprawka polega na ignorowaniu wartości zwracanych przez skb_do_redirect i konwersji wartości z bpf_lwt_xmit_reroute.

W jądrze Linuxa wykryto wyścig między funkcją login_work a wątkiem logowania w podsystemie iSCSI target. Złośliwy inicjator może wysłać dane po PDU logowania, co powoduje, że login_work nie kończy działania i po zerwaniu połączenia dochodzi do dereferencji zwolnionej struktury, prowadzącej do awarii jądra.

W jądrze Linuxa w NFSD istnieje podatność na przepełnienie bufora wysyłki w NFSv2 READDIR. Przywrócono poprzedni limit argumentu @count, aby zapobiec atakowi przepełnienia bufora.

W jądrze Linux w sterowniku RDMA/siw wykryto błąd w funkcji siw_tcp_sendpages, gdzie nieprawidłowo ustawiano licznik bajtów w iov_iter oraz wywołaniu tcp_sendmsg_locked. Powodowało to wysyłanie zbyt dużych iteracji, co przy zmianach w alokatorze pamięci prowadziło do odczytów poza zakresem i awarii systemu.

W sterowniku s390/ism dla ISM w jądrze Linuxa brakuje synchronizacji dla sekwencji żądanie-odpowiedź, co pozwala na równoczesne wysyłanie wielu komend do jednej funkcji ISM. Może to prowadzić do nadpisywania danych wejściowych, błędów DMA i przejścia funkcji w stan błędu (PEC 2/3A), co skutkuje przerwaniem istniejących połączeń i brakiem możliwości korzystania z urządzenia dla nowych żądań.

W jądrze Linux wykryto podatność w warstwie HSR (High-availability Seamless Redundancy), która powoduje panikę jądra (kernel BUG) podczas przetwarzania ramek HSR z niekompletnym tagiem. Brak odpowiedniego sprawdzenia długości ramki przed próbą dodania tagu HSR prowadzi do przepełnienia bufora skb (skb_under_panic).

W jądrze Linux w sterowniku ppp funkcja ppp_fill_forward_path() zawierała dwa wyścigi (race conditions). Lista kanałów mogła się zmieniać bez blokady, a wskaźnik pch->chan mógł być NULL, co prowadziło do paniki jądra.

W jądrze Linux w podsystemie CIFS (SMB) funkcja smb3_init_transform_rq() używa niezainicjalizowanej zmiennej 'buffer', co może prowadzić do błędu (oops) podczas alokacji bufora folio.

W jądrze Linux w module SMC (Shared Memory Communications) wykryto podatność Use-After-Free (UAF). Problem występuje, gdy po wywołaniu smc_listen_out_connected() gniazdo newclcsock->sk staje się NULL, ponieważ aplikacja może zamknąć gniazdo natychmiast po zaakceptowaniu połączenia. Prowadzi to do dereferencji wskaźnika NULL podczas próby inkrementacji statystyk SMC.

W jądrze Linux wykryto podatność w module CIFS, która podczas montowania udziału do serwera ksmbd może prowadzić do odczytu poza dozwolonym obszarem pamięci (slab out-of-bounds). Problem wynika z brakującego sprawdzenia w funkcji parse_server_interfaces().

W jądrze Linux w serwerze NFS (nfsd) funkcja nfsd4_setclientid_confirm() nie sprawdza wartości zwracanej przez get_client_locked(). Wyścig z wygasającym klientem może prowadzić do użycia po zwolnieniu (UAF).

W jądrze Linux w sterowniku DRBD brakuje wywołania kref_get w funkcji handle_write_conflicts, gdy włączona jest opcja two-primaries. Prowadzi to do przedwczesnego zniszczenia urządzenia i użycia po zwolnieniu.

W jądrze Linuxa rozwiązano podatność związaną z obsługą żądań deszyfrowania w trybie synchronicznym. Oddzielono obsługę żądań deszyfrowania bez asynchroniczności od asynchronicznych, co upraszcza proces i eliminuje problemy z liczeniem referencji.