Podatności Linux kernel

W jądrze Linux w systemie plików Ceph funkcja parse_longname() używa strrchr() na ciągu, który nie jest zakończony znakiem NUL. Może to prowadzić do nieprawidłowego działania lub potencjalnych problemów bezpieczeństwa.

W jądrze Linux, w module sunrpc, wykryto lukę w obsłudze alertów TLS po stronie serwera. Funkcja tls_alert_recv() błędnie zakłada, że może odczytać dane z iteratora msg, co prowadzi do problemów z przetwarzaniem komunikatów sterujących TLS.

W jądrze Linux, w module ksmbd, wykryto wyścig dotyczący Preauh_HashValue. Gdy klient wysyła wiele żądań sesji, może dojść do nieprawidłowego zwalniania pamięci Preauh_HashValue.

W jądrze Linux w architekturze x86/SEV-SNP odkryto podatność na niespójność pamięci podręcznej. Wymaga ona ręcznego usuwania linii pamięci podręcznej podczas walidacji pamięci po zmianie strony na prywatną. Łagodzenie polega na dotknięciu pierwszego i ostatniego bajtu każdej strony 4K.

W jądrze Linux w module ksmbd dodano walidację rozmiaru żądań poleceń. Wcześniej, z wyjątkiem polecenia SMB2_OPLOCK_BREAK_HE, nie sprawdzano rozmiaru żądań innych poleceń, co mogło prowadzić do nieprawidłowego przetwarzania.

W jądrze Linux naprawiono podatność w ksmbd: odczyt poza zakresem w funkcji smb2_sess_setup. ksmbd nie uwzględnia przypadku, gdy ustawienie sesji SMB2 jest w żądaniu złożonym. Jeśli jest to drugi ładunek w żądaniu złożonym, występuje problem odczytu poza zakresem podczas przetwarzania pierwszego ładunku.

W jądrze Linuxa występuje podatność w ksmbd, która polega na braku walidacji identyfikatora sesji i drzewa w żądaniach złożonych. Jeśli pierwsza operacja w żądaniu złożonym to SMB2 ECHO, walidacja jest pomijana, co może prowadzić do odwołania do wskaźnika NULL i awarii systemu.

W jądrze Linux w module ksmbd dodano zabezpieczenie, które uniemożliwia korzystanie z konta gościa w trybie multichannel. Jeśli sesja jest powiązana z gościem, serwer zwraca błąd STATUS_NOT_SUPPORTED.

W jądrze Linux w stosie MPTCP występują wyścigi między awarią subflow a tworzeniem nowego subflow. Problem rozwiązano przez dodanie osobnego flagi chronionej blokadą fallback, która zapobiega tworzeniu dodatkowych subflow w określonych stanach gniazda.

W jądrze Linux w sterowniku sieciowym libwx struktura wx_rx_buffer zawiera dwa pola DMA ('dma' i 'page_dma'), ale tylko 'page_dma' jest inicjalizowane. Użycie niezainicjalizowanego 'dma' może prowadzić do błędów DMA lub use-after-free.

W jądrze Linux wykryto podatność w kliencie SMB (cifs) prowadzącą do użycia po zwolnieniu (use-after-free) struktury cinode podczas odłączania systemu plików. Problem występuje w funkcji cifs_oplock_break() z powodu wyścigu, gdy umount zwalnia superblok przed zakończeniem operacji przerwania oplocka.

W jądrze Linux w sterowniku libwx wykryto podwójne zwolnienie strony w funkcji page_pool_put_full_page(), co prowadzi do paniki jądra. Problem występuje, gdy funkcja jest wywoływana w nieodpowiednim momencie, powodując uszkodzenie listy i awarię systemu.

W jądrze Linux wykryto podatność use-after-free w funkcji crypt_message modułu klienta SMB. Problem pojawia się, gdy używane są sprzętowe akceleratory kryptograficzne, które wykonują operacje asynchronicznie. Po usunięciu obsługi asynchronicznej w łatce CVE-2024-50047, bufor żądania jest zwalniany przed zakończeniem operacji kryptograficznej, co prowadzi do awarii jądra.

W jądrze Linux wykryto podatność use-after-free w funkcji rpl_do_srh_inline() w module RPL (Routing Protocol for Low-Power and Lossy Networks). Funkcja pobiera wskaźnik do nagłówka IPv6, a następnie po wywołaniu skb_cow_head() uzyskuje do niego dostęp, co może prowadzić do użycia zwolnionej pamięci. Problem został załatany poprzez zmianę wskaźnika na lokalną strukturę.

W jądrze Linux wykryto błąd w module nf_conntrack, który powoduje awarię systemu podczas usuwania niezainicjalizowanego wpisu z tablicy mieszającej. Problem wynika z wyścigu, w którym potwierdzony wpis (IPS_CONFIRMED) jest usuwany zanim zostanie dodany do tablicy, co prowadzi do dereferencji wskaźnika.

W jądrze Linux w podsystemie TLS wykryto błąd use-after-free podczas odczytu gniazda. Po zmianach w TCP, które agresywniej kompaktują pakiety, TLS może próbować operować na już zwolnionym buforze (skb) podczas sprawdzania stanu deszyfrowania kolejki.

W jądrze Linuxa w sterowniku bnxt_en wykryto podatność polegającą na nieprawidłowym ustawieniu długości dla operacji DMA unmap podczas przesyłania pakietów XDP_REDIRECT. Błąd powoduje ostrzeżenie i potencjalne problemy w systemach z włączonym IOMMU.

W jądrze Linux w NFSD, funkcja nfsd4_spo_must_allow() nie sprawdza, czy żądanie jest komendą v4 compound. Jeśli nie jest, analiza cstate może dać niezdefiniowane wyniki.

W jądrze Linux w sterowniku MHI EP występuje błąd kolejności operacji: wskaźnik odczytu (rd_offset) jest aktualizowany przed zapisaniem bufora. Może to prowadzić do sytuacji wyścigu, w której host widzi zaktualizowany wskaźnik przed pełnym zapisaniem elementu, co grozi uszkodzeniem danych.

W jądrze Linux w podsystemie netfs wykryto błąd podwójnego zwolnienia referencji (double put) żądania. Jeśli żądanie netfs zakończy się podczas pętli pauzy, flaga IN_PROGRESS jest usuwana, ale późniejsza pętla oczekiwania może ponownie zwolnić referencję, prowadząc do nieprawidłowego zachowania.

W jądrze Linux w systemie plików Btrfs wykryto błąd wyścigu między zmianą nazwy pliku a logowaniem katalogu. W wyniku tego błędu, po awarii systemu przed zakończeniem zmiany nazwy, podczas odtwarzania dziennika może dojść do usunięcia pliku, który był przenoszony.

W jądrze Linux w serwerze ksmbd (SMB) funkcja free_transport dla połączeń TCP może być wywoływana z kontekstu smbdirect, co powoduje kernel oops. Dodano operację free_transport w strukturze połączenia oraz oddzielne implementacje dla TCP i smbdirect.

W jądrze Linuxa w sterowniku bnxt_en wykryto podatność polegającą na nieprawidłowym opróżnianiu list przekierowań XDP. Błąd prowadzi do uszkodzenia listy dwukierunkowej, co może skutkować awarią systemu (kernel panic) podczas przetwarzania ruchu XDP_REDIRECT.

W jądrze Linux w podsystemie RDMA/iwcm odkryto podatność use-after-free na obiektach roboczych po zniszczeniu cm_id. Problem pojawia się, gdy ostatnie odwołanie do cm_id jest usuwane w kontekście procedury obsługi zdarzeń, co prowadzi do wycieku pamięci i potencjalnego wykonania kodu.

W jądrze Linuxa wykryto podatność w sterowniku nvme-tcp, gdzie nieprawidłowe zarządzanie zestawem tagów (tag set) podczas konfiguracji drugiej kolejki administracyjnej prowadzi do błędu use-after-free. Problem pojawia się, gdy pierwsze wywołanie nvme_tcp_configure_admin_queue() kończy się sukcesem, a drugie (dla bezpiecznej konkatenacji) zawodzi, co skutkuje brakiem usunięcia zestawu tagów i późniejszym dostępem do zwolnionej pamięci.

W jądrze Linux w module openvswitch wykryto podatność powodującą nieskończoną pętlę podczas parsowania pakietów MPLS. Nieoczekiwany pakiet MPLS może nie zawierać znacznika końca stosu etykiet, co przy dużej liczbie etykiet prowadzi do zawinięcia licznika i zapętlenia, skutkującego zawieszeniem procesora (soft lockup).

W jądrze Linux wykryto podatność w mechanizmie ponawiania zapisu netfs. Błędne resetowanie iteratora podzadania może prowadzić do odczytu poza dozwolonym obszarem pamięci (slab-out-of-bounds), co objawia się błędem KASAN.

W jądrze Linux w sterowniku WWAN t7xx występuje problem w obsłudze NAPI RX poll: po odłączeniu interfejsu sieciowego (dellink) netdev jest zwalniany, ale w trakcie przetwarzania skb w pollingu używany jest nieprawidłowy netdev, co prowadzi do paniki jądra (NULL pointer dereference).

W jądrze Linux w module netfilter nf_set_pipapo_avx2 występuje błąd w inicjalizacji mapy startowej: jeśli pierwsze pole nie pokrywa całej mapy, pozostałe bity nie są zerowane, co powoduje wyciek tych bitów do następnej rundy dopasowania. Poprawka dla implementacji C była niekompletna.

W jądrze Linux, w module sunrpc, wykryto lukę umożliwiającą zdalne wywołanie awarii. Specjalnie spreparowany pakiet może spowodować, że SVC_GARBAGE zostanie zwrócone bez ustawienia wskaźnika rq_accept_statp, co prowadzi do dereferencji NULL i awarii systemu.

W jądrze Linux w podsystemie SCSI target iSCSI wykryto błąd powodujący wyścig czasomierzy NOPIN. Po usunięciu połączenia czasomierz odpowiedzi NOPIN może zostać ponownie uruchomiony, co prowadzi do dereferencji pustego wskaźnika i awarii systemu.

W jądrze Linuxa wykryto podatność w mechanizmie BPF, gdzie funkcja bpf_redirect_peer nie czyści (scrub) przekierowywanych pakietów. Powoduje to, że informacje z jednej przestrzeni nazw sieciowych (netns) mogą być wykorzystane w innej, co prowadzi do błędów w działaniu, np. do odrzucania ruchu IPsec przez Cilium.

W sterowniku Ethernet mtk_eth_soc (Linux kernel) wykryto błąd prowadzący do paniki systemu przy użyciu 4GB+ RAM. Funkcja mtk_poll_rx() nieprawidłowo obsługiwała flagę MTK_RESETTING, co powodowało przetwarzanie błędnego deskryptora SDP i panikę.

W jądrze Linux rozwiązano podatność use-after-free w uwierzytelnianiu Kerberos w module ksmbd. Ustawienie sess->user = NULL miało naprawić wiszący wskaźnik po ksmbd_free_user, ale inny wątek może użyć sess->user po przekazaniu go do ksmbd_free_user, a przed ustawieniem wartości NULL.

W jądrze Linuxa wykryto podatność w funkcjach wyszukiwania gniazd sieciowych, gdzie wskaźnik do struktury inet_timewait_sock może być błędnie traktowany jako zwykłe gniazdo. Użycie funkcji sock_put() zamiast sock_gen_put() dla gniazd w stanie TCP_TIME_WAIT prowadzi do naruszenia pamięci i awarii systemu.

W jądrze Linux, w module 9p/net, wykryto lukę związaną z nieprawidłowym obsługiwaniem ujemnych odpowiedzi na odczyt/zapis. Serwer może odpowiedzieć sukcesem z ujemną liczbą bajtów, co prowadzi do błędów w porównaniach i potencjalnego dereferencji wskaźnika NULL.

W jądrze Linux w podsystemie NVMe target (nvmet) istnieje podatność na użycie po zwolnieniu (UAF) w funkcji nvmet_req_complete(). Implementacja operacji queue_response() może zwolnić żądanie przekazane jako argument, a następnie funkcja percpu_ref_put() może odwoływać się do zwolnionego wskaźnika. Poprawka polega na zapisaniu wskaźnika sq w zmiennej lokalnej przed wywołaniem __nvmet_req_complete(), aby uniknąć dereferencji zwolnionego wskaźnika.

W jądrze Linuxa w module ceph występuje podatność polegająca na podwójnym zwolnieniu pamięci (double-free) podczas nieudanego dekodowania snapów. Może to prowadzić do przypadkowego użycia po zwolnieniu (use-after-free) lub wywołania BUG_ON.

W jądrze Linux w podsystemie ksmbd (serwer SMB) występuje problem z wiszącym wskaźnikiem w funkcji krb_authenticate. Funkcja zwalnia sess->user, ale nie ustawia wskaźnika na NULL. Następnie wywołuje ksmbd_krb5_authenticate, która może nie zainicjalizować sess->user, co prowadzi do dostępu do zwolnionej pamięci w smb2_sess_setup.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w kliencie SMB podczas deszyfrowania przy użyciu wielu kanałów. Po zmianach w kodzie, kanały zaczęły współdzielić klucz kryptograficzny (AEAD TFM) z kanału głównego, co prowadzi do jednoczesnego dostępu z wielu wątków i wyścigu, skutkującego odwołaniem do zwolnionej pamięci.

W jądrze Linux w podsystemie netfilter nfnetlink_queue stwierdzono użycie niezainicjalizowanej zmiennej 'ctx' w funkcji nfqnl_build_packet_message(). Może to prowadzić do błędów alokacji pamięci.

W jądrze Linux w sterowniku RDMA erdma funkcja erdma_accept_newconn() wywołuje erdma_cep_put() na strukturze new_cep, a następnie kontynuuje jej używanie. Prowadzi to do błędu use-after-free (UAF), ponieważ pamięć może zostać zwolniona przed dalszym dostępem.

W jądrze Linux wycofano łatkę CVE-2024-54680, która miała naprawić problem zablokowania timerów TCP po usunięciu modułu CIFS. Okazało się, że łatka nie rozwiązywała problemu, a wręcz wprowadziła nową lukę: wyciek gniazd TCP w stanie FIN_WAIT_1, prowadzący do wyczerpania limitów gniazd osieroconych (tcp_max_orphans).

W jądrze Linuxa, w ksmbd, występuje błąd dereferencji wskaźnika null w funkcji alloc_preauth_hash(). Klient wysyła nieprawidłowe żądanie negocjacji SMB2, ksmbd zwraca błąd, ale klient może następnie wysłać żądanie sesji SMB2, mimo że conn->preauth_info nie zostało przydzielone. Łatka dodaje status połączenia KSMBD_SESS_NEED_SETUP, aby ignorować żądania sesji, jeśli faza negocjacji SMB2 nie została zakończona.

W jądrze Linux w podsystemie netfilter funkcja nf_sk_lookup_slow_v6 nie wykonuje wyszukiwania w tablicy conntrack dla spakietów IPv6 poddanych SNAT, w przeciwieństwie do wersji IPv4. Powoduje to, że reguły xt_socket z opcją --transparent nie działają dla ruchu IPv6 po translacji adresów.

W podsystemie netfs jądra Linux wykryto błąd w funkcji read_collect. Gdy wiele podżądań przekazywało dane do tego samego żądania, nadpisywały one pole prev_donated, powodując uszkodzenie danych i panikę BUG().

W jądrze Linux w mechanizmie netmem brakuje zabezpieczenia przed przesyłaniem (xmit) pakietów, które są nieczytelne dla CPU (unreadable netmem). Przekazanie takiego pakietu do sterownika sieciowego może spowodować wywołanie funkcji DMA na nieprawidłowych adresach.

W jądrze Linux, w module nvme-tcp, wykryto podatność na uszkodzenie pamięci w funkcji nvme_tcp_recv_pdu(). Funkcja nie sprawdza poprawności długości nagłówka, co może pozwolić atakującemu na zapis danych poza przydzielonym obszarem pamięci.

W jądrze Linux w podsystemie CIFS (klient SMB) występuje błąd prowadzący do paniki (oops) z powodu niewyzerowanego wskaźnika server->smbd_conn podczas ponownego połączenia. W funkcji smbd_destroy() wskaźnik nie jest czyszczony po zwolnieniu struktury smbd_connection, co może powodować dezorientację przy próbie ponownego połączenia.