Podatności Linux kernel

W podsystemie NVMe over Fabrics (nvmet) jądra Linux wykryto błąd prowadzący do awarii podczas wyłączania przestrzeni nazw. Licznik percpu chroniący oczekujące I/O nie był odpowiednio obsługiwany, co powodowało crash przy próbie wyłączenia przestrzeni nazw z aktywnym I/O.

W jądrze Linux w sterowniku RDMA/rxe występuje ostrzeżenie podczas czyszczenia zasobów, gdy przydzielono zbyt wiele zasobów rdma. Obecny limit czasu jest zbyt krótki, aby poprawnie zwolnić wszystkie zasoby, co prowadzi do wyświetlenia ostrzeżenia.

W jądrze Linux w sterowniku RDMA rtrs brakuje wywołania funkcji deinit() podczas odłączania, co powoduje, że procedura rejestracji handlera zdarzeń IB nie jest cofana. Prowadzi to do uszkodzenia listy (list corruption) przy wielokrotnym łączeniu i rozłączaniu.

W jądrze Linux w systemie plików NFSD wykryto podatność polegającą na użyciu pamięci po zwolnieniu (use-after-free). Gdy pobranie acl_default się nie powiedzie, oba wskaźniki acl_access i acl_default są zwalniane, ale acl_access nadal przechowuje wskaźnik do zwolnionej struktury posix_acl, co prowadzi do ostrzeżenia i paniki jądra.

W jądrze Linux stwierdzono podatność w funkcji ndisc_send_skb(), która może być wywoływana bez blokady RTNL lub RCU. Brak odpowiedniej ochrony RCU umożliwia użycie po zwolnieniu (UAF) podczas uzyskiwania dostępu do struktury sieciowej urządzenia.

W jądrze Linuxa występuje podatność w funkcji igmp6_send() w stosie IPv6, która może być wywoływana bez trzymania RTNL lub RCU. Brak odpowiedniej ochrony RCU może prowadzić do użycia po zwolnieniu (UAF) podczas pobierania wskaźnika sieci. Poprawka rozszerza ochronę RCU i zmienia sposób alokacji skb, aby uniknąć problemów z usypianiem.

W jądrze Linuxa w funkcji mld_newpack() brakowało ochrony RCU, co mogło prowadzić do wyścigów danych. Poprawka zastępuje wywołanie sock_alloc_send_skb() przez alloc_skb() z odpowiednim obciążeniem gniazda pod ochroną RCU.

W jądrze Linux, w module ksmbd, wykryto podatność na przepełnienie liczb całkowitych na systemach 32-bitowych. Operacje dodawania w ipc_msg_alloc() mogą prowadzić do przepełnienia i potencjalnego uszkodzenia pamięci.

W jądrze Linuxa w sterowniku PCI dwc ep występuje podatność polegająca na braku zabezpieczenia przed zmianą rozmiaru lub flag BAR w funkcji pci_epc_set_bar(). Pozwala to na ustawienie nowego rozmiaru BAR, który jest mniejszy niż rozmiar określony przez hosta, co może umożliwić odczyt pamięci spoza nowego zakresu.

W jądrze Linux w implementacji MPTCP wykryto podatność polegającą na nieprawidłowym zarządzaniu stanem opcji podrzędnych. Zerowanie maski bitowej przed parsowaniem nie zapewnia spójności stanu, co prowadzi do użycia niezainicjalizowanych pól bitowych i może skutkować błędem KMSAN.

W jądrze Linux naprawiono podatność w module netfilter conntrack, gdzie po wstawieniu wpisu conntrack może dojść do kolizji, co prowadzi do zwolnienia skb->_nfct i ustawienia go na już potwierdzony wpis. Problem nie był wcześniej wykrywany ze względu na opóźnione zwalnianie pamięci i konieczność włączenia zdarzeń.

W jądrze Linux w podsystemie NFSv4 występuje błąd polegający na zwolnieniu niezainicjalizowanej struktury nfs4_label podczas wyszukiwania referencji (referral lookup). Poprawka polega na przekazaniu już zaalokowanego atrybutu fattr wraz z nfs4_fs_locations i usunięciu kopiowania fattr, co naprawia awarię (crash) podczas operacji 'ls'.

W jądrze Linux w module DLM wykryto podatność powodującą nieprawidłowy odczyt pamięci (invalid read) podczas obsługi operacji odblokowania plików (plock). Błąd polega na tym, że struktura 'plock_op' jest rzutowana na 'plock_xop' i odczytywane są pola, które nie są dostępne w tej strukturze, co prowadzi do odczytu poza zakresem (slab-out-of-bounds). Poprawka polega na przeniesieniu pola 'callback' do 'struct plock_op', aby wskazywało, kiedy rzutowanie jest dozwolone.

W jądrze Linux w funkcji nfsd_file_put() w NFSD naprawiono potencjalne użycie po zwolnieniu (use-after-free). Funkcja nfsd_file_put_noref() może zwolnić obiekt @nf, więc nie należy go dereferencjonować po powrocie.

W jądrze Linux w funkcji svc_rdma_build_writes() w SUNRPC naprawiono problem przepełnienia segmentów RDMA. Dodano zabezpieczenie, aby zapobiec wychodzeniu poza tablicę segmentów w chunkach Write.

W jądrze Linux w funkcji nfssvc_decode_writeargs() w NFSD naprawiono problem niedomiaru (underflow) argumentu 'args->len'. Zmieniono typ na unsigned, aby zapobiec tej sytuacji.

W jądrze Linux w sterowniku kryptograficznym hisilicon/sec naprawiono problem z fallbackiem oprogramowania dla aead. Nieprawidłowe użycie wskaźnika subreq powodowało sporadyczne paniki systemu przy ustawieniu strony 64K.

W jądrze Linux w sterowniku bcmgenet wykryto problem z kolejnością operacji odczytu/zapisu rejestrów urządzenia. Kompilator GCC12 optymalizuje operacje na pamięci w sposób, który łamie zakładaną kolejność, co prowadzi do przekroczenia limitu czasu kolejki transmisyjnej i ostrzeżeń NETDEV WATCHDOG. Poprawka polega na użyciu bezpieczniejszych funkcji readl/writel zamiast wariantów relaxed.

W jądrze Linux w module rxrpc występuje wyścig między uruchomieniem timera wywołania a zniszczeniem wywołania, co może prowadzić do ponownego uruchomienia timera po zatrzymaniu i potencjalnego błędu (oops). Poprawka polega na przejęciu referencji do struktury rxrpc_call przed uruchomieniem timera.

W jądrze Linux w module net/tls naprawiono błąd slab-out-of-bounds w funkcji decrypt_internal. Problem wynikał z nieprawidłowego rozmiaru IV dla AES128-CCM, co powodowało odczyt poza przydzieloną pamięcią.

W jądrze Linuxa naprawiono podatność w sterowniku cifs, która mogła prowadzić do przepełnienia bufora podczas obsługi dowiązań symbolicznych. Problem wynikał z braku sprawdzenia, czy długość linku (link_len) nie przekracza rozmiaru bufora link_str. Dodano odpowiednie sprawdzenie.

W jądrze Linux w kliencie CIFS/SMB wykryto podwójne zwolnienie pamięci pola hostname w strukturze TCP_Server_Info. Problem występuje, gdy wątek cifsd podczas zamykania serwera nadal próbuje łączyć się z wieloma celami DFS, zanim zakończy pętlę, co prowadzi do wyścigu i podwójnego zwolnienia pamięci.

W jądrze Linux w module netfilter (nf_set_pipapo) występuje błąd w inicjalizacji mapy wypełnienia podczas wyszukiwania w zestawach. Początkowy bufor jest inicjowany na wszystkie jedynki, ale ograniczenie do rozmiaru pierwszego pola jest pomijane, co powoduje wyciek bitów do kolejnych rund i błędne wyniki dopasowania dla zestawów, gdzie pierwsze pole nie jest największe.

W sterowniku dwmac-tegra dla kontrolerów MGBE w jądrze Linuxa stwierdzono podatność polegającą na użyciu zakodowanego na stałe identyfikatora strumienia IOMMU (SID) dla kontrolera MGBE0, zamiast odczytywania go z drzewa urządzeń. Powoduje to przekazywanie nieprawidłowego SID do rejestru MGBE_WRAP_AXI_ASID0_CTRL dla innych kontrolerów (np. MGBE1), co prowadzi do przekroczeń czasu oczekiwania miękkiego przerwania (softirq) i paniki jądra.

W jądrze Linux w sterowniku RDMA/bnxt_re występuje problem z maksymalną liczbą SGE (Scatter-Gather Elements) dla żądań roboczych. Dla generacji P7 zgłaszane jest 13 SGE, ale struktura WQE może pomieścić tylko 6, co prowadzi do awarii ruchu i systemu.

W jądrze Linux w sterowniku gve brakuje zabezpieczenia w callbacku XDP XMIT NDO, który powinien sprawdzać, czy dedykowane kolejki XDP istnieją. Gdy program XDP nie jest zainstalowany lub interfejs jest w dół, może wystąpić dzielenie przez zero lub dostęp do pustego wskaźnika TX.

W jądrze Linux wykryto podatność w implementacji MPTCP, polegającą na błędnym obliczaniu długości opcji TCP, co prowadzi do przepełnienia bufora opcji. W pewnych okolicznościach opcja ADD_ADDR nie jest poprawnie wykluczana z opcją DSS, co powoduje uszkodzenie pamięci (nr_frags) i może doprowadzić do awarii systemu (paniki jądra).

W jądrze Linux wykryto podatność w protokole NET/ROM (netrom), gdzie funkcja nr_route_frame nie sprawdza długości bufora przed dostępem do danych. Może to prowadzić do odczytu niezainicjalizowanej pamięci, co zostało zgłoszone przez narzędzie Syzkaller.

W jądrze Linuxa w podsystemie RDMA/rtrs naprawiono błąd powodujący dereferencję wskaźnika NULL. Deklaracja listy 'ib_sge list' została przeniesiona poza blok 'always_invalidate', aby była dostępna w całej funkcji, co eliminuje awarię typu 'BUG: kernel NULL pointer dereference'.

W jądrze Linux w sterowniku virtio-net występuje błąd przepełnienia w funkcji virtnet_rq_alloc. Gdy fragment (frag) ma rozmiar jednej strony, a całkowity rozmiar bufora wraz z strukturą virtnet_rq_dma przekracza rozmiar strony, może dojść do przepełnienia, co prowadzi do awarii systemu lub błędów SCP.

W jądrze Linux w module virt: tdx-guest występuje podatność polegająca na tym, że w maszynach wirtualnych CoCo niegodny zaufania host może spowodować niepowodzenie funkcji set_memory_decrypted(), co skutkuje zwróceniem pamięci współdzielonej do alokatora stron. Może to prowadzić do problemów funkcjonalnych lub bezpieczeństwa. Poprawka polega na wycieku odszyfrowanej pamięci w przypadku błędu, bez drukowania komunikatu, ponieważ funkcja set_memory_decrypted() sama wywołuje WARN_ONCE().

W jądrze Linux w module net/smc podczas odbierania wiadomości propozycji (proposal msg) na serwerze, pola iparea_offset i ipv6_prefixes_cnt pochodzą od zdalnego klienta i nie są w pełni zaufane. Jeśli iparea_offset przekroczy maksymalną wartość, może dojść do dostępu do nieprawidłowego adresu i awarii systemu. Łata dodaje sprawdzenie tych pól przed ich użyciem.

W jądrze Linux w module net/smc podczas odbierania wiadomości propozycji (proposal msg) na serwerze, pola v2_ext_offset, eid_cnt i ism_gid_cnt pochodzą od zdalnego klienta i nie są w pełni zaufane. Nieprawidłowe wartości mogą prowadzić do dostępu pod zły adres i awarii. Poprawka dodaje sprawdzenie tych pól przed ich użyciem.

W jądrze Linux w module net/smc podczas odbierania wiadomości propozycji (proposal msg) na serwerze, pole smcd_v2_ext_offset pochodzi od zdalnego klienta i nie jest w pełni zaufane. Jeśli wartość smcd_v2_ext_offset przekroczy maksymalną wartość, może dojść do dostępu do nieprawidłowego adresu i awarii systemu. Łata dodaje sprawdzenie wartości smcd_v2_ext_offset przed jej użyciem.

W jądrze Linux wykryto podatność w serwerze NFS (nfsd), która prowadzi do wycieku pamięci (memory leak) podczas równoczesnych operacji otwierania plików (nfsd4_open). Problem wynika z nieprawidłowego zarządzania obiektami nfs4_openowner, gdy dwa równoległe żądania otwarcia tego samego pliku są przetwarzane przez różne wątki nfsd. W skrajnych przypadkach może to doprowadzić do awarii systemu (kernel panic) podczas zatrzymywania serwera NFS.

W jądrze Linux w sterowniku stmmac wykryto błąd w obsłudze DMA dla TSO, który powoduje oops. Problem wynika z przesunięcia przypisania cookie DMA w funkcji stmmac_tso_xmit(), co prowadzi do niezgodności z wymaganiami API DMA. Skutkuje to niepowodzeniem mapowania DMA i komunikatami o próbie zwolnienia nieprzydzielonej pamięci DMA.

W jądrze Linux w podsystemie CAN (J1939) występuje błąd w zliczaniu referencji skb w funkcji j1939_session_new(). Funkcja j1939_session_skb_queue() wykonuje dodatkowe skb_get() dla każdego nowego skb, ale dla początkowego skb tego nie robi, co prowadzi do niedomiaru licznika referencji.

W jądrze Linuxa w sterowniku bnxt_en wykryto podatność związaną z nieprawidłowym zarządzaniem parametrami pierścienia odbiorczego podczas zmiany MTU przy aktywnym XDP. Zmiana MTU po podłączeniu bufora wielokrotnego XDP może prowadzić do niespójności konfiguracji pierścienia agregacji, co skutkuje przypadkowym uszkodzeniem pamięci i awariami systemu.

W jądrze Linux w stosie TCP występuje podatność use-after-free w funkcji reqsk_timer_handler(). Poprzednia poprawka zastąpiła inet_csk_reqsk_queue_drop_and_put() przez __inet_csk_reqsk_queue_drop() i reqsk_put(), ale przekazuje niewłaściwy wskaźnik (req zamiast oreq) do reqsk_put(), co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w module ksmbd występuje podatność polegająca na wyścigu między obsługą żądań SMB w funkcji ksmbd_conn_handler_loop() a zwalnianiem struktury ksmbd_conn w handlerze workqueue handle_ksmbd_work(). Prowadzi to do użycia po zwolnieniu (UAF). Poprawka rozwiązuje ten problem.

W kliencie SMB jądra Linux wykryto użycie po zwolnieniu (use-after-free) klucza podpisującego w strukturze sesji. Wyścig między operacjami montowania a wysyłaniem pakietów może prowadzić do dostępu do zwolnionej pamięci podczas obliczania podpisu.

W jądrze Linux w module SMB (CIFS) występuje luka use-after-free w funkcji open_cached_dir(). Błąd podczas przetwarzania dzierżawy (lease) od serwera może spowodować wyścig z przerwaniem dzierżawy, co prowadzi do zwolnienia struktury cfid, podczas gdy zaplanowana praca nadal na niej operuje. Poprawka polega na zmianie zarządzania referencjami i natychmiastowym czyszczeniu flagi has_lease pod blokadą.

W jądrze Linux w systemie plików CIFS/SMB wykryto podatność prowadzącą do BUG-a podczas odmontowywania. Wyścig między procesem odmontowania a operacjami na katalogach buforowanych powoduje, że dentry nie są zwalniane, co wywołuje błąd jądra. Problem rozwiązano przez przeniesienie zwalniania dentry do kolejki prac i odpowiednie synchronizowanie.

W jądrze Linuxa w module NFSD wykryto potencjalne przepełnienie liczby całkowitej. Jeśli długość tagu jest większa lub równa U32_MAX - 3, operacja dodawania "length + 4" może spowodować przepełnienie. Poprawka polega na podzieleniu dekodowania na kilka kroków, aby uniknąć arytmetyki na niebezpiecznej wartości długości.

W jądrze Linux w sterowniku mlx5e dla kTLS wykryto nieprawidłowe zliczanie referencji stron. Mieszanie funkcji get_page() i page_ref_inc() przy zwiększaniu referencji oraz używanie tylko put_page() przy zwalnianiu prowadzi do zbyt częstego dereferencjonowania strony folio, co może powodować błędy pamięci.

W jądrze Linux występuje podatność use-after-free związana z nieprawidłowym zarządzaniem licznikiem referencji przestrzeni nazw sieci (network namespace) w kliencie SMB/CIFS. Gdy CIFS montuje udział w nie-rootowej przestrzeni nazw sieci i próbuje ponownie połączyć się z serwerem, może dojść do użycia zwolnionej struktury netns, co prowadzi do oops jądra. Problem występuje głównie w środowiskach Kubernetes podczas kończenia działania podów.

W jądrze Linux w sterowniku RDMA/siw brakuje sprawdzenia sendpage_ok(), co prowadzi do użycia strony slab w sendpage i wyzwala ostrzeżenie w skb_splice_from_iter(). Problem występuje podczas pracy ISER over SIW.