Podatności Linux kernel

W jądrze Linux w sterowniku vmxnet3 wykryto podatność polegającą na tym, że po nieudanej alokacji pamięci dla pierścienia danych RX, pole desc_size nie jest zerowane, co powoduje, że hypervisor odwołuje się do nieprawidłowego obszaru pamięci podczas odbioru pakietów. Prowadzi to do paniki jądra (kernel BUG) w funkcji skb_panic.

W jądrze Linux wycofano poprawkę, która umożliwiała przekierowanie do dowolnego gniazda AF_XDP powiązanego z tym samym umem. Poprawka ta wprowadzała potencjalny crash jądra, gdy wiele instancji NAPI przekierowywało do tego samego gniazda, powodując uszkodzenie stanu pierścienia Rx.

W jądrze Linux w module SUNRPC funkcja gss_free_in_token_pages() ma błędny warunek zakończenia pętli, ponieważ tablica in_token->pages[] nie jest zakończona NULL-em, co prowadzi do dzikiego odczytu pamięci (KASAN).

W jądrze Linux w podsystemie TIPC występuje problem z walidacją rozmiaru otrzymywanych rekordów domeny. Funkcja tipc_mon_rcv() nie sprawdza, czy liczba członków w rekordzie nie przekracza limitu MAX_MON_DOMAIN, co może prowadzić do przepełnienia stosu. Dodatkowo dodano dodatkową kontrolę w tipc_link_proto_rcv() w celu zapobieżenia przepełnieniu bitowemu.

W jądrze Linuxa w sterowniku systemport (Broadcom SYSTEMPORT) wykryto podatność związaną z brakiem globalnego blokowania dostępu do listy deskryptorów współdzielonej przez wszystkie kolejki transmisji. Umożliwia to równoczesne modyfikowanie deskryptorów przez wiele kolejek, co prowadzi do uszkodzenia danych i błędnych sum kontrolnych w pakietach UDP i TCP.

W jądrze Linuxa w systemie plików GFS2 wykryto potencjalne użycie po zwolnieniu (use-after-free) glocka podczas odmontowywania. DLM automatycznie odblokowuje zamki, ale callbacki bast mogą pozostać aktywne i uzyskiwać dostęp do zwolnionych obiektów.

W jądrze Linux w module Open vSwitch (openvswitch) wykryto podatność polegającą na nadpisywaniu oryginalnej krotki conntrack dla pakietów ICMPv6 podczas przetwarzania komendy OVS_PACKET_CMD_EXECUTE. Parsowanie nagłówka ICMPv6 zerowało pola związane z Neighbor Discovery (ND) nawet dla pakietów niebędących ND, co prowadziło do uszkodzenia metadanych conntrack i błędnego dopasowania pakietów.

W jądrze Linuxa w podsystemie RDMA rxe wykryto błąd segmentacji w funkcji rxe_comp_queue_pkt(). Pakiet odpowiedzi jest dodawany do kolejki, a następnie odwoływano się do niego po podjęciu decyzji o uruchomieniu zadania, co może prowadzić do dostępu do zwolnionej pamięci.

W jądrze Linuxa, w serwerze NFSD, występuje błąd powodujący awarię w funkcji nfsd4_encode_fattr4(). Problem polega na tym, że pole args.acl nie jest inicjalizowane na początku, a jest używane w bezwarunkowym wywołaniu kfree() przy wyjściu z funkcji, co prowadzi do awarii.

W jądrze Linuxa naprawiono podatność w sterowniku vmbus (Hyper-V), gdzie w maszynach wirtualnych CoCo nieudane wywołanie set_memory_encrypted() lub set_memory_decrypted() mogło prowadzić do zwolnienia odszyfrowanych (współdzielonych) stron pamięci. Poprawka polega na wycieku stron w takim przypadku, aby uniknąć potencjalnych problemów funkcjonalnych lub bezpieczeństwa.

W jądrze Linuxa naprawiono podatność w sterowniku vmbus (Hyper-V), gdzie w maszynach wirtualnych CoCo nieudane wywołanie set_memory_encrypted() lub set_memory_decrypted() mogło prowadzić do zwolnienia odszyfrowanych (współdzielonych) stron pamięci. Poprawka dodaje pole w strukturze vmbus_gpadl do śledzenia statusu odszyfrowania buforów, aby zapobiec zwracaniu takich stron do alokatora.

W jądrze Linuxa w sterowniku hv_netvsc wykryto problem polegający na zwalnianiu odszyfrowanej pamięci. W maszynach wirtualnych CoCo nieufny host może spowodować niepowodzenie funkcji set_memory_encrypted() lub set_memory_decrypted(), co skutkuje zwróceniem błędu i pozostawieniem pamięci jako współdzielonej. Sterownik netvsc mógł zwalniać odszyfrowane (współdzielone) strony, jeśli set_memory_decrypted() zawiedzie. Poprawka sprawdza pole decrypted w gpadl, aby zdecydować, czy zwolnić pamięć.

W jądrze Linuxa w sterowniku vmbus (Drivers: hv) wykryto problem polegający na zwalnianiu buforów pierścieniowych, które nie mogły zostać ponownie zaszyfrowane. W maszynach wirtualnych CoCo nieufny host może spowodować niepowodzenie funkcji set_memory_encrypted() lub set_memory_decrypted(), co skutkuje zwróceniem błędu i pozostawieniem pamięci jako współdzielonej. Kod buforów pierścieniowych VMBus mógł zwalniać odszyfrowane (współdzielone) strony, jeśli set_memory_decrypted() zawiedzie. Poprawka sprawdza pole decrypted w strukturze vmbus_gpadl dla buforów pierścieniowych, aby zdecydować, czy zwolnić pamięć.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji tipc_buf_append() w ścieżce obsługi błędów protokołu TIPC. Błąd został zgłoszony przez Sama Page'a we współpracy z Trend Micro Zero Day Initiative i może prowadzić do naruszenia integralności pamięci.

W jądrze Linuxa wykryto podatność w implementacji protokołu TCP, która pozwalała na akceptowanie pakietów ACK potwierdzających bajty, które nigdy nie zostały wysłane. Problem dotyczy walidacji numerów ACK zgodnie z RFC 5961, co umożliwiało atakującemu manipulację strumieniem danych. Poprawka zaostrza sprawdzanie ACK, odrzucając pakiety z numerami spoza dozwolonego zakresu.

W jądrze Linuxa wykryto podatność w mechanizmie TCP, która powoduje uszkodzenie fragmentów stron pamięci podczas obsługi błędów stron. Problem występuje, gdy proces serwera HTTP (np. Apache) korzysta z zamapowanego pliku CIFS, a błąd strony wywołuje zagnieżdżoną alokację fragmentów stron, co prowadzi do korupcji strumienia danych.

W jądrze Linux w module sieciowym SMC wykryto podatność polegającą na błędnym usunięciu elementu z listy w funkcji smc_lgr_cleanup_early(). Zamiast usunąć właściwą grupę linków, funkcja usuwała głowę listy, co prowadziło do uszkodzenia pamięci i paniki jądra.

W jądrze Linux naprawiono podatność use-after-free w serwerze NFS (nfsd) związaną z wyścigiem delegacji. Przerwanie delegacji może nastąpić natychmiast po wywołaniu vfs_setlease, co prowadzi do dodania delegacji do listy del_recall_lru, a następnie zwolnienia jej bez usunięcia z listy, co objawia się później jako use-after-free lub uszkodzenie listy.

W jądrze Linux w module net/tls występuje błąd znaku w wywołaniach tls_err_abort(), gdzie ujemny kod błędu jest przypisywany do sk_err, co prowadzi do błędnej interpretacji i potencjalnego uszkodzenia pamięci. Poprawka polega na spójnym przekazywaniu ujemnych kodów błędów i centralizacji zmiany znaku.

W jądrze Linux w module isofs występuje dostęp poza granicami bufora podczas odczytu uszkodzonego obrazu ISO. Poprawka dodaje sprawdzenie długości wpisu katalogu przed jego użyciem.

W jądrze Linux naprawiono podatność w ksmbd: zapis poza zakresem w funkcji smb_inherit_dacl(). Problem wynika z tego, że offsety są większe niż rozmiar alokacji pntsd. Poprawka dodaje sprawdzenie trzech offsetów przy użyciu rozmiaru alokacji.

W jądrze Linux w module CIFS wykryto podatność use-after-free w funkcji rdata->read_into_pages(). Przy niestabilnym połączeniu sieciowym, podczas odczytu danych z serwera, może dojść do użycia zwolnionej pamięci (wskaźnik rdata), co prowadzi do awarii systemu lub potencjalnego wykonania kodu.

W jądrze Linuxa w module ceph występuje podatność polegająca na blokowaniu klienta kclient po otrzymaniu uszkodzonego śladu snap. Podatność może prowadzić do kontynuowania operacji wejścia/wyjścia i dostępu do metadanych, co może skutkować uszkodzeniem danych.

W jądrze Linux w module scsi iscsi występuje błąd użycia po zwolnieniu (UAF) w obsłudze przerywania (abort) zadań. Poprawka cofa zmianę, która prowadziła do goto do wspólnego kodu sprzątania, i przenosi wywołanie iscsi_get_conn() po sprawdzeniu poprawności zadania.

W jądrze Linux naprawiono podatność use-after-free w sterowniku iSCSI (scsi: iscsi) podczas resetów. Problem występuje, gdy iscsi_conn_teardown budzi wątek EH i zwalnia połączenie, podczas gdy te wątki nadal uzyskują dostęp do pola ehwait połączenia. Poprawka przenosi pola TMF z połączenia do sesji.

W jądrze Linux w podsystemie CAN J1939 występuje podatność Use-after-Free. Problem polega na tym, że pakiet skb jest pobierany z kolejki sesji bez zwiększania licznika referencji, co może prowadzić do użycia po zwolnieniu pamięci, gdy pakiet jest jednocześnie pobierany z kolejki z powodu CTS.

W jądrze Linux rozwiązano podatność w module net/mlx5 dotyczącą nieprawidłowego łączenia nowych reguł fs z drzewem. Reguły tworzone przez create_flow_handle mogły otrzymać refcount 2 bez powiązania z drzewem, co prowadziło do NULL parent i root oraz awarii przy usuwaniu grupy przepływu.

W jądrze Linux w funkcji dma-direct występuje problem z wyciekiem stron po niepowodzeniu dma_set_decrypted(). W środowisku TDX niegodny zaufania host może spowodować niepowodzenie set_memory_encrypted() lub set_memory_decrypted(), co prowadzi do zwrócenia pamięci współdzielonej do alokatora stron. Poprawka powoduje wyciek stron w takim przypadku zamiast ich zwolnienia.

W jądrze Linux występuje luka w obsłudze pakietów UDP, które są agregowane (GRO) podczas przekazywania i trafiają do tunelu. Gdy funkcja rx-udp-gro-forwarding jest włączona, pakiety mogą zostać błędnie zagregowane na poziomie UDP, co prowadzi do uszkodzenia pakietów lub awarii jądra (BUG_ON w skb_segment). Problem dotyczy sytuacji, gdy punkt końcowy tunelu znajduje się w innej przestrzeni nazw sieci (netns).

W jądrze Linuxa w kliencie SMB naprawiono podatność prowadzącą do użycia po zwolnieniu (use-after-free) podczas przetwarzania odwołań DFS, montowania i przełączania awaryjnego DFS. Zapewniono, że wszystkie dzieci z sesji rodzica są odpowiednio refcountowane, a także usunięto zbędną listę dfs_ses_list.

W jądrze Linuxa, w kliencie SMB, występuje potencjalna podatność use-after-free w funkcji smb2_is_valid_lease_break(). Problem dotyczy sesji, które są w trakcie zamykania (status == SES_EXITING), co może prowadzić do użycia po zwolnieniu. Poprawka pomija takie sesje, aby uniknąć UAF.

W jądrze Linux w podsystemie crypto/safexcel brakuje obsługi błędów dla wywołań dma_map_sg(). Makro dma_map_sg() może zwrócić 0 w przypadku błędu. Poprawka dodaje sprawdzenia w przypadku awarii makra i zapewnia odmapowanie wcześniej zmapowanych buforów za pomocą dma_unmap_sg().

W jądrze Linuxa w module nvmet występuje podatność use-after-free, która może zostać wyzwolona przez testy blktests nvme/004. Problem prowadzi do odczytu zwolnionej pamięci podczas kończenia żądań, co może skutkować awarią systemu.

W jądrze Linux w module nvme-tcp występuje podatność use-after-free podczas wykrywania błędów sum kontrolnych. Poprawka wymaga przerwania pętli io_work po ustawieniu rd_enabled, aby uniknąć odczytu danych z niesynchronizowanego strumienia TCP.

W jądrze Linux w module SUNRPC naprawiono wycieki pamięci w funkcji gssx_dec_option_array. Wcześniej w ścieżkach obsługi błędów nie zwalniano pamięci przydzielonej dla danych uwierzytelniających i tablicy opcji.

W jądrze Linux występuje błąd w obsłudze stron pochodzących z page_pool podczas reorganizacji skb w funkcji esp_output (gdy nie jest używany tryb inline). Wywołanie put_page na takich stronach powoduje wyciek page_pool, co może prowadzić do awarii jądra. Problem został rozwiązany przez wprowadzenie nowej funkcji skb_page_unref, która prawidłowo obsługuje licznik referencji dla stron page_pool.

W jądrze Linux wykryto podatność use-after-free w podsystemie SCSI core. Problem występuje, gdy funkcje .exit_cmd_priv są wywoływane po zwolnieniu zasobów powiązanych z hostem SCSI, co może prowadzić do dostępu do już zwolnionej pamięci. Poprawka polega na oczekiwaniu w scsi_remove_host() na zwolnienie zestawu tagów przed wywołaniem tych funkcji.

W jądrze Linux w sterowniku kryptograficznym Xilinx (zynqmp) występuje problem polegający na wywołaniu funkcji crypto_finalize_request bez wyłączonych przerwań miękkich (BH), co prowadzi do ostrzeżenia WARNING i potencjalnych problemów ze stabilnością systemu.

W jądrze Linux w module cifs występuje niedomiar (underflow) w funkcji parse_server_interfaces() z powodu porównania typu ssize_t z size_t, co prowadzi do kontynuacji pętli przy ujemnej wartości bytes_left. Poprawka rozwiązuje problem z konwersją typów.

W jądrze Linux w sterowniku mlx5e (dla kart sieciowych Mellanox) występuje błąd w przepływie resynchronizacji TLS RX, prowadzący do awarii. Lista kontekstów TLS jest narażona na uszkodzenia z powodu braku ochrony wpisów przed ruchami pochodzącymi z resync_handle_seq_match(), dopóki ich obsługa w napi nie zostanie zakończona.

W jądrze Linux w module ksmbd brakuje walidacji rozmiaru danych odpowiedzi IPC, co może prowadzić do przepełnienia pamięci lub naruszenia granic (slab-out-of-bounds). Poprawka dodaje walidację trzech odpowiedzi IPC z danymi.

W jądrze Linux występuje podatność use-after-free w TLS podczas nieudanego odszyfrowania w kolejce. Gdy operacja kryptograficzna zwraca -EBUSY, funkcja tls_do_decryption czeka na zakończenie wszystkich asynchronicznych odszyfrowań, a jeśli jedno z nich zawiedzie, strony są zwalniane, ale zostały już przekazane do asynchronicznego wywołania zwrotnego.

W jądrze Linux w podsystemie SCSI target (pscsi) występuje błąd w obsłudze przypadku błędu przy zwalnianiu obiektu bio. Bio przydzielony przez bio_kmalloc() musi być zwolniony przez bio_uninit() i kfree(), ale w tym przypadku nie jest to poprawnie wykonane, co prowadzi do ostrzeżenia WARN i dereferencji wskaźnika NULL w bio_free().

W jądrze Linux w funkcjach tuneli (np. VXLAN) występuje błąd polegający na odczycie poza zakresem pamięci podczas budowania błędu PMTU dla IPv6. Problem pojawia się, gdy błąd ICMPv6 jest tworzony z nie-liniowego skb, co prowadzi do naruszenia pamięci (KASAN: slab-out-of-bounds).

W jądrze Linux w funkcji filelayout_decode_layout() w NFS użyto nieprawidłowego rozmiaru struktury, co może prowadzić do uszkodzenia pamięci. Poprawka zmienia rozmiar na NFS_MAXFHSIZE, który odpowiada rozmiarowi bufora.

W jądrze Linux w module TIPC wykryto podatność polegającą na nieprawidłowym dołączaniu fragmentów pakietów do listy frag_list skb, co może prowadzić do użycia po zwolnieniu (use-after-free). Problem występuje, gdy skb został sklonowany lub zmodyfikowany przez pskb_copy() lub pskb_may_pull(), a nowy fragment jest współdzielony przez wiele skb, mimo że tylko raz wykonano na nim skb_get().

W jądrze Linux w sterowniku sieciowym lantiq występuje podatność prowadząca do uszkodzenia pamięci w pierścieniu RX. W sytuacji, gdy alokacja pamięci lub mapowanie DMA nie powiedzie się, do deskryptora programowany jest nieprawidłowy adres, co może prowadzić do uszkodzenia pamięci. Poprawka powoduje, że w przypadku niepowodzenia alokacji DMA ponownie używa poprzedniego skb i mapowania oraz odrzuca pakiet, zwiększając licznik odrzuceń.

W jądrze systemu Linux zidentyfikowano podatność związana z przepełnieniem bufora w funkcji READDIR. Problem występuje, gdy klient wysyła zbyt mały argument count, co prowadzi do błędnych obliczeń rozmiaru bufora i umożliwia zapis poza jego granicami.

Podatność w jądrze Linux dotyczy błędnego zarządzania polem sk_rx_dst w strukturach gniazd TCP, które nie przestrzegało standardowych zasad RCU. Może to prowadzić do użycia po zwolnieniu (use-after-free) w funkcjach wczesnego demultipleksowania pakietów, co zostało zgłoszone przez syzbot.