Podatności Linux kernel

W jądrze Linux w podsystemie RDMA/srp występuje problem polegający na tym, że procedura srp_abort() wywołuje scsi_done(), co może prowadzić do użycia po zwolnieniu (use-after-free). Poprawka usuwa to wywołanie, pozostawiając wywołanie srp_free_req() przed zwróceniem SUCCESS.

W jądrze Linux w module ksmbd wykryto wyścig między wyszukiwaniem sesji a jej wygaśnięciem, co może prowadzić do użycia po zwolnieniu (UAF). Problem został naprawiony przez dodanie semafora rwsem synchronizującego te operacje.

W jądrze Linuxa w module UDP występuje podatność polegająca na nieprawidłowej agregacji L4 dla pakietów tunelowanych UDP. Gdy włączone są opcje GRO, może dojść do uszkodzenia wewnętrznych protokołów, np. ignorowania różnych identyfikatorów VXLAN.

W jądrze Linux naprawiono podatność use-after-free w funkcji emac_mac_tx_buf_send w sterowniku sieciowym EMAC. Problem polega na tym, że po zwolnieniu skb w przypadku błędu w emac_tx_fill_tpd(), skb jest nadal używany przez netdev_sent_queue(,skb->len), co prowadzi do użycia po zwolnieniu.

W jądrze Linux wykryto podatność w protokole SCTP, prowadzącą do użycia po zwolnieniu (use-after-free) struktury transportu. Problem występuje podczas przetwarzania zduplikowanego fragmentu COOKIE-ECHO w funkcji sctp_sf_do_dupcook_a(), gdzie fragmenty COOKIE-ACK i SHUTDOWN są przypisywane do nowego skojarzenia (asoc), ale później używane przez stare skojarzenie, co może doprowadzić do paniki systemu.

W jądrze Linuxa w module ch_ktls występuje problem powodujący panikę jądra. Zwiększanie licznika referencji strony nie jest idealne i może prowadzić do paniki, dlatego zaleca się użycie blokady tx_ctx dla całego przesyłania skb, aby uniknąć czyszczenia strony w trakcie transmisji.

W jądrze Linux w module netlabel występują dwa przypadki odczytu poza granicami tablicy: w funkcji cipso_v4_map_lvl_valid() oraz w netlbl_bitmap_walk(). Poprawki są proste i dotyczą sprawdzania zakresów.

W jądrze Linux naprawiono podatność w ksmbd: brak walidacji tokenu mechanizmu w żądaniu sesji. Jeśli klient wyśle nieprawidłowy token, ksmbd powinien go zweryfikować i zwrócić błąd.

W jądrze Linux naprawiono podatność use-after-free w funkcji ksmbd_tcp_new_connection() w module ksmbd. Problem wynika z wyścigu między obsługą nowego połączenia TCP a jego rozłączeniem, co prowadzi do użycia po zwolnieniu struktury tcp_transport.

W jądrze Linux w module tls występuje podatność polegająca na wyścigu między planowaniem pracy transmisji a zamknięciem gniazda. Wątek zgłaszający (recvmsg/sendmsg) może zakończyć działanie natychmiast po wywołaniu complete() przez asynchroniczny handler kryptograficzny. Poprawka zmienia kolejność: najpierw planowanie pracy, potem wywołanie complete().

W jądrze Linuxa w module TLS naprawiono problem z obsługą żądań kryptograficznych, które mogą być umieszczane w kolejce oczekującej (backlog). Gdy flaga CRYPTO_TFM_REQ_MAY_BACKLOG jest ustawiona, funkcje crypto_aead mogą zwracać -EBUSY zamiast -EINPROGRESS, co powodowało podwójne wywołanie callbacku asynchronicznego. Poprawka konwertuje -EBUSY na -EINPROGRESS, aby uniknąć modyfikacji ścieżek obsługi błędów.

W jądrze Linuxa występuje podatność wyścigu (race condition) w implementacji TLS, między asynchronicznym powiadomieniem a zamknięciem gniazda. Wątek wywołujący recvmsg/sendmsg może zakończyć działanie natychmiast po wywołaniu complete() przez asynchroniczny handler kryptograficzny, co grozi dostępem do już zwolnionych danych.

W jądrze Linux w module TLS występuje podatność use-after-free przy częściowych odczytach i asynchronicznym odszyfrowaniu. Funkcja tls_decrypt_sg nie przechowuje referencji do stron z clear_skb, co prowadzi do zwolnienia ich przez put_page() w tls_decrypt_done, a następnie użycia po zwolnieniu w process_rx_list.

W jądrze Linux naprawiono podatność w ksmbd: brak walidacji identyfikatora sesji i drzewa w żądaniu złożonym. Funkcja smb2_get_msg() zawsze zwraca pierwszy nagłówek SMB2, co może prowadzić do pominięcia sprawdzenia identyfikatora drzewa. Poprawka używa ksmbd_req_buf_next() do uzyskania bieżącego polecenia.

W jądrze Linux w module ksmbd występuje dostęp poza granicami w funkcji init_smb2_rsp_hdr(). Jeśli klient wyśle żądanie negocjacji SMB2, a następnie SMB1, funkcja jest wywoływana dla żądania SMB1, co prowadzi do problemu. Poprawka ignoruje pakiety SMB1 po ustawieniu need_neg na false.

W jądrze Linux naprawiono podatność w ksmbd: przepełnienie bufora w funkcji ksmbd_decode_ntlmssp_auth_blob(). Jeśli rozmiar klucza sesji w authblob jest większy niż rozmiar klucza sesji (CIFS_KEY_SIZE), może wystąpić przepełnienie w kodach wymiany kluczy. Funkcja cifs_arc4_crypt kopiuje do tablicy klucza sesji z SessionKey od klienta.

Odkryto, że implementacja filtra cls_route w jądrze Linux nie usuwa starego filtra z hashtable przed jego zwolnieniem, jeśli jego handle ma wartość 0.

W jądrze Linux przed wersją 6.3.4 odkryto problem związany z odczytem poza zakresem w funkcji smb2_find_context_vals. Problem występuje, gdy długość nazwy create_context jest większa niż długość tagu.

W jądrze Linux do wersji 6.3.1 występuje podatność use-after-free w Netfilter nf_tables podczas przetwarzania żądań wsadowych, którą można wykorzystać do dowolnych operacji odczytu i zapisu w pamięci jądra. Nieuprzywilejowani użytkownicy lokalni mogą uzyskać uprawnienia roota. Wynika to z nieprawidłowej obsługi zbiorów anonimowych.

W funkcji brcmf_get_assoc_ies w pliku drivers/net/wireless/broadcom/brcm80211/brcmfmac/cfg80211.c jądra Linux wykryto problem odczytu poza granicami bufora (slab-out-of-bounds). Do zdarzenia może dojść, gdy dane assoc_info->req_len są większe niż rozmiar bufora zdefiniowany jako WL_EXTRA_BUF_MAX, co prowadzi do odmowy usługi.

W jądrze Linux przed wersją 5.19.16 odkryto problem polegający na tym, że atakujący mogący wstrzykiwać ramki WLAN mogą spowodować przepełnienie bufora w funkcji ieee80211_bss_info_update w net/mac80211/scan.c.

W jądrze Linux w algorytmie generowania portów źródłowych TCP w pliku net/ipv4/tcp.c występuje problem wycieku pamięci z powodu małego rozmiaru tablicy perturb. Błąd może pozwolić atakującemu na wyciek informacji oraz może spowodować problemy z dostępnością (denial of service).

Podatność w funkcji nfqnl_mangle w net/netfilter/nfnetlink_queue.c w jądrze Linux do wersji 5.18.14 pozwala zdalnym atakującym wywołać odmowę usługi (panic) poprzez przesłanie komunikatu nf_queue z jedno-bajtowym atrybutem nfta_payload, co powoduje, że skb_pull napotyka ujemne skb->len.

W jądrze Linux do wersji 5.18.9 wykryto błąd typu confusion w funkcji nft_set_elem_init, prowadzący do przepełnienia bufora. Lokalny atakujący może wykorzystać ten błąd do podniesienia uprawnień. Atak wymaga posiadania nieuprzywilejowanego namespace'a użytkownika, aby uzyskać dostęp CAP_NET_ADMIN.

W kodzie transformacji ESP IPsec w plikach net/ipv4/esp4.c i net/ipv6/esp6.c występuje przepełnienie bufora sterty. Umożliwia to lokalnemu atakującemu z uprawnieniami zwykłego użytkownika nadpisanie obiektów jądra, co może prowadzić do eskalacji uprawnień.

W jądrze Linux stwierdzono wadę w przetwarzaniu błędów ICMP (fragmentacja ICMP i przekierowanie ICMP), która umożliwia szybkie skanowanie otwartych portów UDP. Pozwala to zdalnemu użytkownikowi spoza ścieżki na ominięcie randomizacji źródłowego portu UDP.

Funkcja __skb_flow_dissect w jądrze Linux przed wersją 4.3 nie zapewnia inicjalizacji n_proto, ip_proto i thoff, co umożliwia zdalnym atakującym spowodowanie awarii systemu lub potencjalne wykonanie dowolnego kodu za pomocą jednego spreparowanego pakietu MPLS.

Funkcja ip6gre_err w jądrze Linuxa umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu poprzez wykorzystanie flag GRE w pakiecie IPv6, co prowadzi do dostępu poza przydzielony obszar pamięci.

Podatność typu use-after-free w funkcji kvm_ioctl_create_device w jądrze Linux przed wersją 4.8.13 umożliwia użytkownikom systemu operacyjnego gospodarza spowodowanie awarii systemu (denial of service) lub potencjalne uzyskanie uprawnień poprzez spreparowane wywołania ioctl na urządzeniu /dev/kvm.

Funkcja sctp_sf_ootb w jądrze Linux przed wersją 4.8.8 nie sprawdza długości pierwszego kawałka, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (dostęp do pamięci poza przydzielonym obszarem) lub potencjalnie innych nieokreślonych skutków poprzez spreparowane dane SCTP.

Podatność typu use-after-free w funkcji __sys_recvmmsg w jądrze Linux przed wersją 4.5.2 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez nieprawidłowe przetwarzanie błędów podczas wywołania systemowego recvmmsg.

Funkcja usbip_recv_xbuff w jądrze Linux przed wersją 4.5.3 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zapisy poza przydzielonym obszarem pamięci) lub potencjalnie inny nieokreślony wpływ poprzez spreparowaną wartość długości w pakiecie USB/IP.

Funkcja nf_nat_redirect_ipv4 w jądrze Linux przed wersją 4.4 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez dereferencję wskaźnika NULL, co prowadzi do awarii systemu. Problem ten jest związany z CVE-2003-1604.

Obsługa suid_dumpable w Linux kernel 2.6.13 do wersji przed 2.6.17.4 oraz 2.6.16 przed 2.6.16.24 pozwala lokalnemu użytkownikowi na wywołanie odmowy usługi (zużycie dysku) i prawdopodobnie uzyskanie uprawnień poprzez argument PR_SET_DUMPABLE funkcji prctl oraz program, który powoduje utworzenie pliku zrzutu w katalogu, do którego użytkownik nie ma uprawnień.

SCTP conntrack (ip_conntrack_proto_sctp.c) w netfilter dla Linux kernel 2.6.17 przed 2.6.17.3 i 2.6.16 przed 2.6.16.23 pozwala zdalnym atakującym na wywołanie odmowy usługi (awaria) poprzez pakiet bez żadnych chunków, co powoduje, że zmienna zawiera nieprawidłową wartość, która jest później używana do dereferencji wskaźnika.

Podatność CVE-1999-0804 dotyczy systemów Linux w wersji 2.2.x, gdzie złośliwe pakiety ICMP o nietypowych typach, kodach i długościach nagłówków IP mogą prowadzić do odmowy usługi.