Podatności Linux kernel

W jądrze Linux funkcja statmount_mnt_basic() odczytywała identyfikatory rodzica przez m->mnt_parent z namespace_sem, co jest bezpieczne tylko dla mountów w przestrzeni nazw. Dla mountu odmontowanego celowo i utrzymywanego tylko przez deskryptor pliku (STATMOUNT_BY_FD) końcowe mntput() mogło zwolnić rodzica równolegle, powodując wyłuskanie już zwolnionego mountu.

W jądrze Linux naprawiono podatność w obsłudze przestrzeni nazw mountów, gdzie rekurencyjne bind-mountowanie plików przestrzeni nazw (nsfs) mogło prowadzić do cyklicznych zależności i wycieku pamięci. Funkcja do_loopback() sprawdzała tylko początkowy dentry, a przy MS_REC kopiowała pliki przestrzeni nazw poniżej źródła bez weryfikacji, czy nie tworzą one pętli. Umożliwiało to procesowi w starszej przestrzeni nazw wielokrotne wyciekanie pamięci poprzez stackowanie bind-mountów.

W jądrze Linux funkcja attach_recursive_mnt() prealokuje punkt montowania dla korzenia najwyższego montowania źródła, ale pętla przechodząca przez łańcuch montowań nie sprawdza najwyższego montowania. Jeśli najwyższe montowanie jest jedynym plikiem przestrzeni nazw montowań w łańcuchu, istniejące montowanie zostaje przypięte pod korzeniem pliku przestrzeni nazw (dentry nsfs), przez co staje się niedostępne i nie można go zsynchronizować odmontować. Prowadzi to do błędnego zachowania przy move_mount i umount.

W jądrze Linux funkcja mnt_ns_release() usuwa znaczniki fanotify przestrzeni nazw montowań w kontekście procesu, ale mnt_ns_tree_remove() przekazuje referencję do call_rcu(), przez co znaczniki są usuwane z softirq RCU. Powoduje to błąd „sleeping function called from invalid context” oraz ostrzeżenia lockdep dotyczące blokady connectora. Wystarczy grupa fanotify ze znacznikiem FAN_MARK_MNTNS na przestrzeni nazw montowań innego zadania.

W jądrze Linux ksys_unshare() wywołuje put_nsproxy() na nsproxy, które nigdy nie zostało zainstalowane, gdy set_cred_ucounts() zawiedzie. Powoduje to przejście liczników referencji nowych przestrzeni nazw z zera na minus jeden oraz utratę referencji do przestrzeni nazw współdzielonych z wywołującym. W efekcie przestrzenie nazw, w których żyje wywołujący, przestają być widoczne w listns().

W jądrze Linux w podsystemie drm/bridge funkcja drm_bridge_add() przy ponownym dodawaniu wcześniej usuniętego mostka usuwa go z bridge_lingering_list bez trzymania bridge_lock. Listy bridge_list i bridge_lingering_list są chronione przez bridge_lock i modyfikowane współbieżnie przez drm_bridge_remove() oraz __drm_bridge_free(), a także odczytywane przez plik debugfs 'bridges'. Wykonywanie testu list_empty() i list_del_init() poza blokadą może uszkodzić którąś z list.

W jądrze Linux w podsystemie cgroup/cpuset funkcja is_in_v2_mode() może być wywołana w kontekście ponownego wiązania nowego systemu plików cgroup z nieaktualnym wskaźnikiem cpuset_cgrp_subsys.root. Aby uniknąć potencjalnego use-after-free, wprowadzono nową flagę cpuset_v2_mode ustawianą przy użyciu opcji montowania cpuset_v2_mode, zapisywaną tylko gdy cpuset_bind() działa na stabilnej wartości cpuset_cgrp_subsys.root. Funkcja is_in_v2_mode() odczytuje teraz tę flagę zamiast bezpośrednio odwoływać się do cpuset_cgrp_subsys.root.

W jądrze Linux w module bonding przy wymianie programu XDP nie jest zwalniane odwołanie do starego programu BPF, zarówno przy przejściu do braku programu, jak i przy zamianie na inny program. Powoduje to wyciek programów BPF.

W jądrze Linux w btrfs funkcja btrfs_encoded_read_regular_fill_pages() może wywołać btrfs_uring_read_extent_endio() i zwrócić status I/O, jeśli wszystkie bio zakończą się przed powrotem. Ujemny errno powoduje podwójne odblokowanie i zwolnienie zasobów przez btrfs_uring_read_extent() oraz btrfs_uring_read_finished().

W jądrze Linux w btrfs po wywołaniu btrfs_uring_read_extent() wywołujący zawsze przechodzi do out_acct, pomijając kfree(data->iov). Jest to poprawne tylko dla -EIOCBQUEUED, gdzie ścieżka odroczona zarządza iov; w przypadku błędu powoduje to wyciek pamięci.

W jądrze Linux w funkcji btrfs_uring_read_extent() występował błąd zwalniania blokad. W przypadku niepowodzenia alokacji tablicy stron zwracano -ENOMEM bez zwolnienia blokady inode i extent, co prowadziło do zakleszczenia.

W jądrze Linux funkcja btrfs obsługująca io_uring pozostawiała zaalokowane dane w PDU cmd przy zwracaniu -EAGAIN, co powodowało wyciek pamięci przy anulowaniu żądania lub zamknięciu pierścienia. Poprawka zwalnia dane przy każdym wyjściu.

W jądrze Linux sterownik wifi mt76 inkrementował licznik non_aql_packets na wcid linku, na którym ramka została zakolejkowana, a dekrementował na linku zgłoszonym w ukończeniu. Dla peera MLO linki mogły się różnić, powodując dryf licznika i blokadę stacji.

W jądrze Linux sterownik mt7915 nie wyłączał rx napi przed zniszczeniem go podczas usuwania urządzenia, co powodowało ostrzeżenia i niestabilność systemu na MT7916. Poprawka wyłącza napi w mt7915_stop_hardware().

W jądrze Linux naprawiono podatność w funkcji __virtio_net_hdr_to_skb(), która polegała na pomijaniu analizy nagłówków pakietów GSO bez flagi VIRTIO_NET_HDR_F_NEEDS_CSUM. Prowadziło to do odczytu poza granicami bufora (out-of-bounds) w skb_gso_transport_seglen() przy pakietach z nieprawidłowym nagłówkiem sieciowym lub opcjami IP/rozszerzeniami IPv6.

W jądrze Linux funkcja devlink_rel_nested_in_notify_work_schedule() pobierała referencję na devlink_rel i kolejkowała pracę, ignorując wynik schedule_delayed_work(). Jeśli praca była już w toku, dodatkowa referencja była wyciekana wraz z obiektem devlink_rel.

W jądrze Linux w obsłudze ptrace dla architektury RISC-V bufor rejestrów nie był zerowany przed kopiowaniem danych od użytkownika. Żądanie PTRACE_SETREGSET z krótkim iov_len pozostawiało niezainicjalizowane dane na stosie, które następnie były walidowane i kopiowane do stanu procesu docelowego.

W jądrze Linux w sterowniku drm/imagination funkcja pvr_vm_gpuva_remap() przy dzieleniu istniejącego mapowania niepotrzebnie pobierała referencję GEM dla każdej części (wyciek pamięci) oraz błędnie podłączała części do nowego obiektu vm_bo zamiast do oryginalnego, co wywoływało ostrzeżenie drm_gpuva_link().

W jądrze Linux w sterowniku mlxsw spectrum_flower funkcja mlxsw_sp_flower_tmplt_create() podczas parsowania szablonu mogła pozyskać rejestry zakresu portów, które nigdy nie były zwalniane, ponieważ lokalna struktura rulei nie przechodziła przez mlxsw_sp_acl_rulei_destroy().

W jądrze Linux występuje wyciek pamięci w funkcji vmci_transport_recv_dgram_cb() podczas zamykania gniazda datagramowego. Pakiety trafiają do backlogu gniazda, a po wyczyszczeniu kolejki odbiorczej funkcja __release_sock() przenosi je z powrotem do kolejki odbiorczej, co prowadzi do wycieku pamięci. Problem został naprawiony poprzez dodanie czyszczenia kolejki odbiorczej w destruktorze gniazda.

W jądrze Linux w sterowniku drm/vc4 występuje problem z wyścigiem podczas przejścia w stan uśpienia (runtime suspend). Funkcja vc4_irq_disable() wyłącza źródła przerwań V3D i wywołuje synchronize_irq(), ale na kontrolerze ARMCTRL (RPi 0-3) nie gwarantuje to wyciszenia handlera — przerwanie może zostać obsłużone po odcięciu zasilania domeny V3D, gdy odczyty rejestrów zwracają 0xdeadbeef. Może to spowodować zaplanowanie pracy vc4_overflow_mem_work() po jej anulowaniu. Poprawka polega na wyłączeniu linii przerwania na czas przejścia PM i zrównoważeniu instalacji/żądania IRQ.

W jądrze Linux naprawiono problem możliwego zakleszczenia (deadlock) wykrywanego przez lockdep podczas kurczenia puli stron TTM przez kswapd. Przyczyną była niepotrzebna alokacja pamięci (GFP_KERNEL) w ścieżce zwalniania tablic stron, wykonywana pod blokadą mmap_read_lock. Usunięto kopiowanie strony PMD, dzięki czemu alokacja zniknęła, a problem blokad został rozwiązany.

W jądrze Linux w warstwie Rust irq występuje błąd polegający na tym, że RegistrationInner jest przekazywany jako cookie do request_irq, zanim jego pola zostaną zainicjalizowane. Może to prowadzić do odczytu niezainicjalizowanej pamięci w funkcji obsługi przerwania.

W jądrze Linux w KVM dla architektury s390 naprawiono problem wstrzykiwania przerwań podczas operacji SIGP Stop and Store Status. Zapisywanie stanu do przestrzeni użytkownika mogło powodować błąd strony, a funkcja była wywoływana z kontekstu trzymającego spinlock, co jest niedozwolone.

W jądrze Linux w sterowniku MACsec naprawiono problem kolejności inicjalizacji: struktura SecY była inicjalizowana po rejestracji urządzenia sieciowego, co powodowało ostrzeżenia i raportowanie niezainicjalizowanych atrybutów (w tym SCI) w powiadomieniach. Poprawka przenosi inicjalizację SecY i atrybutów przed rejestracją.

W jądrze Linux w KVM dla architektury arm64 naprawiono niespójność między flagą KVM_ARCH_FLAG_GUEST_HAS_SVE a bitem KVM_ARM_VCPU_SVE. Host ustawiający flagę bez bitu powodował vCPU z NULL sve_state, co prowadziło do problemów przy przełączaniu kontekstu.

W jądrze Linux naprawiono błąd w mechanizmie BPF sockmap, gdzie przekierowanie skb z powrotem do tego samego gniazda (self-redirect z BPF_F_INGRESS) powodowało podwójne zliczanie copied_seq. Skutkowało to ostrzeżeniami jądra i nieprawidłowym działaniem recvmsg. Poprawka zamienia verdict self-redirect na __SK_PASS, aby uniknąć podwójnego przesunięcia copied_seq.

W jądrze Linux naprawiono problem zawieszania zadań podczas odmontowywania systemu plików po usunięciu dysku. Funkcja evict_inodes() wielokrotnie skanowała te same inody z powodu restartu przechodzenia listy po zwolnieniu blokady, co długo utrzymywało s_umount i blokowało współbieżne odmontowania. Poprawka polega na zachowaniu bieżącej inody poza partią zwalniania do czasu ponownego uzyskania blokady i wznowieniu od niej przechodzenia.

W jądrze Linux na architekturze arm64 funkcja ioremap_prot() nie odrzucała mapowań bez flagi PTE_USER, co powodowało fałszywe ostrzeżenie WARN przy dostępie do stron z PROT_NONE lub mapowań tylko-do-wykonania przez /dev/mem i /proc/<pid>/cmdline. Poprawka powoduje czyste odrzucenie takich wartości ochrony bez ostrzeżenia.

W jądrze Linux naprawiono błąd w sterowniku emac, który powodował panikę jądra (NULL pointer dereference) podczas inicjalizacji sterownika na platformach PowerPC 44x. Przyczyną było wywołanie of_phy_connect() przed ustawieniem netdev_ops, co prowadziło do sprawdzenia netdev_need_ops_lock() na niezainicjalizowanym wskaźniku. Poprawka przenosi inicjalizację netdev_ops, commac.ops i ethtool_ops przed wywołanie emac_init_config().

W systemie plików overlayfs funkcja ovl_do_mkdir() wypisywała dentry za pomocą %pd po wywołaniu vfs_mkdir(), które może zwolnić lub zamienić dentry, co prowadzi do use-after-free przy włączonym CONFIG_OVERLAY_FS_DEBUG. Poprawka przenosi wypisanie dentry przed wywołanie i ogranicza wydruk po wywołaniu do wyniku.

W jądrze Linux naprawiono błąd w podsystemie netfs, gdzie bezpośrednie wywołania funkcji alokacji z puli mempool pomijały otoczkę alloc_hooks(), co przy włączonym CONFIG_MEM_ALLOC_PROFILING_DEBUG powodowało ostrzeżenia o braku ustawionego current->alloc_tag podczas alokacji i zwalniania pamięci. Problem występował m.in. przy odczycie plików z montowania CIFS, a alokacje nie były widoczne w /proc/allocinfo.

W jądrze Linux w podsystemie DAMON funkcja damon_ptep_mkold() przekazywała nie wyrównany do strony adres próbkowania do mechanizmu czyszczenia flagi młodości PTE. Na architekturze arm64 powodowało to wykroczenie poza blok contpte i zapis do strony następującej po tablicy stron, co mogło prowadzić do awarii jądra lub cichego uszkodzenia pamięci.

W jądrze Linux sterownik crypto ccp wywoływał rmp_mark_pages_firmware() z locked=false mimo że funkcja nadrzędna już posiadała sev_cmd_mutex. W przypadku błędu RMPUPDATE ścieżka czyszczenia mogła spowodować zakleszczenie w sev_do_cmd. Poprawka przekazuje locked=true.

W jądrze Linux w sterowniku amdgpu wykryto podatność polegającą na rekurencyjnym blokowaniu mutexu w funkcji amdgpu_devcoredump_format(). Podczas zrzutu zawartości IB z zawieszonego zadania dochodzi do podwójnego zablokowania tego samego obiektu synchronizującego, co może prowadzić do zakleszczenia systemu. Problem został naprawiony przez przeniesienie operacji do osobnej funkcji używającej jednego kontekstu drm_exec.

W jądrze Linux w sterowniku drm/xe naprawiono ścieżki alokacji DPT. Usunięto mechanizm awaryjnego przełączania z pamięci VRAM na pamięć systemową, ponieważ nie działał poprawnie i powodował czarny ekran z błędami potoku. Dodatkowo uniknięto używania pamięci stolen ze względu na opóźnienia i ryzyko losowych zawieszeń systemu pod obciążeniem.

W jądrze Linux naprawiono podatność w sterowniku szeregowym msm, polegającą na wyłączeniu DMA dla konsoli UART. Jednoczesne zapisy z przestrzeni użytkownika i jądra mogą powodować wyścig, prowadzący do nieskończonej pętli drukowania tych samych komunikatów. Poprawka wyłącza DMA dla konsoli UART, aby zapewnić niezawodną ścieżkę wyjścia.

W jądrze Linux naprawiono problem w AFS dotyczący nieanulowanego handlera komunikatów OOB rxrpc. Poprawka anuluje przetwarzanie komunikatów OOB (zwykle w odpowiedzi na wyzwania bezpieczeństwa) oraz przenosi to przetwarzanie do kolejki afs_wq, aby było ono oczekiwane. Handler OOB zwraca teraz, jeśli przestrzeń nazw sieci nie jest już aktywna.

W jądrze Linux naprawiono problem w sterowniku kryptograficznym Tegra, polegający na zwracaniu błędu ENOMEM, gdy alokacja bufora wejściowego nie powiedzie się w funkcji tegra_ccm_do_one_req. Poprawka zapewnia ustawienie wartości błędu ENOMEM w przypadku niepowodzenia alokacji.

W jądrze Linux naprawiono problem w systemie plików OCFS2 dotyczący zarządzania buforami głowic w funkcji ocfs2_read_blocks(). Poprawka wyjaśnia, że wywołujący nie powinien zakładać, iż bufor głowicy zwrócony przez sb_getblk() jest wyłącznie własnością, a put_bh() zawsze zmniejsza licznik b_count z 1 do 0. Aby uniknąć sytuacji, w której bufor pozostaje wstrzymany i może być zwrócony z ustawionym bitem BH_Uptodate mimo wcześniejszego błędu walidacji, bit BH_Uptodate jest teraz czyszczony natychmiast po wykryciu niespójności danych przez funkcję validate().

W jądrze Linux w sterowniku IB/mlx5 występuje podatność związana z niejawnym ODP i operacją rereg_mr. Ze względu na dziecięce klucze mkey w konfiguracji niejawnego ODP nie można zmienić niczego w miejscu dla klucza nadrzędnego, dlatego cała struktura musi zostać przebudowana. Dodatkowo usunięto przypadek wyścigu związanego z dostępem do mr->pd przez dziecięce klucze.

W jądrze Linux wykryto cykliczną zależność blokad w systemie plików OCFS2 podczas operacji zapisu z bezpośrednim dostępem do pamięci (DIO). Problem dotyczy funkcji ocfs2_dio_end_io_write, która może prowadzić do zakleszczenia (deadlock) w wyniku nieprawidłowej kolejności blokowania zasobów systemowych (INODE_ALLOC, EXTENT_ALLOC, ORPHAN_DIR). Poprawka polega na zwolnieniu kontekstów alokacji przed uzyskaniem blokady ORPHAN_DIR.

W jądrze Linux w systemie plików AFS występuje wyciek pamięci związany z listą vllist w funkcji afs_update_cell(). Gdy nowa lista jest pusta (nr_servers == 0), stara lista nie jest zastępowana, co prowadzi do wycieku nowej listy.

W jądrze Linux wykryto podatność w mechanizmie ring-buffer (bufor pierścieniowy) używanym przez ftrace. Przy włączonej opcji RB_FORCE_8BYTE_ALIGNMENT (np. na architekturze riscv64 z CONFIG_HAVE_64BIT_ALIGNED_ACCESS) funkcja ring_buffer_event_length() nieprawidłowo oblicza długość zdarzeń dla małych zdarzeń, zawyżając raportowaną długość danych o 4 bajty. Problem objawia się niespójnymi wynikami w testach ftrace (trace_marker_raw).

W jądrze Linux w module IPVS występuje podatność w obsłudze stanu TCP. Kod parsuje ponownie pakiet, aby znaleźć nagłówek TCP, używając sizeof(struct ipv6hdr) dla IPv6, podczas gdy rzeczywiste przesunięcie nagłówka transportowego jest już znane z ip_vs_fill_iph_skb(). Dla pakietów IPv6 z nagłówkami rozszerzeń prowadzi to do odczytu niewłaściwych bajtów.

W jądrze Linux w pliku DTS dla platformy Renesas Ironhide brakuje opisu obszarów pamięci zarezerwowanych dla kontrolera DBSC5 DRAM z inline ECC. Jeśli te obszary nie zostaną odpowiednio zarezerwowane, Linux może użyć i uszkodzić pamięć wykorzystywaną przez kontroler, co prowadzi do niestabilności systemu.

W jądrze Linux w KVM dla architektury arm64 występuje podatność polegająca na tym, że przy wstrzykiwaniu zagnieżdżonych wyjątków SError nie jest zapisywany rejestr ESR_EL2. Funkcja kvm_inject_el2_exception() zapisuje ESR_EL2 dla wyjątków synchronicznych, ale nie dla SError, co powoduje, że gość L2 obserwuje nieaktualny ESR_EL2.

W jądrze Linux w sterowniku ALSA HDA dla układu TAS2781 występuje podatność polegająca na tym, że asynchroniczne żądanie firmware nie jest anulowane podczas unbind. Może to prowadzić do sytuacji, w której callback firmware działa na stanie, który jest właśnie usuwany, co może powodować błędy lub wyścigi.

W jądrze Linux w sterowniku kryptograficznym Xilinx TRNG usunięto interfejs crypto_rng, ponieważ nie był używany. Usunięcie eliminuje błędy, takie jak zwracanie sukcesu bez wypełnienia wszystkich bajtów oraz możliwość równoczesnego działania funkcji xtrng_trng_generate() i xtrng_hwrng_trng_read(), co mogło prowadzić do zakłóceń.

W jądrze Linux w sterowniku amdkfd podczas przywracania stanu CRIU nie walidowano poprawnie identyfikatorów przywracanych z przestrzeni użytkownika przed użyciem ich w funkcji idr_alloc. Zbyt duże identyfikatory (powyżej INT_MAX) mogą wywołać ostrzeżenie WARN w warstwie IDR, co może prowadzić do paniki lub restartu systemu, jeśli włączona jest opcja panic_on_warn.