Podatności Linux kernel

W kliencie SMB jądra Linux funkcja cifs_set_acl() waliduje rozmiar ACL według formatu xattr (4 + count*8), ale cifs_do_set_acl() zapisuje do tego samego bufora większy format CIFS (6 + count*10), co może spowodować przepełnienie sterty. Dodatkowo rozmiar nie jest sprawdzany względem USHRT_MAX, co przy zbyt dużym ACL powoduje obcięcie długości pakietu i częściowe zastosowanie ACL przez serwer.

W kliencie SMB jądra Linux funkcja CIFSSMBSetEA() kopiuje wartość rozszerzonego atrybutu do bufora żądania SMB bez sprawdzenia, czy się ona zmieści. Nieuprzywilejowany użytkownik może wywołać setxattr(2) na montażu SMB1 z odpowiednio dużym atrybutem, co prowadzi do zapisu poza granicami bufora (slab-out-of-bounds). Poprawka stosuje limit SendReceive() przed kopiowaniem i poszerza liczniki bajtów, aby zapobiec przepełnieniu.

W systemie plików NTFS jądra Linux funkcja ntfs_new_attr_flags() przekazuje niewłaściwy wskaźnik rekordu MFT do ntfs_attr_record_resize(). Gdy atrybut znajduje się w rekordzie extent, przekazywany jest wskaźnik rekordu bazowego zamiast rekordu extent, co powoduje błędne obliczenia rozmiaru w memmove.

W sterowniku drm/amdgpu jądra Linux funkcja amdgpu_cs_parser_bos() alokuje zakresy HMM dla wpisów userptr, ale nie zwalnia ich, gdy późniejsze etapy przetwarzania CS (patch_jobs, vm_handling, sync_rings, wczesna część submit) zakończą się błędem. Każdy taki błąd powoduje wyciek zakresu, tablicy hmm_pfns i referencji BO.

W schedulerze sched_ext jądra Linux zadanie zakolejkowane z flagą SCX_ENQ_LAST, które trafia z powrotem do lokalnego DSQ swojego CPU, nie powoduje ponownego planowania. CPU pozostaje bezczynny z zakolejkowanym zadaniem do czasu niepowiązanego wybudzenia lub zadziałania watchdoga, co powoduje zawieszenie zadań wychodzących.

W jądrze Linux naprawiono błąd use-after-free w podsystemie workqueue dotyczący czasu życia niepowiązanych (unbound) puli workerów. Anulowanie ostatniej nieaktywnej pracy pomijało pwq_dec_nr_active(), przez co puste pwq mogło pozostać na liście pending_pwqs, a pwq_release_workfn() zwalniało pulę przed usunięciem tego pwq. W efekcie pula mogła zostać zwolniona przez RCU, podczas gdy pwq było nadal osiągalne, co prowadziło do użycia zwolnionej pamięci w node_activate_pending_pwq().

W systemie plików NTFS jądra Linux funkcja ntfs_new_attr_flags() zmniejsza rekord atrybutu przed przeniesieniem jego nazwy i par mapowania na krótsze przesunięcia nagłówka. Zmniejszenie rekordu najpierw przenosi następny atrybut na ogon starego rekordu, przez co memmove kopiuje błędne bajty, tworząc uszkodzoną tablicę par mapowania.

W jądrze Linux rozwiązano podatność w sterowniku wifi: p54, polegającą na braku walidacji długości rekordów firmware. Parser firmware'u odczytuje identyfikator komponentu i wersję bez sprawdzenia, czy ich długości pokrywają odczytywane pola, co może prowadzić do odczytu poza granicami rekordu przy zniekształconych danych. Poprawka dodaje walidację długości rekordów i odrzuca nieprawidłowe wartości deskryptora.

W jądrze Linux wykryto erratę procesorów AMD (#1718), w której procesor może nie unieważnić wpisu TLB podczas wykonywania pary instrukcji INVLPGB/TLBSYNC. Jądro wykrywa erratę i stosuje obejście programowe, gdy brak poprawki mikrokodu.

W jądrze Linux w dm-integrity w trybie inline występuje przepełnienie bufora na stosie, gdy rozmiar tagu przekracza HASH_MAX_DIGESTSIZE; funkcja integrity_sector_checksum dopełnia wynik zerami poza koniec bufora. Przy CONFIG_STACKPROTECTOR jądro panikuje przy pierwszym odczycie. Podatność nie jest uznawana za bezpieczeństwową, bo może ją wywołać tylko root.

W jądrze Linux funkcja tee_dyn_shm_alloc_helper() nie sprawdza rozmiaru zerowego, co prowadzi do wywołania alloc_pages_exact(0) i niezdefiniowanego zachowania get_order(0). Powoduje to ostrzeżenie alokatora i niepowodzenie alokacji, a na jądrze z panic_on_warn kończy się paniką podczas rozruchu. Można to wywołać przez TEE_IOC_SHM_ALLOC z rozmiarem 0.

W jądrze Linux pierścień io_uring utworzony z IORING_SETUP_R_DISABLED jest zwolniony z ograniczeń rejestracji do momentu włączenia, co pozwala obejść dozwolone kody operacji rejestracji. Dotyczy to również ograniczeń dziedziczonych z zadania, więc zadanie z ograniczonymi kodami może utworzyć wyłączony pierścień, wykonać dowolny kod rejestracji i go włączyć. Poprawka oznacza pierścienie z dziedziczonymi ograniczeniami i sprawdza kody rejestracji także gdy pierścień jest wyłączony.

W jądrze Linux w drm/vc4 podczas odłączania V3D nie zatrzymuje się timera hangcheck ani zadań job_done_work, co prowadzi do dostępu do rejestrów V3D przez wskaźnik NULL vc4->v3d i wywołań zwrotnych po zwolnieniu pamięci. Poprawka opróżnia timer i anuluje reset_work w vc4_v3d_unbind() oraz opróżnia job_done_work.

W jądrze Linux w btintel_pcie_prepare_tx() indeks tfd_index jest używany do dostępu do tablic TFD i bufora danych przed sprawdzeniem modulo txq->count. Indeks równy txq->count wykracza poza obie tablice, więc poprawka odrzuca go w sprawdzeniu granic.

W jądrze Linux występuje błąd, który powoduje panikę jądra podczas rozruchu, gdy używany jest tracer funkcji z filtrem (np. ftrace=function ftrace_filter=pud_free_pmd_page). Podczas wczesnej inicjalizacji tracera tworzona jest trampolina, której strona jest dzielona i ponownie scalana przez mechanizm CPA, co prowadzi do zwolnienia tablicy stron przez pagetable_free_kernel(). Funkcja ta próbuje zakolejkować pracę na kolejce system_percpu_wq, która nie została jeszcze zainicjalizowana, co skutkuje błędem general protection fault i paniką jądra.

W jądrze Linux na architekturze RISC-V funkcja patch_map() błędnie zakłada, że adresy w obszarze vmalloc są bezpośrednio zapisywalne, gdy CONFIG_STRICT_MODULE_RWX jest wyłączone. Ponieważ BPF i tak oznacza swój kod jako tylko do odczytu (set_memory_rox), próba zapisu kończy się błędem strony i kodem -EFAULT, co uniemożliwia kompilację JIT programów BPF i wywołuje WARN_ON().

W jądrze Linux w module Bluetooth MGMT występuje błąd, w którym oczekujące polecenia opróżniane przy wyłączaniu zasilania otrzymują nieprawidłowy status. Funkcja cmd_complete_rsp() przekazuje wskaźnik do struktury zamiast statusu, przez co wysyłany jest bajt z reprezentacji gniazda (lub 0x00), a nie zamierzony MGMT_STATUS_NOT_POWERED lub MGMT_STATUS_INVALID_INDEX.

W jądrze Linux w sterowniku drm/amdgpu funkcja odczytu licznika vblank odczytuje rejestry wyświetlania bez blokady reset_domain->sem. Podczas odzyskiwania GPU może to powodować dostęp do sprzętu w trakcie resetu i wywołanie ostrzeżenia lockdep oraz ustawienie TAINT_WARN. Poprawka polega na próbie pozyskania semafora resetu do odczytu i użyciu buforowanego licznika vblank, gdy reset trwa.

W jądrze Linux w sterowniku ASoC samsung i2s funkcja probe ustawia urządzenie w stan aktywny runtime PM, ale nie włącza zegara op_clk, który następnie jest wyłączany w callbacku suspend. Prowadzi to do niezrównoważonego wyłączania zegara i ostrzeżenia 'i2s_bus already disabled' podczas rozruchu na Exynos5250 Arndale. Poprawka włącza op_clk w probe i wyłącza go w remove.

W jądrze Linux w module openvswitch funkcja set_ipv6_addr() przy przepisywaniu adresów IPv6 w fragmentach wywołuje update_ipv6_checksum(), która odczytuje niezainicjalizowany nagłówek transportowy. Powoduje to ostrzeżenie przy włączonym CONFIG_DEBUG_NET, choć samo w sobie jest nieszkodliwe. Poprawka polega na wcześniejszym zwrocie, gdy protokół to NEXTHDR_FRAGMENT.

W jądrze Linux serwer ksmbd ma błąd zapisu poza granice sterty w funkcji krb5_authenticate(). Gdy SMB2_SESSION_SETUP jest przetwarzane jako niepierwszy element złożonego żądania SMB2, obliczenie out_len pomija work->next_smb2_rsp_hdr_off, co zawyża dostępne miejsce w buforze i pozwala memcpy() zapisać blob AP-REP poza response_buf. Poprawka odejmuje tę wartość przy obliczaniu out_len.

W jądrze Linux naprawiono błąd w KVM na architekturze x86 dotyczący pamięci podręcznej MMIO dla poszczególnych vCPU. Cache był oznaczany generacją memslotów, ale zarówno przy wypełnianiu, jak i walidacji używano kvm_memslots() wybierającego bezwarunkowo przestrzeń adresową 0, nawet gdy vCPU działał w trybie SMM i korzystał z przestrzeni adresowej 1. W rezultacie aktualizacja memslotów SMM mogła pozostawić pozornie ważny wpis z dawnej przestrzeni SMM po powrocie vCPU do normalnej przestrzeni adresowej, co pozwalało gościowi wymusić wyjście KVM_EXIT_MMIO dla prawidłowego RAM.

W jądrze Linux w funkcji clear_inode() występuje wyciek węzłów xarray, który można wywołać m.in. przez madvise. Zamiast naprawiać wycieki w miejscach ich powstawania, poprawka wywołuje xa_destroy(), co dodatkowo cyklicznie zwalnia i pobiera blokadę i_pages.

W jądrze Linux naprawiono podatność w obsłudze protokołu IPv4/UDP, która pozwalała atakującemu spoza ścieżki na przeprowadzenie ataku side-channel na cache wyjątków FIB (FNHE). Poprzednio wyjątek był tworzony tylko wtedy, gdy pakiet UDP można było dopasować do istniejącego gniazda, co umożliwiało odkrycie efemerycznego portu używanego przez połączone gniazdo UDP. Poprawka polega na zawsze tworzeniu FNHE przed próbą dopasowania gniazda.

W jądrze Linux w podsystemie IPv4 występuje błąd use-after-free/null-ptr-deref podczas aktualizacji PMTU, gdy grupa nexthop ulega zmniejszeniu. Funkcja __ip_rt_update_pmtu() iteruje po ścieżkach, a równoległa zamiana grupy nexthop może spowodować, że fib_info_nhc() zwróci NULL, co jest następnie dereferencjonowane w update_or_create_fnhe(). Wymaga to uprawnień CAP_NET_ADMIN w przestrzeni nazw sieci, ale w środowiskach z nieuprzywilejowanymi przestrzeniami nazw użytkownika lokalny użytkownik może je uzyskać.

W jądrze Linux w podsystemie IPv4 występuje błąd null-ptr-deref podczas obliczania rozmiaru powiadomienia o trasie, gdy grupa nexthop ulega zmniejszeniu. Funkcja fib_nlmsg_size() sprawdza fib_info_num_path() przed każdą iteracją, a następnie fib_info_nhc() niezależnie przeładowuje nh->nh_grp; jeśli RTM_NEWNEXTHOP zamieni grupę na mniejszą, fib_info_nhc() zwróci NULL i fib_nexthop_nlmsg_size() go zdereferencjonuje. Poprawka zatrzymuje obliczanie, gdy indeksowana ścieżka jest nieobecna.

W jądrze Linux w podsystemie IPv4 występuje fałszywe ostrzeżenie o wyścigu rozmiaru powiadomienia o trasie. Funkcja fib_alias_hw_flags_set() oblicza rozmiar skb za pomocą fib_nlmsg_size(), a następnie wypełnia go przez fib_dump_info() trzymając tylko RCU; równoległa zamiana może powiększyć grupę nexthop, powodując legalne zwrócenie -EMSGSIZE przez fib_dump_info(). Poprawka usuwa ostrzeżenie, ponieważ nie dowodzi ono błędu w obliczaniu rozmiaru.

W jądrze Linux w podsystemie IPv6 występuje fałszywe ostrzeżenie o wyścigu rozmiaru powiadomienia o trasie. Funkcja fib6_info_hw_flags_set() oblicza rozmiar skb za pomocą rt6_nlmsg_size(), a następnie wypełnia go przez rt6_fill_node(); równoległa zamiana może powiększyć grupę nexthop, powodując legalne zwrócenie -EMSGSIZE przez rt6_fill_node(). Poprawka usuwa ostrzeżenie, ponieważ nie dowodzi ono błędu w obliczaniu rozmiaru.

W jądrze Linux w funkcji scrub_print_warning_inode() podsystemu btrfs występuje wyciek referencji do root, gdy wywołanie paths_from_inode() zakończy się niepowodzeniem. Ścieżka błędu nie zwalnia referencji pobranej przez btrfs_get_fs_root(), co powoduje wyciek przy każdym nieudanym rozwiązaniu ścieżki podczas drukowania ostrzeżeń scrub.

W jądrze Linux funkcja cipso_v4_skbuff_delattr() usuwa bajty CIPSO, ale nie koryguje buforowanych przesunięć opcji następujących po nich (srr, rr, ts, router_alert). Konsumenci tacy jak ip_forward_options() i __ip_options_echo() odczytują wtedy niewłaściwe bajty, a ten drugi może potraktować dane pakietu jako długość opcji i skopiować je do bufora o stałym rozmiarze.

W jądrze Linux funkcja get_result_buffer() ustawia data_start na sizeof(struct dm_ioctl) bez sprawdzenia rozmiaru bufora, przez co przy minimalnym buforze data_start wykracza poza jego koniec. Powoduje to odczyt poza zakresem (slab-out-of-bounds) w ctl_ioctl() i wyciek siedmiu bajtów sąsiadujących z alokacją.

W jądrze Linux funkcja is_chained_work() może zostać wywołana przez kworker, który nie wykonuje aktualnie elementu pracy, przez co worker->current_pwq jest NULL i test pracy łańcuchowej powoduje błąd przed wygenerowaniem ostrzeżenia. Poprawka dodaje sprawdzenie worker->current_pwq.

W jądrze Linux w sterowniku xen/netfront funkcja xennet_fill_frags() zwraca błąd, gdy łańcuch odpowiedzi ma więcej slotów niż mieści się w fragach skb. Ścieżka błędu w xennet_poll() przenosi pozostałe elementy z tmpq do errq, ale sam skb został już zdjęty z tmpq i nigdy nie jest zwalniany, co powoduje wyciek skb i dołączonych do niego stron.

W jądrze Linux mechanizm strparser nie gwarantował, że wywołania __strp_recv zakończą się przed zniszczeniem parsera w strp_done(). Dodano parę lock_sock/release_sock, aby zapewnić zakończenie trwających wywołań strp_recv, oraz zmieniono bity stanu na u8, aby uniknąć wyścigów między strp_stop() a strp_pause/unpause().

W jądrze Linux funkcja tipc_topsrv_stop() zamykała połączenia subskrybentów, podczas gdy kolejki robocze serwera topologii nadal działały. Powodowało to wyścigi prowadzące do błędów refcount, use-after-free w tipc_conn_close(), queue_work() na zniszczonej kolejce oraz RCU stall w tipc_topsrv_exit_net(). Poprawka czyści flagę pod idr_lock, niszczy kolejki robocze przed zamknięciem połączeń i odmawia tipc_conn_lookup() po wyczyszczeniu flagi.

W jądrze Linux w module TIPC funkcja tipc_node_find_by_name() zwracała wskaźnik do węzła po zwolnieniu blokady RCU, nie pobierając referencji. Obsługiwacze LINK_SET, LINK_GET i LINK_RESET_STATS mogły następnie używać zwolnionego węzła, co prowadziło do use-after-free (wykryte przez KASAN).

W jądrze Linux moduł SELinux przy ponownym montowaniu systemu NFSv4 wyeksportowanego z security_label nie ustawiał SECURITY_LSM_NATIVE_LABELS w *set_kern_flags, ponieważ superblok był już SB_INITIALIZED i selinux_set_mnt_opts() kończyło działanie wcześnie. W efekcie nfs_get_root() czyścił NFS_CAP_SECURITY_LABEL na współdzielonym nfs_server, wyłączając etykietowanie per plik dla obu montowań.

W jądrze Linux funkcja __fsverity_get_info() używa rhashtable_lookup_fast() z rcu_read_lock(), co nie synchronizuje się bezpośrednio z fsverity_remove_info(). Dla różnych inode'ów równoległe wywołania mogą powodować use-after-free, ponieważ polegają na fsverity_info::rhash_head i fsverity_info::inode po zwolnieniu. Poprawka opóźnia zwolnienie struct fsverity_info przez RCU po usunięciu z rhashtable.

W jądrze Linux sterownik gpio-mpsse w gpio_mpsse_irq_enable() uruchamiał worker poll przed dodaniem go do listy priv->workers. Jeśli gpio_mpsse_disconnect() przechodził listę w tym oknie, pomijał worker, a po zwolnieniu mpsse_priv osierocony gpio_mpsse_poll() nadal uzyskiwał do niego dostęp, powodując use-after-free. Poprawka publikuje i uzbraja worker w jednej sekcji krytycznej irq_spin oraz dodaje flagę priv->dying.

W jądrze Linux sterownik gpio-xilinx w xgpio_request() wywoływał pm_runtime_get_sync(), które przy błędzie pozostawiało zwiększony licznik użycia. Ponieważ gpiolib nie wywołuje ->free() po nieudanym ->request(), xgpio_free() z pasującym pm_runtime_put() nigdy się nie uruchamiał, powodując wyciek referencji i uniemożliwiając runtime-suspend kontrolera. Poprawka przełącza na pm_runtime_resume_and_get().

W jądrze Linux w sterowniku gve występuje wyciek bufora XSK przy deskryptorze błędu. Gdy w deskryptorze ukończenia RX ustawiony jest bit błędu, buf_state i przypisany bufor powinny zostać zwolnione, ale w przypadku AF_XDP ZC bufor XSK nie jest zwalniany.

W jądrze Linux w sterowniku ibmveth występuje błąd zwalniania logicznej sieci LAN przy niepowodzeniu otwarcia po rejestracji. Gdy alokacja puli buforów RX zawiedzie, kod pomija h_free_logical_lan(), przez co PHYP nadal posiada stronę listy buforów w momencie jej odmapowania.

W jądrze Linux w sterowniku ice występuje błąd zarządzania licznikiem referencji metadata_dst przy demontażu reprezentanta. Funkcja ice_eswitch_release_repr() używa metadata_dst_free(), która zwalnia pamięć bez sprawdzenia licznika referencji, podczas gdy pakiety w kolejce nadal trzymają referencje.

W jądrze Linux w io_uring/net występuje obejście filtra CONNECT dla 24-bajtowego sockaddr_in6. Funkcja io_connect_bpf_populate() wypełnia pola filtra tylko gdy addr_len >= 28 bajtów, podczas gdy ścieżki połączenia IPv6 akceptują 24 bajty, przez co filtr widzi port i adres zerowe i może zostać obejśty.

W jądrze Linux w ip6_gre występuje dereferencja NULL przy przestarzałej aktualizacji PMTU ERSPAN. Funkcja ip6erspan_tunnel_xmit() traktuje metadanych dst jako trasę, a ponieważ nie ma urządzenia wyjściowego, dst_dev(dst)->mtu powoduje dereferencję NULL.

W jądrze Linux w podsystemie KEYS występuje wyścig w add_key() z ograniczeniem keyringu. Funkcja __key_create_or_update() odczytuje restrict_link przed zajęciem semafora, co pozwala pisarzowi zaobserwować brak ograniczenia, poczekać na instalację ograniczenia i połączyć klucz mimo ograniczenia.

W jądrze Linux w module memstick rtsx_usb_ms występuje sytuacja wyścigu podczas usuwania urządzenia: żądanie może zostać po cichu porzucone, przez co nikt nie kończy card->mrq_complete. Po wprowadzeniu oczekiwania na zakończenie żądań bez limitu czasu powoduje to zawieszenie usuwania — memstick_check() nigdy nie wraca, a memstick_remove_host() blokuje się w flush_workqueue(). Poprawka zapewnia, że żądania nie są porzucane, lecz kończone błędem -ENOMEDIUM po ustawieniu eject.

W jądrze Linux w dm-crypt zaakceptowano nieprawidłową konfigurację łączącą szyfr AEAD z trybem IV lmk (np. "capi:gcm(aes)-lmk"). Tryb lmk ustawia tfms_count na 64, ale crypt_alloc_tfms_aead alokuje tylko jeden transform, co powoduje odczyt poza tablicą tfms_aead i wywołanie crypto_aead_setkey na nieprawidłowych danych, prowadząc do oops przy ładowaniu tabeli.

W jądrze Linux w podsystemie dm (device-mapper) funkcja do_resume wywołuje dm_table_get_mode(new_map) bez blokad, co w przypadku równoległego ioctl na tym samym urządzeniu może spowodować odczyt zwolnionej pamięci (use-after-free). Wyścig został wykryty przez syzbot; poprawka polega na odczycie trybu nowej tabeli przed dm_swap_table.

W jądrze Linux w sterowniku mmc mtk-sd podczas odłączania urządzenia (unbind) nie anulowano synchronicznie zaplanowanego zadania timeout żądania. Wywołanie zwrotne timeout może kontynuować użycie zwolnionego obiektu mmc_host, co KASAN zgłasza jako use-after-free w msdc_request_done() i msdc_recheck_sdio_irq(). Poprawka dodaje cancel_delayed_work_sync() po mmc_remove_host().