Podatności Linux kernel

W jądrze Linux usunięto zbędne wywołanie rcu_barrier() w funkcji br_multicast_dev_del() modułu mostu sieciowego. Wywołanie to pochodziło z czasów, gdy w br_multicast.c używano call_rcu(), a obecnie stosowane jest kfree_rcu(), więc bariera RCU jest niepotrzebna i powoduje nadmierne obciążenie blokady RTNL. W efekcie dochodziło do blokad zadań oczekujących na mutex, co widać w raportach syzbot.

W jądrze Linux system plików ntfs3 nie obsługiwał błędów set_blocksize, a ponieważ używa buffer_heads, które nie radzą sobie dobrze z rozmiarem bloku większym niż PAGE_SIZE, montowanie mogło wywołać BUG_ON w folio_set_bh. Poprawka obsługuje te błędy.

W jądrze Linux system plików isofs nie obsługiwał błędów set_blocksize, a ponieważ używa buffer_heads, które nie radzą sobie dobrze z rozmiarem bloku większym niż PAGE_SIZE, montowanie mogło wywołać BUG_ON w folio_set_bh. Poprawka obsługuje te błędy.

W jądrze Linux sterownik irqchip/gic-v5 wykonywał opuszczenie priorytetu (priority drop) dopiero w irq_eoi(), czyli razem z dezaktywacją przerwania. Ponieważ wszystkie przerwania mają ten sam priorytet, długotrwałe przetwarzanie mogło blokować sygnalizację nowych przerwań. Poprawka przenosi priority drop bezpośrednio po potwierdzeniu przerwania w głównym handlerze GICv5.

W jądrze Linux sterownik irqchip/gic-v4 reklamował obsługę VLPIs nawet gdy nie wykryto kontrolera ITS. Przy włączonej opcji kvm-arm.vgic_v4_enable=1 na systemie bez węzła MSI w device tree i bez GICv4 dochodziło do paniki z powodu dereferencji NULL (gic_domain). Poprawka ustawia brak obsługi vLPI przy inicjalizacji, jeśli host nie ma ITS.

W jądrze Linux funkcja host1x_device_init() w ścieżkach obsługi błędów nie sprawdzała client->ops przed dereferencją, w przeciwieństwie do ścieżek inicjalizacji. Mogło to prowadzić do dereferencji NULL, jeśli client->ops było NULL. Poprawka dodaje brakujące sprawdzenie w etykietach teardown i teardown_late.

W jądrze Linux sterownik drm/nouveau/gsp nie zawierał wpisu SEC2 w tabeli układów GA100. Podczas tu102_gsp_oneinit() konstruktor bootera potrzebuje device->sec2 do dostępu do falcona SEC2; bez tego wpisu device->sec2 jest NULL, co powoduje awarię podczas rozruchu GSP-RM.

W jądrze Linux sterownik iwlwifi (mld) wywoływał WARN_ON(), gdy zawieszano system z skonfigurowanym WoWLAN bez połączenia z siecią i bez netdetect. Poprawka usuwa ostrzeżenie i pozwala sterownikowi czysto obsłużyć ten przypadek, zwracając 1 w celu rozłączenia i zawieszenia.

W jądrze Linux moduł netfilter nf_conntrack_expect nie zerował struktur oczekiwań przy alokacji, co mogło prowadzić do wycieku niezainicjalizowanych danych do przestrzeni użytkownika przez ctnetlink. Poprawka zeruje pamięć w momencie alokacji.

W jądrze Linux system plików freevxfs wywoływał BUG() przy napotkaniu nieznanego typu extentu w vxfs_bmap_typed(), co prowadziło do awarii jądra. Poprawka zastępuje BUG() przez WARN_ON_ONCE() i zwraca 0, dzięki czemu ioctl(FIBMAP) kończy się czystym błędem.

W jądrze Linux serwer ksmbd usuwał kanały połączenia z list innych sesji tylko gdy conn->binding było ustawione, co po wyczyszczeniu flagi pozostawiało wiszące kanały wskazujące na zwolnioną strukturę ksmbd_conn. Prowadziło to do use-after-free przy rozłączaniu i wycieku sesji. Poprawka usuwa warunek conn->binding.

W jądrze Linux naprawiono błąd w weryfikatorze BPF dotyczący logiki zerowego rozszerzenia (zero extension) przy operacjach 32-bitowych. Usunięcie śledzenia aktywności rejestrów (liveness) w commicie 107e16979905 umożliwiło w niektórych ścieżkach weryfikacji pominięcie oznaczenia zext_dst, co mogło pozwolić programowi BPF na wstrzyknięcie dowolnej wartości w górną połowę rejestru. Poprawka zastępuje logikę opartą na subreg_def statyczną analizą aktywności rejestrów w bpf_compute_live_registers().

W jądrze Linux rozwiązano podatność w module Bluetooth ISO. Zawartość raportu okresowej reklamy (Periodic Advertisement Report) jest kopiowana do BASE tylko wtedy, gdy UUID usługi odpowiada Basic Audio Announcement Service UUID.

W jądrze Linux rozwiązano podatność w module dm-pcache: odrzucanie ksetu przekraczającego swój segment. Funkcje cache_replay(), worker zapisu zwrotnego i worker GC odczytują kset o rozmiarze get_kset_onmedia_size() bajtów i przesuwają pozycję o tę wartość. Sfałszowany key_num powoduje, że rozmiar przekracza pozostałe miejsce w segmencie, przez co przesunięcie wychodzi poza segment i wyzwala BUG_ON w cache_pos_advance().

W jądrze Linux rozwiązano podatność w module dm-pcache: ograniczenie logicznego przesunięcia klucza z pamięci trwałej. Funkcja cache_key_decode() pobiera logiczne przesunięcie klucza z urządzenia pamięci podręcznej i później indeksuje req_key_tree->subtrees[] za jego pomocą w get_subtree(). Przesunięcie poza urządzenie tworzy wskaźnik poddrzewa poza tablicą, do którego rb_insert() zapisuje podczas odtwarzania.

W jądrze Linux rozwiązano podatność w module sched/cache: wprowadzono task_struct->sched_cache_grp w celu naprawy use-after-free. Dodano wskaźnik sched_cache_grp do task_struct, aby kod schedulera mógł uzyskać dostęp do grupy cache bezpośrednio przez zadanie, bez pośrednictwa mm->sched_cache_grp. Każde zadanie utrzymuje własny licznik referencji na sched_cache_group, niezależny od referencji w mm_struct. Referencja jest pozyskiwana w copy_mm() (fork) i exec_mmap() (exec), a zwalniana w exit_mm(). Naprawia to use-after-free, gdy account_mm_sched() dociera do grupy przez zadanie, którego mm jest przełączane.

W jądrze Linux w schedulerze sched_ext funkcja ops.dequeue() była wywoływana z wciąż trzymaną blokadą DSQ na ścieżkach consume i move. Jeśli scheduler BPF próbował zablokować źródłowy DSQ wewnątrz ops.dequeue(), dochodziło do samozakleszczenia. Poprawka przenosi wywołanie po zwolnieniu blokady DSQ na wszystkich trzech ścieżkach.

W jądrze Linux w sched_ext zadanie mogło znajdować się na DSQ, gdy jego stan wciąż był SCX_OPSS_DISPATCHING. Ścieżki reenqueue nie czekały na wyczyszczenie tego stanu, więc ops.enqueue() ustawiał SCX_OPSS_QUEUED, a następnie końcowy zapis dyspozytora nadpisywał go wartością SCX_OPSS_NONE, powodując porzucenie kolejnych dispatchy zadania. Poprawka czeka na wyczyszczenie SCX_OPSS_DISPATCHING przed dequeue do reenqueue.

W KVM na architekturze x86 żądanie GET_NESTED_STATE_PAGES nie było ponownie ustawiane, gdy pobranie stron zagnieżdżonych kończyło się niepowodzeniem w ścieżce KVM_RUN. Jeśli użytkownik ponownie uruchomił vCPU, a vmcs02 zawierał ważne PFN z poprzedniego uruchomienia L2, KVM mógł wejść do L2 ze starymi, nieprzypiętymi PFN zmapowanymi np. na stronę vAPIC.

W podsystemie audit jądra Linux funkcja kill_rules() usuwała reguły AUDIT_DIR i AUDIT_EXE podczas przycinania drzewa audytu, zwalniając entry->rule.exe przed usunięciem reguły z list widocznych przez RCU. Usunięcie obserwowanego katalogu mogło wyścignąć się z innym zadaniem oceniającym regułę, powodując use-after-free w audit_mark_compare().

W jądrze Linux naprawiono podatność w mechanizmie fprobe, polegającą na tym, że funkcje wyrejestrowujące fprobe (unregister_fprobe, unregister_fprobe_async) opierały się na standardowych okresach łaski RCU, które nie śledzą sekcji z wyłączonym wywłaszczaniem, gdy RCU nie obserwuje (np. w pętli bezczynności lub w stanach nohz_full). Mogło to prowadzić do użycia zwolnionej pamięci (use-after-free), jeśli fprobe został zwolniony zaraz po wyrejestrowaniu. Poprawka zapewnia wczesne wyjście z procedur obsługi, gdy !rcu_is_watching(), oraz zastępuje guard(rcu)() i rcu_read_lock() przez guard(rcu_sched_notrace)(), co eliminuje narzut lockdep na szybkiej ścieżce.

W podsystemie HID BPF jądra Linux porównanie zwracanej wartości z hid_bpf_hw_request z rozmiarem nie rzutowało rozmiaru na ssize_t. Gdy sterownik transportu zwracał ujemny kod błędu (np. -EPIPE), był on promowany do size_t i oceniany jako duża liczba dodatnia, przez co warunek (ret > size) stawał się prawdziwy. Powodowało to ciche potraktowanie błędu sprzętowego jako sukcesu i skopiowanie niezmodyfikowanego bufora.

W jądrze Linux w sterowniku HID multitouch funkcja mt_remove() używała timer_delete_sync() do zatrzymania timera odpowiedzialnego za tzw. sticky fingers. Timer mógł jednak zostać ponownie uzbrojony przez raport przychodzący po jego usunięciu, co prowadziło do użycia zwolnionej pamięci (use-after-free) po odłączeniu sterownika. Problem rozwiązano, zastępując timer_delete_sync() funkcją timer_shutdown_sync(), która dodatkowo blokuje późniejsze mod_timer().

W io_uring jądra Linux w trybie SQPOLL wątek sqpoll mógł pobrać i ukończyć żądanie zaraz po opublikowaniu go przez mpscq_push(). Jeśli było to ostatnie żądanie utrzymujące pierścień przy życiu, io_ring_exit_work() zwalniało ctx, zatrzymywało wątek i tctx, podczas gdy io_req_normal_work_add() wciąż odwoływało się do nich, powodując use-after-free. Poprawka utrzymuje blokadę RCU wokół dodawania i czeka na okres karencji przed zwolnieniem ctx.

W IPVS jądra Linux funkcje ip_vs_lblcr_new() i ip_vs_lblc_new() tworzyły wpisy pamięci podręcznej dla każdego nowego adresu docelowego, a max_size tabeli jedynie informowało okresowy kolektor o odzyskiwaniu wpisów po przekroczeniu limitu. Atakujący mógł nadal używać wpisów, powodując nieograniczony wzrost pamięci. Poprawka odrzuca nowe wpisy, gdy tabela osiągnie max_size * 3 / 2.

W kprobes jądra Linux na architekturze x86 optkprobe w punkcie A zastępuje pięć bajtów skokiem. Jeśli wyłączona sonda B znajduje się w A+2, get_optimized_kprobe() zatrzymuje się na B podczas uzbrajania nowej sondy C w A+4, pozostawiając A zoptymalizowaną. INT3 dla C nadpisuje ostatni bajt przesunięcia skoku A, przez co wykonanie może skoczyć pod zły adres. Poprawka pomija wyłączone i nieprzygotowane sondy podczas sprawdzania nakładania się optkprobe.

W jądrze Linux w funkcji add_changeset_property() (of/overlay) nowa właściwość węzła docelowego jest dopisywana do listy deadprops przed wywołaniem of_changeset_add_property(). Jeśli to wywołanie się nie powiedzie, ścieżka błędu zwalnia właściwość, ale pozostawia wiszący wskaźnik na liście deadprops, co prowadzi do podwójnego zwolnienia pamięci przy zwalnianiu węzła przerwanego overlay.

W jądrze Linux funkcja of_overlay_fdt_apply() zapisuje wartość zwracaną przez idr_alloc() w ovcs->id przed jej sprawdzeniem. Przy niepowodzeniu alokacji zapisany identyfikator jest ujemny, a funkcja free_overlay_changeset() wywołuje idr_remove() z ujemnym id oraz list_del() na nie zainicjalizowanej liście ovcs->ovcs_list, co prowadzi do dereferencji NULL.

W jądrze Linux segmentacja GSO dla tuneli IP-in-IP może wielokrotnie wchodzić w inet_gso_segment() lub ipv6_gso_segment() dla każdego zagnieżdżonego nagłówka IP. Pole encap_level śledzi bajty nagłówka, a nie głębokość wywołań, więc głęboki łańcuch może wyczerpać stos jądra. Poprawka zlicza wejścia do handlerów GSO IPv4 i IPv6 w skb_gso_cb i ogranicza je do IP_TUNNEL_RECURSION_LIMIT.

W jądrze Linux naprawiono błąd w wykrywaniu nagłówków rozszerzeń IPv6 w tunelowanych pakietach. Funkcja skb_gso_has_extension_hdr() nieprawidłowo obsługiwała pakiety GSO z ustawionym skb->encapsulation, co prowadziło do fałszywych alarmów i odrzucania pakietów w tunelach IPv6 (ip6_gre, ip6_tunnel) oraz błędnego obliczania długości nagłówka sieciowego. Poprawka sprawdza ipv6_ext_hdr() na zewnętrznym i wewnętrznym nagłówku IPv6, używając skb_header_pointer() do bezpiecznego odczytu.

W jądrze Linux funkcja nft_flow_offload_init() zwiększa licznik użycia flowtable przez nft_use_inc() przed wywołaniem nf_ct_netns_get(). Gdy to drugie wywołanie się nie powiedzie, błąd jest zwracany bez cofnięcia referencji, a warstwy wyższe również jej nie równoważą, ponieważ nf_tables_newexpr() czyści expr->ops przy niepowodzeniu inicjalizacji wyrażenia. Każde nieudane dodanie reguły wycieka jedną referencję flowtable.

W jądrze Linux funkcja tpacket_snd() opróżnia wszystkie ramki SEND_REQUEST w pierścieniu TX i dodaje każdą długość pakietu do zmiennej len_sum typu signed int. Ponieważ przestrzeń użytkownika może współbieżnie odzyskiwać zakończone ramki, po wystarczającej liczbie transmisji len_sum przechodzi w zakres ujemny, a sock_sendmsg_nosec() traktuje wynik jako niemożliwy i wywołuje BUG. Poprawka zatrzymuje się przed przekroczeniem INT_MAX.

W jądrze Linux funkcja pfcp_newlink() tworzy gniazdo UDP przed rejestracją urządzenia sieciowego. Jeśli rejestracja się nie powiedzie, gniazdo jest zwalniane dwukrotnie, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku RTC ac100 pole .num jest przypisywane dopiero po zapisaniu wszystkich zegarów do .hws[], co przy włączonym CONFIG_UBSAN_BOUNDS powoduje zgłoszenie przekroczenia zakresu tablicy podczas probe.

W jądrze Linux w sterowniku RTC spear funkcja devm_request_irq() włącza przerwanie przed zakończeniem inicjalizacji urządzenia, co może spowodować wykonanie handlera na nie w pełni zainicjalizowanym sprzęcie.

W jądrze Linux w implementacji SCTP funkcja sctp_wait_for_connect() zwalnia blokadę gniazda podczas snu, co pozwala na przetworzenie ABORT i usunięcie asocjacji. Jeśli równoczesne shutdown(fd, SHUT_RD) ustawi RCV_SHUTDOWN, funkcja kończy się bez sprawdzenia asoc->base.dead, co prowadzi do użycia wiszącego wskaźnika.

W jądrze Linux wykryto lukę w obsłudze TPM polegającą na tym, że niezgodność nazwy klucza null (null key name mismatch) nie powodowała wyłączenia układu TPM. Funkcja tpm2_load_null() zwracała sukces (rc = 0) mimo niepowodzenia kontroli integralności, przez co układ nadal przyjmował polecenia, a niezerowy uchwyt klucza mógł pochodzić z niezainicjalizowanej pamięci stosu. Poprawka ustawia rc na -ENODEV przy niezgodności, co powoduje wyłączenie układu i zwrócenie właściwego kodu błędu.

W jądrze Linux w podsystemie netfs funkcja netfs_read_gaps() pozostawia luki wokół brudnego regionu zapisu nieprzeczytane, co przy krótkiej odpowiedzi lub EOF pozostawia nieaktualną zawartość folio, która później jest zapisywana z powrotem.

W jądrze Linux funkcja codetag_load_module() nie ustawia kodu błędu przy niepowodzeniu, przez co load_module() zwraca 0 mimo zniszczenia modułu. Dodatkowo w przypadku livepatch struktura mod->klp_info wycieka na tej ścieżce błędu.

W jądrze Linux występuje błąd w sterowniku vmgenid, polegający na rejestracji procedury obsługi przerwań/notyfikacji przed przypisaniem wskaźnika driver_data. Jeśli przerwanie lub notyfikacja ACPI nadejdzie w tym wąskim oknie (np. przywracanie maszyny wirtualnej z migawki w Firecrackerze), handler odwołuje się do wciąż pustego wskaźnika i powoduje panikę jądra (NULL pointer dereference). Poprawka przenosi przypisanie driver_data przed rejestracją handlerów.

W jądrze Linux w vc_screen przeładowanie wskaźnika 'vc' w vcs_write() znajduje się po bloku 'if (ret)', więc ścieżka przerwania po błędzie kopiowania nie przeładowuje vc. Jeśli vc zostało zwolnione przez vc_port_destruct podczas odblokowanego copy_from_user(), dochodzi do użycia po zwolnieniu.

W funkcji paste_selection() w jądrze Linux występuje błąd niedomiaru typu unsigned oraz odczytu poza granicami bufora (slab-out-of-bounds). Podczas wklejania zaznaczenia konsoli, gdy bufor dyscypliny linii się zapełni, funkcja zasypia i zwalnia mutex, co pozwala równoległemu wywołaniu ioctl TIOCLINUX (TIOCL_SETSEL) zastąpić bufor krótszym zaznaczeniem. Po wznowieniu działania wartość vc_sel.buf_len - pasted ulega niedomiarowi, co prowadzi do odczytu do 4094 bajtów poza nowym buforem.

W jądrze Linux występuje podatność polegająca na odczycie poza granicami bufora (slab-out-of-bounds) w funkcji fb_pad_aligned_buffer. Problem występuje, gdy na niewidocznej konsoli wirtualnej zmieniony zostanie rozmiar czcionki, a następnie wywołana zostanie sekwencja ESC # 8 (test wyrównania DEC), która pomija sprawdzenie con_should_update() przed aktualizacją ekranu.

W jądrze Linux sterownik ALSA caiaq rejestruje urządzenie wejściowe w setup_card(), ale gdy snd_card_register() lub snd_usb_caiaq_control_init() zawiedzie, snd_card_free() zwalnia stan urządzenia bez wyrejestrowania urządzenia wejściowego. Późniejszy odczyt atrybutu "uevent" powoduje użycie zwolnionej pamięci (use-after-free).

W jądrze Linux sterownik IIO kionix-kx022a wykonuje błędne sprawdzenie granic tablicy przy konwersji wartości rejestru na indeks tablicy. Sprawdzenie akceptuje sizeof(array) jako ostatni indeks, podczas gdy prawidłowy ostatni indeks to sizeof(array) - 1.

W jądrze Linux w podsystemie MTD funkcja mtd_otp_nvmem_add() przy błędzie konfiguracji fabrycznego OTP wyrejestrowuje urządzenie NVMEM użytkownika, ale pozostawia wskaźnik mtd->otp_user_nvmem ustawiony. Prowadzi to do podwójnego zwolnienia (double-free) przy kolejnej próbie wyrejestrowania.

W jądrze Linux w podsystemie MTD funkcja __get_mtd_device() wywołuje callback _get_device() z mtd, który może być partycją, podczas gdy __put_mtd_device() przekazuje master. Powoduje to błędy w partycjach gluebi, które wymagają master MTD w kontenerze container_of().

W jądrze Linux w blk-cgroup funkcja blkg_tryget_closest() używa spin_lock_irq() i spin_unlock_irq(), co bezwarunkowo włącza przerwania lokalne. Gdy wywołujący ma już wyłączone przerwania (np. dm-thin), prowadzi to do zakleszczenia, ponieważ softirq ukończenia I/O może ponownie przejąć blokadę na tym samym CPU.

W jądrze Linux w of/overlay funkcja init_overlay_changeset() zapisuje liczbę zainicjowanych fragmentów w ovcs->count tylko przy pełnym sukcesie. Gdy find_target() lub wyszukiwanie __symbols__ zawiedzie w połowie, referencje do fragmentów nie są zwalniane, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku wifi wfx funkcja wfx_hif_read_mib() kopiuje reply->length bajtów z odpowiedzi firmware do bufora wywołującego bez sprawdzenia, czy reply->length nie przekracza val_len. Zbyt duża wartość length powoduje przepełnienie bufora i odczyt poza alokacją odpowiedzi.