Podatności Linux kernel

W jądrze Linux w funkcji ath9k_wmi_rsp_callback() brakuje walidacji długości odpowiedzi WMI. Jeśli urządzenie zwróci odpowiedź krótszą niż oczekiwana, dane są odczytywane poza buforem skb, co prowadzi do odczytu poza granicami pamięci.

W jądrze Linux funkcja __hif_usb_tx() w ath9k_htc ogranicza liczbę agregowanych ramek, ale nie ich łączny rozmiar w bajtach. Przy dużych ramkach (MTU 2304) 20 zagregowanych ramek przekracza rozmiar bufora tx_buf, powodując zapis poza jego granicami w memcpy().

W jądrze Linux w sterowniku rtc: ac100 wykryto błąd use-after-free w obsłudze zegara. Gdy funkcja ac100_rtc_probe() zawiedzie po zarejestrowaniu zegara RTC-32k i dostawcy zegara, zasoby te nie są zwalniane, a wskaźnik do zwolnionej pamięci pozostaje na globalnej liście of_clk_providers. Późniejsze odwołanie do tego węzła drzewa urządzeń powoduje odczyt zwolnionej pamięci.

W jądrze Linux sterownik RTC mpfs nie sprawdza wartości zwracanej przez devm_clk_get() pod kątem błędu przed przekazaniem jej do clk_get_rate(). Jeśli zwrócony zostanie wskaźnik błędu (np. -EPROBE_DEFER), clk_get_rate() dereferencjonuje go, powodując awarię zamiast odroczenia sondowania.

W jądrze Linux funkcja minstrel_ht_tx_status() nie waliduje metadanych szybkości (MCS, liczba strumieni przestrzennych, szerokość pasma) raportowanych w statusie TX. Zniekształcone metadane mogą być użyte jako indeks poza granicami tablic szybkości, powodując odczyt poza zakresem.

W jądrze Linux funkcja cfg80211_update_assoc_bss_entry() może skopiować pożyczone wskaźniki beacon_ies z wpisu grupy ukrytej do wpisu powiązanego, dając tej samej alokacji dwóch właścicieli. Zwolnienie wpisu grupy pozostawia wpis powiązany wskazujący na zwolnione dane, które są zwalniane ponownie (use-after-free / double-free).

W jądrze Linux funkcja ieee80211_lookup_ra_sta() używa sta_info_get_bss() dla wszystkich ramek AP i AP VLAN, nie tylko dla ramek portu kontrolnego. Ramka unicast wysłana na jednym interfejsie może dopasować stację z innego VLAN tego samego BSS i zostać do niej przesłana.

W jądrze Linux funkcja iocb_bio_iopoll() oczekuje bio, ale gdy IOCB_HAS_METADATA jest ustawione, iocb->private zawiera uio_meta. Wywołanie bio_poll() na uio_meta powoduje dereferencję nieprawidłowego wskaźnika i awarię (KASAN: null-ptr-deref).

W jądrze Linux w blk-mq buforowane żądania są alokowane dla jednej operacji, ale mogą być użyte dla innej. Flaga RQF_USE_SCHED jest ustawiana na podstawie pierwszej operacji, co prowadzi do wstawienia żądania do schedulera bez wywołania ->prepare_request() i zwolnienia bez ->finish_request(), powodując wyciek tokenu domeny w kyber i zablokowanie kolejki.

W jądrze Linux w module Bluetooth (btintel) występuje błąd walidacji długości rekordów DDC. Rekordy o długości 0xFF mogą powodować przepełnienie przy parsowaniu, a rekordy krótsze niż trzybajtowy nagłówek lub przekraczające dostępne dane firmware nie są odrzucane przed wywołaniem Intel_Write_DDC.

W jądrze Linux występuje zakleszczenie (deadlock) w funkcji __kfree_rcu_sheaf() w podsystemie mm/slab. Funkcja kfree_rcu() może być wywoływana pod pi_lock (surowym spinlockiem w schedulerze), a próba wybudzenia kswapd powoduje ponowne pozyskanie pi_lock, co prowadzi do zakleszczenia. Problem został potwierdzony przez mechanizm lockdep wykrywający cykliczną zależność blokad.

W jądrze Linux w podsystemie ASoC (SDCA) funkcja probe nieprawidłowo obsługuje błędy pm_runtime. Brak wspólnej ścieżki błędów powoduje niezbalansowanie referencji runtime PM.

W jądrze Linux w podsystemie BPF funkcja bpf_jit_blind_insn() przy przepisywaniu instrukcji skoków może spowodować przepełnienie przesunięcia skoku (off typu s16). Wartości -32767 i -32768 zawijają się, powodując skok poza koniec programu i awarię jądra przy bpf_jit_harden=2.

W jądrze Linux w sterowniku NVMe występuje błąd use-after-free w dzienniku efektów poleceń dla nagłówków multipath. Wysłanie polecenia I/O passthrough przez nagłówek przestrzeni nazw multipath po usunięciu ścieżki kontrolera powoduje odczyt zwolnionej pamięci (KASAN slab-use-after-free).

W jądrze Linux występuje podatność use-after-free w mechanizmie BPF. Funkcja bpf_ma_set_dtor() duplikuje rekord mapy, ale nie utrzymuje referencji do BTF mapy, przez co BTF może zostać zwolniony, gdy program, który go załadował, zakończy działanie, a worker nadal używa zduplikowanego rekordu. Prowadzi to do odczytu zwolnionej pamięci (KASAN: slab-use-after-free) w funkcjach btf_is_kernel() i btf_find_struct_meta().

W jądrze Linux w podsystemie MCTP (net/mctp) funkcja mctp_add_dev() publikuje nowy obiekt mctp_dev w dev->mctp_ptr zanim zostanie przypisane pole mdev->dev. W rezultacie czytelnik, który pobierze urządzenie w tym oknie czasowym, dereferencjonuje wskaźnik net_device o wartości NULL, co prowadzi do błędu null-ptr-deref (wykrytego przez KASAN). Problem został naprawiony poprzez publikację obiektu dopiero po jego pełnej inicjalizacji.

W jądrze Linux w module net/sched (cls_api) występuje wyciek zasobów, gdy dwa równoległe żądania dodania filtra tc na tej samej łańcuchu/priorytecie zawodzą. Przegrany w wyścigu nie odzyskuje pustego obiektu proto, który pozostaje podłączony do łańcucha i utrzymuje referencje do łańcucha, bloku oraz modułu klasyfikatora. Poprawka odzyskuje proto na ścieżce błędu, ale tylko gdy jest puste.

W jądrze Linux w podsystemie mac80211 funkcja ieee80211_monitor_select_queue() waliduje długość skb za pomocą skb->len, który obejmuje również fragmenty nieliniowe. Gdy AF_PACKET wysyła duży pakiet, nagłówek 802.11 może wykraczać poza liniowy bufor, powodując odczyt poza granicami (slab-out-of-bounds).

W jądrze Linux w funkcji hci_unregister_dev() wyłączane są cmd_work i cmd_timer, a następnie wywoływane jest hci_cmd_sync_clear(), które czeka na zakończenie workera przetwarzającego kolejkę cmd_sync_work_list. Ponieważ cmd_work jest wyłączone, żadne polecenie HCI nie dociera do kontrolera, więc każde oczekujące polecenie czeka pełny HCI_CMD_TIMEOUT (2 s), a kolejka nie ma ograniczenia rozmiaru. Zamknięcie /dev/vhci może zablokować się na czas backlog * 2 s (w reprodukcji ponad 5000 wpisów = godziny zawieszenia).

W jądrze Linux w funkcji bcm_sysport_get_stats() na urządzeniach SYSTEMPORT Lite niektóre statystyki są pomijane, a indeks 'j' śledzi skompaktowaną pozycję w buforze docelowym, podczas gdy 'i' iteruje po wszystkich elementach. Ponieważ bufor ethtool jest rozmiarowany według bcm_sysport_get_sset_count(), zapis do data[i] zamiast data[j] wykracza poza zaalokowany zakres i powoduje uszkodzenie pamięci.

W jądrze Linux funkcje mlx5_handle_changeupper_event() i mlx5_handle_changeinfodata_event() sprawdzają urządzenia LAG (bonding i team), ale wywołują wyłącznie API specyficzne dla bonding. Przy zdarzeniach urządzenia team wywołanie bond_slave_get_rcu() i bond_is_slave_inactive() na strukturach team_port powoduje wykryty przez KASAN dostęp poza zakresem pamięci, ponieważ team_port jest mniejszy niż bond slave.

W jądrze Linux w sterowniku octeontx2-pf przypisanie BPID przy włączonym CONFIG_DCB zakładało, że queue_to_pfc_map jest zawsze zainicjalizowane. Dla SDP VF prowadzi to do nieprawidłowego dostępu do pamięci, ponieważ mapa nie była zainicjalizowana. Poprawka dodaje sprawdzenie NULL dla queue_to_pfc_map przed jej użyciem.

W jądrze Linux w module TIPC wykryto podatność polegającą na ponownym użyciu nonce w szyfrowaniu AES-GCM. Gdy peer zgłasza zmianę klucza odbiorczego, licznik nonce jest resetowany, mimo że nadawca może nadal używać tego samego klucza TX i soli, co prowadzi do powtórzenia nonce. Ponowne użycie nonce łamie poufność i ujawnia klucz uwierzytelniający GCM, umożliwiając łatwe fałszowanie pakietów.

W jądrze Linux przy CONFIG_PAGE_POOL_STATS=y funkcja page_pool_recycle_ring_bulk() aktualizuje statystyki recyklingu po zwolnieniu blokady producenta. Jeśli właśnie zrecyklingowano ostatnie netmemy puli będącej w trakcie niszczenia, page_pool_release() może przejść barierę blokady producenta i zwolnić pulę, zanim wykona się recycle_stat_add(), co prowadzi do use-after-free.

W jądrze Linux naprawiono błąd w sterowniku sieciowym stmmac dotyczący obsługi rozproszenia-zbierania (Scatter-Gather) przy odbiorze ramek. Gdy odbierana ramka była większa niż dma_buf_sz, DMA zapisywał nadmiar danych pod niezamapowany adres bufora pomocniczego (sec_page), co powodowało błąd translacji SMMU na platformach z IOMMU. Poprawka włącza obsługę SG dla ramek nie-SPH na rdzeniach GMAC4/XGMAC oraz poprawia obliczanie długości bufora i usuwanie FCS.

W jądrze Linux wykryto podatność w obsłudze segmentowego routingu IPv6 (seg6). Funkcje advance_nextseg() oraz seg6_next_csid_advance_arg() modyfikują pole Segments Left w nagłówku SRH oraz adres docelowy IPv6 bez uprzedniego sprawdzenia, czy dane pakietu są zapisywalne. Gdy bufor skb jest klonowany (np. przez gniazdo AF_PACKET), zapis następuje do danych współdzielonych z klonem, co może prowadzić do zwrócenia zmodyfikowanego pakietu zamiast odebranego.

W jądrze Linux naprawiono podatność w obsłudze opcji gniazda SO_RESERVE_MEM. Opcja ta była dostępna zarówno dla gniazd TCP, jak i UDP, mimo że mechanizm rezerwacji pamięci jest obsługiwany tylko przez TCP, co mogło prowadzić do korupcji liczników pamięci (sk_forward_alloc) i rozliczania memcg na gniazdach UDP. Dodatkowo brak górnego limitu wartości pozwalał na przepełnienie 32-bitowych liczników przy wartościach bliskich INT_MAX.

W jądrze Linux występuje luka use-after-free w mechanizmie BPF trampoline. Gdy program BPF jest odłączany od trampoliny, może zostać zwolniony, podczas gdy zadanie przerwane (preempted) w trampolinie tuż przed wywołaniem programu nadal może go wywołać, co prowadzi do dostępu do zwolnionej pamięci. Problem dotyczy jąder z wywłaszczaniem (preemptible).

W jądrze Linux naprawiono podatność w mechanizmie BPF trampoline, gdzie odłączony program BPF (prog) mógł zostać zwolniony, podczas gdy zadanie wciąż się w nim wykonywało. Prowadziło to do użycia zwolnionej pamięci i awarii jądra (oops) na x86, objawiającej się jako int3 w zatrutej pamięci bpf_prog_pack. Problem występował, gdy programy podpięte przez trampoliny były odłączane w trakcie aktywności ich hooków.

W jądrze Linux sterownik bcmgenet ustawia prywatne dane pierścienia Rx i indeks dopiero przy otwarciu interfejsu. Ustawienie parametrów koalescencji Rx na interfejsie, który nigdy nie został otwarty (np. ethtool -C eth0 rx-usecs 50), powoduje dereferencję NULL i panikę jądra z utrzymywanym RTNL, co blokuje sieć do restartu.

W jądrze Linux występuje błąd w obsłudze mapowania kolejki transmisji (skb->queue_mapping) przy przekierowaniu pakietu między urządzeniami o różnej liczbie kolejek TX. Flaga skip_txqueue ustawiana przez akcję skbedit nie była ograniczona do bieżącej transmisji, więc zagnieżdżony xmit mógł pozostawić nieaktualne mapowanie, powodując indeksowanie poza tablicą qdiscs[] w taprio_enqueue(). Lokalny użytkownik z CAP_NET_ADMIN w przestrzeni nazw sieci może wywołać błąd i pod KASAN uzyskać slab-out-of-bounds.

W jądrze Linux w sterowniku mtk_eth_soc występuje problem kolejności inicjalizacji: urządzenia sieciowe MAC są rejestrowane przed utworzeniem wewnętrznego urządzenia dummy i wspólnego NAPI. Jeśli interfejs zostanie podniesiony w tym oknie (np. przez netifd natychmiast po rejestracji), ścieżka pierwszego otwarcia odwołuje się do NULL (eth->dummy_dev lub napi->dev), co powoduje ostrzeżenie w net/core/xdp.c i błąd -ENODEV. Poprawka alokuje dummy netdev i dodaje NAPI przed pętlą register_netdev() oraz porządkuje ścieżki błędów.

W jądrze Linux sterownik sparx5 kończy inicjalizację PTP wcześnie na wariantach lan969x bez flagi SPX5_FEATURE_PTP oraz gdy brak przerwania "ptp". Odłączenie sterownika powoduje dereferencję NULL podczas czyszczenia niezainicjalizowanych kolejek tx_skbs.

W jądrze Linux moduł IPVS filtruje teraz niektóre flagi połączeń otrzymywane przez serwer zapasowy w protokole SYNC. Odrzucane są kombinacje NO_CPORT+TEMPLATE oraz flaga ONE_PACKET, a maska IP_VS_CONN_F_BACKUP_MASK jest stosowana również do flag z komunikatów protokołu v0.

W jądrze Linux funkcja bpf_ct_set_nat_info() nie waliduje typu manipulacji NAT, więc błędna wartość trafia do nf_nat_setup_info(), wywołując WARN_ON(). Jeśli panic_on_warn nie jest ustawione, flaga IPS_SRC_NAT_DONE jest ustawiana bez dodania nat_bysource, a sprzątanie conntrack próbuje odłączyć niezainicjalizowany węzeł hlist.

W jądrze Linux zmieniono nazwę bitu NF_FLOW_HW_PENDING na NF_FLOW_PENDING i użyto go do wstrzymania workera GC flowtable do czasu zakończenia oczekującej pracy offloadu sprzętowego. Przywrócono kolejność z commita d644b23afe1e, aby zapobiec wyścigowi między GC a obsługą offloadu sprzętowego.

W jądrze Linux sterownik mlx5e podczas rozbierania kolejki XSK TX kończy zaległe deskryptory bez CQE. Jeśli deskryptor zażądał znacznika czasu TX, ścieżka ukończenia przekazuje NULL CQE do mlx5e_xsk_fill_timestamp(), co powoduje dereferencję NULL.

W jądrze Linux istnieje wyścig między perf_event_exit_task() a perf_pending_task() podczas begin_new_exec(). Gdy perf_event_exit_task() jest wywoływane, a flaga PF_EXITING nie jest ustawiona, perf_sigtrap() kontynuuje działanie i wywołuje WARN_ON_ONCE(event->ctx->task != current).

W jądrze Linux w podsystemie BPF występuje błąd w mechanizmie zwalniania pamięci przez RCU tasks trace. Obiekty dodane do free_by_rcu_ttrace w trakcie trwania okresu karencji RCU mogą pozostać tam na stałe, ponieważ flaga call_rcu_ttrace_in_progress jest czyszczona zbyt wcześnie, a liczba takich obiektów nie jest ograniczona.

W jądrze Linux w podsystemie futex występuje błąd use-after-free związany ze zmianą rozmiaru prywatnej tablicy haszy. Funkcja __futex_pivot_hash() ustawia mmph->batches przed przypisaniem mmph->hash, co pozwala futex_ref_drop() przesunąć się do przodu, gdy czytelnik wciąż używa wskaźnika do starej tablicy haszy.

W jądrze Linux w podsystemie BPF brakuje ochrony przed migracją w funkcji __rhtab_map_lookup_and_delete_batch(). Wywołanie bpf_mem_cache_free_rcu() używa this_cpu_ptr() bez wyłączonej migracji, co przy CONFIG_PREEMPT_RCU może wywołać błąd "using smp_processor_id() in preemptible code".

W jądrze Linux w sterowniku drm/amd/display brakuje sprawdzenia NULL przy dereferencji dc_sink w funkcjach dm_dp_mst_is_port_support_mode() i get_conv_frl_bw(). Wskaźnik dc_sink jest asynchronicznie czyszczony przy odłączeniu MST, co może prowadzić do dereferencji NULL podczas wyścigu z teardownem.

W jądrze Linux w sterowniku drm/amd/display funkcja dm_suspend() nie sprawdza, czy dc_state_create_copy() zwróciło NULL przy błędzie alokacji. W rezultacie dm_resume() dereferencjonuje NULL cached_dc_state, powodując awarię podczas odzyskiwania po resecie GPU.

W jądrze Linux w sterowniku drm/amdgpu/gfx6 firmware załadowany w gfx_v6_0_init_microcode() nie jest zwalniany przy demontażu bloku GFX, co powoduje wyciek zasobów firmware (PFP, ME, CE, RLC).

W jądrze Linux w sterowniku drm/mediatek brakuje sprawdzenia IS_ERR() dla urządzenia platformowego ovl_adaptor zwracanego przez platform_device_register_data(). Nieprawidłowy wskaźnik trafia do ddp_comp[].dev i jest przekazywany dalej, co może spowodować awarię jądra.

W jądrze Linux w sterowniku drm/mediatek urządzenie platformowe OVL adaptor utworzone przez platform_device_register_data() nie jest wyrejestrowywane w przypadku niepowodzenia późniejszej inicjalizacji ani przy normalnym usuwaniu sterownika, co powoduje wyciek urządzenia.

W jądrze Linux w sterowniku drm/mediatek funkcja mtk_drm_bind() pobiera referencję do urządzenia disp-mutex przez of_find_device_by_node(), ale w ścieżce gdy urządzenie nie jest mmsys master, zwraca wcześnie bez zwolnienia tej referencji. mtk_drm_unbind() zwalnia mutex_dev tylko dla mastera.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_discovery_sysfs_ips() alokuje ip_hw_instance i inicjalizuje wbudowany kobject przed kobject_add(). Gdy kobject_add() zawiedzie, zwracana wartość jest ignorowana, referencja nie jest zwalniana, a ip_hw_instance_release() nigdy nie jest wywoływane, co powoduje wyciek pamięci.

W jądrze Linux w funkcji acp_hw_init() sterownika drm/amdgpu rejestrowane są urządzenia potomne ACP przez mfd_add_devices() przed przypisaniem ich do domeny zasilania i inicjalizacją sprzętu. Jeśli przypisanie do domeny zasilania lub reset/clock ACP zakończy się niepowodzeniem, ścieżka błędu zwalnia tylko część alokacji, pozostawiając zarejestrowane urządzenia potomne MFD, które nigdy nie są zwalniane.

W jądrze Linux w mechanizmie binder, gdy transakcja TF_UPDATE_TXN zastępuje oczekującą transakcję asynchroniczną, wywoływane jest binder_release_entire_buffer() z is_failure=false. Ponieważ zastąpiona transakcja nigdy nie została dostarczona, nie zainstalowano żadnych deskryptorów plików, a program obsługi BINDER_TYPE_FDA interpretuje nieaktualną zawartość bufora jako numery fd i przekazuje je do binder_deferred_fd_close(), zamykając niezwiązane deskryptory plików.