Podatności Linux kernel

W podsystemie nvme-multipath jądra Linux liczba grup ANA reklamowanych przez Identify Controller określa rozmiar bufora dziennika ANA. Zarówno nagłówek dziennika ANA, jak i deskryptory grup niezależnie podają liczbę grup i identyfikatorów przestrzeni nazw do przetworzenia. Oba sprawdzenia granic odejmują niezaufany rozmiar obiektu od ana_log_size przed porównaniem bieżącego przesunięcia, co przy zbyt dużym obiekcie powoduje niedomiar size_t i odczyt poza ana_log_buf.

W funkcji nvmet_auth_challenge() jądra Linux bufor wyjściowy jest przekazywany jako wskaźnik void, więc sizeof(*d) w GCC wynosi jeden i zaniża stały nagłówek challenge o 15 bajtów. Krótki bufor AUTH_RECEIVE może przejść sprawdzenie, zanim challenge zostanie skopiowany poza koniec alokacji.

W podsystemie nvmet pci-epf jądra Linux host kontroluje długość segmentu SGL. Niezerowa długość mniejsza niż jeden deskryptor SGL powoduje, że nr_descs wynosi zero, więc nvmet_pci_epf_get_sgl_segment() odczytuje bajt typu sgls[-1] poza przydzielonym buforem. Jeśli ten bajt zawiera typ deskryptora segmentu, funkcja kopiuje również poprzedzające 16 bajtów i zwraca ujemną liczbę deskryptorów.

W jądrze Linux naprawiono podatność w module KVM (architektura x86, obsługa MMU). Jeśli utworzenie memslot wyścignie się z błędem strony stage-2 (naruszenie EPT lub #NPF) z gościa L2, KVM może próbować przejść po tablicach stron shadow używając strony zerowej, co prowadzi do dereferencji wskaźnika NULL i awarii jądra (oops). Poprawka przerywa takie przejście, gdy korzeń jest nieprawidłowy lub jest korzeniem zastępczym (dummy).

W jądrze Linux w podsystemie KVM dla architektury arm64 poprawiono obsługę drobnoziarnistych niezdefiniowanych instrukcji (FGU) bez wsparcia sprzętowego FEAT_FGT. Wcześniej konfiguracja pułapek FGT była uzależniona od FGT, co powodowało fałszywe ostrzeżenie WARN przy uruchomieniu TLBI OS w gościu vEL1 bez FEAT_TLBIOS na sprzęcie bez FEAT_FGT.

W jądrze Linux w module KVM/arm64 vgic poprawiono zarządzanie licznikiem referencji dla przerwań wskazywanych przez last_lr_irq. Wcześniej odwołanie do ostatniego przerwania w LR było kruche, ponieważ przerwanie mogło zniknąć przy równoległym odmapowaniu LPI.

W jądrze Linux w sterowniku wifi cw1200 naprawiono błąd odczytu poza buforem (OOB) w ścieżce TX, który ujawniał dane sterty jądra do urządzenia. Rozmiar transferu był zaokrąglany do wyrównania magistrali (do 511 bajtów dla SDIO), ale dopełnienie było wysyłane bezpośrednio z bufora ramki, który nie miał na nie miejsca.

W jądrze Linux w sterowniku wifi iwlegacy 3945 naprawiono wyciek pamięci danych EEPROM przy usuwaniu urządzenia PCI. Funkcja il3945_pci_probe() alokuje pamięć na dane EEPROM, ale ścieżka usuwania nie zwalniała jej po udanej inicjalizacji.

W jądrze Linux w module wifi mac80211 naprawiono błąd w ieee80211_vif_use_reserved_switch(), gdzie rezerwacje były liczone zbyt szeroko, co mogło sprawić, że zamiana kanału wydawała się zakończona zbyt wcześnie. Prowadziło to do zwolnienia chanctx WILL_BE_REPLACED, gdy niepasujące łącze i sterownik nadal go używały.

W jądrze Linux w module wifi mac80211 naprawiono przedwczesne zwalnianie starego chanctx WILL_BE_REPLACED w przypadku zamiany w miejscu. Wcześniejsze ścieżki zwalniania brały pod uwagę tylko przypisane i zarezerwowane łącza, przez co stary chanctx mógł zostać zwolniony, gdy partner zamiany nadal na niego wskazywał.

W jądrze Linux w module wifi mac80211 naprawiono problem z timerem sesji RX BA podczas rozmontowywania sesji. Timer mógł pozostać w kolejce na zwolnionym tid_rx, a późniejsze przetwarzanie koła timerów i callback timera działały na zwolnionej pamięci.

W jądrze Linux w module wifi mac80211 naprawiono problem z opróżnianiem pracy PS delivery podczas rozmontowywania stacji. Worker mógł zostać opóźniony, gdy teardown ustawiał sta->dead i usuwał stację ze sterownika, a po wznowieniu nadal wykonywał pełne dostarczanie.

W jądrze Linux w module wifi mac80211 naprawiono rozliczanie ścieżek proxy względem limitu ścieżek mesh. mpp_path_add() nie rezerwował slotu w liczniku, więc usunięcie lub wygaśnięcie ścieżki proxy zwracało slot, który nigdy nie został obciążony, co mogło prowadzić do przekroczenia MESH_MAX_MPATHS.

W jądrze Linux w module wifi mac80211 naprawiono odczyt zwolnionej pamięci podczas kojarzenia z niedystrybuowanym profilem MBSSID. Gdy odpowiedź kojarzenia pomijała informacje WMM, HT lub VHT, ieee80211_assoc_config_link() kopiował wskaźniki elementów z pamięci należącej do obiektu parsowania, który był zwalniany na końcu bloku fallback.

W jądrze Linux w module mac80211 (minstrel_ht) plik debugfs fixed_rate_idx przyjmuje dowolną wartość u32 bez walidacji. Zbyt duża wartość prowadzi do indeksowania poza zakresem tablic minstrel_mcs_groups[] i mi->groups[].rates[], co powoduje uszkodzenie sąsiedniej pamięci jądra.

W jądrze Linux w module mac80211 walidator definicji kanałów HT/VHT może otrzymać wskazanie szerokości 320 MHz z ramki CSA na łączu innym niż 6 GHz. Powoduje to ostrzeżenie i kontynuację z niezainicjalizowaną wartością vht_operation.chan_width, co przy włączonym panic_on_warn pozwala zdalnie wywołać panikę jądra.

W jądrze Linux w module mac80211 funkcja mesh_path_add() rezerwuje slot przed alokacją i wstawieniem ścieżki, ale nie zwalnia go przy niepowodzeniu. Powtarzane nieudane lub zduplikowane dodania ścieżek mesh mogą wyczerpać MESH_MAX_MPATHS, blokując tworzenie nowych ścieżek.

W jądrze Linux w module mac80211 funkcja ieee80211_8023_xmit() nie ustawia info->band z kontekstu kanału na interfejsach non-MLD, pozostawiając wartość 0. Powoduje to, że ieee80211_get_tx_rates() używa niewłaściwego pasma dla tych ramek.

W jądrze Linux w module mac80211 funkcja mesh_fast_tx_cache() przechowuje surowe wskaźniki mesh_path. Usunięcie ścieżki opróżnia pamięć podręczną i zwalnia ścieżkę przez kfree_rcu(), ale wyszukiwanie trzymające ścieżkę może wstawić nowy wpis po opróżnieniu, wskazując na zwolnioną pamięć (use-after-free).

W jądrze Linux w module mac80211 funkcja fils_encrypt_assoc_req() przyjmuje ramkę (Re)Association Request, której ostatnim elementem jest FILS Session, co daje zerową długość crypt_len i wywołanie aes_siv_encrypt() z pustym tekstem jawnym. kmemdup() zwraca ZERO_SIZE_PTR, a bezwarunkowe sg_init_one() umieszcza nieprawidłową stronę w scatterlist, co z CONFIG_DEBUG_SG wywołuje BUG jądra.

W jądrze Linux w podsystemie USB serial występuje wyścig przy wyrejestrowywaniu sterownika dynamicznych identyfikatorów. Dynamiczne identyfikatory są zwalniane przed wyrejestrowaniem sterownika i usunięciem atrybutu "new_id", co może prowadzić do wycieku identyfikatora dodanego przez równoległy zapis.

W jądrze Linux w podsystemie USB serial występuje nieprawidłowa kolejność wyrejestrowywania sterowników. Przy wyładowywaniu modułu sterownika USB należy go wyrejestrować przed sterownikami magistrali USB serial, aby zatrzymać I/O przed odłączeniem portów i uniknąć use-after-free w procedurach obsługi zakończenia.

W jądrze Linux w podsystemie USB serial ioctl tty mogą wyścignąć się z hangup i wywołać sterownik tty dla urządzenia, które już zniknęło lub zostało wyłączone. Brak synchronizacji i sprawdzeń może prowadzić do dereferencji wskaźnika NULL, zwłaszcza przy rozłączeniu urządzenia podczas długiego sygnalizowania break.

W jądrze Linux w podsystemie Thunderbolt występuje błąd use-after-free (użycie zwolnionej pamięci) podczas anulowania żądania kanału sterującego. Gdy funkcja tb_cfg_request_work() zakończy się tuż przed tb_cfg_request_cancel(), dochodzi do ponownego zakolejkowania tego samego zadania i dostępu do już zwolnionej pamięci. Problem został naprawiony poprzez zapewnienie, że anulowane żądanie nie jest przekazywane ani planowane do wykonania, a zwolnienie następuje w tb_cfg_request_cancel().

W jądrze Linux w sterowniku Thunderbolt funkcja tb_stop() zwalnia referencje do tuneli DP, ale ich nie dezaktywuje, przez co dprx_work może nadal działać po usunięciu routera. Prowadzi to do operowania na zwolnionych strukturach IDA i ostrzeżeń typu "ida_free called for id=8 which is not allocated". Problem można wywołać odłączając sterownik, gdy tunel DP wciąż czeka na zakończenie odczytu możliwości DPRX.

W jądrze Linux w sterowniku Thunderbolt funkcja tb_tunnel_alloc_dp() przyjmuje opcjonalny callback uruchamiany z dprx_work po zakończeniu odczytu możliwości DPRX. Bez tego callbacku referencja do tunelu jest wyciekana, ponieważ nie jest zwalniana. Problem dotyczy tuneli z tb_tunnel_discover_dp(), które są aktywowane przy przywracaniu z hibernacji.

W jądrze Linux w sterowniku Thunderbolt funkcja tb_stop() usuwa tylko tunele DMA, więc tunel DP oczekujący na dprx_work pozostaje w kolejce, gdy routery są usuwane i kanał sterowania zatrzymywany. flush_workqueue() w tb_domain_remove() nie czeka na jego końcowe uruchomienie, a callback działa na już zniszczonej domenie, co blokuje unbind do momentu przekroczenia limitu czasu.

W jądrze Linux w sterowniku Thunderbolt funkcja tb_tunnel_one_dp() pobiera referencję do domeny, która jest zwalniana dopiero po uruchomieniu tb_dp_tunnel_active() w kolejce roboczej. Jeśli praca zostanie anulowana, referencja jest wyciekana, co od commitu f5cc545f5969 powoduje również wieczne blokowanie w oczekiwaniu na zakończenie przy odłączaniu sterownika.

W jądrze Linux w sterowniku Thunderbolt funkcja tb_dp_dprx_work() sprawdza flagę ->dprx_canceled przed pobraniem tb->lock, przez co może przeoczyć tb_dp_dprx_stop(), które nie mogło anulować już działającej pracy. W efekcie odpytuje możliwości DPRX i uruchamia callback dla tunelu, który został już zniszczony podczas zawieszania lub usuwania domeny.

W jądrze Linux w podsystemie Thunderbolt występuje wyścig między tb_remove_work() a tb_domain_remove(), który prowadzi do dereferencji wskaźnika NULL tb->root_switch w funkcji tb_free_unplugged_xdomains(). Problem wynika z niewłaściwego przeniesienia wywołania tb_free_unplugged_xdomains() poza sekcję chronioną mutexem tb->lock bez sprawdzenia, czy tb->root_switch nie jest NULL.

W jądrze Linux w sterowniku Thunderbolt funkcja tb_xdp_properties_request() rezerwuje miejsce na 45 dwordów danych w buforze odpowiedzi 252 bajtów, ale sześciobitowe pole długości XDomain może zostać ustawione przez złośliwego peera na 63, co jest interpretowane jako 48 dwordów danych. Prowadzi to do 12-bajtowego odczytu poza granicami sterty z tablicy res->data.

W jądrze Linux w kliencie SMB funkcja smb3_zero_range() usuwała pagecache tylko dla zakresu zerowanego, więc przy rozszerzaniu pliku folio obejmujące stary EOF — mogące zawierać dane zabrudzone poza EOF przez mmap — nie było usuwane i stawało się widoczne jako zawartość pliku po jego rozszerzeniu.

W jądrze Linux w kliencie SMB funkcja cifs_remap_file_range() usuwała pagecache tylko dla folio nakładających się na region docelowy, więc przy klonowaniu rozszerzającym plik folio obejmujące stary EOF — mogące zawierać dane zabrudzone poza EOF przez mmap — nie było usuwane i stawało się widoczne jako zawartość pliku po jego rozszerzeniu.

W kliencie SMB w jądrze Linux funkcja smb3_zero_range() zerowała zakres bez uprzedniego opróżnienia brudnych danych, gdy zakres nie sięgał końca pliku. Brudne strony mogły zostać zapisane na serwer po wykonaniu FSCTL_SET_ZERO_DATA i nadpisać wyzerowany obszar nieaktualnymi danymi.

W kliencie SMB jądra Linux ścieżki kopiowania po stronie serwera (cifs_file_copychunk_range) oraz klonowania (FICLONE w cifs_remap_file_range) nie blokowały pamięci podręcznej stron celu w sposób stosowany przez inne operacje zakresowe. W efekcie asynchroniczny zapis zwrotny mógł zakończyć się po wykonaniu kopiowania/klonowania i nadpisać świeżo zapisane dane nieaktualną treścią, uszkadzając plik.

W strukturze cifsFileInfo klienta SMB w jądrze Linux kilka flag (invalidHandle, swapfile, oplock_break_cancelled, offload, status_file_deleted) dzieliło ten sam bajt pola bitowego i było aktualizowanych w różnych ścieżkach kodu pod różnymi blokadami. Operacje read-modify-write na poziomie bajtu mogły nadpisywać równoczesne zmiany innych flag.

W sterowniku kionix-kx022a w podsystemie IIO jądra Linux, gdy operacja regmap w kx022a_fifo_enable() zakończy się błędem, zaalokowana pamięć na próbki nie jest zwalniana, a stan i poprzednia konfiguracja sprzętowa nie są przywracane. Może to pozostawić włączone przerwania WMI i bufory lub błędne flagi stanu sterownika.

W sterowniku kxcjk-1013 w podsystemie IIO jądra Linux powtórne żądanie wyłączenia zdarzenia wywołuje kxcjk1013_set_power_state(data, false), zwalniając referencję runtime PM, która nie została pobrana dla tego żądania. Może to spowodować niedomiar licznika użycia runtime PM i ostrzeżenie "Runtime PM usage count underflow".

W sterowniku ad4030 w podsystemie IIO jądra Linux funkcja ad4030_set_avg_frame_len() oblicza logarytm przed walidacją danych wejściowych. Przekazanie zera lub wartości ujemnej prowadzi do niezdefiniowanego wyniku z ilog2().

W sterowniku ad_sigma_delta w podsystemie IIO jądra Linux bufor samples_buf jest alokowany w czasie działania przez devm_krealloc(), więc jego wpis devres znajduje się po wpisach z czasu probe. Przy odłączaniu (unbind) samples_buf jest zwalniany przed iio_device_unregister(), a przerwanie data ready jest wciąż włączone, co pozwala ad_sd_trigger_handler() kopiować próbki do zwolnionego bufora (use-after-free).

W sterowniku ade9000 w podsystemie IIO jądra Linux funkcja ade9000_setup_clkout() przekazuje NULL jako adres rejestru przy rejestracji zegara dzielnika. Framework zegarów wywołuje clk_divider_recalc_rate(), który dereferencjonuje ten adres przez readl(), powodując awarię przy próbie obsługi ADE9000 skonfigurowanego jako dostawca zegara z zewnętrznym zegarem wejściowym.

W sterowniku ade9000 w podsystemie IIO jądra Linux stała ADE9000_ST1_CROSSING_DEPTH wynosiła 25, co jest wyłączną górną granicą skanowania bitów zdarzeń STATUS1, pomijając najwyższy bit ADE9000_ST1_DIPC_BIT (bit 25). Zdarzenia zapadnięcia fazy C nigdy nie były zgłaszane.

W sterowniku adi-axi-adc w podsystemie IIO jądra Linux ścieżki dostępu do rejestrów AXI ADC serializują transakcje za pomocą st->lock, ale funkcja probe nie inicjalizuje tego muteksa przed rejestracją backendu.

W jądrze Linux w sterowniku iio: adc: pac1934 wykryto błąd polegający na braku sprawdzenia duplikacji etykiety ACPI. W przypadku niepowodzenia duplikacji etykiety kod dociera do zapisu bajtu kończącego, co prowadzi do nieprawidłowego dostępu do nieistniejącej etykiety. Podatność wykryto za pomocą analizy statycznej.

W jądrze Linux w sterowniku iio: adc: stm32-adc wykryto możliwość dzielenia przez zero w przetwarzaniu kanału. Jeśli konwersja nie powiedzie się lub zwróci zero, przetwarzanie wartości może prowadzić do dzielenia przez zero. Należy sprawdzić błędy lub zerową wartość przed przetwarzaniem danych.

W jądrze Linux w sterowniku iio: adc: sun4i-gpadc-iio wykryto brak prawidłowego sprzątania w przypadku niepowodzenia rejestracji strefy termicznej. Jeśli devm_thermal_of_zone_register() zawiedzie, funkcja probe zwraca bez wyrejestrowania tablicy mapy IIO ani wyłączenia runtime PM. Należy przejść do etykiety err_map, aby je zwolnić.

W jądrze Linux w sterowniku iio: adc: xilinx-xadc wykryto problem z kolejnością zwalniania zasobów przy odłączaniu. Procedura obsługi przerwania alarmu ZYNQ XADC kolejkuje zynq_unmask_work, które jest czyszczone przez callback devm. Należy zarejestrować callback devm przed devm_request_irq(), aby przerwanie zostało zwolnione jako pierwsze. W przeciwnym razie procedura obsługi może ponownie uzbroić zadanie i uruchomić je po zwolnieniu struktury xadc.

W jądrze Linux w podsystemie iio: buffer wykryto problem z serializacją niszczenia bufora względem roszczeń trybu. Roszczenia trybu bufora utrzymują mlock, aby zagwarantować pozostanie urządzenia w trybie bufora do momentu zwolnienia roszczenia. Jednak iio_device_unregister() wyłącza i dezaktywuje wszystkie bufory bez pobrania mlock, co może unieważnić stan bufora, w tym active_scan_mask, gdy roszczenie trybu bufora jest aktywne. Należy pobrać mlock w iio_disable_all_buffers().

W jądrze Linux w podsystemie iio: buffer wykryto wyciek niezainicjalizowanej pamięci sterty do przestrzeni użytkownika. Funkcja iio_push_to_buffers_with_ts_unaligned() ujawnia niezainicjalizowane dane, gdy przekazane dane nie są wielokrotnością 8 bajtów, a znacznik czasu jest włączony. Należy użyć __GFP_ZERO w devm_krealloc(), aby wyzerować dodatkową przestrzeń.

W jądrze Linux w sterowniku iio: frequency: adf4377 wykryto problem z niepełną inicjalizacją struktur clk_init_data i clk_parent_data. Struktura clk_init_data zawiera wzajemnie wykluczające się elementy, a niepełna inicjalizacja może powodować subtelne problemy ujawniane przy włączonych opcjach CONFIG_INIT_STACK_ALL_PATTERN lub CONFIG_INIT_STACK_NONE. Funkcja adf4377_clk_register() zakłada, że init.parent_names jest NULL, ale jest niezainicjalizowana, co może powodować awarię.