Podatności Linux kernel

W jądrze Linux w sterowniku net: dsa: mt7530 funkcja mt7530_remove_common() usuwa mapowania przerwań per-PHY, ale chip regmap-irq będący właścicielem domeny jest rejestrowany przez devm, więc jego przerwanie nadrzędne jest zwalniane dopiero po zakończeniu .remove. Wątek regmap-irq przełącznika może więc wywołać obsługę na już usuniętym mapowaniu, co prowadzi do dereferencji NULL w handle_nested_irq().

W jądrze Linux w funkcji phylink_bringup_phy() wskaźnik do PHY (pl->phydev) był zapisywany przed ostatnim krokiem, który może się nie powieść (phy_eee_rx_clock_stop()). W przypadku błędu MDIO wskaźnik pozostawał ustawiony na PHY, który nie jest już podłączony, co prowadziło do trwałego -EBUSY, użycia zwolnionego obiektu phy_device lub podwójnego zwolnienia referencji.

W jądrze Linux sterownik nfp zwalniał blokadę XArray przed pobraniem referencji do stanu IPsec (xfrm_state), co pozwalało ścieżce usuwania usunąć wpis i zwolnić ostatnią referencję. W efekcie RX mógł inkrementować licznik referencji o wartości zero po zakolejkowaniu stanu do zniszczenia. Poprawka polega na pobraniu referencji przed zwolnieniem blokady XArray.

W jądrze Linux funkcja __rds_conn_create() obliczała liczbę ścieżek (npaths) na podstawie transportu wywołującego, zanim zdecydowano o użyciu transportu loopback dla połączeń do lokalnych adresów. Powodowało to wyciek siedmiu kolejek roboczych (workqueues) przy każdym zniszczeniu połączenia, odłączeniu netns lub wyładowaniu modułu. Poprawka polega na ponownym obliczeniu npaths po ustaleniu finalnego transportu.

W jądrze Linux funkcja smcr_port_err() przechodziła przez listę smc_lgr_list.list bez trzymania blokady smc_lgr_list.lock, co umożliwiało równoległemu smc_lgr_terminate_sched() zwolnienie struktury lgr w trakcie jej użycia. Poprawka polega na trzymaniu blokady przez cały czas przechodzenia listy oraz wywołaniu smcr_port_err() po zwolnieniu blokady w smc_ib_gid_check().

W jądrze Linux funkcja dev_cpu_dead() opróżniała kolejki softnet przy wyłączaniu CPU, ale nie czyściła net_hotdata.skb_defer_nodes, pozostawiając odłożone skb osierocone do czasu ponownego włączenia CPU. Mogło to powodować zawieszenie page_pool_destroy() oczekującego na zwrot stron oraz blokować przyszłe IPI. Poprawka obejmuje opróżnianie węzłów defer, resetowanie defer_ipi_scheduled oraz ponowne sprawdzanie stanu CPU w skb_attempt_defer_free().

W jądrze Linux funkcja gve_can_send_tso() bezwarunkowo używała skb_tcp_all_headers() do obliczenia długości nagłówków, co dla pakietów SKB_GSO_UDP_L4 (bez nagłówka TCP) dawało błędną wartość. Powodowało to nieprawidłowe oszacowanie liczby buforów na segment, prowadząc do niepotrzebnego wyłączenia GSO lub przekazania urządzeniu pakietu przekraczającego limity buforów. Poprawka używa długości nagłówka UDP dla pakietów SKB_GSO_UDP_L4.

W jądrze Linux funkcja gve_prep_tso() nie egzekwowała wymaganego przez urządzenie limitu MSS <= 9728, zakładając że MTU 9K i limit 64KB dla TSO wystarczą. Pakiety niegenerowane lokalnie (np. przez gościa za tap lub użytkownika packet socket) mogą zawierać dowolne gso_size, a pole MSS w deskryptorze TSO ma tylko 14 bitów, więc gso_size 16384 staje się MSS równym zero. Poprawka odrzuca takie pakiety i pozostawia ich bity GSO bez zmian.

W jądrze Linux w funkcji llc_conn_ac_resend_i_xxx_x_set_0_or_send_rr() przy błędzie llc_mac_hdr_init() zwalniano skb zamiast nskb, co powodowało wyciek nowo przydzielonego nskb, odczyt ze zwolnionego skb oraz podwójne zwolnienie skb. Podobne wycieki nskb występowały w llc_sap_action_send_xid_r() i llc_sap_action_send_test_r(). Poprawka zwalnia nskb we wszystkich trzech ścieżkach błędów.

W jądrze Linux funkcja vlan_dev_hard_header() mogła być wywołana z niewystarczającym zapasem miejsca (headroom) przez wywołujących rezerwujących tylko ETH_HLEN lub mniej, albo przez skb przydzielone przed dynamicznymi zmianami urządzenia, co prowadziło do skb_under_panic(). Poprawka używa skb_cow_head() gdy VLAN_FLAG_REORDER_HDR nie jest ustawione oraz READ_ONCE() do odczytu dev->hard_header_len i dev->needed_headroom.

W jądrze Linux gdy autofs_fill_super() zawodziło przed wyczyszczeniem AUTOFS_SBI_CATATONIC, deactivate_locked_super() wywoływało autofs_kill_sb() -> autofs_catatonic_mode(sbi), która zwracała się wcześnie bez wywołania fput(sbi->pipe), trwale wyciekając referencję do pliku pipe. Poprawka jawnie zwalnia sbi->pipe w autofs_kill_sb() jeśli jest nadal nie-NULL po autofs_catatonic_mode().

W jądrze Linux funkcja attach_perf_ctx_data() może wyścignąć się między przypadkami global i !global, pomijając ustawienie pola global i powodując wyciek licznika referencji. W efekcie późniejsze detach_global_ctx_data() widzi dane, ale nie oznacza ich jako globalne, więc nie wywołuje detach_task_ctx_data(). Poprawka eliminuje wyścig i wyciek referencji.

W jądrze Linux funkcja perf_clear_branch_entry_bitfields() czyściła pola struktury perf_branch_entry pojedynczo i nie obejmowała pól new_type oraz priv, które zostały dodane później. W rezultacie na architekturze arm64 rekordy gałęzi perf mogą trafiać do przestrzeni użytkownika z niezainicjalizowanymi danymi z kmalloc() lub wartościami z poprzedniego rekordu.

W jądrze Linux naprawiono podatność w module TIPC, gdzie nieprawidłowe lub nieoczekiwane komunikaty GRP_ACK_MSG mogły powodować niedomiar licznika bc_ackers. Ze względu na typ u16 licznika, jego wartość mogła spaść poniżej zera i zawinąć się do 65535, co trwale blokowało rozgłaszanie grupowe na gnieździe.

W jądrze Linux występuje przepełnienie liczb całkowitych w funkcji prb_calc_retire_blk_tmo() w podsystemie af_packet (TPACKET_V3). Użytkownik z uprawnieniami CAP_NET_RAW może ustawić tp_block_size na wartość rzędu 256 MiB, co powoduje przepełnienie 32-bitowej arytmetyki i zwrócenie wartości ujemnej. W wyniku tego timer hrtimer jest uruchamiany z ujemnym interwałem, co prowadzi do jego natychmiastowego i ciągłego restartu, blokując CPU w softirq.

W jądrze Linux funkcja __init_el2_fgt2() zapisywała tę samą maskę do HDFGRTR2_EL2 i HDFGWTR2_EL2, przez co bit pułapki nPMZR_EL0 dla zapisu PMZR_EL0 nigdy nie był ustawiany. Gdy kernel.perf_user_access=1, zapis PMZR_EL0 z EL0 powoduje pułapkę do EL2, gdzie hipervisor nVHE nie ma handlera i wywołuje BUG(), co prowadzi do awarii hosta bez komunikatu paniki.

W podsystemie libata funkcja ata_scsi_set_passthru_sense_fields() ufała bajtowi długości dodatkowej sb[7] z odpowiedzi REQUEST SENSE wadliwego lub złośliwego urządzenia ATAPI. Prowadzi to do odczytu i zapisu poza 96-bajtowym buforem sense na trzy sposoby, co potwierdzono błędami KASAN slab-out-of-bounds.

W sterowniku bna funkcje bnad_pci_remove() i ścieżka disable_ioceth wywoływały timer_delete_sync() dla ioc_timer, sem_timer i hb_timer, ale nie dla iocpf_timer. Po zwolnieniu struktury bnad przez free_netdev() funkcja bnad_iocpf_timeout() odwołuje się do zwolnionej pamięci, ponieważ timery sem_timer i iocpf_timer wzajemnie się uzbrajają.

W jądrze Linux funkcja bpf_lsm_has_d_inode_locked() powodowała, że weryfikator przepisywał bpf_[set|remove]_dentry_xattr() na warianty _locked zakładające trzymanie i_rwsem i-węzła. Jednak hooki path_unlink i path_rmdir działają przed pobraniem tej blokady przez vfs_unlink()/vfs_rmdir(), więc program BPF LSM podpięty do tych hooków modyfikuje atrybuty xattr bez trzymania blokady.

W jądrze Linux w funkcji remote_partition_enable() podatność polega na tym, że sprawdzenie konfliktu przydziału procesorów (cpumask_intersects) zostało zastąpione przez WARN_ON_ONCE(). W efekcie możliwe jest utworzenie zdalnej partycji cpuset na procesorach już zajętych przez nadrzędną partycję lokalną, co prowadzi do ostrzeżenia jądra i niespójnego stanu, w którym dwie partycje roszczą sobie wyłączność na ten sam CPU.

W jądrze Linux wykryto lukę w mechanizmie FOU (Foo-over-UDP). Gdy użytkownik tworzy tunel typu FOU_ENCAP_DIRECT przez netlink, pomijając opcjonalny atrybut FOU_ATTR_IPPROTO, pole protokołu pozostaje zerowe, co powoduje wyciek buforów sk_buff przy każdym odebranym pakiecie. Luka została naprawiona poprzez odrzucanie takich żądań z błędem -EINVAL.

W jądrze Linux funkcja fprobe_fgraph_entry() rezerwuje miejsce na shadow stack dla każdego fprobe z handlerem wyjścia, ale wypełnia je tylko dla tych, których handler wejścia zwrócił 0. Ponieważ fgraph_reserve_data() nie czyści obszaru, fprobe_return() interpretuje niewykorzystany ogon jako nagłówki z wcześniejszego wywołania, co może spowodować dwukrotne uruchomienie handlera wyjścia lub jego uruchomienie mimo żądania pominięcia.

W jądrze Linux funkcja cleanup_offline_cgwb() przy każdym wywołaniu skanuje listy wb->b_attached i wb->b_dirty_time od tego samego końca, przez co ponownie przetwarza rosnący zbiór i-węzłów, których nie można przełączyć. Przy około 17 milionach i-węzłów przypisanych do jednego gasnącego cgwb prowadzi to do kwadratowego czasu opróżniania i soft lockupów z procesorami zablokowanymi na 21-48 sekund.

W jądrze Linux naprawiono podatność w podsystemie workqueue, gdzie funkcja check_flush_dependency() mogła odwołać się do wskaźnika NULL (worker->current_pwq). Sytuacja występuje, gdy wątek kworker z ustawioną flagą PF_WQ_WORKER nie wykonuje aktualnie elementu pracy, np. podczas ścieżki alokacji pamięci wywołującej notyfikator OOM. Może to prowadzić do awarii jądra (kernel panic).

W jądrze Linux funkcja cleanup_offline_cgwbs_workfn() opróżniająca umierające cgwb używała cond_resched(), które na jądrach z CONFIG_PREEMPTION (tryby full i lazy) nic nie robi. W efekcie pętla opróżniania nie zgłaszała stanu quiescent dla Tasks-RCU, co przy cgroupach z milionami i-węzłów powodowało wielominutowe blokady synchronize_rcu_tasks().

W jądrze Linux funkcja read_dts_node() wywołuje of_clk_get(), która zwraca zegar ze zwiększonym licznikiem referencji, ale używa go tylko do odczytu częstotliwości i nigdy nie wywołuje clk_put(). Zegar nie jest nigdzie przechowywany, więc referencja nie może zostać później zwolniona.

W jądrze Linux funkcja new_policy() przeprowadza audyt polityki po tym, jak ipe_new_policyfs_node() ją opublikuje i zwolni blokadę i-węzła nowego katalogu. Równoległe usunięcie może zwolnić politykę, podczas gdy ipe_audit_policy_load() wciąż jej używa, co prowadzi do use-after-free.

W jądrze Linux funkcja ipe_bdev_setintegrity() zwalnia stary root hash, gdy dm-verity publikuje nowy w ->preresume, podczas gdy ocena polityki może wciąż się do niego odwoływać. Prowadzi to do potencjalnego use-after-free.

W jądrze Linux funkcja ipv6_find_hdr() podczas przechodzenia łańcucha nagłówków rozszerzeń IPv6 nie sprawdzała, czy obliczony offset nie wykracza poza koniec pakietu. W efekcie openvswitch ustawiał ten offset jako nagłówek transportowy, a funkcja update_ipv6_checksum() odczytywała i zapisywała pole sumy kontrolnej poza granicami bufora, co prowadziło do błędu use-after-free wykrytego przez KASAN. Poprawka odrzuca nagłówek, którego zadeklarowana długość nie mieści się w pakiecie.

W jądrze Linux podatność w seg6 (IPv6 Segment Routing) dotyczy atrybutu SEG6_ATTR_DST, który używał NLA_BINARY z limitem tylko maksymalnej długości. Krótszy atrybut (np. 0 bajtów) powodował odczyt 16 bajtów poza buforem skb i wyciek niezainicjalizowanej pamięci sterty jądra do przestrzeni użytkownika przez SEG6_CMD_GET_TUNSRC.

W jądrze Linux występuje błąd w mechanizmie kprobes, który powoduje trwałe zawieszenie systemu podczas wyłączania optymalizacji kprobe. Zapis wartości 0 do /proc/sys/debug/kprobes-optimization, gdy jakikolwiek kprobe jest zoptymalizowany skokowo, powoduje, że proces zapisujący na zawsze pozostaje w stanie D z zajętym muteksem kprobe_sysctl_mutex, blokując kolejne operacje na tym pliku. Problem wynika z nieprawidłowej synchronizacji ukończenia (completion) między wątkami optymalizatora a procedurami flush.

W jądrze Linux w sterowniku gpio: arizona funkcja arizona_gpio_direction_out() przy zmianie linii GPIO z wejścia na wyjście pobiera referencję runtime PM, ale w przypadku niepowodzenia regmap_update_bits() referencja nie jest zwalniana. Prowadzi to do wycieku referencji runtime PM.

W jądrze Linux w podsystemie gpio: cdev funkcja gpio_desc_to_lineinfo() w przypadku niepowodzenia pozyskania blokady GPIO chip wraca przed wyzerowaniem struktury info przekazywanej później do przestrzeni użytkownika. Może to spowodować wyciek zawartości stosu jądra.

W jądrze Linux w sterowniku gpio: zynq funkcja zynq_gpio_request() wywołuje pm_runtime_get_sync(), która nawet przy niepowodzeniu zwiększa licznik użycia, a błąd jest zwracany bez zwolnienia referencji. Ponieważ gpiolib nie wywołuje ->free() przy nieudanym ->request(), referencja runtime PM zostaje wyciekła.

W jądrze Linux w podsystemie llc funkcja llc_alloc_frame() rezerwuje nagłówek link-layer na podstawie typu urządzenia, co jest niewystarczające dla urządzeń Ethernet z warstwami takimi jak VLAN. Odpowiedź LLC na takim urządzeniu może spowodować niedomiar nagłówka skb w eth_header().

W jądrze Linux w podsystemie mctp funkcja mctp_lookup_prealloc_tag() iteruje po globalnej liście &mns->keys zamiast po liście gniazda, nie sprawdzając czy tmp->sk == &msk->sk. Pozwala to dowolnemu gniazdu MCTP w tej samej przestrzeni nazw sieci na użycie i skonsumowanie prealokowanego tagu innego gniazda.

W jądrze Linux w podsystemie rds: ib funkcja rds_ib_map_frmr() zapisuje scatterlist wywołującego w MR przed udanym mapowaniem DMA. Przy niepowodzeniu __rds_rdma_map() odpina strony i zwalnia scatterlist, ale rds_ib_free_frmr() może zwrócić MR do puli ze starym wskaźnikiem, co prowadzi do use-after-free i lokalnej eskalacji uprawnień.

W jądrze Linux występuje błąd w module DRM, który powoduje wyciek wskaźnika NULL (null-ptr-deref) podczas zamykania deskryptora pliku DRM. Problem pojawia się, gdy klient fbdev zostaje zarejestrowany, ale jego inicjalizacja kończy się niepowodzeniem, pozostawiając częściowo zainicjalizowany stan. Funkcja przywracania próbuje wtedy przywrócić nieistniejący framebuffer, co prowadzi do ostrzeżenia i dereferencji NULL.

W jądrze Linux w funkcji i915_gem_busy_ioctl sterownika drm/i915 występuje nieprawidłowa kolejność zwalniania zasobów RCU. Jeśli obiekt GEM zostanie zniszczony w trakcie iteracji po fence'ach, pętla nigdy się nie kończy, powodując zawieszenie (endless loop).

W jądrze Linux w funkcji kfd_dev_mapping (sterownik drm/amdkfd) występowały dwa błędy: use-after-free prowadzący do zakleszczenia na i_mmap_rwsem oraz luka w obsłudze wielu kontenerów, przez którą mapowania VMA z kolejnych otwarć /dev/kfd nie były usuwane. Oba problemy ujawniają się w środowisku SRIOV z wieloma kontenerami i mogą powodować zawieszenie systemu lub pozostawienie nieaktualnych mapowań doorbell/MMIO. Naprawa polega na utworzeniu prywatnego pseudo-systemu plików i przekierowaniu wszystkich otwarć do jednego anonimowego inode.

W jądrze Linux funkcja amdgpu_debugfs_test_ib_show() sterownika drm/amdgpu wywołuje pm_runtime_get_sync(), a następnie próbuje uzyskać semafor domeny resetu przez down_write_killable(). Jeśli próba uzyskania blokady zostanie przerwana, funkcja zwraca błąd bez zwolnienia referencji runtime PM, co powoduje wyciek i utrzymuje GPU w stanie aktywnym.

W jądrze Linux w module drm/nouveau/dmem funkcja nouveau_dmem_chunk_alloc() rejestruje region DMEM_CHUNK_SIZE * NR_CHUNKS, ale powiązany bufor VRAM pozostaje rozmiaru DMEM_CHUNK_SIZE. W efekcie strony poza pierwszym chunkiem wskazują na VRAM poza buforem, co prowadzi do nieprawidłowego dostępu do pamięci.

W jądrze Linux w module drm/nouveau/uvmm występuje podatność use-after-free. Funkcja nouveau_uvmm_sm() wywołuje op_map(), która przekazuje bo->resource przez nouveau_mem() do nouveau_uvma_map(), a następnie nouveau_uvmm_vmm_map() odczytuje mem->mem.type. Gdy bufor BO pozostaje w TTM_PL_SYSTEM, bo->resource wskazuje jedynie na struct ttm_resource, więc odczyt mem->mem.type wykracza poza koniec zasobu, co powoduje błąd KASAN: slab-use-after-free.

W jądrze Linux funkcja nv1a_ram_new() sterownika drm/nouveau wywołuje pci_get_domain_bus_and_slot(), która pobiera referencję do urządzenia PCI, ale referencja ta nigdy nie jest zwalniana po odczytaniu rozmiaru pamięci z przestrzeni konfiguracyjnej.

W jądrze Linux funkcja validate_init() sterownika drm/nouveau w przypadku błędu ttm_bo_reserve() lub błędu "vma not found" przerywa pętlę bez dodania obiektu do listy walidacji, przez co referencja pobrana przez drm_gem_object_lookup() nigdy nie jest zwalniana.

W jądrze Linux funkcja nouveau_connector_detect() sterownika drm/nouveau w przypadku błędu nvif_outp_edid_get() zwraca wynik wcześniej, nie zwalniając referencji runtime PM pobranej na początku funkcji, co utrzymuje urządzenie włączone.

W jądrze Linux struktura nouveau_sched zawiera drm_gpu_scheduler, a nouveau_sched_destroy() zwalnia ją przez kfree() po drm_sched_fini(). Ponieważ fence'y wyeksportowane do przestrzeni użytkownika przez drm_syncobj/sync_file nadal wskazują na zwolnioną pamięć, późniejsze wywołanie get_timeline_name() powoduje use-after-free (KASAN slab-use-after-free read).

W jądrze Linux w funkcji xe_vm_close_and_put() niszczono strukturę vm->pt_root (poprzez xe_vm_pt_destroy()) zanim jeszcze przetworzono VMAs znajdujące się na liście contested, które wciąż były powiązane z buforami. Jeśli równoległy wątek wyewakuuje jeden z tych współdzielonych buforów, xe_bo_trigger_rebind() przechodzi po VMAs BO i wywołuje xe_pt_zap_ptes(), gdzie dereferencja pt->level powoduje NULL pointer dereference, ponieważ vm->pt_root[tile->id] jest już NULL.

W jądrze Linux w funkcji virtio_gpu_execbuffer_ioctl() sterownika drm/virtio występuje wyciek pamięci. Gdy wywołanie execbuffer zakończy się błędem (np. nieprawidłowy bo_handle lub syncobj bez fence), zarezerwowane zdarzenie DRM nie jest anulowane ani zwolnione, a wskaźnik do niego zostaje utracony. Zamknięcie pliku DRM nie zwalnia tej pamięci, więc alokacja wycieka trwale.

W jądrze Linux w sterowniku drm/virtio funkcja virtio_gpu_fence_alloc() może zwrócić NULL w przypadku braku pamięci, ale jej wywołujący (virtio_gpu_init_submit()) nie sprawdza tego warunku. W rezultacie NULL jest przekazywany do virtio_gpu_fence_event_create(), która bezwarunkowo go dereferencjonuje, powodując NULL pointer dereference i awarię jądra (general protection fault).