Podatności Linux kernel

W kodzie rozruchowym s390 jądra Linux funkcja append_ipl_block_parm() może przekazać zerowy rozmiar do funkcji konwersji parametrów IPL, gdy linia poleceń zajmuje cały bufor COMMAND_LINE_SIZE. Powoduje to zapis poza buforem linii poleceń.

W jądrze Linux naprawiono błąd w punkcie śledzenia icmp_send, gdzie funkcja TP_fast_assign() bezwarunkowo wywoływała udp_hdr(skb) przed sprawdzeniem, czy pakiet jest UDP. Powodowało to ostrzeżenie DEBUG_NET_WARN_ON_ONCE przy dostępie do nieustawionego nagłówka transportowego (transport_header = ~0U), gdy __icmp_send() był wywoływany ze ścieżek takich jak błędy łącza, błędy ARP, forwarding czy AF_PACKET.

W jądrze Linux występuje podatność w obsłudze tuneli sieciowych (iptunnel), gdzie podczas dekapulacji pakietów GSO nagłówek transportowy (transport_header) pozostaje wskazany na usunięty zewnętrzny nagłówek L4. Prowadzi to do ujemnego przesunięcia i w konsekwencji do błędu KASAN lub page fault w funkcji qdisc_pkt_len_segs_init(). Problem występuje, gdy pakiet tunelowany z metadanymi GSO jest przekazywany przez most L2 lub HSR, a nie dostarczany do lokalnego stosu IP.

W obsłudze kdump na platformie s390 jądra Linux funkcja set_os_info_reipl_block() dereferencjonuje wskaźnik reipl_block_actual, który pozostaje NULL dla typów IPL bez bloku parametrów re-IPL (np. HMC FTP boot, QEMU direct kernel boot). Może to prowadzić do dereferencji wskaźnika NULL.

W obsłudze zrzutu stand-alone na platformie s390 jądra Linux funkcja dump_reipl_run() bezwarunkowo dereferencjonuje wskaźnik reipl_block_actual, który pozostaje NULL dla typów IPL bez bloku parametrów re-IPL. Może to prowadzić do dereferencji wskaźnika NULL i wprowadzenia dumpera w stan disabled wait.

W jądrze Linux naprawiono błąd w mechanizmie lockdep, który powodował ostrzeżenie DEBUG_LOCKS_WARN_ON(1) w funkcji hlock_class() z powodu nieprawidłowego class_idx. Problem wynikał z tego, że wpisy class_cache[] w strukturach lockdep_map mogły wskazywać na usunięte (zapped) klasy blokad, co prowadziło do błędnego dopasowania lub ostrzeżenia. Poprawka dodaje walidację wpisów class_cache i bezpieczne ich odświeżanie.

W module platform/x86 x86-android-tablets jądra Linux funkcja gpio_secondary_fwnode_init() zwalnia referencję do urządzenia na końcu każdej iteracji, podczas gdy devm_add_action_or_reset() zapisuje wskaźnik bez zwiększania licznika referencji. Może to prowadzić do use-after-free podczas demontażu sterownika.

W jądrze Linux na architekturze PowerPC funkcja arch_exit_to_user_mode_prepare() przywracała uprawnienia dostępu do pamięci użytkownika (KUAP) zbyt wcześnie, przed zakończeniem procedur wyjścia specyficznych dla platformy. Prowadziło to do tego, że jądro mogło działać z odblokowanym dostępem do pamięci użytkownika, co przy włączonym CONFIG_PPC_KUAP_DEBUG powodowało ostrzeżenie w interrupt_exit_user_prepare(). Problem został rozwiązany poprzez usunięcie przywracania KUAP z tego hooka.

W jądrze Linux na architekturze PowerPC funkcja __replay_soft_interrupts() podczas odtwarzania oczekującego przerwania nadpisywała maskę irq_soft_mask wartością IRQS_DISABLED (0x1), gubiąc bit IRQS_PMI_DISABLED (0x2). Prowadziło to do ostrzeżenia WARN_ON w arch/powerpc/kernel/irq_64.c:75, obserwowanego wcześnie podczas rozruchu na gościu POWER10 pseries. Poprawka zastępuje local_irq_disable() wywołaniem hard_irq_disable().

W jądrze Linux w funkcji unix_stream_read_generic() wywołanie recv(0, MSG_PEEK) w trybie blokującym powodowało aktywne oczekiwanie (busy-wait), gdy ostatni skb w kolejce był typu MSG_OOB. Problem dotyczy gniazd AF_UNIX. Poprawka sprawia, że funkcja zwraca natychmiast wartość 0, tak jak robi to TCP.

W jądrze Linux w obsłudze protokołu IPv4 występuje przepełnienie pola długości UDP przy wykrywaniu PMTU i bardzo dużym MTU interfejsu. Gdy opcja IP_MTU_DISCOVER jest ustawiona na IP_PMTUDISC_PROBE, a pakiet jest wysyłany przez interfejs o MTU większym niż IP_MAX_MTU + 20, długość UDP może przekroczyć 16-bitowe pole i wywołać ostrzeżenie WARN w udp_set_len_short. Problem dotyczy stosu sieciowego IPv4 w jądrze.

W jądrze Linux w sterowniku Bluetooth btintel_pcie występuje błąd off-by-one w sprawdzaniu zakresu indeksu tx_handle. Poprawny zakres indeksów to 0..txq->count-1, ale warunek w btintel_pcie_msix_tx_handle() sprawdzał tylko '> txq->count', co pozwalało na użycie indeksu równego txq->count. Poprawka zmienia warunek na '>= txq->count'.

W jądrze Linux w sterowniku drm/xe występuje problem z wyścigiem podczas niszczenia maszyny wirtualnej (VM), gdy odwołanie runtime PM jest zwalniane asynchronicznie, a zaległe błędy stron (page faults) są wciąż w kolejce. Worker obsługi błędów stron może wywołać guc_ct_send_locked() na już uśpionym urządzeniu, co powoduje naruszenie asercji i ostrzeżenie jądra. Poprawka polega na utrzymywaniu referencji runtime PM przez cały czas działania workera.

W jądrze Linux w kodzie x86/amd_node występuje dzielenie przez zero na systemach wirtualizowanych. Liczba węzłów (nodes) nie ma związku z liczbą korzeni (roots), a w Xen PVH dom0 roots_per_node może wynosić 0, co powoduje awarię przy operacji modulo. Poprawka ustawia roots_per_node na 1 w takim przypadku i wypisuje ostrzeżenie o błędzie firmware dla systemów niewirtualizowanych.

W jądrze Linux w sterowniku drm/amdgpu występuje problem podczas wznawiania po resecie GPU, gdy praca gfx idle może wywołać switch_power_profile przed zakończeniem resetu. Powoduje to dostęp do rejestrów bez zwolnienia semafora resetu GPU, co prowadzi do błędu asercji i śladu stosu. Poprawka pomija switch_power_profile podczas resetu GPU.

W jądrze Linux funkcja do_close_on_exec() jest wywoływana podczas trzymania exec_update_lock, co może blokować oczekiwanie na odpowiedź z systemu plików. Może to prowadzić do zakleszczenia, jeśli system plików FUSE próbuje zbadać proces wywołujący, lub zablokować ścieżki kodu używające exec_update_lock. Poprawka przenosi do_close_on_exec() przed pobraniem exec_update_lock, ale po skopiowaniu tablicy deskryptorów plików.

W jądrze Linux w module s390/crypto (aes_s390) występuje nieprawidłowe sprawdzanie kodów powrotu z skcipher_walk_virt() przed wejściem do pętli przetwarzania w ecb_aes_crypt() i ctr_aes_crypt(). Jeśli skcipher_walk_virt() zawiedzie, struktura walk może być w niezdefiniowanym stanie, co prowadzi do nieprawidłowego zachowania lub dostępu do niezainicjalizowanej pamięci. Poprawka dodaje sprawdzanie kodów powrotu.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja __qla2x00_alloc_iocbs() zeruje slot pierścienia żądań QLAFX00 za pomocą zwykłego memset(), mimo że jest to pamięć I/O zmapowana przez ioremap, a nie pamięć DMA. Na architekturach takich jak ARM64 memset() może generować nieprawidłowe instrukcje (np. DC ZVA) na pamięci Device, powodując synchroniczny abort. Poprawka używa memset_io() dla QLAFX00.

Warunek wyścigu typu time-of-check time-of-use (TOCTOU) w jądrze Linux umożliwia autoryzowanemu atakującemu lokalne podniesienie uprawnień.

W jądrze Linux wykryto podatność use-after-free (UAF) w mechanizmie grupowania pamięci podręcznej schedulera. Statystyki schedulera były przechowywane w strukturze mm, co powodowało, że dostęp do nich mógł odbywać się po zwolnieniu starego mm podczas przełączania kontekstu. Problem został rozwiązany przez wydzielenie tych statystyk do osobnego obiektu z własnym licznikiem referencji.

W sterowniku apsys DVFS jądra systemu występuje możliwość odczytu poza zakresem lub uszkodzenia rejestru sprzętowego z powodu niewłaściwej walidacji indeksu częstotliwości. Może to prowadzić do niestabilności systemu lub odmowy usługi z lokalnymi uprawnieniami.

W jądrze Linux funkcja bpf_sock_destroy() odczytuje sk_protocol z niewłaściwej struktury, co prowadzi do odczytu poza zakresem pamięci. Problem dotyczy gniazd TIME_WAIT i request sock przekazywanych przez iterator TCP. Naprawa ogranicza sprawdzanie sk_protocol tylko do pełnych gniazd.

W jądrze Linux programy LWT_SEG6LOCAL mogą unieważnić bufor SRH, a następnie wywołać bpf_skb_pull_data(), co może prowadzić do zwisającego wskaźnika i zapisu po zwolnieniu pamięci. Naprawa zabrania używania bpf_skb_pull_data() w programach LWT_SEG6LOCAL.

W jądrze Linux mechanizm dopasowywania programów BPF do urządzeń sieciowych ma lukę, która pozwala uruchomić program związany z jednym urządzeniem na innym, co prowadzi do naruszenia pamięci. Naprawa ogranicza dopasowanie do dokładnych urządzeń dla programów nieprzeznaczonych do offloadu.

W jądrze Linux, podczas zmiany liczby kanałów w interfejsie veth, wskaźniki programów XDP nie są czyszczone dla usuniętych kolejek RX. Może to prowadzić do uruchomienia zwolnionego programu po ponownym zwiększeniu liczby kanałów, powodując awarię systemu.

W jądrze Linuxa w podsystemie net/sched wykryto podatność polegającą na tym, że funkcja tcf_action_delete() nie sprawdza, czy wynik wyszukiwania w IDR jest wskaźnikiem błędu (ERR_PTR). Atakujący może wykorzystać wyścig, aby podmienić akcję na wskaźnik błędu, co prowadzi do dereferencji pustego wskaźnika i paniki jądra.

W jądrze Linuxa wykryto podatność w module netfilter ip6t_rpfilter, gdzie funkcja ip6_route_lookup() może zwrócić trasę bez urządzenia inet6_dev (wskaźnik NULL). Nieuprawniony użytkownik może wykorzystać ten stan, obniżając MTU zewnętrznego interfejsu poniżej IPV6_MIN_MTU, co prowadzi do dereferencji wskaźnika NULL i paniki jądra.

W jądrze Linux podatność w mechanizmie BPF link iterator. Funkcja bpf_link_prime() wstawia link do link_idr przed publikacją ID, a iterator linków pobiera referencję bez sprawdzenia, czy link jest już osadzony (ID równe zero). Jeśli anon_inode_getfile() zawiedzie, iterator pozostaje z wiszącą referencją, a kolejne bpf_link_put() powoduje użycie zwolnionej pamięci (use-after-free).

W jądrze Linux podatność w funkcji __vlan_insert_inner_tag(), która nie wymaga obecności nagłówka MAC przed jego nadpisaniem. Przy wysyłce bardzo krótkiej ramki przez urządzenie IFF_TUN kolejne operacje push VLAN mogą wciągnąć do ramki niezainicjalizowane bajty z pamięci slab, powodując wyciek danych jądra.

W jądrze Linux podatność w obsłudze map BPF typu percpu array używanych jako mapy wewnętrzne. Funkcja porównująca metadane map nie sprawdza liczby max_entries, więc podmiana mapy wewnętrznej na mniejszą omija walidację, a wbudowany w JIT index_mask może prowadzić do dostępu poza zakres tablicy pptrs[].

W jądrze Linux sterownik xen/netfront nie sprawdza długości pierwszego slotu RX względem ETH_HLEN przed wywołaniem eth_type_trans(). Jeśli pierwszy slot jest krótszy niż nagłówek Ethernet, może dojść do błędu BUG() w __skb_pull() lub odczytu poza końcem danych.

W jądrze Linux występuje podatność use-after-free w tcp_send_synack() dotycząca retransmit_skb_hint. Gdy tcp_send_synack() zastępuje sklonowany SYN skb na początku kolejki retransmisji kopią, zwalnia oryginał, ale tp->retransmit_skb_hint nadal wskazuje na zwolniony obiekt, co może być wykorzystane przez nieuprzywilejowanego klienta TFO do wywołania use-after-free.

W jądrze Linux występuje błąd w move_hugetlb_page_tables(), gdzie adres docelowy jest przesuwany zbyt daleko, gdy offsety w tablicach stron źródłowej i docelowej różnią się. Może to prowadzić do paniki jądra na x86-64.

W funkcji ep_free w pliku eventpoll.c występuje możliwość użycia po zwolnieniu (use-after-free) z powodu wyścigu. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.

W jądrze Linux wykryto podatność w module xfrm IP-TFS, gdzie funkcja iptfs_skb_reset_frag_walk() może odczytać pamięć poza stosem z powodu braku kontroli indeksu fragmentów. Specjalnie spreparowany pakiet AGGFRAG może wywołać odczyt poza zakresem, co prowadzi do awarii systemu lub potencjalnego wycieku informacji.

W jądrze Linux w module xfrm/iptfs występuje błąd w obsłudze fragmentacji pakietów wewnętrznych. Gdy początek pakietu wewnętrznego zostanie podzielony między dwa pakiety zewnętrzne tak, że mniej niż 4 bajty trafią na koniec pierwszego, walidacja długości nagłówka IP jest pomijana, co prowadzi do przepełnienia bufora i paniki jądra (DoS).

W jądrze Linux naprawiono podatność use-after-free w funkcji xfrm_state_netlink() podczas obsługi żądań ALLOCSPI. Funkcja xfrm_alloc_userspi() wywołuje alloc_compat() ponownie, ale przekazuje oryginalne żądanie skb i jego nagłówek, co dla żądań kompatybilnych powoduje interpretację 228-bajtowej struktury compat xfrm_userspi_info jako natywnego układu 232-bajtowego i odczyt czterech bajtów poza zadeklarowaną zawartością. Klon multicast żądania współdzieli skb_shared_info i może obserwować ten child, a xfrm_user_rcv_msg() zwalnia go po zakończeniu obsługi, co prowadzi do wyścigu i use-after-free.

W jądrze Linux naprawiono błąd w podsystemie xfrm, gdzie funkcja xfrm_trans_reinject() po konwersji z taskletu na workqueue działała w kontekście procesu bez blokady RCU. Powodowało to ostrzeżenia o nieprawidłowym użyciu RCU oraz potencjalne problemy z ważnością wskaźników dst i urządzeń sieciowych dla pakietów przekazywanych przez kolejkę roboczą.

W jądrze Linux wykryto podatność w implementacji ESP (IPsec), gdzie na ścieżce wyjściowej poza miejscem (out-of-place) modyfikowano tablicę fragmentów skb bez wcześniejszego obniżenia poziomu zarządzania fragmentami zerocopy (SKBFL_MANAGED_FRAG_REFS). Prowadzi to do naruszenia zasad zarządzania fragmentami, co może skutkować użyciem po zwolnieniu (use-after-free) stron zerocopy oraz wyciekiem pamięci.

W jądrze Linux naprawiono podatność w sterowniku RDMA/siw w funkcji siw_accept(). Jeśli siw_qp_modify() zakończy się niepowodzeniem, stan QP jest zwalniany przed oczyszczeniem ścieżki błędu, co pozwala współbieżnemu wywołaniu ibv_modify_qp() na przejście QP do stanu ERROR i zwolnienie struktury cep, prowadząc do use-after-free. Poprawka polega na wyczyszczeniu qp->cep i zwolnieniu referencji asocjacji pod trzymanym zamkiem zapisu.

W jądrze Linuxa w podsystemie RDMA/rxe wykryto podatność polegającą na tym, że funkcja rxe_rereg_user_mr() najpierw zmienia wskaźnik PD (protection domain), a dopiero potem waliduje flagi dostępu. Jeśli walidacja się nie powiedzie, obiekt MR pozostaje w niespójnym stanie, co prowadzi do użycia po zwolnieniu (use-after-free) pamięci PD.

W jądrze Linux w podsystemie xfrm podczas tworzenia pakietów (bundle) brakuje trzymania referencji do net_device, co prowadzi do użycia po zwolnieniu (use-after-free) przy równoczesnym usuwaniu interfejsu. Poprawka polega na czytaniu dst->dev przez dst_dev_rcu() i utrzymywaniu sekcji krytycznej RCU do czasu przejęcia referencji przez xfrm_fill_dst().

W jądrze Linux w podsystemie firmware arm_scpi funkcja scpi_dvfs_get_info() nie sprawdza górnego limitu liczby OPP (operating performance points) odczytywanych z firmware SCP, co może prowadzić do odczytu poza tablicą i błędnego rozmiaru alokowanej tabeli OPP. Poprawka odrzuca zarówno zerową, jak i zbyt dużą liczbę OPP, zwracając -EINVAL.

W jądrze Linux w podsystemie clk scpi funkcja scpi_dvfs_recalc_rate() nie sprawdza górnego limitu indeksu DVFS zwracanego przez dvfs_get_idx(), co może prowadzić do odczytu poza tablicą i traktowania śmieci jako częstotliwości zegara. Poprawka traktuje indeksy większe lub równe liczbie OPP jako nieprawidłowe i zwraca 0.

W jądrze Linux w podsystemie RDMA/rxe przywrócono sprawdzanie HMM_PFN_WRITE w ścieżkach zapisu ODP. Wcześniejsza poprawka usunęła test uprawnień dostępu, co pozwalało nieuprzywilejowanemu użytkownikowi na modyfikację stron tylko do odczytu (np. plików w cache) przez operacje RDMA, podobnie jak Dirty COW. Poprawka wymaga HMM_PFN_WRITE dla wszystkich operacji zapisu, co zapobiega nadpisywaniu plików tylko do odczytu.

W jądrze Linux w podsystemie RDMA/core funkcja ib_get_eth_speed() nie sprawdza stanu rejestracji net_device przed wywołaniem funkcji ethtool, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas odinstalowywania interfejsu. Poprawka dodaje sprawdzenie NETREG_REGISTERED pod RTNL i zwraca -ENODEV dla urządzeń w trakcie wyrejestrowania.

W jądrze Linuxa w podsystemie IB/iser wykryto podatność, w której zdalna unieważnienie (remote invalidation) kierunku, który nie został zarejestrowany, prowadzi do dostępu do pustego wskaźnika i błędu ogólnej ochrony (general protection fault). Problem dotyczy poleceń zapisu, których dane są przesyłane w całości jako dane natychmiastowe, co powoduje, że deskryptor rdma_reg[ISER_DIR_OUT].desc pozostaje pusty, a funkcja iser_check_remote_inv() przekazuje go do iser_inv_desc(), która odczytuje pole sig_protected z nieprawidłowego adresu.

W jądrze Linux występuje luka use-after-free w module IB/isert. Funkcja isert_send_done() przekazuje obsługę zakończeń niektórych PDU sterujących do kolejki roboczej isert_comp_wq, ale nie ma gwarancji, że zadanie to zakończy się przed zwolnieniem połączenia przez isert_wait_conn() i iscsit_close_connection(). W efekcie zadanie w kolejce może odwołać się do zwolnionej pamięci.

W jądrze Linux w podsystemie RDMA/bnxt_re funkcja bnxt_re_init_dcb_wq() ignoruje niepowodzenie alokacji kolejki pracy (create_singlethread_workqueue()), co prowadzi do wywołania queue_work() na wskaźniku NULL przez asynchroniczny handler DCB. Poprawka prawdopodobnie dodaje sprawdzenie błędu alokacji.

W jądrze Linux w podsystemie RDMA/rtrs dodano zabezpieczenie przed dereferencją pustego wskaźnika. W przypadku błędu w funkcji init_path() kod sprzątający mógł wywołać tracing zdarzeń z polem kobj->name równym NULL, co prowadziło do naruszenia pamięci. Dodano sprawdzenie, czy nazwa nie jest NULL przed jej skopiowaniem.