Podatności Linux kernel

W jądrze Linux w podsystemie RDMA/mad wykryto wyciek bufora odbiorczego, gdy kontrola PKey nie powiedzie się. Funkcja ib_mad_complete_recv() inicjalizuje listę rmpp_list, ale przed jej użyciem wywołuje ib_mad_enforce_security(), a w przypadku błędu nie zwalnia bufora, ponieważ lista jest jeszcze pusta. Zdalny węzeł może wielokrotnie wysyłać MAD z błędnym PKey, powodując wyciek pamięci.

W jądrze Linux w podsystemie RDMA/erdma użyto bezpiecznych dla przerwań (IRQ-safe) pomocniczych funkcji XArray dla tabel QP i CQ. Wcześniej operacje na tych tabelach z poziomu przerwań EQ mogły powodować zakleszczenie (deadlock) z aktualizacjami w ścieżce tworzenia, gdy przerwanie przechwyciło zwykłą blokadę xa_lock.

W jądrze Linux w podsystemie RDMA/rtrs-clt naprawiono wyciek puli CQ, gdy połączenie zostanie przerwane. Klient pożycza kredyty CQ w handlerze ADDR_RESOLVED przed nawiązaniem połączenia, a w przypadku błędu create_cm() może nie zwolnić tych kredytów, co prowadzi do wycieku i potencjalnego ostrzeżenia WARN_ON podczas czyszczenia puli.

W jądrze Linux w sterowniku wifi virt_wifi naprawiono wyciek skb, gdy symulowane połączenie jest rozłączone. Funkcja virt_wifi_start_xmit() zwracała NET_XMIT_DROP bez zwalniania skb, co powodowało wyciek pamięci przy każdym wysłanym pakiecie podczas rozłączenia.

W jądrze Linux w sterowniku wifi brcmfmac (cyw) naprawiono problem z przekazywaniem PMKID do firmware. Wcześniej pole auth_status nie było zerowane, co powodowało wyciek danych ze stosu do firmware, a brak przekazania PMKID powodował, że firmware buforował śmieciowy PMKID i odrzucał późniejsze żądania asocjacji z poprawnym PMKID.

W jądrze Linux w podsystemie wifi libipw naprawiono podatność polegającą na odrzucaniu zbyt krótkich ramek beacon i probe response. Funkcje parsujące zakładały, że ramka zawiera pełny 36-bajtowy prefiks, ale ścieżki odbioru ipw2100/ipw2200 gwarantowały tylko 24-bajtowy nagłówek. Obliczenie długości informacji prowadziło do zawinięcia (wrap) i odczytu poza przydzielony bufor.

W jądrze Linux w podsystemie wifi libipw naprawiono podatność polegającą na odrzucaniu zbyt krótkich ramek odpowiedzi asocjacji. Funkcja libipw_handle_assoc_resp() czyta pola z 30-bajtowego prefiksu, ale ścieżki odbioru gwarantują tylko 24-bajtowy nagłówek. Obliczenie długości informacji prowadzi do zawinięcia i odczytu poza bufor.

W jądrze Linux w podsystemie IB/IPoIB naprawiono problem z przywracaniem flagi OPER_UP po flush multicast. Wcześniej flaga OPER_UP była tymczasowo czyszczona i przywracana, co powodowało wyścig z ipoib_ib_dev_down(). Po wyłączeniu interfejsu flaga mogła zostać ustawiona ponownie, co prowadziło do zakleszczenia w destroy_workqueue(). Wprowadzono dedykowaną flagę IPOIB_FLAG_MCAST_FLUSH.

W jądrze Linux w podsystemie wifi cfg80211 naprawiono problem z pobieraniem maski radiowej dla wdev bez netdev. Funkcja cfg80211_calculate_bi_data() wywołuje rdev_get_radio_mask() z wdev->netdev, które może być NULL, co prowadzi do awarii w mac80211. Zmieniono kolejność sprawdzeń, aby uniknąć tego problemu.

W jądrze Linux funkcja cfg80211_classify8021d() nie sprawdzała rozmiaru nagłówka IP przed odczytem pola DS. Zbyt krótka ramka wyglądająca jak IP powodowała odczyt niezainicjalizowanej pamięci (wykryty przez KMSAN).

W jądrze Linux funkcja dma_chan_put() bezwarunkowo zwalniała referencję urządzenia, podczas gdy dma_chan_get() pobierało ją tylko na ścieżce wolnej. Powodowało to niedomiar licznika kref przy każdej parze get/put na ścieżce szybkiej.

W jądrze Linux w dma_chan_put() i dma_release_channel() występowało użycie po zwolnieniu (use-after-free). Gdy dma_device_put() zwalniało ostatnią referencję, dma_device_release() mogło zwolnić dma_device wraz z kanałami, a dma_chan_put() nadal odczytywało chan->device->owner.

W jądrze Linux dma_device_release() usuwało urządzenie z listy i zwalniało je bez okresu karencji RCU. Współbieżni czytelnicy RCU w dma_issue_pending_all() mogli uzyskać dostęp do już zwolnionego urządzenia.

W jądrze Linux cfg80211 zwalniało żądanie skanowania należące do sterownika, gdy interfejs był wyłączany podczas skanowania. Sterownik nadal uważał, że jest właścicielem żądania, co prowadziło do use-after-free w scan_done().

W jądrze Linux __cfg80211_bss_update() grupowało ukryte wpisy BSS z wpisami pochodzącymi z odpowiedzi probe bez elementów beacon. Późniejsze nadejście beacon z ukrytym SSID powodowało naruszenie WARN_ON_ONCE w cfg80211_combine_bsses().

W jądrze Linux cfg80211_update_assoc_bss_entry() filtrowało wpisy po typie BSS przy usuwaniu nieaktualnych wpisów. Wpis z innym bitem możliwości (np. IBSS) pozostawał, powodując WARN_ON(!cmp) w cfg80211_rehash_bss().

W jądrze Linux przy dołączaniu do IBSS zapisywano tylko BSSID/kanał w zdarzeniu i wyszukiwano wpis BSS podczas przetwarzania. Było to podatne na wyścig (np. nowe skanowanie z NL80211_SCAN_FLAG_FLUSH mogło usunąć wpis), powodując ostrzeżenie w __cfg80211_ibss_joined().

W jądrze Linux mac80211 mogło rozpocząć ROC (remain-on-channel), gdy skanowanie było w toku. Prowadziło to do ostrzeżenia w ieee80211_start_next_roc() podczas kończenia skanowania.

W jądrze Linux mac80211 próbowało zoffloadować konfigurację TC na interfejsach AP_VLAN, które są czysto wirtualne. Ponieważ interfejs AP nie zawsze jest znany i może się zmienić, offload nie powinien być wykonywany.

W jądrze Linux w podsystemie mac80211 podczas opuszczania sieci mesh nie jest przerywany proces zmiany kanału (CSA), co prowadzi do awarii systemu z powodu dostępu do nieprawidłowego obszaru pamięci. Problem występuje, gdy kontekst kanału zostaje zwolniony, a praca finalizująca CSA nadal działa.

W jądrze Linux w podsystemie mac80211, gdy uruchomienie punktu dostępowego (AP) nie powiedzie się, stan interfejsu nie jest resetowany, co prowadzi do błędów dzielenia przez zero i ostrzeżeń podczas skanowania. Problem dotyczy pozostawienia włączonej beaconizacji po nieudanym starcie AP.

W jądrze Linux w podsystemie mac80211, gdy podniesienie interfejsu nie powiedzie się, stan diody LED nie jest resetowany, co powoduje, że timer pozostaje aktywny i może zostać zwolniony, prowadząc do ostrzeżeń i potencjalnej awarii. Problem dotyczy timera związanego z aktywnością TPT.

W jądrze Linux w podsystemie mac80211 funkcja ieee80211_tdls_oper() może operować na stacji AP, co prowadzi do ostrzeżeń, gdy stacja AP jest usuwana lub później mylona z peerem TDLS. Brakuje sprawdzenia, czy stacja jest rzeczywiście peerem TDLS.

W jądrze Linux w podsystemie mac80211 interfejsy nie są usuwane z listy local->interfaces, gdy ich netdev jest wyrejestrowywany bez przejścia przez ieee80211_if_remove(). Może to prowadzić do BUG w wiphy_to_rdev() podczas usuwania interfejsów.

W jądrze Linux w podsystemie cfg80211, gdy przestrzeń nazw sieci jest niszczona, przeniesienie wiphy do początkowej przestrzeni nazw może się nie powieść, pozostawiając wskaźnik do nieprawidłowej przestrzeni nazw. Prowadzi to do błędu jądra podczas powiadamiania o wiphy.

W jądrze Linux w podsystemie mac80211, ramki wstrzykiwane na interfejsie monitorującym mogą zawierać pole radiotap żądające szerokości pasma większej niż rzeczywista szerokość kanału, co prowadzi do ostrzeżenia w hwsim. Takie ramki powinny być odrzucane.

W jądrze Linux w podsystemie mac80211, długość elementów skanowania (scan_ies_len) nie uwzględnia elementu HE 6 GHz Band Capability, co może prowadzić do niepowodzenia budowy żądań probe i wyzwolenia WARN_ON podczas skanowania.

W jądrze Linux w podsystemie mac80211 dla sieci mesh, stan CSA (ifmsh->csa) nie jest resetowany przy opuszczaniu sieci, co prowadzi do wycieku pamięci i nieprawidłowego stanu (csa_role, chsw_ttl). Poprawka resetuje stan przy opuszczaniu mesh.

W jądrze Linux w podsystemie mac80211 dla sieci mesh, jeśli uruchomienie mesh nie powiedzie się, kontekst kanału nie jest zwalniany, co prowadzi do ostrzeżeń i potencjalnej awarii podczas usuwania interfejsu. Poprawka poprawnie zwalnia kanał przy nieudanym starcie.

W jądrze Linux w podsystemie mac80211 wystąpił problem z inicjalizacją informacji TX, co prowadziło do nieprawidłowego raportowania błędów do przestrzeni użytkownika. Poprawka inicjalizuje skb->cb[] wcześniej, co umożliwia użycie ieee80211_free_txskb() i ujednolica ścieżkę obsługi błędów.

W jądrze Linux w sterowniku DMA engine pxa wystąpił problem z podwójnym zliczaniem deskryptorów sprzętowych po konwersji na kzalloc_flex(). Poprawka ustawia licznik nb_desc jawnie i usuwa inkrementację, aby uniknąć błędów w pętlach przetwarzania.

W jądrze Linux w module netfilter nft_nat występuje problem z niezainicjalizowaną pamięcią w funkcji nft_nat_setup_netmap() dla mapowania IPv4. Poprawka zeruje całą strukturę new_addr, aby uniknąć użycia niezainicjalizowanych danych.

W jądrze Linux w module netfilter nf_nat występuje wyciek pamięci, gdy rejestracja hooków zakończy się niepowodzeniem. Poprawka opóźnia ustawienie nat_hook_ops i upraszcza ścieżkę obsługi błędów, aby zapewnić zwolnienie hooków.

W jądrze Linux w module netfilter flowtable występuje problem z przedwczesnym zwolnieniem referencji do conntracka, co może prowadzić do użycia nieprawidłowego obiektu. Poprawka utrzymuje referencję do czasu zwolnienia flowu po okresie RCU i dodaje rcu_barrier() przy wyjściu z modułu.

W jądrze Linux w podsystemie DRM występuje wyciek zdarzenia drm_pending_vblank_event w ścieżce błędów dla out_fence_ptr. Poprawka zwalnia zdarzenie i ustawia crtc_state->event na NULL, aby uniknąć wycieku pamięci.

W jądrze Linux w kliencie SMB występuje podatność na przepełnienie bufora przy przetwarzaniu absolutnych celów dowiązań symbolicznych. Poprawka waliduje prefiks dysku NT przed dostępem do stałych przesunięć, aby zapobiec nadpisywaniu pamięci.

W jądrze Linuxa wykryto podatność w mechanizmie walidacji parametru NDTPA_INTERVAL_PROBE_TIME_MS dla tabel sąsiedztwa (np. ARP). Brak walidacji typu pozwala ustawić wartość 0 lub bardzo dużą (np. 4294967296), co prowadzi do nieprawidłowego działania timera i potencjalnego obejścia zabezpieczeń.

W jądrze Linux w sterowniku ALSA bcd2000 występuje wyścig między operacjami rawmidi a rozłączeniem USB, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka wprowadza spinlock, który obejmuje operacje rawmidi i obsługę w callbacku, aby zapewnić bezpieczeństwo.

W jądrze Linux w systemie plików NTFS funkcja ntfs_non_resident_attr_shrink() wywoływała operacje na runlistach bez wymaganej blokady zapisu, co mogło prowadzić do wyścigu. Dodatkowo ntfs_attr_map_cluster() mogła pozostawić niespójny stan przy nieudanej aktualizacji mapowań. Poprawka serializuje te operacje blokadą runlisty i dodaje mechanizm wycofywania zmian.

W jądrze Linux w podsystemie ALSA funkcja snd_pcm_timer_init() rejestrowała timer PCM przed ustawieniem pola timer->private_data. W krótkim oknie czasowym równoległy wątek mógł uzyskać dostęp do timera przez /proc/asound/timers lub snd_timer_open() i wywołać wskaźnik NULL, powodując dereferencję NULL. Poprawka przenosi przypisanie private_data przed rejestrację.

W jądrze Linux w sterowniku wifi virt_wifi funkcja virt_wifi_newlink() przenosiła stan operacyjny (operstate) przed rejestracją urządzenia sieciowego. Jeśli rejestracja się nie powiodła (np. z powodu nieprawidłowej nazwy), zwolnienie netdev pozostawiało wpis na liście lweventlist, co prowadziło do use-after-free przy późniejszym linkwatch_fire_event(). Poprawka przenosi transfer po netdev_upper_dev_link().

W jądrze Linux w sterowniku DRM vc4 funkcja vc4_kms_load() inicjowała odpytywanie KMS (drm_kms_helper_poll_init()) bez odpowiadającego wywołania fini. Po odłączeniu sterownika (unbind) zaplanowana praca odpytywania nadal się wykonywała na zwolnionej strukturze drm_device, powodując use-after-free. Poprawka używa zarządzanej wersji drmm_kms_helper_poll_init().

W jądrze Linux w podsystemie ALSA HDA punkt śledzenia (tracepoint) otwarcia PCM był wywoływany przed przypisaniem strumienia. Gdy przypisanie strumienia nie powiodło się z powodu wyczerpania strumieni sprzętowych, dane tracepoint odwoływały się do niezainicjowanego znacznika strumienia. Poprawka przenosi tracepoint po sprawdzeniu NULL.

W jądrze Linux w seg6 funkcja decap_and_validate() przy dekapulacji IPIP nie ustawiała flagi IPSKB_L3SLAVE w IPCB dla IPv4, mimo że robiła to dla IPv6. W efekcie pakiety SRv6 dekapulowane na interfejsie przypisanym do VRF nie trafiały do gniazd lokalnych zgodnie z oczekiwaniami. Poprawka ustawia flagę IPSKB_L3SLAVE dla IPv4.

W jądrze Linux w sterowniku DSA mxl862xx występuje problem z odpytywaniem statystyk podczas zamykania. Ankieta może działać na zwolnionej pamięci portów, a ponowne uruchomienie po anulowaniu może spowodować kolejkowanie pracy po zakończeniu synchronizacji.

W jądrze Linux sterownik bcmgenet traci skonfigurowane reguły filtrów sprzętowych przy każdym podniesieniu interfejsu, ponieważ inicjalizacja listy w bcmgenet_hfb_init() usuwa wszystkie reguły.

W jądrze Linux w IPv4 ICMP funkcja icmp_route_lookup() nie odrzuca tras wejściowych typu RTN_UNREACHABLE, co może prowadzić do ostrzeżenia WARN_ON_ONCE() w ip_rt_bug() podczas wysyłania pakietów ICMP.

W jądrze Linux w sterowniku sieciowym skfp (FDDI) występuje podatność na odwołanie do pustego wskaźnika (NULL deref) podczas ustawiania adresu MAC na interfejsie, który nie został uruchomiony. Funkcja skfp_ctl_set_mac_address() wywołuje ResetAdapter() bez sprawdzenia, czy interfejs jest aktywny, co prowadzi do dostępu do niezainicjalizowanych kolejek transmisji i awarii systemu (oops).

W jądrze Linux w moście sieciowym (bridge) funkcja br_mst_set_state() wywołuje switchdev_port_attr_set() podczas trzymania rcu_read_lock(), co może prowadzić do usypiania w kontekście RCU i potencjalnych problemów.

W jądrze Linux występuje wyścig (race condition) w funkcji tcp_v6_do_rcv() między sprawdzeniem stanu gniazda TCP_LISTEN a wywołaniem skb_clone_and_charge_r(). Równoległe wywołanie close() może zmienić stan gniazda z TCP_LISTEN na TCP_CLOSE, powodując wywołanie funkcji bez blokady i ostrzeżenie w inet_sock_destruct(). Problem dotyczy gniazd IPv6 TCP w stanie nasłuchiwania zamykanych współbieżnie.