Podatności Linux kernel

W jądrze Linux w sterowniku DMA mmp_pdma funkcja mmp_pdma_prep_slave_sg() odczytuje długość wpisu z głowy listy zamiast bieżącego wpisu, co prowadzi do błędów przy listach o różnych długościach.

W jądrze Linux w Bluetooth (hci_core) funkcje hci_send_acl(), hci_send_sco() i hci_send_iso() kolejkową pracę tx_work bezwarunkowo, co podczas zamykania urządzenia może prowadzić do ostrzeżenia i utraty pracy.

W jądrze Linux w sterowniku Bluetooth btintel_pcie funkcja btintel_pcie_send_sync() nie sprawdza długości pakietu przed kopiowaniem do bufora DMA, co może prowadzić do przepełnienia bufora.

W jądrze Linux w podsystemie Bluetooth coredump odkryto podatność polegającą na tym, że podczas wyrejestrowania urządzenia nie są wyłączane prace związane z obsługą zrzutu pamięci, co może prowadzić do użycia zwolnionej pamięci (use-after-free).

W jądrze Linux w sterowniku Bluetooth hci_qca występuje podatność polegająca na zapisie do zamkniętego portu szeregowego. Gdy hci_dev_open_sync() zakończy się niepowodzeniem po pomyślnym qca_setup(), port jest zamykany, ale flaga power->vregs_on pozostaje ustawiona, co prowadzi do próby zapisu do zamkniętego portu podczas usuwania sterownika. Objawia się to błędem NULL pointer dereference, co może prowadzić do awarii systemu.

W jądrze Linux w podsystemie Bluetooth ISO wykryto wyciek referencji do gniazda rodzica w funkcji iso_conn_ready(), gdy alokacja gniazda dziecka nie powiedzie się, co prowadzi do wycieku pamięci.

W jądrze Linux w sterownikach Bluetooth btmtksdio i btmtkuart brakuje walidacji długości zdarzeń WMT przed odczytem pól struktury, co może prowadzić do odczytu poza granicami bufora.

W jądrze Linux w sterowniku Bluetooth btintel_pcie wykryto błąd off-by-one w sprawdzaniu granic podczas przesyłania RX, co pozwala na dostęp do elementu poza tablicą FRBD.

W jądrze Linux w podsystemie Bluetooth RFCOMM wykryto możliwą inwersję blokad podczas czyszczenia gniazda nasłuchującego, co może prowadzić do zakleszczenia (deadlock).

W jądrze Linuxa wykryto podatność w mechanizmie af_unix, związaną z błędnym przypisywaniem indeksów SCC (silnie spójnych składowych) w algorytmie Tarjana. W pewnych przypadkach wierzchołki w jednym SCC mogą mieć różne wartości scc_index, co prowadzi do niepoprawnego działania garbage collectora i potencjalnego wycieku pamięci.

W jądrze Linux w sterowniku sieciowym stmmac wykryto problem z obcinaniem długości nagłówka TSO, ponieważ przechowywany jest w typie u8, co powoduje zawijanie dla nagłówków dłuższych niż 255 bajtów.

W jądrze Linux w sterowniku pppoatm wykryto brak zapewnienia zapisywalnego nagłówka skb i danych liniowych, co może prowadzić do odczytu poza granicami lub niezbalansowanych operacji na buforze.

W jądrze Linux wykryto podatność w module drop_monitor, gdzie podczas wyłączania monitorowania per-CPU timery są zatrzymywane za pomocą timer_delete_sync(), co nie zapobiega ponownemu uzbrojeniu timera przez współbieżnie działający worker. W warunkach braku pamięci worker może ponownie uzbroić timer po zakończeniu timer_delete_sync(), a po odładowaniu modułu timer wywoła kod w zwolnionej pamięci, prowadząc do paniki jądra lub use-after-free.

W jądrze Linux w module mostka sieciowego (bridge) stwierdzono błąd w obsłudze usuwania VLAN-ów, gdy operacja jest blokowana przez switchdev. Pozwolenie switchdev na zatrzymanie usuwania VLAN-ów prowadzi do niespójnego stanu, wycieków pamięci oraz dereferencji pustego wskaźnika. Poprawka polega na zalogowaniu błędu i kontynuowaniu usuwania VLAN-ów w warstwie programowej, co jest zgodne z zachowaniem 8021q.

W jądrze Linux wykryto podatność w podsystemie netlink, gdzie funkcja netlink_realloc_groups() może zwolnić starą bitmapę grup przed zakończeniem operacji odczytu przez czytelników nieużywających blokady tabeli. Dwie ścieżki odczytu (sk_diag_dump_groups() oraz /proc/net/netlink) mogą uzyskać dostęp do zwolnionej pamięci, co prowadzi do użycia po zwolnieniu (use-after-free) lub odczytu poza zakresem bufora.

W jądrze Linux w KVM dla architektury PowerPC (Book3S HV) występuje podatność use-after-free w funkcji kvmhv_emulate_tlbie_all_lpid(). Funkcja iteruje po identyfikatorach zagnieżdżonych gości, ale nie utrzymuje referencji na wskaźnik kvm_nested_guest, co pozwala na wyścig z równoległym vCPU i zwolnienie pamięci. Poprawka polega na zwiększeniu licznika referencji przed zwolnieniem blokady i zwolnieniu referencji po zakończeniu pracy.

W jądrze Linux w module powerpc/iommu występuje błąd w walidacji przepełnienia w funkcji iommu_tce_check_ioba. Podczas unifikacji sprawdzania parametrów IOBA zignorowano argument npages, używając stałej wartości 1, co może prowadzić do przepełnienia przy wywołaniach z npages > 1. Poprawka uwzględnia npages, sprawdza przepełnienie arytmetyczne i weryfikuje, czy cały zakres nie przekracza pojemności tabeli.

W jądrze Linux w mechanizmie futex występuje brak alokacji prywatnego hasha podczas wywołania vfork(). Ponieważ dostęp do mm jest możliwy przez vfork(), konieczne jest alokowanie prywatnego hasha również dla vfork() i innych użytkowników CLONE_VM. Poprawka zapewnia, że prywatny hash jest alokowany przed pojawieniem się oczekujących na futex.

W jądrze Linux w sterowniku drm/xe/i2c występuje podatność use-after-free podczas odłączania urządzenia. Struktura xe_i2c jest zwalniana przed wyłączeniem przerwania SGUnit, co stwarza okno czasowe, w którym przerwanie I2C może trafić na zwolnioną pamięć. Poprawka polega na jawnym wyłączeniu przerwania I2C w funkcji xe_i2c_remove().

W jądrze Linuxa w systemie plików btrfs występuje podatność polegająca na tym, że podczas czyszczenia elementów verity (funkcje rollback_verity, drop_verity_items oraz btrfs_orphan_cleanup) brakuje rezerwacji metadanych, co przy osiągnięciu limitu qgroup lub braku miejsca prowadzi do wymuszenia trybu tylko do odczytu całego systemu plików, mimo że limit dotyczy tylko jednego podvolume. Ponadto pozostałe elementy nie są usuwane, co może uniemożliwić montowanie podvolume lub spowodować błąd przy następnym montowaniu.

W jądrze Linuxa w funkcji dev_fill_forward_path() występuje ostrzeżenie WARN_ON_ONCE, które może być wyzwolone przez pętlę routingu w tunelach IPIP i IPv6, gdy trasa do zdalnego punktu końcowego tunelu prowadzi z powrotem do samego tunelu. Taka konfiguracja jest możliwa dla użytkownika z uprawnieniami CAP_NET_ADMIN i powoduje, że funkcja nie robi postępu, wyzwalając ostrzeżenie przy próbie offloadu przepływu przez tunel.

W jądrze Linuxa w sterowniku sieciowym fbnic występuje podatność polegająca na tym, że funkcja fbnic_tx_map() pomija zapis do rejestru doorbell oraz żądanie zakończenia dla pakietów z ustawionym xmit_more, licząc na to, że pakiet kończący serię opublikuje wszystkie. Jeśli jednak pakiet kończący serię zostanie odrzucony (np. z powodu błędu DMA), żaden doorbell nie zostanie zapisany, a deskryptory poprzednich pakietów pozostaną niewidoczne dla sprzętu, co może prowadzić do zakleszczenia kolejki transmisji.

W jądrze Linux wykryto podatność w funkcji sock_gettstamp(), która zmienia flagi sk_flags gniazda bez trzymania zamka gniazda. Prowadzi to do wyścigu (race condition) między operacją bind() a ioctl SIOCGSTAMPNS_NEW, co może skutkować użyciem po zwolnieniu (use-after-free) gniazda UDP. Problem został naprawiony przez zablokowanie gniazda tylko w przypadku konieczności ustawienia flagi SOCK_TIMESTAMP.

W jądrze Linuxa w sterowniku sieciowym Cortina (gmac) występuje podatność polegająca na tym, że przerwanie przepełnienia RX (RX overrun) jest zgłaszane w rejestrze statusu 4, ale funkcja gmac_irq() potwierdza je używając bitu błędu deskryptora RX z rejestru statusu 0. Dla GMAC0 zapisuje to bit przepełnienia GMAC1, a dla GMAC1 przesunięcie nie pozostawia żadnego bitu w 32-bitowym rejestrze, co prowadzi do nieprawidłowego potwierdzenia przerwania.

W jądrze Linuxa w mechanizmie PSP (Packet Security Protocol) występuje konflikt z TLS ULP w użyciu pól skb->decrypted oraz sk->sk_validate_xmit_skb(). Aby uniknąć konfliktów, PSP powinien być wzajemnie wykluczony z TLS ULP, który jest jedynym innym użytkownikiem tych pól. Dodatkowo, w celu zabezpieczenia na przyszłość, należy sprawdzać, czy sk->sk_validate_xmit_skb() jest również NULL w ścieżkach konfiguracji.

W jądrze Linux występuje błąd w obsłudze kprobes na architekturze x86, który powoduje awarię jądra (kernel crash) podczas próbkowania instrukcji CS CALL za pomocą eBPF. Funkcja int3_emulate_call() zakłada, że instrukcja CALL ma 5 bajtów, podczas gdy instrukcja z prefiksem CS zajmuje 6 bajtów, co prowadzi do błędnego adresu powrotu i awarii. Problem został naprawiony poprzez użycie rzeczywistej długości instrukcji z dekodera zamiast stałej CALL_INSN_SIZE.

W jądrze Linuxa w sterowniku sieciowym mvpp2 występuje podatność polegająca na tym, że funkcja mvpp2_change_mtu() może wywołać mvpp2_bm_switch_buffers(priv, true) bez sprawdzenia, czy liczba pul (nrxqs * 2) nie przekracza MVPP2_BM_MAX_POOLS (8). Może to prowadzić do odczytu poza zakresem tablicy priv->page_pool w mvpp2_bm_init(), ponieważ tablica jest rozmiaru MVPP2_PORT_MAX_RXQ, a per-CPU schemat podwaja liczbę pul.

W jądrze Linux wykryto podatność w funkcjach pskb_carve_inside_header() i pskb_carve_inside_nonlinear(), które po usunięciu początkowych bajtów pakietu nie aktualizują poprawnie wskaźników nagłówków (mac_header, network_header, transport_header, csum_start). Pozostawione nieaktualne wartości wskazują poza faktyczne dane, co może prowadzić do błędów jądra (kernel BUG) podczas przetwarzania pakietów przez RDS TCP.

W jądrze Linuxa w sterowniku graficznym amdgpu występuje podatność polegająca na tym, że funkcja nbio_v7_9_handle_ras_controller_intr_no_bifring() dereferencuje wskaźniki ras i obj bez sprawdzenia, czy nie są NULL. Zarówno amdgpu_ras_get_context() jak i amdgpu_ras_find_obj() mogą zwrócić NULL, np. w oknie czasowym między ustawieniem adev->nbio.ras a utworzeniem obiektu RAS PCIE_BIF, co może prowadzić do awarii w kontekście przerwania twardego.

W jądrze Linux w systemie plików btrfs podczas operacji dziurkowania (hole punching) i reflinków, jeśli aktualizacja i-węzła nie powiedzie się, transakcja nie jest przerywana. Może to prowadzić do trwałej niespójności, jeśli po błędzie transakcja zostanie zatwierdzona, ponieważ usunięto elementy extent z zakresu i albo wydrążono dziurę, albo wstawiono nowy element extent.

W jądrze Linux występuje błąd dostępu do wskaźnika NULL w funkcji is_include_guest_event() w podsystemie perf. Podczas wyładowania modułu z aktywnym połączeniem perf, wskaźnik pmu jest zwalniany, a późniejsze zamknięcie połączenia prowadzi do dereferencji wskaźnika NULL, powodując awarię (crash).

W jądrze Linux w systemie plików 9p funkcja v9fs_issue_write() nie aktualizuje poprawnie pól i_size i remote_i_size po zapisie, jeśli plik został powiększony. Poprawka aktualizuje te pola na podstawie pozycji startowej i liczby zwróconej przez p9_client_write(), zakładając, że serwer 9P zwraca zmniejszoną liczbę przy krótkim zapisie (np. ENOSPC).

W jądrze Linux w podsystemie ALSA core występuje potencjalna podatność use-after-free (UAF) po asynchronicznym zwolnieniu karty dźwiękowej. Gdy karta jest zwalniana asynchronicznie przez snd_card_free_when_closed(), zadania w locie mogą nadal uzyskiwać dostęp do urządzenia card->dev po rozłączeniu, co prowadzi do UAF. Poprawka zwiększa licznik referencji card->dev przy inicjalizacji i zwalnia go w destruktorze.

W sterowniku ALSA usb-audio w jądrze Linux wykryto podatność polegającą na zapisie poza przydzielony bufor (out-of-bounds write) podczas obsługi niejawnego sprzężenia zwrotnego (implicit feedback). Liczba pakietów isochronicznych dla URB jest nadpisywana wartością z endpointu źródłowego, co może prowadzić do zapisu poza tablicę iso_frame_desc. Problem został rozwiązany przez ograniczenie liczby pakietów do pojemności URB.

W jądrze Linux w sterowniku ALSA virtio, funkcje virtsnd_remove() i virtsnd_freeze() usuwają kolejki wirtualne (virtqueues) przed zresetowaniem urządzenia. To pozwala urządzeniu na dostęp do zwolnionej pamięci vring. Poprawka resetuje urządzenie przed usunięciem kolejek, aby zapobiec dostępowi do zwolnionej pamięci.

W jądrze Linux w kodzie ASoC codec rt712-sdca-dmic, struktura stream_config nie jest inicjalizowana przed przekazaniem do sdw_stream_add_slave(). Pole type może zawierać śmieci, które są później kopiowane do stream->type. Poprawka zeruje strukturę stream_config, aby typ domyślnie był SDW_STREAM_PCM, oraz używa pomocnika snd_sdw_params_to_config().

W jądrze Linux w sterowniku AHCI (libahci), dla kontrolerów z flagą AHCI_HFLAG_32BIT_ONLY, rejestry PxCLBU i PxFBU nie są czyszczone, co powoduje problemy z kontrolerami JMicron JMB585. Poprawka jawnie zeruje te rejestry, aby zapewnić poprawne działanie z 32-bitowym DMA.

W jądrze Linux w systemie plików CIFS, funkcja cifs_chan_skip_or_disable() używa wskaźnika do serwera po zwolnieniu referencji do kanału, co prowadzi do use-after-free. Poprawka sygnalizuje kanał i serwer główny oraz przechwytuje wskaźnik serwera głównego przed zwolnieniem referencji.

W jądrze Linux wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w mechanizmie czyszczenia timerów POSIX podczas wykonywania exec() przez wątek niebędący liderem. Błąd występuje, gdy operacje po de_thread() (takie jak exec_mmap()) kończą się niepowodzeniem, co prowadzi do zwolnienia timera, który wciąż znajduje się w kolejce, a następnie do ponownego usunięcia go z drzewa rbtree.

W jądrze Linux wykryto podatność w podsystemie fs/dax, która może prowadzić do paniki jądra podczas uruchamiania maszyny wirtualnej z pamięcią masową obsługującą DAX. Problem polega na braku sprawdzenia, czy wpis w tablicy xarray jest pusty lub zerowy przed wywołaniem funkcji dax_to_folio() w ścieżkach dax_associate_entry(), dax_disassociate_entry() i dax_busy_page(). Poprzednia poprawka (commit 98c183a4fccf) nie w pełni rozwiązała problem, ponieważ zabezpieczenia były dodane po wywołaniu dax_to_folio().

W jądrze Linuxa w kodzie POSIX CPU timerów występuje wyścig, który może prowadzić do użycia po zwolnieniu (UAF). Problem wynika z utraty rozróżnienia między stanem 'timer na liście wygaśnięć' a 'dostarczanie anulowane' po zmianie flagi 'firing' na boolean. Poprawka sprawdza, czy timer jest na liście wygaśnięć, zamiast polegać na fladze.

W jądrze Linuxa w kodzie RDS IB, funkcja rds_ib_cm_connect_complete() wywołuje rds_conn_destroy() przy niezgodności wersji protokołu, co prowadzi do zakleszczenia (deadlock) w workqueue. Poprawka zmienia to na rds_conn_drop(), które asynchronicznie planuje zamknięcie połączenia.

W jądrze Linux występuje luka use-after-free w mechanizmie sygnałów, związana z wyścigiem podczas wywołania exec() przez wątek niebędący liderem grupy wątków. Timer typu SIGEV_THREAD_ID utworzony dla tid lidera może po wymianie tidów wskazywać na wątek wywołujący execve(), co prowadzi do nieprawidłowego kolejkowania sygnałów i użycia zwolnionej pamięci. Problem został rozwiązany przez opróżnianie kolejki sygnałów zadania wcześniej, w exit_signals(), oraz blokowanie kolejkowania sygnałów dla zadań z ustawioną flagą PF_EXITING.

W jądrze Linuxa w kodzie TCP, stare ACK (przed SND.UNA) są wykluczane z szybkiej ścieżki (fast path) i kierowane do wolnej ścieżki, gdzie są odpowiednio walidowane zgodnie z RFC5961. Zapobiega to akceptacji starych ACK i modyfikacji stanu połączenia przed walidacją.

W jądrze Linuxa w kodzie swiotlb, funkcja swiotlb_bounce() używa nieprawidłowego adresu do wyszukiwania strony highmem, co może prowadzić do zapisu/odczytu z niewłaściwej strony pamięci. Poprawka używa skorygowanego adresu orig_addr do obu operacji.

W jądrze Linuxa w kodzie RDMA/ucma, występuje wyścig między operacjami join i leave multicast, który może prowadzić do użycia po zwolnieniu (UAF). Poprawka utrzymuje mutex przez cały czas od join do copy_to_user, aby zapobiec pominięciu leave.

W jądrze Linuxa w kodzie RDMA/core, funkcja iwpm_get_nlmsg_request() inicjalizuje licznik referencji po dodaniu do listy globalnej, co może prowadzić do błędu refcount. Poprawka inicjalizuje kref przed list_add_tail() oraz inicjalizuje wszystkie pola przed dodaniem do listy.

W jądrze Linuxa w kodzie openvswitch, funkcja ovs_ct_get_conn_labels() może dodać rozszerzenie etykiet do potwierdzonego wpisu conntrack, co może prowadzić do realokacji i zwolnienia bloku rozszerzeń podczas równoczesnego dostępu. Poprawka dodaje rozszerzenie tylko dla niepotwierdzonych conntracków.

W jądrze Linuxa w kodzie nfsd, obsługa NFSEXP_PNFS w ścieżce netlink jest nieprawidłowa, ponieważ przeniesienie sprawdzania do wywołujących nie uwzględniło nowego wywołania w nfsd4_setup_layout_type(). Poprawka naprawia to sprawdzanie.

W jądrze Linux w architekturze arm64 podczas hibernacji funkcja swsusp_arch_suspend_exit() nie przekazuje argumentów do wywołania HVC_SET_VECTORS, przez co wektory EL2 nie są poprawnie ustawiane po przywróceniu systemu. Prowadzi to do użycia po zwolnieniu (use-after-free) strony z wektorami, co może powodować zawieszenie systemu po wznowieniu z hibernacji.