Podatności Linux kernel

W jądrze Linux dla architektury arm64, operacje percpu na typach 8- i 16-bitowych z użyciem instrukcji LSE nie uwzględniają sufiksu rozmiaru, co powoduje błędny odczyt i zapis 32 bitów pamięci zamiast właściwych 8 lub 16 bitów. Poprawka polega na dodaniu sufiksu 'sfx' do instrukcji LSE.

W jądrze Linux w module Bluetooth (hci_codec) parsery Read Local Supported Codecs nie walidują poprawnie długości licznika kodeków vendor, co może prowadzić do odczytu poza granicami bufora skb. Poprawka używa skb_pull_data() do walidacji i konsumpcji nagłówków kodeków przed użyciem ich licznika.

W jądrze Linux w module Bluetooth (hci_sync) funkcja hci_dev_close_sync() czyści listę lokalnych kodeków bez trzymania zamka hdev->lock, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas równoczesnego zapytania BT_CODEC. Poprawka polega na trzymaniu zamka podczas czyszczenia listy.

W jądrze Linux w systemie plików btrfs funkcja mark_block_group_to_copy() iteruje po korzeniu commitu z pominięciem blokad, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas równoczesnego commitu transakcji. Poprawka używa path->need_commit_sem do ochrony wyszukiwania korzenia commitu.

W jądrze Linux w systemie plików btrfs funkcja btrfs_rebuild_free_space_tree() nie czyści flagi BTRFS_FS_CREATING_FREE_SPACE_TREE w przypadku błędów, co może prowadzić do pomijania przetwarzania opóźnionych referencji. Poprawka czyści tę flagę na wszystkich ścieżkach błędów.

W jądrze Linux w module dma-buf/dma-fence, wcześniejsza poprawka zmieniła sprawdzanie sygnału na sprawdzanie wskaźnika ops, co powoduje utratę ochrony RCU po zasygnalizowaniu dla wielu implementacji dma_fence, prowadząc do użycia po zwolnieniu. Poprawka dodaje dodatkowe sprawdzenie sygnału do sprawdzenia wskaźnika ops.

W jądrze Linux w module dma-buf, zmienna mapped_len była 32-bitowa, co powodowało ciche przepełnienie przy rozmiarach MMIO większych niż 4G, prowadząc do błędnych długości przekazywanych do fill_sg_entry(). Poprawka zmienia mapped_len na size_t (64-bit) i dodaje zabezpieczenia przed przepełnieniem w calc_sg_nents.

W jądrze Linux w IPv6 XFRM, funkcje xfrm6_local_rxpmtu() i xfrm6_local_error() zakładają, że skb->sk zawsze wskazuje na pełny gniazdo IPv6, ale może to być request_sock, co prowadzi do odczytu poza przydziałem. Poprawka używa skb_to_full_sk() i wychodzi, gdy nie ma pełnego gniazda.

W jądrze Linux w module ip_tunnel, zmienna options_len nie jest inicjalizowana przed użyciem w funkcji ip_tun_parse_opts_geneve, co prowadzi do przepełnienia bufora podczas kopiowania danych opcji. Poprawka inicjalizuje licznik przed odwołaniem do opcji.

Wykryto podatność w jądrze Linux w funkcji scsi_cdl_enable() w warstwie SCSI core. Podczas skanowania urządzeń USB, które identyfikują się jako ATA i obsługują CDL, długości zwracane przez MODE SENSE mogą być nieprawidłowe, co prowadzi do odczytu/zapisu poza buforem stosu i ujawnienia zawartości stosu atakującemu urządzeniu.

W jądrze Linux występuje podatność use-after-free w funkcji xfrm_dev_state_free() podczas opróżniania stanów urządzenia XFRM. Wątek GC stanów może zwolnić stan w tym samym czasie, gdy wątek flush odwołuje się do niego po zwolnieniu blokady xfrm_state_dev_gc_lock, co prowadzi do podwójnego wywołania callbacku sterownika i użycia zwolnionej pamięci.

W jądrze Linux w funkcji xfrm_input() występuje podatność polegająca na użyciu po zwolnieniu (use-after-free) stanu xfrm_state. Niektóre ścieżki odbioru, takie jak VTI i interfejsy XFRM, mogą zresetować secpath przed zakończeniem przetwarzania, co prowadzi do dereferencji zwolnionej pamięci. Poprawka zapisuje protokół stanu na stosie przed resetem i używa wcześniej zapisanej rodziny adresów.

W jądrze Linux dla procesorów MIPS I6500 brakuje wymaganego wyboru opcji CONFIG_WEAK_REORDERING_BEYOND_LLSC przy CONFIG_EYEQ. Instrukcje lld/scd na tych rdzeniach nie gwarantują kolejności, co powoduje, że arch_cmpxchg() nie jest w pełni uporządkowany. Może to prowadzić do błędów strony (kernel paging request) i awarii systemu, jak pokazano w raporcie oops.

W jądrze Linux w sterowniku memstick ms_block występuje wyciek pamięci: kolejka pracy msb->io_queue tworzona w msb_init_disk() nie jest niszczona podczas usuwania urządzenia (msb_remove()). Każdy cykl podłączenia/odłączenia karty powoduje wyciek kolejki i jej kworkera, co prowadzi do wyczerpania pamięci jądra.

W jądrze Linux występuje kolizja bitu SWAP_USAGE_OFFLIST_BIT z rzeczywistym licznikiem użycia swapu. Bit flagi jest zdefiniowany jako bit 30, który przy stronach 4 KiB koliduje z licznikiem, gdy osiągnie on 4 TiB. Może to prowadzić do błędnego raportowania użycia swapu, przedwczesnego wyłączenia swapu (swapoff) i utraty stron oraz uszkodzenia licznika i listy plist.

W jądrze Linux występuje błąd w mechanizmie shrinkerów, który ujawnia się przy włączonej opcji cgroup.memory=nokmem. W takiej konfiguracji funkcja shrinker_memcg_alloc() nie przydziela identyfikatora, przez co shrinker->id pozostaje zerem i jest błędnie traktowany jako prawidłowy indeks bitu. Prowadzi to do ostrzeżenia WARN_ON_ONCE w set_shrinker_bit() przy pierwszym THP umieszczonym w cgroup.

W jądrze Linux w funkcji mmap_prepare() występuje błąd polegający na nieprawidłowym rozliczaniu pamięci. Gdy call_mmap_prepare() zakończy się niepowodzeniem, skok do abort_munmap nie cofa wcześniej zaksięgowanej pamięci, co prowadzi do rozbieżności w licznikach pamięci.

W jądrze Linux w mechanizmie filemap występuje problem z folio dropbehind. Fault-around może zmapować gotowe folio dropbehind bez normalnego wyszukiwania w cache, co prowadzi do próby wymuszonego odmapowania podczas zapisu. Poprawka zachowuje zmapowane folio, unikając ścieżki mogącej powodować usypianie w kontekście niepodlegającym wywłaszczeniu.

W jądrze Linux w mechanizmie KEYS encrypted występuje przepełnienie liczby całkowitej w zmiennej datablob_len (typu u16). Jeśli suma długości przekroczy U16_MAX, przypisanie obcina rozmiar alokacji, co prowadzi do zapisu poza zakresem (slab-out-of-bounds) zgłaszanego przez KASAN. Poprawka używa check_add_overflow() i kzalloc_flex().

W jądrze Linux w mechanizmie KEYS trusted funkcja tpm2_load_cmd() wykonuje sprawdzenia granic względem rozmiaru ASN.1 (payload->blob_len), co może być nieprawidłowe. Poprawka przekazuje zdekodowany rozmiar blobu do tpm2_load_cmd() i używa go do sprawdzeń granic.

W jądrze Linux wykryto podatność w mechanizmie sched_ext, gdzie funkcje pomocnicze scx_bpf_select_cpu_and() i scx_bpf_dsq_insert_vtime() mogą wywołać dereferencję wskaźnika NULL dla zadań bez przypisanego schedulera (np. zadań zakończonych lub bezczynnych). Prowadzi to do awarii jądra (oops) w ścieżce obsługi błędów.

W jądrze Linux w schedulerze sched_ext istnieje okno błędu przed włączeniem, które może prowadzić do użycia po zwolnieniu (use-after-free). Błąd zgłoszony przez program BPF w tym oknie jest konsumowany przez ścieżkę wyłączania, co powoduje, że scheduler pozostaje aktywny, ale nie może zostać wyłączony, a następnie jest zwalniany podczas użytkowania.

W jądrze Linux w sterowniku i2c atr występuje błąd pozostawiający zwisający wskaźnik adaptera po nieudanym dodaniu. Po niepowodzeniu i2c_add_adapter() kanał jest zwalniany, ale wskaźnik w tablicy adapterów pozostaje wskazujący na zwolnioną pamięć, co może prowadzić do użycia po zwolnieniu i blokowania ponownego użycia z błędem -EEXIST.

W jądrze Linux w sterowniku mlx4 dla InfiniBand występuje użycie po zwolnieniu podczas rejestracji sysfs dla pkey. Błędy z rejestracji są ignorowane, a wskaźniki do zwolnionych obiektów kobject pozostają w urządzeniu, co prowadzi do podwójnego zwolnienia podczas czyszczenia.

W jądrze Linux wykryto podatność w sterowniku IB/hfi1 dotyczącą mapowania pamięci PIO_CRED. Błędna arytmetyka wskaźników i nieprawidłowe użycie DMA API powodują, że użytkownik otrzymuje złą stronę zwrotu kredytów, co prowadzi do uszkodzenia tablic stron, paniki jądra lub zawieszenia transmisji PIO.

W jądrze Linux w module SELinux występuje problem z zachowaniem SID użytkownika dla zagnieżdżonych plików bazowych. Dla zagnieżdżonych plików bazowych (np. overlayfs na overlayfs) SID pliku użytkownika może być SID montującego, co prowadzi do błędnych kontroli dostępu podczas mprotect().

Wykryto podatność w jądrze Linux w module SELinux, która pozwala na obejście kontroli dostępu podczas wywołania mprotect() w przypadku zagnieżdżonych systemów plików typu overlayfs. Atakujący może uzyskać uprawnienia do wykonania kodu, które powinny być zablokowane przez politykę SELinux, poprzez sekwencję mmap(PROT_NONE) i mprotect(PROT_EXEC).

W jądrze Linux w podsystemie MMC występuje brak anulowania pracy SDIO IRQ przed zwolnieniem hosta. Praca zaplanowana z przerwania może wykonać się po zwolnieniu hosta, prowadząc do użycia po zwolnieniu.

W jądrze Linux w sterowniku mmc hsq występuje użycie po zwolnieniu w pracy ponawiania. Praca retry_work jest osadzona w devm-allocated mmc_hsq, ale nie jest anulowana podczas usuwania sterownika, co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w sterowniku mmc mmci występuje użycie po zwolnieniu w pracy związanej z limitem czasu zajętości. Praca ux500_busy_timeout_work może być kolejkowana, ale nie jest anulowana podczas usuwania, co prowadzi do użycia po zwolnieniu.

W jądrze Linux w sterowniku mmc mxcmmc występuje brak anulowania pracy danych i watchdoga podczas usuwania. Watchdog i praca danych mogą wykonać się po zwolnieniu hosta, prowadząc do użycia po zwolnieniu.

W jądrze Linux w sterowniku mmc: sdhci-of-aspeed występuje problem z kolejnością zwalniania zasobów. Podczas niepowodzenia inicjalizacji lub usuwania urządzenia, urządzenia potomne SDHCI pozostają zarejestrowane po zwolnieniu zegara nadrzędnego i zasobów zarządzanych. Poprawka polega na wyrejestrowaniu dzieci OF w odwrotnej kolejności przed wyłączeniem zegara nadrzędnego.

W jądrze Linux w module mmc: sdio_uart występuje wyciek pamięci transmit fifo, gdy tablica portów jest pełna. Funkcja sdio_uart_add_port() alokuje fifo przed zajęciem slotu w tablicy; gdy wszystkie sloty są zajęte, zwraca -EBUSY bez zwolnienia fifo. Poprawka zwalnia fifo w ścieżce błędu.

W jądrze Linux w module mmc: spi występuje błąd w rozliczaniu przesłanych bajtów przy ponawianiu po błędzie CRC. Funkcja mmc_spi_data_do() aktualizuje bytes_xfered po każdym bloku, ale przy błędzie CRC i ponowieniu, licznik nie jest zerowany, co może prowadzić do zawyżenia liczby przesłanych bajtów. Poprawka zeruje bytes_xfered przed ponowieniem.

W jądrze Linux w sterowniku Input: cyttsp5 występuje błąd polegający na braku ograniczenia rozmiaru raportu HID przed skopiowaniem pamięci. Pole rozmiaru pochodzi z urządzenia i jest używane jako długość w memcpy() do bufora response_buf o stałym rozmiarze CY_MAX_INPUT, co może prowadzić do przepełnienia bufora.

W jądrze Linux w module Input: evdev występuje wyciek informacji z pamięci stosu jądra poprzez niepełną inicjalizację struktury absinfo w obsłudze EVIOCSABS. Rozmiar kopiowany z przestrzeni użytkownika może być krótszy niż pełna struktura, pozostawiając niezainicjalizowane bajty, które następnie są zwracane do użytkownika przez EVIOCGABS. Poprawka zeruje strukturę przed kopiowaniem.

W jądrze Linux w sterowniku Input: rmi_smbus występuje błąd odczytu poza granicami bufora w funkcji rmi_smb_write_block(). Podczas dzielenia zapisów na bloki SMBus, długość bloku jest obliczana na podstawie oryginalnej całkowitej długości zamiast pozostałej, co prowadzi do odczytu 32 bajtów nawet gdy pozostało mniej. Poprawka używa pozostałej długości.

W jądrze Linux w sterowniku Input: soc_button_array występuje brak sprawdzenia liczby elementów w btns_desc->package.count przed dostępem do btns_desc->package.elements[0]. Może to prowadzić do odczytu poza granicami, jeśli count wynosi 0.

W jądrze Linux w sterowniku Input: synaptics-rmi4 występuje błąd ogólnej ochrony (GPF) podczas zawieszania i wznawiania, gdy urządzenie rmi_dev nie jest powiązane z sterownikiem. Wywołanie rmi_driver_suspend() lub rmi_driver_resume() bez danych sterownika powoduje dereferencję NULL i GPF. Poprawka sprawdza obecność danych sterownika przed kontynuacją.

W jądrze Linux w module Input występuje wyciek pamięci stosu jądra poprzez niepełne kopiowanie struktury ff_effect w ścieżce kompatybilności input_ff_effect_from_user(). Kopiowany jest tylko prefiks o rozmiarze zgodnym z compat, pozostawiając niezainicjalizowane bajty, które mogą zostać ujawnione użytkownikowi przez UI_BEGIN_FF_UPLOAD. Poprawka zeruje strukturę przed kopiowaniem.

W jądrze Linux w module hwmon (hp-wmi-sensors) występuje błąd use-after-free w funkcji fungible_show(). Funkcja odczytuje wskaźnik nsensor->current_state po zwolnieniu blokady, przez co może on zostać zwolniony i zastąpiony przez inny wątek w trakcie odczytu.

W jądrze Linux zwiększono liczbę faz do 16 i dodano nową maskę w sterowniku hwmon (pmbus/core). Zmiana przygotowuje obsługę nowych urządzeń, ale jednocześnie naprawia potencjalny błąd zapisu poza zakresem w sterownikach mp2975 i mp2856, które już obsługują więcej niż 10 faz.

W jądrze Linux w sterowniku hwmon (pwm-fan) występuje błąd użycia po zwolnieniu (UAF) podczas odłączania sterownika. Timer próbkujący może być ponownie uzbrojony i uzyskać dostęp do zwolnionych danych, zanim zostanie zatrzymany. Poprawka dzieli zatrzymanie timera od czyszczenia zasilania i używa timer_shutdown_sync(), aby zapewnić bezpieczne zatrzymanie.

W jądrze Linux w sterowniku hwmon (w83791d) podczas normalnego usuwania sterownika nie są usuwane opcjonalne pliki sysfs dla wentylatorów/PWM 4-5. Pozostawione pliki mogą prowadzić do dostępu do zwolnionych danych sterownika. Poprawka usuwa grupę sysfs również podczas normalnego usuwania.

W jądrze Linux w sterowniku wifi brcmsmac występuje błąd użycia po zwolnieniu (UAF) w funkcji brcms_free_timer(). Anulowanie timera nie czeka na zakończenie wywołania zwrotnego, co może prowadzić do dostępu do zwolnionej pamięci. Poprawka dodaje jawne wywołanie cancel_delayed_work_sync(), aby zapewnić zakończenie wywołania zwrotnego przed zwolnieniem struktury timera.

W jądrze Linux w sterowniku wifi iwlegacy występuje błąd podwójnego zwalniania stacji rozgłoszeniowych na ścieżce błędu. Funkcja il_dealloc_bcast_stations() nie czyści wszystkich pól, co prowadzi do ponownego zwalniania. Poprawka czyści całe pole 'used'.

W jądrze Linux w sterowniku wifi libertas_tf występuje błąd użycia po zwolnieniu (UAF) w funkcji lbtf_free_adapter(). Kolejność zwalniania buforów poleceń i zatrzymywania timera jest nieprawidłowa, co może prowadzić do dostępu do zwolnionej pamięci. Poprawka zamienia kolejność, aby timer był zatrzymany przed zwolnieniem buforów.

W jądrze Linux w sterowniku wifi libipw występuje błąd odczytu poza zakresem podczas weryfikacji ramek TKIP. Krótkie ramki mogą powodować zawinięcie długości i odczyt poza buforem. Poprawka sprawdza obecność pełnego MIC przed weryfikacją i używa stałej MICHAEL_MIC_LEN.

W jądrze Linux w sterowniku wifi wcn36xx występuje potencjalny błąd użycia po zwolnieniu (UAF) podczas wyłączania timera potwierdzenia TX. Funkcja timer_delete() nie czeka na zakończenie wywołania zwrotnego, co może prowadzić do dostępu do zwolnionych danych. Poprawka używa timer_shutdown_sync(), aby zapewnić bezpieczne zatrzymanie.

W jądrze Linux w sterowniku wifi wlcore występuje wyciek referencji runtime PM podczas błędu konfiguracji domeny regulacyjnej. Funkcja nie zwalnia referencji po niepowodzeniu, co może prowadzić do problemów z zarządzaniem energią. Poprawka zwalnia referencję po obsłudze wyniku polecenia.