Podatności Linux kernel

W jądrze Linux wykryto podatność w sterowniku VXLAN, która pozwala na konfigurację dynamicznych wpisów FDB odwołujących się do identyfikatora nexthop. Taka konfiguracja jest nieprawidłowa i może prowadzić do uszkodzenia listy powiązanej, wyścigu oraz użycia po zwolnieniu (use-after-free). Problem został naprawiony poprzez odrzucanie takich wpisów podczas tworzenia i aktualizacji.

W jądrze Linux nieograniczona wartość tx_queue_len pozwalała nieuprzywilejowanemu użytkownikowi (poprzez unshare -Urn) ustawić ogromną wartość i wyczerpać pamięć globalną alokacjami pierścieni buforów w podsystemach pfifo_fast, tun i tap. Podatność została naprawiona przez ograniczenie tx_queue_len do S16_MAX (32767) w funkcji netif_change_tx_queue_len(), co odrzuca zbyt duże wartości w momencie ich ustawiania.

W jądrze Linux wykryto podatność w mechanizmie tworzenia i modyfikacji interfejsów sieciowych. Atrybut IFLA_TXQLEN (txqueuelen) nie był poprawnie ograniczany do wartości S16_MAX podczas parsowania atrybutów netlink, co pozwalało na ustawienie nadmiernie dużej kolejki transmisyjnej. Prowadziło to do nadmiernych alokacji pamięci w modułach pfifo_fast, tun i tap, co mogło być wykorzystane przez nieuprzywilejowanego użytkownika w przestrzeni nazw.

W jądrze Linux sterownik pds_core ma wyścig dostępu do cmd_regs podczas odmapowywania BAR przy resecie. Funkcje pdsc_reset_prepare() i ścieżka błędu pdsc_map_bars() w pdsc_reset_done() czyszczą i odmapowują cmd_regs bez devcmd_lock, a pętla pobierania w pdsc_legacy_firmware_update() używa cmd_regs po zwolnieniu i ponownym zajęciu blokady bez ponownego sprawdzenia; równoległy FLR z devlink flash może odmapować cmd_regs w trakcie trwającego devcmd, powodując dereferencję NULL lub zapis do niezamapowanego MMIO.

W jądrze Linux weryfikator BPF nie oznaczał rejestru skalarnego jako 'precise' w dwóch przypadkach: gdy argument funkcji pomocniczej jest NULL (check_func_arg) oraz gdy drugi parametr bpf_get_local_storage() jest zerem (check_helper_call). Powodowało to, że punkt kontrolny utworzony na takiej ścieżce mógł zostać przycięty względem dowolnej wartości skalarnej, co prowadzi do nieprawidłowej weryfikacji programów BPF.

W jądrze Linux funkcja mctp_i3c_probe() zwalniała blokadę busdevs_lock po znalezieniu pasującej magistrali, co pozwalało równoległemu zdarzeniu I3C_NOTIFY_BUS_REMOVE na wyrejestrowanie i zwolnienie netdev magistrali przed przekazaniem danych do mctp_i3c_add_device(). Prowadziło to do użycia zwolnionej pamięci (use-after-free) poprzez wskaźnik mbus.

W jądrze Linux żądanie RTM_NEWQDISC mogło spowodować, że clsact powiązał współdzielony blok ingress podczas ->init(), publikując mini_Qdisc dla czytających bez blokad. Jeśli to samo żądanie miało nieprawidłowy TCA_RATE, konfiguracja estymatora kończyła się niepowodzeniem po ->init(), a ścieżka wycofania zwalniała qdisc synchronicznie, podczas gdy tc_run() mógł wciąż go używać — prowadząc do use-after-free.

W jądrze Linux w sterowniku net/mlx5e funkcja sample_restore_put() mogła ponownie odczytać restore->count po zwolnieniu restore_lock podczas równoległego demontażu reguł TC sample współdzielących ten sam kontekst restore. W tym momencie inny wątek mógł już zakończyć czyszczenie i zwolnić obiekt restore, co prowadziło do use-after-free.

W jądrze Linux w funkcji mlx5_eswitch_termtbl_put() sprawdzenie zerowego licznika odwołań odczytywało tt->ref_count po zwolnieniu termtbl_mutex. Dwóch równoległych wywołujących na tym samym mlx5_termtbl_handle ścigało się: jeden dekrementował ref_count do zera, usuwał wpis z hash i wywoływał kfree(tt), podczas gdy drugi już zwolnił mutex i miał ocenić if (!tt->ref_count), co prowadziło do use-after-free.

W jądrze Linux funkcja fq_pie_change() akceptowała dowolną wartość quantum z przestrzeni użytkownika, w tym 1. Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 powodowało, że pętla uzupełniania deficytu wykonywała się ~2^31 razy pod blokadą qdisc, co prowadziło do soft lockup i odmowy usługi.

W jądrze Linux funkcja sfq_change() akceptowała dowolną nieujemną wartość quantum (odrzucała tylko (int)ctl->quantum < 0). Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 powodowało, że pętla uzupełniania deficytu wykonywała się ~2^31 razy pod blokadą qdisc, co prowadziło do soft lockup i odmowy usługi.

W jądrze Linux funkcja hhf_change() akceptowała dowolną wartość quantum z przestrzeni użytkownika, w tym 1. Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 powodowało, że pętla uzupełniania deficytu wykonywała się ~2^31 razy pod blokadą qdisc, co prowadziło do soft lockup i odmowy usługi.

W jądrze Linux funkcja drr_change_class() odrzucała jawne quantum==0, ale w przeciwnym razie używała psched_mtu() bez dolnego ograniczenia. Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 (lub zerowe psched_mtu na urządzeniu bez nagłówka) powodowało, że pętla uzupełniania deficytu wykonywała się pod blokadą qdisc, prowadząc do soft lockup i odmowy usługi.

W jądrze Linux w schedulerze sieciowym ets brakowało dolnego ograniczenia wartości quantum. Przy spreparowanej tablicy rozmiarów qdisc_pkt_len może osiągnąć ~2 GiB, a zerowe psched_mtu na urządzeniu bez nagłówka powoduje zapętlenie pętli uzupełniania deficytu pod blokadą qdisc. Poprawka przenosi ograniczenie do funkcji ets_quantum_parse(), tak aby jawnie skonfigurowane quantum było ograniczane do zakresu [256, 1<<20].

W jądrze Linux w sterowniku macb, gdy drzewo urządzeń opisuje fixed-link bez węzła "mdio", funkcja macb_mii_init() kończy się wcześnie bez alokacji szyny MDIO, pozostawiając bp->mii_bus jako NULL. Dwie ścieżki sprzątania (odłączanie sterownika i ścieżka błędu sondowania) wywołują mdiobus_unregister()/mdiobus_free() bez sprawdzenia NULL, co powoduje oops. Poprawka dodaje zabezpieczenia przed NULL w obu miejscach.

W jądrze Linux w podsystemie BPF funkcja bpf_loop() deklaruje argument nr_loops jako ARG_ANYTHING, co pozwala uprzywilejowanym programom przekazać wartość wskaźnikową. Od commita bb124da69c47 verifier oznacza R1 jako precise i odczytuje jego górną granicę, a precision backtracking akceptuje tylko rejestry skalarne, co wywołuje ostrzeżenie "backtracking misuse" i panikę przy panic_on_warn. Poprawka wprowadza ARG_SCALAR i używa go dla nr_loops.

W jądrze Linux w systemie plików erofs klucze inode_share były kodowane jako fingerprint || domain_id bez separatora, co mogło powodować błędne parsowanie fingerprintu jako części domain_id. Poprawka zmienia kodowanie na domain_id || '\0' || fingerprint, dzięki czemu indeksy kluczy w pamięci są jednoznaczne.

W jądrze Linux w sterowniku iommu/riscv nie zsynchronizowano publikowania kolejki poleceń, co mogło prowadzić do wyścigu między stanem producenta a aktualizacją ogona sprzętowego. Poprawka serializuje publikowanie, aby stan producenta oprogramowania był aktualizowany dopiero po zapisaniu polecenia i aktualizacji ogona sprzętowego, oraz czeka na konsumpcję sprzętową poza blokadą kolejki, gdy kolejka jest pełna.

W jądrze Linux w sterowniku iommu/amd funkcja iommu_init_ga_log() bezwarunkowo przypisuje wskaźniki ga_log i ga_log_tail, przez co każde wznowienie systemu zastępuje wskaźniki z czasu rozruchu i wycieka obie alokacje. Funkcja używa też GFP_KERNEL w callbacku wznowienia syscore, gdzie przerwania są wyłączone, a procesory inne niż rozruchowy są offline. Poprawka zwraca wcześnie, jeśli oba bufory są już zaalokowane, i czyści wskaźniki w free_ga_log().

W jądrze Linux w sterowniku iommu/amd funkcja amd_iommu_pdom_id_alloc() zwraca int (ID domeny lub ujemny errno), ale amd_iommu_alloc_domain_nested() przypisuje wynik do pola u32 gdom_info->hdom_id, tracąc znak. W efekcie -ENOSPC staje się 0xffffffe4 i test "<= 0" nigdy nie zadziała, więc domena zagnieżdżona jest tworzona z nieprzydzielonym ID. Poprawka przechowuje wartość w int, testuje ją i zapisuje dopiero po walidacji.

W jądrze Linux w sterowniku hwmon ltc4282 funkcja ltc428_clk_provider_setup() nie inicjalizuje wszystkich pól struktury clk_init_data, w szczególności init.num_parents pozostaje niezainicjalizowane, mimo że zakłada się NULL. Przy włączonym CONFIG_INIT_STACK_ALL_PATTERN lub CONFIG_INIT_STACK_NONE może to prowadzić do awarii. Poprawka zapewnia pełną inicjalizację wszystkich pól.

W jądrze Linux w funkcji pec_store() pobierana jest blokada guard(mutex)(&hwdev->lock). Jeśli operacja zapisu do układu zwróci błąd inny niż -EOPNOTSUPP, kod przechodzi do etykiety put, która wywołuje put_device(hdev); jeśli to zwolni ostatnie odwołanie, urządzenie zostaje zwolnione, a następnie funkcja sprzątająca guard próbuje odblokować zwolniony mutex (UAF). Poprawka używa scoped_guard() zamiast guard().

W jądrze Linux w module netfilter nfnetlink_log występuje błąd związany z równoczesnym niszczeniem instancji. Odłączenie instancji od tablicy hash może nastąpić przy dowolnym liczniku referencji, a nie tylko przy przejściu z 1 na 0. Niekooperatywny proces w przestrzeni użytkownika może wymusić sytuację, w której kolejka jest w trakcie niszczenia przez zdarzenie netlink, podczas gdy inne gniazdo z tym samym portid przetwarza żądanie UNBIND, co prowadzi do ponownego odłączenia instancji i błędu general protection fault.

W jądrze Linux w obsłudze pierścienia typu packed dla virtio (virtio_ring) występuje błąd, który po nieudanym dodaniu łańcucha deskryptorów pozostawia w deskryptorach nieaktualne znaczniki AVAIL i USED. Deskryptory te mogą zostać błędnie zinterpretowane przez urządzenie jako kolejne polecenie, co prowadzi do zablokowania kolejki. Problem ujawnia się najczęściej w konfiguracjach swiotlb przy presji na pamięć, gdy vring_map_one_sg() zawodzi przy większych operacjach I/O.

W jądrze Linux występuje podatność use-after-free w funkcji unregister_virtio_device(). Po wywołaniu device_unregister() pamięć obiektu virtio_device może zostać zwolniona, a następnie funkcja virtio_debug_device_exit() odczytuje z niej pole debugfs_dir. Problem dotyczy transportów virtio_mmio, virtio_vdpa, virtio_uml, mlxbf-tmfifo oraz virtio_ccw.

W jądrze Linux w module virtio_console występuje błąd polegający na zwalnianiu buforów control-out podczas usuwania urządzenia. Funkcja __send_control_msg() publikuje &portdev->cpkt jako cookie kolejki control-out, a remove_vqs() przekazuje pozostałe cookie do free_buf(), która traktuje je jako struct port_buffer i odczytuje sgpages. Jeśli komunikat kontrolny wciąż znajduje się w c_ovq w momencie odłączenia urządzenia, free_buf() odczytuje poza obiekt ports_device, co KASAN zgłasza jako slab-out-of-bounds.

W jądrze Linux w module vhost/vdpa występuje błąd polegający na akceptowaniu rozmiaru kolejki VRING_NUM większego niż maksymalny rozmiar obsługiwany przez urządzenie. vhost_vring_set_num() przyjmuje dowolny niezerowy rozmiar kolejki będący potęgą dwójki mieszczący się w 16 bitach, a vhost-vdpa przekazuje tę wartość do set_vq_num() bez porównania z get_vq_num_max(). Proces z dostępem do /dev/vhost-vdpa-* może skonfigurować kolejkę większą niż reklamowana przez urządzenie, co prowadzi do odczytu poza granicami w ścieżce vringh IOTLB (KASAN zgłasza 16-bajtowy out-of-bounds read).

W jądrze Linux w module vhost-vdpa występuje błąd polegający na instalowaniu wartości błędu z eventfd_ctx_fdget() w polu config_ctx. Funkcja vhost_vdpa_set_config_call() zamienia wartość zwracaną przez eventfd_ctx_fdget() na v->config_ctx przed jej sprawdzeniem, więc w przypadku błędu pole przez chwilę przechowuje ERR_PTR. vhost_vdpa_config_cb() sprawdza tylko NULL, więc przerwanie konfiguracji dostarczone w tym oknie przekazuje ERR_PTR do eventfd_signal(). Dodatkowo odrzucony fd może zniszczyć działające przerwanie konfiguracji.

W jądrze Linux występuje luka use-after-free w mechanizmie vhost-vdpa. Funkcja vhost_vdpa_config_cb() odczytuje wskaźnik v->config_ctx bez blokady i bez pobrania referencji, podczas gdy równoległe wywołanie VHOST_VDPA_SET_CONFIG_CALL zwalnia stary kontekst eventfd przez eventfd_ctx_put(), co prowadzi do użycia zwolnionej pamięci. Problem jest osiągalny z przestrzeni użytkownika przy użyciu VDUSE (dostęp do /dev/vduse, domyślnie root).

W jądrze Linux w module vdpa_sim_blk występuje błąd polegający na akceptowaniu początkowych sektorów poza zakresem. vdpasim_blk_check_range() rejestruje nieprawidłowy sektor początkowy, ale kontynuuje walidację żądania; kolejne odejmowanie pojemności bez znaku może spowodować niedomiar i pozwolić nieprawidłowemu przesunięciu bufora dotrzeć do ścieżki danych. Prowadzi to do zapisu poza granicami (VIRTIO_BLK_T_OUT, VIRTIO_BLK_T_WRITE_ZEROES) lub odczytu poza granicami (VIRTIO_BLK_T_IN).

W jądrze Linux w module vdpa_sim_net występuje błąd polegający na braku sprawdzenia wyniku pobrania TX przed kopiowaniem RX. vringh_iov_pull_iotlb() zwraca liczbę bajtów ze znakiem; nieudane pobranie TX jest obecnie dodawane do licznika bajtów bez znaku, a następnie przekazywane jako długość size_t do receive_filter() i vringh_iov_push_iotlb(). Ujemny błąd może więc stać się dużą długością w ścieżce RX.

W jądrze Linux w module vduse występuje błąd polegający na braku walidacji wyrównania kolejki wirtualnej. vduse_validate_config() sprawdza tylko górną granicę vq_align, więc nieprawidłowe wartości mogą dotrzeć do vring_create_virtqueue_map(). Pomocniki split-ring używają align - 1 jako maski bitowej, więc wyrównanie musi być niezerową potęgą dwójki; wartość zero powoduje, że vring_size() pomija deskryptor i pierścień dostępny, a vring_init() pozostawia wskaźnik pierścienia użytego jako NULL. Otwarcie urządzenia virtio-net utworzonego z vq_align=0 wywołuje null-ptr-deref w virtqueue_kick_prepare_split().

W jądrze Linux w podsystemie vhost występuje problem z unieważnianiem dostępu do vringów przy zmianach IOTLB. Gdy zmienia się flaga VIRTIO_F_ACCESS_PLATFORM, buforowane wskaźniki vringów i metadane IOTLB są interpretowane w innej przestrzeni adresowej, co może prowadzić do używania nieaktualnych mapowań. Wprowadzono wspólny helper vhost_clear_device_iotlb(), który serializuje przejście z workerami i zapobiega mieszaniu przestrzeni adresowych.

W jądrze Linux w sterowniku virtio_input występuje błąd w obsłudze błędów rejestracji urządzenia wejściowego. Funkcja probe oznacza urządzenie jako DRIVER_OK przed wywołaniem input_register_device(); jeśli rejestracja się nie powiedzie, ścieżka błędu czyści vi->ready i wywołuje del_vqs(), podczas gdy urządzenie jest nadal aktywne, co może prowadzić do DMA do już zniszczonych kolejek. Poprawka polega na wywołaniu virtio_reset_device() przed usunięciem virtqueues.

W jądrze Linux w sterowniku virtio_input występuje problem z kolejnością operacji przy usuwaniu urządzenia. Funkcja virtinput_remove() wyrejestrowuje urządzenie wejściowe przed zresetowaniem urządzenia virtio, co pozwala callbackowi na użycie vi->idev po jego zwolnieniu. Poprawka polega na wcześniejszym zresetowaniu urządzenia i ponownym sprawdzeniu vi->ready po zdobyciu blokady.

W jądrze Linux w podsystemie AF_UNIX występuje błąd w funkcji manage_oob(), która nie aktualizuje znacznika ostatniego skb. W wyniku tego blokujące wywołanie recv(MSG_PEEK) może powodować zajęcie procesora poprzez aktywne oczekiwanie na nowy skb. Poprawka polega na aktualizacji znacznika @last w manage_oob().

W jądrze Linux występuje przepełnienie pola długości UDP podczas wysyłania dużych pakietów przez gniazda UDP IPv6, gdy opcja IPV6_MTU_DISCOVER jest ustawiona na IPV6_PMTUDISC_DO lub IPV6_PMTUDISC_PROBE, a interfejs sieciowy ma nietypowo duże MTU. Wartość cork->base.fragsize nie jest ograniczana do IP6_MAX_MTU, co prowadzi do przekroczenia 16-bitowego pola długości UDP i wywołania ostrzeżenia w udp_set_len_short. Problem dotyczy wyłącznie gniazd UDP i został naprawiony poprzez ograniczenie fragsize do IP6_MAX_MTU.

W jądrze Linux w module vduse występuje błąd w obsłudze compat ioctl. Handler compat obsługuje VDUSE_IOTLB_GET_FD i VDUSE_VQ_GET_INFO, ale następnie wywołuje natywny handler, który zwraca -ENOIOCTLCMD z powodu różnych rozmiarów komend. Dla GET_FD nadpisuje to wartość zwracaną przez receive_fd() po zainstalowaniu deskryptora, wyciekając jeden fd na wywołanie. Poprawka polega na bezpośrednim zwracaniu wyników compat.

W jądrze Linux w sterowniku ethernet cortina występuje błąd w rozliczaniu budżetu NAPI. Funkcja gmac_rx() zwraca pozostały budżet NAPI, ale jej wywołujący interpretuje zwracaną wartość jako liczbę odebranych pakietów. Bezczynny poll zgłasza pełny budżet i pozostaje zaplanowany. Poprawka polega na zwracaniu liczby odebranych pakietów.

W jądrze Linux w sterowniku ethernet cortina występuje błąd w rozliczaniu budżetu NAPI dla odrzuconych ramek. Pętla RX zużywa budżet tylko przy pomyślnym dostarczeniu ramki; ścieżki błędów kontynuują przetwarzanie deskryptorów bez zmniejszania budżetu, co może spowodować przetworzenie całego pierścienia odbiorczego w jednym pollu. Poprawka przenosi rozliczanie budżetu do wspólnej ścieżki końca ramki.

W jądrze Linux w podsystemie s390/debug występuje błąd dereferencji wskaźnika NULL w funkcji debug_set_level(). Commit a2cec6863709 usunął sprawdzenie null-id z debug_set_level(), co wprowadza możliwość dereferencji NULL dla użytkowników API debug, którzy przekazują wyniki debug_register() bez sprawdzenia do debug_set_level(). Poprawka przenosi sprawdzenie z powrotem do zewnętrznego wrappera.

W jądrze Linuxa wykryto wyciek pamięci w sterowniku sieciowym Intel ICE. Brakuje wywołania xa_destroy dla struktury sched_node_ids, co może prowadzić do wycieku pamięci nawet po usunięciu wszystkich elementów. Problem został naprawiony przez przeniesienie tej struktury do struktury hw i dodanie brakującego czyszczenia.

W jądrze Linux w sterowniku sieciowym ice występuje podwójne dereferencje wskaźnika w funkcji TP_printk() zdarzenia śledzenia ice_tx_dim_work. Po dodaniu nowych kontroli w podsystemie śledzenia, dereferencja wskaźników w momencie drukowania może prowadzić do użycia nieprawidłowych danych, ponieważ wskaźniki mogą być już nieaktualne. Poprawka polega na skopiowaniu ośmiu wartości skalarnych do zdarzenia zamiast przechowywania wskaźników.

W jądrze Linux w sterowniku Bluetooth btusb występuje podatność use-after-free (UAF) związana z pracą asynchroniczną rx_work. Funkcje btusb_close() i btusb_flush() anulują pracę rx_work asynchronicznie, więc jeśli btusb_rx_work() już działa na innym CPU, może nadal działać po anulowaniu. Po odłączeniu urządzenia btusb_data jest zwalniane, a działająca praca może odwoływać się do zwolnionej pamięci. Poprawka polega na użyciu cancel_delayed_work_sync() zamiast asynchronicznego anulowania.

W jądrze Linux w sterowniku Bluetooth btintel_pcie występuje brak walidacji pola packet_len przed użyciem w skb_put_data(). Funkcja btintel_pcie_submit_rx_work() odczytuje packet_len z nagłówka rfh_hdr bez sprawdzenia, czy nie przekracza rozmiaru bufora RX. Zbyt duża wartość packet_len może prowadzić do odczytu poza zakresem w skb_put_data(). Poprawka dodaje walidację, aby packet_len był niezerowy i nie przekraczał rozmiaru bufora.

W jądrze Linux występuje wyścig (race condition) między funkcją hci_conn_del_sysfs() a równoległym wyrejestrowywaniem urządzenia potomnego (np. urządzenia sieciowego BNEP w bnep_session). Podczas wyrejestrowywania device_del() używa nieaktualnego wskaźnika do rodzica, co prowadzi do dereferencji NULL w klist_put(). Problem został rozwiązany przez utrzymywanie referencji do urządzenia nadrzędnego (get_device/put_device) oraz przywrócenie filtra __match_tty.

W jądrze Linux występuje podatność typu null-ptr-deref w funkcji __ip6_del_rt_siblings() w module IPv6. Podczas usuwania trasy (inet6_rtm_delroute) bez blokady RTNL, inny wątek może zmodyfikować tablicę routingu i ustawić rt->fib6_node na NULL, co prowadzi do dereferencji NULL i awarii jądra.

W jądrze Linux w sterowniku sieciowym macb występuje wyciek instancji phylink na ścieżce błędu podczas inicjalizacji. Funkcja macb_mii_init() tworzy instancję phylink na obu ścieżkach sukcesu, ale podczas cofania inicjalizacji (probe unwind) zwalniany jest netdev bez zniszczenia instancji phylink, co prowadzi do wycieku pamięci. Poprawka niszczy instancję phylink w odpowiednim miejscu.

W jądrze Linux w sterowniku sieciowym macb występuje wyciek referencji do węzła 'mdio' w drzewie urządzeń. Funkcja macb_mii_init() przechowuje referencję uzyskaną przez of_get_child_by_name() dla macb_mdiobus_register() i zwalnia ją tylko na ścieżkach błędów, co powoduje wyciek referencji przy każdym udanym probe. Poprawka zwalnia referencję po rejestracji, gdzie __mdiobus_register() już przejęło własną referencję.

W jądrze Linux wykryto błąd w mechanizmie listowania przestrzeni nazw (listns), gdzie funkcja legitimize_ns() pobiera referencję do przestrzeni nazw przed sprawdzeniem uprawnień may_list_ns(). W przypadku odmowy dostępu zwolnienie ostatniej referencji do przestrzeni nazw montowania następuje wewnątrz sekcji krytycznej RCU, co może prowadzić do uśpienia w niedozwolonym miejscu i ostrzeżenia jądra.