Podatności Linux kernel

W jądrze Linux w funkcji print_entries() (podsystem tracing/histogramy) zmienna n_entries jest używana zarówno jako liczba wpisów sortowania, jak i wartość zwracana. Gdy alokacja statystyk zawiedzie, zapisany kod błędu -ENOMEM nadpisuje licznik, który jest następnie przekazywany do tracing_map_destroy_sort_entries() jako liczba typu unsigned int, co powoduje odczyt i zwolnienie pamięci poza zakresem tablicy (vmalloc-out-of-bounds).

W jądrze Linux w podsystemie tracing występuje błąd use-after-free. Funkcja event_hist_trigger_named_init() najpierw publikuje wyzwalacz na globalnej liście named_triggers, a dopiero potem pobiera referencję; jeśli inicjalizacja się nie powiedzie, wyzwalacz nie jest usuwany z listy i zostaje zwolniony, a kolejne wyszukanie po nazwie odczytuje zwolniony obiekt.

W jądrze Linux wykryto podatność w mechanizmie tracingu związaną z rejestracją wyzwalaczy histogramów. Błąd powoduje, że wyzwalacz może zostać zwolniony z pamięci, mimo że nadal znajduje się na globalnej liście named_triggers, co prowadzi do użycia po zwolnieniu (use-after-free). Problem został naprawiony poprzez zmianę kolejności operacji rejestracji i wyrejestrowania wyzwalacza.

W jądrze Linux w sterowniku accel/ivpu funkcja ivpu_to_cpu_addr() nie walidowała całego zakresu bufora. Brak sprawdzenia, czy cały zakres [vpu_addr, vpu_addr + size) mieści się w buforze BO, mógł prowadzić do dostępu poza granicami.

W jądrze Linux w sterowniku accel/ivpu funkcja fw_log_print_buffer() ponownie odczytywała pola nagłówka logu z pamięci współdzielonej po ich wcześniejszej walidacji. Umożliwiało to atak TOCTOU, w którym firmware NPU zmienia wartości między sprawdzeniem a użyciem, powodując odczyt poza granicami podczas drukowania logów.

W jądrze Linux w sterowniku accel/ivpu drukowanie nazwy z nagłówka bufora tracingu nie było ograniczone do rozmiaru pola. Pole name jest tablicą o stałym rozmiarze wypełnianą przez firmware NPU i oczekuje się zakończenia znakiem NUL, ale brak tego zakończenia powodował odczyt poza polem i ujawnienie sąsiednich bajtów przez dmesg oraz debugfs.

W jądrze Linux w sterowniku accel/ethosu funkcja ethosu_job_open() zwracała wartość z WARN_ON() (0 lub 1) zamiast oryginalnego ujemnego kodu błędu. Powodowało to przekazanie do przestrzeni użytkownika nieprawidłowego kodu zwrotnego.

W jądrze Linux w sterowniku accel/ethosu nie zapewniano, że strumień poleceń kończy się operacją stop. Choć ustawienie rejestru QSIZE powinno zapobiegać dostępowi poza granicami, nie jest jasne, czy sprzęt wygeneruje wymagane przerwanie, co może prowadzić do przekroczenia limitu czasu.

W jądrze Linux w sterowniku accel: ethosu, w przypadku niepowodzenia mapowania SRAM, rozmiar SRAM pozostaje niezerowy. To pozwala zadaniom na dostęp do SRAM, który wskazuje na fizyczny adres bazowy 0x0.

W jądrze Linux w sterowniku accel: ethosu, użytkownik może ustawić rozmiar SRAM zadania na 0, ale nadal mieć dostęp do SRAM w strumieniu poleceń. Gdy rozmiar SRAM zadania wynosi 0, pomijane jest ustawienie rejestru bazowego regionu, co prowadzi do użycia nieaktualnego adresu bazowego z poprzedniego zadania.

W jądrze Linux w sterowniku ASoC dla platformy Spreadtrum (sprd) wykryto podatność polegającą na braku walidacji rozmiarów buforów kompresji względem stałych alokacji pamięci. Użytkownik lokalny może skonfigurować logiczny bufor do ~4 GB, co prowadzi do przepełnienia bufora IRAM (32K) lub DDR (2M) podczas operacji kopiowania z przestrzeni użytkownika.

W jądrze Linux w ASoC: sti, funkcja uni_reader_init() rejestruje wspólne IRQ przed inicjalizacją reader->irq_lock. Oczekujące przerwanie może wywołać handler, gdy blokada jest jeszcze niezainicjalizowana.

W jądrze Linux w Bluetooth: btqcomsmd, kolejność zamykania jest nieprawidłowa: hci_dev jest zwalniany przed zniszczeniem punktów końcowych RPMsg. Jeśli WCNSS dostarczy dane w tym oknie, wywołanie zwrotne może użyć już zwolnionego hci_dev.

W jądrze Linux w Bluetooth: btrtl, podczas parsowania formatu firmware v2, gdy key_id z chipa jest zerowe, funkcja rtlbt_parse_firmware_v2() celowo ignoruje wszystkie nagłówki zabezpieczeń, ale implementacja po prostu przerywa switch i wycieka niezainicjalizowany kod powrotu.

W jądrze Linux w bootconfig, w funkcji get_boot_config_from_initrd(), spreparowany initrd z ogromnym rozmiarem bootconfig (np. 0xFFFFFFFF) może spowodować zawinięcie arytmetyki wskaźników na systemach 32-bitowych, omijając kontrolę granic i prowadząc do śmiertelnego błędu strony podczas wczesnego rozruchu.

W jądrze Linux w cpufreq, maska CPU polityki (policy->cpus) jest alokowana bez zerowania (alloc_cpumask_var), co pozostawia niezainicjalizowaną bitmapę. Atrybuty sysfs są publikowane przed inicjalizacją maski, co pozwala na dostęp do nieprawidłowych danych.

W jądrze Linux w cpufreq, semafor polityki (policy->rwsem) jest inicjalizowany po utworzeniu katalogu sysfs i domyślnych atrybutów. Dostęp do sysfs może dotrzeć do wywołania zwrotnego polityki przed inicjalizacją semafora.

W jądrze Linux występuje podatność use-after-free w funkcji proc_flush_pid() wywoływanej podczas kończenia procesu. W wyniku błędnego założenia o utrzymaniu referencji do thread_pid, PID może zostać zwolniony przez callback RCU, zanim proc_flush_pid() zakończy działanie. Podatność może być wywołana przez nieuprzywilejowanego użytkownika poprzez wyścig między wait4(-1) a setsid().

W jądrze Linux wykryto podatność w mechanizmie zamrażania systemów plików. Po zmianie sposobu liczenia zamrożeń, operacja odmrożenia zagnieżdżonego zwracała błędny kod -EINVAL, mimo że faktycznie zdjęła jedno zamrożenie. Prowadzi to do trwałego zablokowania urządzenia blokowego, które nie może być ponownie zamontowane.

W jądrze Linux występuje luka w mechanizmie gennetlink, gdzie zrzut polityki (policy dump) kontrolera generycznego netlink zachowuje wskaźniki do tabel operacji i polityk docelowej rodziny. Moduł docelowej rodziny nie jest przypięty, więc może zostać wyrejestrowany i wyładowany, podczas gdy zrzut polityki jest w toku. Kontynuacja zrzutu powoduje dereferencję pamięci polityki z wyładowanego modułu.

W jądrze Linux funkcja drm_exec_prepare_array() zwraca sukces bez wywołania drm_exec_lock_contended(), gdy num_objects wynosi zero. To łamie niezmiennik, w którym każdy punkt wejścia musi najpierw spróbować zablokować wcześniej zakontenderowany obiekt. Sterowniki łańcuchujące wiele wywołań mogą trafić na nieskończoną pętlę, gdy pusta tablica nigdy nie czyści exec->contended.

W jądrze Linux w funkcji query_perf_config_list() sterownika drm/i915 występuje wyciek pamięci. Gdy krealloc() zawiedzie, oryginalna tablica oa_config_ids nie jest zwalniana przed powrotem, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku drm/rockchip analogix_dp funkcja rockchip_dp_drm_encoder_enable() używa sprintf() do formatowania ścieżki device tree do 32-bajtowego bufora na stosie. Ścieżki device tree nie są ograniczone do tego rozmiaru, więc wystarczająco długa ścieżka może przepełnić bufor.

W jądrze Linux wykryto podatność w podsystemie io_uring/rw. Przeniesienie zakończenia rozliczania zapisu do task_work powoduje zakleszczenie (deadlock) podczas zamrażania systemu plików (freeze), gdy zadanie czeka na semafor sb_writers. Poprawka przenosi zakończenie rozliczania zapisu z powrotem do procedury ukończenia żądania (ki_complete), pozostawiając w task_work tylko wywołania fsnotify.

W jądrze Linux w ring-buffer funkcja ring_buffer_subbuf_order_set() zapisuje nowy rozmiar, a dopiero potem sprawdza procesory, zwracając -EBUSY, jeśli któryś ma wyłączone zmienianie rozmiaru. Bufor mapowany przez użytkownika ma wyłączone zmienianie rozmiaru, a __rb_map_vma() odczytuje buffer->subbuf_order bez mutexa, co może prowadzić do wyścigu i nieprawidłowego mapowania.

W jądrze Linux w net/sched act_api podczas zbiorczego żądania RTM_NEWACTION zastępującego istniejącą akcję, tcf_idr_check_alloc() pobiera tymczasową referencję. Jeśli późniejsza akcja nie zainicjuje się, tcf_action_destroy() używa ścisłych semantyki zwalniania, co dla akcji powiązanej z filtrem zwraca -EPERM bez zwolnienia referencji. Prowadzi to do wycieku akcji i jej slotu IDR.

W jądrze Linuxa w module mostów sieciowych (bridge) występuje problem z obsługą ramek CFM i MRP. Gdy protokoły te są włączone na wielu mostach, ten sam węzeł listy jest dodawany do wielu list, co prowadzi do uszkodzenia stanu listy przy wyłączaniu na jednym z mostów. Poprawka polega na śledzeniu stanu włączenia za pomocą bitów opcji i bezpośrednim wywoływaniu odpowiedniego handlera, co również zmniejsza rozmiar struktury net_bridge.

W jądrze Linuxa w taggerze DSA dla Broadcom (tag_brcm) występuje problem z obliczaniem sumy kontrolnej FCS dla ramek nieliniowych. Tagger nie deklaruje wymaganego miejsca na końcu ramki (tailroom), co powoduje odczyt poza przydzieloną pamięcią (slab-out-of-bounds) podczas obliczania CRC. Poprawka polega na zadeklarowaniu wymaganego tailroom, co powoduje wyłączenie funkcji SG i FRAGLIST oraz linearyzację ramek przed przetworzeniem.

W jądrze Linuxa w sterowniku MANA (Microsoft Azure Network Adapter) występuje problem z rozmiarem kolejki RX. Kolejka jest rozmiaru dokładnie na jeden CQE na WQE, ale sprzęt może dodać dodatkowy CQE (fence), co w rzadkich przypadkach prowadzi do braku miejsca i utraty tego CQE, a sterownik czeka trzymając blokadę RTNL. Poprawka rezerwuje dodatkowe miejsce na CQE fence.

W jądrze Linuxa wykryto podatność w obsłudze MPLS, gdzie pole inner_protocol nie jest czyszczone po zdjęciu ostatniej etykiety MPLS. Może to prowadzić do ujemnego przesunięcia nagłówka sieciowego, co w Open vSwitch powoduje ogromną kopię pamięci (memcpy) poza bufor, prowadząc do awarii systemu (page fault).

W jądrze Linuxa w module Open vSwitch występuje podatność use-after-free dotycząca tablicy masek przepływu. Funkcja tbl_mask_array_realloc() wycofuje starą tablicę przed jej całkowitym wycofaniem z użycia, co w pewnym oknie czasowym pozwala na odczyt po zwolnieniu pamięci. Poprawka polega na opublikowaniu nowej tablicy przed wycofaniem starej.

W jądrze Linuxa w module netfs występuje problem z niezainicjalizowaną wartością zwracaną w funkcji netfs_unbuffered_write(). Jeśli przygotowanie pierwszego podzadania nie powiedzie się, pętla kończy się przed inicjalizacją zmiennej ret, co może prowadzić do zwrócenia błędnego kodu błędu. Poprawka inicjalizuje ret na 0.

W jądrze Linux wykryto podatność use-after-free w module netfilter cttimeout podczas odłączania modułu. Funkcja nf_ct_set_timeout() chroni dostęp do haka i zasad przez rcu_read_lock(), ale cttimeout_exit() najpierw usuwa struktury per-net, zanim wyczyści hak, co pozwala na użycie zwolnionej pamięci. Problem zgłoszony przez KASAN jako slab-use-after-free w ctnl_timeout_find_get.

W jądrze Linuxa wykryto podatność w module netfilter nf_log, dotyczącą wyścigu (race condition) podczas wyrejestrowywania loggerów. Kolejność operacji powoduje, że po wyczyszczeniu stanu per-net, ale przed wyrejestrowaniem globalnego backendu, możliwe jest ponowne powiązanie loggera przez sysctl lub netlink, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linuxa w sterowniku ifcvf (Intel FPGA Virtual Function) występuje problem z wyciekiem zasobów przy błędzie nieobsługiwanej funkcji. Gdy funkcja nie jest obsługiwana, sterownik nie zwalnia poprawnie przydzielonego urządzenia i wskaźnika adaptera. Poprawka kieruje błąd przez wspólną ścieżkę, aby zapewnić zwolnienie zasobów.

W jądrze Linuxa w module autofs występuje wyciek pamięci w funkcji autofs_fill_super(). Jeśli utworzenie root_inode nie powiedzie się, funkcja zwraca błąd -ENOMEM bez zwolnienia wcześniej utworzonego inode, co prowadzi do wycieku pamięci. Poprawka dodaje wywołanie autofs_free_ino() w ścieżce błędu.

W jądrze Linux w systemie plików EROFS występuje podatność polegająca na nieprawidłowym zarządzaniu dekoderami LZMA podczas zmiany rozmiaru puli. W przypadku częściowego niepowodzenia alokacji, uszkodzony strumień pozostaje w niespójnym stanie, co może prowadzić do przekazania wskaźnika NULL do funkcji xz_dec_microlzma_reset().

W jądrze Linux w sterowniku fbdev vfb występuje podatność use-after-free, ponieważ kolorystyka (colormap) jest zwalniana natychmiast po wyrejestrowaniu framebuffera, nawet gdy otwarty plik nadal trzyma referencję. Może to prowadzić do odczytu po zwolnieniu podczas kopiowania danych do przestrzeni użytkownika.

W jądrze Linux w sterowniku idpf wykryto podatność polegającą na braku wyłączenia prac DIM (Dynamic Interrupt Moderation) przed zwolnieniem pamięci wektorów q_vectors. Prace te mogą wykonywać się na zwolnionej pamięci, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w mechanizmie fragmentacji pakietów IPv6 (inet: frags). Nieprawidłowe opróżnianie kolejek fragmentów przed ich usunięciem może prowadzić do użycia nieaktualnych metadanych, co skutkuje dostępem poza pamięć (out-of-bounds) i uszkodzeniem sterty. Atakujący z dostępem do nieuprzywilejowanych przestrzeni nazw sieciowych może wykorzystać tę wadę do lokalnej eskalacji uprawnień.

W jądrze Linux w podsystemie ieee802154 6lowpan występuje podatność na dereferencję wskaźnika NULL w funkcji lowpan_newlink. Urządzenie TUN może zmienić typ łącza na ARPHRD_IEEE802154 bez inicjalizacji wskaźnika ieee802154_ptr, co prowadzi do awarii.

W jądrze Linux w sterowniku ieee802154 cc2520 występuje podatność use-after-free w pracy FIFOP. Po usunięciu sterownika, przerwanie FIFOP może nadal kolejkować pracę po flush, co pozwala na wykonanie po zwolnieniu danych prywatnych.

W jądrze Linux w sterowniku ieee802154 hwsim występuje podatność na podwójne zwolnienie (double-free) w funkcji hwsim_update_pib. Aktualizacje PIB nie są serializowane, co może prowadzić do wyścigu i podwójnego zwolnienia obiektu.

W jądrze Linux w podsystemie IPv4 FIB występuje podatność polegająca na nieograniczonym przeszukiwaniu identyfikatorów tabel podczas automatycznego przydziału. Może to prowadzić do długotrwałego trzymania blokady RTNL, co powoduje problemy z wydajnością.

W jądrze Linux w podsystemie IPv6 flowlabel występuje podatność polegająca na nieograniczonym wzroście listy dzierżaw dla gniazda. Powtarzane żądania GET mogą prowadzić do niekontrolowanego zużycia pamięci.

W jądrze Linux w podsystemie IPVS występuje podatność polegająca na akceptowaniu nieprawidłowych stanów w rekordach synchronizacji szablonów połączeń. Może to prowadzić do użycia nieprawidłowego stanu jako indeksu w tablicach przejść TCP/SCTP.

W jądrze Linux w podsystemie mac802154 wykryto podatność use-after-free (użycie po zwolnieniu) związaną z kolejką ramek RX. Miękkie przerwanie (softirq) dodaje ramki beacon i MAC-command do list bez blokady, a pracownik (worker) przetwarza je po ewentualnym usunięciu interfejsu, co prowadzi do odwołań do zwolnionej pamięci (sdata). Problem został potwierdzony przez KASAN.

W jądrze Linux wykryto podatność use-after-free w module Landlock, dotyczącą funkcji current_check_refer_path(). Podczas przetwarzania operacji linkat() moduł odwołuje się do rodzica katalogu źródłowego bez trzymania referencji ani blokady, co pozwala równoczesnemu rename(2) i rmdir(2) na zwolnienie pamięci i jej ponowne wykorzystanie. Problem został naprawiony przez dodanie odpowiedniego trzymania referencji na dentry rodzica.

W jądrze Linux w podsystemie iommu/s390 występuje błąd dereferencji wskaźnika NULL w funkcji iova_to_phys() przy użyciu 5-poziomowej tablicy translacji ZPCI_TABLE_TYPE_RFX. Funkcja get_rso_from_iova() zwraca NULL, gdy wpis region-first jest nieprawidłowy, ale get_rto_from_iova() nie sprawdza tego przed dostępem do rso[rsx].

W jądrze Linux w podsystemie s390/crypto brakuje czyszczenia (scrub) buforów tymczasowych w algorytmach AES CTR i GCM. Bufor przetwarzający pozostałe bajty < AES_BLOCK_SIZE w ctr_aes_crypt() nie był czyszczony, a w gcm_aes_crypt() ścieżki błędów nie czyściły bloku parametrów CPACF ani buforów struktur gcm_sg_walk.