Podatności Linux kernel

W jądrze Linux w podsystemie s390/crypto brakuje poprawnej obsługi kodu EBUSY w algorytmie PHMAC, gdy żądanie jest przekazywane do silnika kryptograficznego. Funkcja crypto_transfer_hash_request_to_engine() zwraca EINPROGRESS lub EBUSY jako sygnał sukcesu, ale EBUSY nie było obsługiwane.

W jądrze Linux w podsystemie s390/crypto brakuje czyszczenia (scrub) buforów tymczasowych w algorytmie PAES. Bufor przetwarzający pozostałe bajty < AES_BLOCK_SIZE w ctr_paes_do_crypt() nie był czyszczony, a w __xts_2keys_prep_param() czyszczono tylko pole klucza zamiast całego bloku parametrów.

W jądrze Linux w podsystemie s390/crypto występuje błędny kod zwrotny w asynchronicznych callbackach silnika kryptograficznego. Gdy crypto_finalize_hash_request() lub crypto_finalize_skcipher_request() jawnie kończy żądanie, callback do_one_request musi zwrócić 0, a zwracanie kodu błędu powoduje podwójne zakończenie żądania.

W jądrze Linux w podsystemie s390/crypto trwały błąd -EBUSY po wyczerpaniu ponownych prób konwersji klucza jest przekazywany do crypto_finalize_*_request(). Otoczka API kryptograficznego traktuje -EBUSY jako status kolejkowania i go połyka, przez co callback zakończenia nie jest wywoływany.

W jądrze Linux w podsystemie perf dla RISC-V maska dostępnych liczników była pojedynczym unsigned long, ale iteracja używa RISCV_MAX_COUNTERS równego 64. Na RV32 powoduje to odczyt poza obiektem, a ustawianie bitu o indeksie 32 i wyższym jest nieprawidłowe.

W jądrze Linux w podsystemie AFS funkcja afs_dir_search_bucket() nie wywołuje kunmap na bloku, którego używa, w ścieżce oznaczonej etykietą "bad:". Prowadzi to do braku odwzorowania (unmap) pamięci jądra.

W jądrze Linux w systemie plików AFS występuje podwójne odmapowanie bloku katalogu. Ręczne odmapowanie bez wyczyszczenia wskaźnika może prowadzić do podwójnego kunmap, gdy funkcja afs_dir_find_block() jest wywoływana dwukrotnie z rzędu.

W jądrze Linux w funkcji afs_lookup_server() występuje nieprawidłowe zwolnienie pamięci podczas czyszczenia kandydata. Funkcja zwalnia stan punktu końcowego istniejącego serwera, mimo że kandydat nie ma jeszcze takiego stanu.

W jądrze Linux w podsystemie AFS (Andrew File System) wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Problem wynika z nieprawidłowego czyszczenia danych aplikacji peerów podczas aktualizacji listy adresów serwera, co może doprowadzić do odwołania do zwolnionej pamięci.

W jądrze Linux w sterowniku hwmon gpio-fan występuje użycie po zwolnieniu (use-after-free) w pracy alarmowej. Kolejkowana praca alarmowa nie jest anulowana, a po odwiązaniu sterownika może wykonać się po zwolnieniu pamięci.

W jądrze Linux w sterowniku Verisilicon Hantro dla HEVC pętle nad kafelkami nie są ograniczone do pojemności bufora. Funkcja prepare_tile_info_buffer() zapisuje wpisy do bufora DMA, ale pętle mogą wyjść poza zakres.

W jądrze Linux w sterowniku rkvdec dla HEVC pętle nad kafelkami i identyfikator PPS nie są ograniczone do pojemności tablic. Funkcje compute_tiles_uniform() i compute_tiles_non_uniform() oraz assemble_hw_pps() mogą zapisywać poza tablice.

W jądrze Linux w sterowniku mediatek vcodec dla AV1 kopiowanie początków kafelków nie jest ograniczone do pojemności tablic. Funkcja vdec_av1_slice_setup_tile() kopiuje wpisy do tablic mi_col_starts[] i mi_row_starts[] bez sprawdzenia granic.

W jądrze Linux w sterowniku Verisilicon Rockchip dla VPU981 AV1 dzielenie przez zero i zapis do bufora kafelków nie są zabezpieczone. Funkcja rockchip_vpu981_av1_dec_set_tile_info() dzieli przez tile_cols, które może być zero, i zapisuje deskryptory bez ograniczenia do pojemności bufora.

W jądrze Linux w sterowniku Verisilicon Rockchip dla AV1 ramki przekraczające pojemność kafelków nie są odrzucane. Funkcja rockchip_vpu981_av1_dec_set_tile_info() może czytać poza tablicą i programować sprzęt dla większej liczby kafelków niż bufor.

W jądrze Linux w sterownikach v4l2-ctrls brakuje walidacji liczby kafelków HEVC. Liczby tile columns i rows nie są ograniczone do pojemności tablic, co może prowadzić do odczytu poza zakresem.

W jądrze Linux funkcja std_validate_compound() nie ograniczała pól tile_cols i tile_rows dla kontrolek V4L2_CTRL_TYPE_AV1_FRAME. Wartości te są używane jako granice pętli, indeksy tablic oraz dzielnik, a ich iloczyn wyznacza rozmiar buforów deskryptorów. Dodano walidację odrzucającą wartości przekraczające V4L2_AV1_MAX_TILE_COLS/_ROWS lub iloczyn większy niż V4L2_AV1_MAX_TILE_COUNT.

W jądrze Linux funkcja bnxt_queue_mem_alloc() kopiowała płytko pierścień RX do klona, pozostawiając wskaźniki rx_tpa i rx_tpa_idx_map wskazujące na pamięć aktywnego pierścienia. W przypadku późniejszego błędu alokacji etykieta err_free_tpa_info mogła zwolnić pamięć wciąż używaną przez aktywny pierścień. Poprawka inicjalizuje wskaźniki klona wartością NULL.

W jądrze Linux funkcja bnxt_rx_ring_reset() ignorowała wynik ponownej alokacji buforów pierścienia RX. Gdy bnxt_alloc_one_rx_ring() zawodziło z -ENOMEM, część wpisów rxr->rx_tpa[] pozostawała wyzerowana, a TPA było ponownie włączane. Poprawka wymusza globalny reset w przypadku błędu alokacji.

W jądrze Linux funkcja bnxt_init_nic() odrzucała wartość zwracaną przez bnxt_init_rx_rings() i wywoływała bnxt_init_chip(), włączając TPA mimo niepowodzenia alokacji. Mogło to pozostawić częściowo wyzerowaną tablicę rxr->rx_tpa[]. Poprawka propaguje błąd z bnxt_init_nic().

W jądrze Linux funkcja bnxt_queue_mem_alloc() ignorowała wynik bnxt_alloc_one_tpa_info_data(), który zwracał -ENOMEM przy nieudanej alokacji, pozostawiając część wpisów rxr->rx_tpa[] wyzerowaną. Częściowo zainicjalizowany pierścień był instalowany przez bnxt_queue_start(). Poprawka sprawdza wynik i cofa operację.

W jądrze Linux mechanizm MPTCP syncookies używał niezainicjalizowanego bitu podczas kopiowania informacji w subflow_ulp_clone(). Poprawka zapamiętuje flagę backup, używając jednego bitu dla obu struktur bez rozszerzania join_entry.

W jądrze Linux wykryto wyścig między operacją disconnect() a retransmisją (rtx) w stosie MPTCP, prowadzący do niespójnego stanu. Poprawka zapobiega wyścigowi poprzez synchroniczne zatrzymanie timera.

W jądrze Linux menedżer ścieżek MPTCP pozostawiał nieaktualny wpis ADD_ADDR przy usuwaniu endpointu id 0, ponieważ ścieżka ta nie czyściła oczekujących ogłoszeń. Późniejsze ponowne wybranie id 0 powodowało trafienie na nieaktualny wpis anno_list i wywołanie WARN_ON_ONCE w mptcp_pm_announced_alloc(). Poprawka ujednolica ścieżkę usuwania id 0.

W kliencie SMB w jądrze Linux funkcja CIFSSMBRead() odczytuje pola nagłówka READ_RSP bez uprzedniego sprawdzenia, czy odebrano pełny nagłówek. Złośliwy lub przejęty serwer SMB1 może zwrócić odpowiedź krótszą niż rozmiar nagłówka, co powoduje odczyt poza buforem odbiorczym. Podatność dotyczy tylko montowań z jawnie ustawioną opcją vers=1.0, ponieważ SMB1 nie jest negocjowany domyślnie.

W kliencie SMB w jądrze Linux typ klucza cifs.idmap nie posiada funkcji weryfikującej opis (vet_description), w przeciwieństwie do cifs.spnego. Umożliwia to użytkownikowi przestrzeni użytkownika utworzenie klucza przez request_key(2)/add_key(2) i dostarczenie pól właściciela/grupy (SID, uid/gid) bez pochodzenia z CIFS. Wywołanie request_key(2) z niepustym callout prowadzi do uruchomienia usermodehelper jako root, który przetwarza niezweryfikowany opis w kontekście uprzywilejowanym.

W jądrze Linux w funkcji CIFSSMBRead() (klient SMB1) nie walidowano pola DataOffset w odpowiedzi serwera. Złośliwy lub przejęty serwer SMB1 może zwrócić duże DataOffset przy poprawnej długości DataLength, powodując odczyt poza buforem odpowiedzi — wyciek danych z pamięci jądra lub awarię (DoS). Podatność dotyczy tylko montowań z jawnym parametrem vers=1.0, ponieważ SMB1 nie jest negocjowany domyślnie.

W kliencie SMB w jądrze Linux funkcja tcon_super_cb() przechowuje surowy wskaźnik do superbloku, ale __cifs_get_super() pobiera aktywną referencję dopiero po zwolnieniu s_umount i referencji pasywnej przez iterate_supers_type(). Równoczesne wygaśnięcie automountu DFS może zwolnić superblok, zanim użyje go cifs_sb_active(), co prowadzi do use-after-free. Poprawka polega na pobraniu aktywnej referencji w callbacku, gdy iterate_supers_type() wciąż trzyma s_umount w trybie współdzielonym.

W kliencie SMB w jądrze Linux kilka ścieżek kodu bezwarunkowo wywoływało sid_to_id(), nadpisując cf_uid/cf_gid wartościami z serwera, mimo zamontowania z opcjami forceuid/forcegid. Dotyczyło to smb311_posix_info_to_fattr(), cifs_posix_to_fattr() oraz parse_sec_desc(). Umożliwiało to niezaufanemu serwerowi narzucenie lokalnej własności plików wbrew konfiguracji administratora.

W kliencie SMB w jądrze Linux funkcja smb2_parse_native_symlink() podczas przetwarzania dowiązania symbolicznego względem katalogu głównego udziału kopiuje smb_target+1 (pomijając wiodący separator), ale używa strlen(smb_target)+1 jako długości, odczytując jeden bajt poza zaalokowanym buforem. Prowadzi to do odczytu poza granicami bufora (OOB read), co potwierdza raport KASAN. Problem występuje przy dostępie do dowiązania SMB z celem takim jak '\a\b'.

W kliencie SMB jądra Linux wykryto problem z przepisaniem DACL: akumulator rozmiaru DACL używający typu u16 może się przepełnić, co prowadzi do uszkodzenia DACL wysyłanego na serwer. Poprawka zmienia typ na u32 i zwraca błąd -EOVERFLOW w przypadku przepełnienia.

W kliencie SMB jądra Linux występuje wyciek referencji cifsFileInfo w mechanizmie odroczonego zamykania z powodu wyścigu między flagami. Poprawka sprawdza wynik queue_delayed_work() i przekazuje referencję tylko gdy praca została faktycznie zakolejkowana.

W kliencie SMB jądra Linux występuje wyciek referencji w funkcji cifs_queue_oplock_break() — referencja jest pobierana bezwarunkowo, ale jeśli praca jest już w kolejce, nie jest zwalniana. Poprawka pobiera referencję tylko po pomyślnym zakolejkowaniu pracy.

W kliencie SMB jądra Linux występuje wyciek referencji w cifs_oplock_break() w przypadku błędu cifs_sb_tlink() przy opcji multiuser. Poprawka zwalnia referencję również w tej ścieżce.

W kliencie SMB jądra Linux występuje przepełnienie sterty przy przepisywaniu właściciela/grupy DACL: bufor jest alokowany na podstawie rozmiaru oryginalnego DACL, ale zamiana SID może zwiększyć rozmiar każdego ACE, co prowadzi do zapisu poza buforem. Poprawka alokuje zawsze rozmiar uwzględniający maksymalną ekspansję SID.

W kliencie SMB jądra Linux funkcja cifs_posix_to_fattr() ignoruje wynik posix_info_parse(), co przy nieprawidłowych danych może prowadzić do użycia niezainicjalizowanych SID i potencjalnego wycieku danych z pamięci jądra do procesu mapowania ID. Poprawka sprawdza wynik i pomija mapowanie przy błędzie.

W systemie plików XFS brakuje blokady podczas wstawiania zdarzenia odmontowania do monitora zdrowia (healthmon). Poprawka dodaje odpowiednie blokowanie.

W systemie plików XFS funkcja xfs_defer_finish_one() może zwrócić niezainicjalizowaną wartość błędu, jeśli lista jest pusta, co może doprowadzić do fałszywego zamknięcia systemu plików. Poprawka inicjalizuje zmienną error na 0.

W systemie plików XFS nieprawidłowa wartość args->total podczas aktualizacji wskaźników rodzica może prowadzić do nieprawidłowej kontroli wolnego miejsca i błędów ENOSPC, które eskalują do zamknięcia systemu plików. Poprawka ustawia args->total w ścieżkach dodawania i zastępowania, podobnie jak w log recovery.

W systemie plików XFS odwrócona konwersja jednostek w obliczeniach per_binval prowadzi do błędnego wyliczenia przestrzeni. Poprawka zmienia kierunek konwersji z FSB na bajty.

W jądrze Linux funkcje _maxlevels_ondisk dla rtrmap i rtrefcount w systemie plików XFS nie uwzględniają korzenia inode przy obliczaniu rozmiaru kursora btree w pamięci. Przy odpowiednio dużym btree może to prowadzić do dostępu poza koniec kursora.

W jądrze Linux w XFS funkcja xmi_can_exchange_reflink_flags() może przenieść flagę reflink między plikami podczas wymiany zakresów, ale przy ustawionej fladze XFS_EXCHMAPS_INO1_WRITTEN niektóre mapowania mogą być pominięte. Może to spowodować wyczyszczenie flagi reflink z inode, który nadal posiada współdzielone zapisane extenty, prowadząc do korupcji danych.

W jądrze Linux w XFS funkcja xrep_dir_recover_data może wpaść w nieskończoną pętlę, jeśli napotka nieużywany wpis katalogowy o długości zero. Poprawka zapobiega również temu samemu problemowi dla wpisów o zerowej długości.

W jądrze Linux w XFS funkcja xfs_btree_bload_prep_block może nie zwolnić bufora new_bp, jeśli xfs_btree_bload_drop_buf napotka błąd wejścia/wyjścia podczas zapisu listy buforów na dysk. Prowadzi to do wycieku zablokowanego bufora.

W jądrze Linux w XFS funkcja xqcheck_mod_live_ino_dqtrx nie zwalnia nowo przydzielonego obiektu dqa, jeśli wstawienie do rhashtable się nie powiedzie. Prowadzi to do wycieku pamięci.

W jądrze Linux w XFS funkcja xchk_dirtree_create_path nie niszczy bitmapy widzianych inode'ów, jeśli utworzenie obiektu ścieżki katalogu powiedzie się, ale dołączenie nazwy do ścieżki się nie powiedzie. Podobny błąd występuje w xrep_dirtree_create_adoption_path.

W jądrze Linux w XFS funkcja xrep_agfl_fill nie sprawdza wyniku xagb_bitmap_walk, przez co błędy ustawiania bitmapy są po cichu ignorowane, a operacja kontynuowana jest z niespójnymi danymi w pamięci.

W jądrze Linux sterownik wifi ath9k_htc przechowuje wskaźnik usb_device_id, który nie jest gwarantowany jako trwały dłużej niż funkcja probe z powodu dynamicznego ID. Poprawka polega na przechowywaniu tylko driver_data, ponieważ resztę informacji można uzyskać z usb_device.

W jądrze Linux sterownik sieciowy USB pegasus używa arytmetyki wskaźników na tablicy id, co jest błędne przy dynamicznym ID, ponieważ usb_device_id w probe znajduje się na stercie, a obliczony indeks może być poza zakresem. Poprawka używa pola driver_info zamiast dodatkowej tablicy.

W jądrze Linux sterownik USB xusbatm używał arytmetyki wskaźników na tablicy identyfikatorów urządzeń, co przy dynamicznych identyfikatorach prowadziło do odczytu poza zakresem (wskaźnik na stercie). Poprawka rezygnuje z tej arytmetyki i ustawia no_dynamic_id, ponieważ sterownik i tak nie obsługuje dynamicznych identyfikatorów.