Podatności Linux kernel

W jądrze Linux sterownik hwmon asus_rog_ryujin nie sprawdzał długości raportów HID przed parsowaniem nagłówka i pól odpowiedzi. Krótki raport mógł powodować odczyt niezainicjalizowanych bajtów z bufora HID i ujawnienie ich jako wartości czujników przez sysfs.

W jądrze Linux sterownik scsi qla2xxx miał dwa błędy na ścieżce błędów tworzenia kolejek: wywołanie dma_free_coherent() ze wskaźnikiem NULL oraz brak spójnego blokowania bitmap (vport_lock vs mq_lock), co mogło prowadzić do wyścigu i nadpisania wpisu kolejki. Poprawka dodaje sprawdzenie NULL i używa mq_lock w funkcjach zwalniających.

W jądrze Linux sterownik scsi qla2xxx mógł użyć zwolnionej pamięci (use-after-free) podczas niszczenia kolejek: free_irq() nie anulował pracy już zakolejkowanej w ha->wq, więc qla_do_work() mógł odwołać się do zwolnionego qpair i kolejki odpowiedzi. Poprawka dodaje cancel_work_sync() po free_irq() i przed zwolnieniem pamięci.

W jądrze Linux sterownik scsi qla2xxx nie ograniczał indeksu wirtualnego portu (vp_index) do rozmiaru bitmapy vp_idx_map (16 bajtów) w IOCB. Wartość vp_index powyżej 128 mogła powodować zapis poza zakresem i uszkodzenie sąsiednich pól IOCB lub slotu kolejki żądań.

W jądrze Linux system plików f2fs nieprawidłowo aktualizował licznik free_sections podczas free_segment_range(), gdy część sekcji w przycinanym zakresie była już wolna. Prowadziło to do zawyżenia liczby wolnych sekcji i niespójności księgowania, co mogło powodować błędy alokacji lub asercje przy braku miejsca.

W jądrze Linux wykryto podatność use-after-free w mechanizmie x86/mm/pat. Wyścig występuje między zmianą atrybutów stron a operacją CPA collapse, co może prowadzić do zapisu do zwolnionej pamięci. Problem rozwiązano przez dodanie blokady mmap read lock na init_mm podczas operacji zmiany atrybutów.

W jądrze Linux sterownik scsi qla2xxx na ścieżce błędów qla2x00_mem_alloc() zwalniał wskaźniki, ale ich nie zerował, co prowadziło do podwójnego zwolnienia w qla2x00_mem_free(). Dodatkowo dla dma_pool wywoływano dma_pool_free() po zniszczeniu i wyzerowaniu s_dma_pool, co powodowało dereferencję NULL.

W jądrze Linux sterownik scsi qla2xxx podczas pozyskiwania identyfikatora raportu mógł ponownie zarejestrować wirtualny port będący w trakcie usuwania (VPORT_DELETE), mimo że jego d_id zostało już wyzerowane. Prowadziło to do pozostawienia wpisu w host_map i późniejszej dereferencji zwolnionej pamięci po scsi_host_put().

W jądrze Linux w sterowniku SCSI qla2xxx wykryto podatność powodującą miękkie zawieszenie CPU (soft lockup). Funkcje qla27xx_copy_multiple_pkt() i qla27xx_copy_fpin_pkt() odpytywały pole signature w strukturze odpowiedzi, ale w przypadku kontynuacji IOCB w tym miejscu znajdują się dane ramki FC, które mogą przypadkowo zawierać wartość 0xDEADDEAD, co prowadzi do nieskończonej pętli.

W jądrze Linux sterownik scsi: qla2xxx nie weryfikuje pola request_len przed odczytem tablicy vendor_cmd[] w żądaniach FC_BSG_HST_VENDOR. Uprawniony użytkownik z CAP_SYS_RAWIO może wysłać zbyt krótkie żądanie, powodując odczyt poza granicami bufora sterty (wykrywalny przez KASAN), błędny wybór komendy lub panikę jądra.

W jądrze Linux funkcja qla_nvme_xmt_ls_rsp() sterownika scsi: qla2xxx zwalnia strukturę uctx przez kfree() na ścieżce błędu, nie usuwając jej wcześniej z listy fcport->unsol_ctx_head. Pozostawia to zwolniony węzeł na liście, co przy kolejnych operacjach list_add_tail() i list_del() może uszkodzić listę lub wywołać panikę jądra.

W jądrze Linux lista fcport->unsol_ctx_head w sterowniku scsi: qla2xxx jest modyfikowana z wielu kontekstów bez wspólnej blokady. Równoczesne dodawanie i usuwanie wpisów (lub dwa równoczesne usunięcia) może uszkodzić wskaźniki listy, ponieważ blokada qpair qp_lock nie serializuje tej listy na poziomie fcport.

W jądrze Linux w obsłudze PMU PAI dla architektury s390 brakowało alokacji struktur danych per-CPU dla procesorów dodawanych dynamicznie przez hotplug. Uruchomienie 'perf stat -e pai_crypto/CRYPTO_ALL/ -- <command>' podczas gdy CPU jest włączany online powodowało wywołanie funkcji pai_add() z pustym wskaźnikiem i panikę jądra. Dodano obsługę hotplug CPU (add/remove) tworzącą wymaganą infrastrukturę per-CPU.

W jądrze Linux w kodzie x86/mm/pat podczas dzielenia dużych stron (__split_large_page()) tablica stron była alokowana bezpośrednio, z pominięciem standardowego API alokacji tablic stron. W efekcie tablica nie była oznaczana jako tablica stron jądra (ptdesc_set_kernel() nie było wywoływane), co przy zwalnianiu takich tablic nie powodowało unieważnienia wpisów IOTLB. Może to prowadzić do używania nieaktualnych wpisów IOTLB dla tablic stron jądra.

W jądrze Linux ścieżka odbioru MPTCP może w rzadkich warunkach błędu rekurencyjnie wywołać mptcp_data_ready() poprzez zmianę stanu i ponownie próbować uzyskać blokadę danych. Poprawka przerywa tę rekurencję, wprowadzając nową flagę i wcześniejsze wyjście w subflow_state_change() oraz opróżniając kolejkę RX przy resecie.

W jądrze Linux scheduler MPTCP może wejść w sytuację wyścigu ze zmianą stanu gniazd podprzepływu. Transmisja danych na wybranym gnieździe może się nie powieść, a późniejsze zwolnienie może użyć mss_now zresetowanego do 0 w operacji dzielenia.

W jądrze Linux funkcja __mptcp_subflow_push_pending() nieprawidłowo aktualizuje liczniki skopiowanych bajtów, gdy __subflow_push_pending() zwróci błąd. Powoduje to niezgodność liczników i problemy przy późniejszym wywołaniu push.

W jądrze Linux naprawiono podatność w gfs2: gfs2_quota_init() sprawdza duplikaty identyfikatorów zmian kwot, trzymając qd_lock i bitlock zasobnika hashy kwot. Ta ścieżka używała gfs2_qd_search_bucket(), która pobiera referencję lockref przez lockref_get_not_dead(). Na PREEMPT_RT może to spać, co nie jest dozwolone pod bitlockiem zasobnika, wywołując 'sleeping function called from invalid context'. Poprawka używa wyszukiwania bez referencji w tej ścieżce i kontynuuje obsługę duplikatów bez pobierania lockref. Refaktoryzuje gfs2_qd_search_bucket(), aby opierać się na pomocniku bez referencji, tak aby przechodzenie pozostało w jednym miejscu.

W jądrze Linux naprawiono podatność w gfs2: przeniesiono inkrementację iteratora qc w pętli gfs2_quota_init() z ciała pętli do wyrażenia inkrementacji pętli for. To sprawia, że postęp iteratora jest jawny i unika mieszania przesuwania wskaźnika z obsługą duplikatów w ciele pętli.

W jądrze Linux naprawiono podatność w drm/xe: w xe_devcoredump_snapshot_free() ss->gt może być NULL, gdy zrzut nie został w pełni wypełniony (np. gdy czyszczenie jest wywoływane bez wcześniejszego przechwycenia). Zabezpieczono wywołanie xe_guc_capture_put_matched_nodes() za pomocą IS_ERR_OR_NULL(), aby zapobiec wyłuskaniu null. W xe_devcoredump_free() praca odroczona jest kolejkowana tylko wtedy, gdy zrzut jest przechwycony, więc zabezpieczono cancel_work_sync() sprawdzeniem coredump->captured.

W jądrze Linux naprawiono podatność w cfg80211: odrzucanie duplikatów wpisów w cipher_suites w wiphy. Duplikaty nie opisują żadnej dodatkowej zdolności, ale cfg80211 je akceptuje, pozostawiając konsumentom radzenie sobie z nimi. Kod WEXT dodaje długość klucza WEP dla każdego wpisu WEP, co może przepełnić stałą tablicę iw_range::encoding_size zwracaną przez SIOCGIWRANGE. Poprawka odrzuca duplikaty w wiphy_register(), co powoduje wczesny błąd -EINVAL dla nieprawidłowych opisów wiphy.

W jądrze Linux naprawiono podatność w nl80211: odrzucanie beaconów z nieprawidłowym elementem HE operation. Element HE operation musi być nie tylko dłuższy niż część stała, ale także mieć odpowiedni rozmiar dla części zmiennej wewnątrz. Dodano sprawdzenie tego.

W sterowniku rtw88 doszło do wyłuskania pustego wskaźnika w funkcji rtw_fw_adaptivity_result(). Na urządzeniach z układem 8821CE, które nie definiują pola edcca_th, kernel wywołuje błąd oops. Poprawka dodaje sprawdzenie na NULL przed wyłuskaniem, zapobiegając awarii.

W sterowniku i3c svc dla NPCM845 wystąpił problem z fałszywym zdarzeniem SLVSTART, które powoduje burzę przerwań. Po emisji warunku STOP kontroler zgłasza nowe zdarzenie, tworząc pętlę i potrafiąc zawiesić procesor. Poprawka czyści bit stanu SLVSTART po wykonaniu STOP, przerywając pętlę.

W sterowniku media chips-media wave5 wykryto problem z blokadą w funkcji handle_dynamic_resolution_change. Wywołanie w initialize_sequence nieprawidłowo nie uzyskuje blokady. Ponadto funkcje v4l2_ctrl_find i s_ctrl mogą spać, więc nie powinny być wywoływane z trzymaną blokadą. Poprawka zapamiętuje wartość fbc_buf_count i aktualizuje sterowanie po zwolnieniu blokady.

W sterowniku chips-media wave5 występuje ryzyko użycia po zwolnieniu (use-after-free) w momencie usuwania instancji z listy. Wątek IRQ może uzyskać blokadę między zwolnieniem m2m_ctx a jego usunięciem, co prowadzi do dereferencji pustego wskaźnika.

W sterowniku SPI Qualcomm QSPI stwierdzono niekompletne zarządzanie błędami w trybie runtime PM. W trakcie zawieszania lub wznawiania system może pozostać w niespójnym stanie, prowadząc do braku równowagi zegarów i zasilania. Poprawka zmienia kolejność operacji i dodaje odpowiednie sprawdzanie błędów z czyszczeniem zasobów.

W module mac80211 wykryto dostęp poza zakresem w funkcji dodającej nagłówek radiotap dla monitorowania w trybie NAN. Gdy pasmo jest ustawione na NUM_NL80211_BANDS, dostęp do tablicy sbands powoduje błąd. Poprawka pomija dostęp do tej tablicy, gdy pasmo jest nieprawidłowe.

W sterowniku Thunderbolt znaleziono wyciek pamięci w funkcji __tb_xdomain_response(). Gdy wywołanie tb_cfg_request() nie powiedzie się i zwróci błąd, nie jest wywoływane wywołanie zwrotne, co prowadzi do utraty pamięci. Poprawka wywołuje tb_cfg_request_put() w przypadku błędu.

W sterowniku Thunderbolt brakuje utrzymywania referencji do XDomain przez czas życia usługi. Ponieważ identyfikator usługi jest zwalniany w tb_service_release(), a tablica identyfikatorów należy do rodzica XDomain, istnieje ryzyko użycia po zwolnieniu. Poprawka utrzymuje referencję.

W sterowniku Thunderbolt po zatrzymaniu domeny nie ustawia się wskaźnika root_switch na NULL. Poprawka ustawia go na NULL, co powoduje, że tb_xdp_handle_request() zwraca błąd do zdalnego hosta. Jednocześnie należy utrzymać uuid, aby odpowiadać do momentu zwolnienia domeny.

W sterowniku dm1105 brakuje sprawdzenia błędu przy alokacji pamięci DMA. Wynik dm1105_dma_map() jest ignorowany w dm1105_hw_init(). Jeśli dma_alloc_coherent() zawiedzie, sterownik użyje wskaźnika NULL dla transferów DMA, co może prowadzić do błędu oops lub nieprawidłowego dostępu do sprzętu. Poprawka dodaje sprawdzenie i propaguje błąd -ENOMEM.

W jądrze Linux w sterowniku crypto ixp4xx występuje podatność na dereferencję wskaźnika NULL podczas alokacji buforów łańcucha. W przypadku niepowodzenia alokacji, kod ustawia buf na NULL i później bezwarunkowo go dereferencjonuje, co może prowadzić do awarii systemu. Dodatkowo, częściowo zbudowany łańcuch nie jest poprawnie zwalniany.

W jądrze Linux w podsystemie PCI/sysfs brakuje sprawdzenia uprawnień CAP_SYS_ADMIN w funkcji __resource_resize_store(). Pozwala to nieuprzywilejowanym użytkownikom na zmianę rozmiaru BAR, co może zakłócić działanie sterowników.

W jądrze Linux w sterowniku watchdog lenovo_se10_wdt występuje podatność na użycie po zwolnieniu (use-after-free) oraz ryzyko wycieku zasobów. Problem dotyczy wskaźnika se10_pdev, który nie jest zerowany po zwolnieniu, oraz wywołania zwrotnego DMI.

W jądrze Linux w podsystemie genirq/proc bufor na nazwy katalogów /proc/irq/<n>/ jest za mały dla 10-cyfrowych numerów przerwań. Może to prowadzić do przepełnienia bufora podczas formatowania nazwy.

W jądrze Linux w sterowniku mmc davinci występuje podatność na dereferencję wskaźnika NULL w procedurze obsługi przerwań. Gdy host->data jest NULL, a w qstatus ustawione są bity TOUTRD lub CRCWR/CRCRD, kod dereferencjonuje data bez sprawdzenia, co prowadzi do awarii.

W jądrze Linux w sterowniku pinctrl mediatek paris występuje problem z użyciem pinctrl_gpio_direction_input/output, które biorą mutex pinctrl, co powoduje, że operacje gpiochip muszą spać. Ponieważ pole .can_sleep nie jest ustawione, może dojść do użycia spinlocka zamiast mutexa, co wywołuje ostrzeżenia.

W jądrze Linux w sterowniku wifi rtw89 phy brakuje sprawdzenia długości przed parsowaniem elementu PHY status IE. Sprzęt może zgłosić nieoczekiwaną długość, co może prowadzić do odczytu poza zakresem.

W jądrze Linux w podsystemie coresight perf występuje wyścig (race condition) związany z użyciem wskaźnika csdev_src per-CPU podczas rejestracji i wyrejestrowania urządzeń. Poprawka pobiera ścieżkę i źródło z danych zdarzenia, aby uniknąć wyścigu.

W jądrze Linux w sterowniku drm/amdgpu/userq obiekty mqd i fw nie są przypięte (pinned), co może prowadzić do ich wywłaszczenia (eviction). Podczas wywłaszczenia sprzęt używa nieprawidłowych adresów, co powoduje błędy stron i zawieszenie systemu.

W jądrze Linux w sterowniku drm/amdkfd funkcja allocate_sdma_queue nie sprawdza granic dla parametru restore_sdma_id, co może prowadzić do nieprawidłowego dostępu do pamięci.

W jądrze Linux w funkcji get_wave_state() sterownika drm/amdkfd wartości cp_hqd_cntl_stack_size i cp_hqd_cntl_stack_offset są odczytywane bezpośrednio z MQD i nie są weryfikowane. Na ścieżce przywracania CRIU (AMDKFD_IOC_RESTORE_PROCESS) atakujący może kontrolować te wartości, co prowadzi do nieograniczonego copy_to_user() i wycieku sąsiedniej pamięci GTT/jądra (nawet ~4 GiB przy niedomiarze lub 1 MiB przy zaniżonej alokacji).

W jądrze Linux w funkcji allocate_doorbell sterownika drm/amdkfd istnieje możliwość ustawienia identyfikatora doorbell na konkretną wartość (używaną przez CRIU) bez sprawdzenia jej zakresu. Brak walidacji może prowadzić do użycia wartości spoza dozwolonego zakresu.

W jądrze Linux w sterowniku drm/amdgpu funkcja psp_copy_fw została zmieniona z void na int, aby zwracać -ENODEV gdy drm_dev_enter zawiedzie oraz -EINVAL gdy rozmiar obrazu jest zerowy lub większy niż 1 MiB bufora prywatnego PSP. Zastąpiono również ręczne memset/memcpy do fw_pri_buf wywołaniem psp_copy_fw.

W jądrze Linux w sterowniku drm/amdgpu liczba wpisów tabeli GPIO I2C pochodząca z VBIOS nie jest odpowiednio ograniczana. Poprawka odrzuca zbyt małe tabele i ogranicza wyliczoną liczbę wpisów do AMDGPU_MAX_I2C_BUS, aby uniknąć przepełnienia adev->i2c_bus[] lub przetwarzania absurdalnie dużej liczby wpisów przy uszkodzonych polach rozmiaru.

W jądrze Linux w podsystemie wifi: mac80211 funkcja ieee80211_handle_reconfig_failure jest wywoływana przy nieudanej rekonfiguracji NAN, co oznacza wszystkie interfejsy jako nieobecne w sterowniku. Następnie cfg80211_shutdown_all_interfaces niszczy interfejsy, ale stany innych interfejsów (np. BSS station) nie są zgłaszane sterownikowi, co może pozostawić wiszące wskaźniki do stacji i linków (przynajmniej w iwlwifi).

W jądrze Linux w podsystemie net/rds funkcja rds_ib_conn_path_shutdown usypia wątek roboczy na wywołaniu wait_event, co blokuje inne elementy kolejki i powoduje zawieszenie podczas zamykania konfiguracji sieci ib. Poprawka zmienia wait_event na wait_event z limitem czasu i pętlę aż do spełnienia warunku.

W jądrze Linux system plików affs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux system plików bfs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.