Podatności Linux kernel

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) parsowanie odpowiedzi TX_CMD nie sprawdza poprawności układu odpowiedzi. Minimalna długość jest sprawdzana niezgodnie z rzeczywistym obliczeniem układu, co może prowadzić do odczytu poza buforem. Dla nowego API TX odrzucane są odpowiedzi z frame_count != 1.

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) występuje możliwość niedomiaru (underflow) podczas przetwarzania pakietu wowlan. Długość pakietu jest ufana firmware'owi bez odpowiedniej weryfikacji, co może prowadzić do nieprawidłowych obliczeń.

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) wartość tid pochodząca z firmware jest używana jako indeks tablicy tid_data[] bez walidacji. Brak sprawdzenia zakresu może prowadzić do odczytu lub zapisu poza tablicą.

W sterowniku iwlwifi podsystemu mvm wykryto nieprawidłowe indeksowanie tablicy tid_data — zamiast faktycznej wartości TID użyto licznika pętli. Obecnie nie powoduje to szkód, ale dodano sprawdzenie granic, aby zapobiec potencjalnemu dostępowi poza zakresem.

Parser firmware iwlwifi nieprawidłowo sprawdzał wyrównaną długość TLV, co mogło prowadzić do niedomiaru długości przy nieprawidłowych danych. Dodano walidację, aby uniknąć potencjalnego odczytu poza zakresem.

W funkcji ACPI iwlwifi brakowało sprawdzenia wartości wersji tabeli WGDS przed użyciem jej jako przesunięcia bitowego, co przy nieprawidłowej wartości mogło prowadzić do niezdefiniowanego zachowania.

W jądrze Linux w module CIFS (SMB1) funkcja cifs_filldir() kopiuje nazwy wpisów katalogu z odpowiedzi serwera SMB, używając długości podanej przez serwer bez sprawdzenia, czy nazwa mieści się w buforze odpowiedzi. Złośliwy serwer SMB1 może zwrócić zawyżoną długość nazwy, co prowadzi do odczytu poza końcem bufora (slab-out-of-bounds) podczas wywołania memchr() w filldir64().

Serwer ksmbd (SMB) mógł nadpisywać maski ACL dziedziczone z katalogu nadrzędnego, co prowadziło do poszerzenia efektywnych uprawnień podczas tworzenia obiektów. Poprawka zachowuje oryginalne maski.

W mechanizmie cifs.idmap nieprawidłowo przetwarzano długość ładunku klucza, który może być obcięty do rozmiaru U16_MAX. Brak odrzucania zbyt dużych ładunków prowadził do niespójności długości i potencjalnych błędów pamięci.

W cfg80211 funkcji cfg80211_wext_siwgenie() brakowało walidacji bufora IE, co prowadziło do odczytu poza zakresem i niedomiaru liczby całkowitej przy przetwarzaniu przez późniejsze operacje. Dodano sprawdzanie przed zapisem.

W Bluetooth RFCOMM brakowało walidacji długości ramki w funkcji rfcomm_recv_frame, co pozwalało na odczyt poza zakresem przy skróconych ramkach oraz niedomiar długości (UINT_MAX) przy zerowej długości. Poprawka odrzuca ramki mniejsze niż wymagany rozmiar.

W vhost-scsi występował wyścig między przesłaniem komend a podmianą tablicy pamięci (VHOST_SET_MEM_TABLE), co mogło skutkować zapisem odpowiedzi do niepowiązanego obiektu po zakończeniu operacji. Poprawka opróżnia backend po ioctl.

W jądrze Linux wykryto podatność w podsystemie SCSI, gdzie funkcja scsi_eh_lock_door() może blokować się podczas alokacji tagów, gdy wszystkie tagi są zajęte przez ponownie zakolejkowane komendy. Prowadzi to do zakleszczenia (deadlock) w wątku obsługi błędów, szczególnie dla urządzeń z pojedynczym tagiem (np. USB storage).

W jądrze Linuxa w module netfilter nfnetlink_log występuje problem z synchronizacją: funkcja nfnl_log_net_exit() czyści wskaźnik logera bez oczekiwania na okres RCU, co może prowadzić do użycia zwolnionej pamięci przez równoległe pakiety. Poprawka przenosi czyszczenie do .pre_exit, aby zapewnić zakończenie czytelników RCU przed zwolnieniem pamięci per-net.

W jądrze Linux wykryto podatność w podsystemie i2c/smbus polegającą na braku wczesnej walidacji długości transferu blokowego SMBus. Zbyt duża, kontrolowana przez użytkownika wartość data->block[0] może trafić do tracepointów oraz implementacji smbus_xfer sterowników bez sprawdzenia, co prowadzi do przepełnienia bufora poza zakresem (out-of-bounds).

W jądrze Linuxa w module appletalk funkcja aarp_send_ddp() wywołuje atalk_find_dev_addr() bez sprawdzenia wartości NULL, co prowadzi do dereferencji wskaźnika NULL, gdy urządzenie nie ma skonfigurowanego interfejsu AppleTalk. Poprawka dodaje sprawdzenie NULL, zgodnie z innymi wywołaniami tej funkcji.

W jądrze Linuxa w systemie plików f2fs struktura f2fs_gc_kthread jest alokowana dynamicznie, co prowadzi do wyścigu podczas zamykania: wątek GC może uzyskać dostęp do zwolnionej pamięci. Poprawka osadza f2fs_gc_kthread w f2fs_sb_info, upraszczając zarządzanie cyklem życia i przygotowując grunt pod naprawę wyścigów.

W jądrze Linuxa w sterowniku DRM (drm/pagemap) funkcja drm_pagemap_migrate_unmap_pages() opiera się na tablicy stron do DMA unmap, ale funkcja drm_pagemap_migration_unlock_put_pages() czyści tę tablicę podczas sprzątania, co powoduje brak ważnych informacji o stronach. Poprawka wywołuje funkcję unmap przed unlock_put_pages, aby tablica pozostała ważna.

W jądrze Linux w funkcji i3c_master_register_new_i3c_devs() ścieżka błędu device_register() nie czyści wskaźników desc->dev->desc oraz desc->dev przed zwolnieniem urządzenia. Prowadzi to do ostrzeżenia WARN_ON oraz do pozostawienia wiszącego wskaźnika na zwolnioną pamięć, co może skutkować użyciem po zwolnieniu.

W jądrze Linux funkcja rtw89_mac_check_he_obss_narrow_bw_ru_iter() odczytuje bajt 10 rozszerzonych możliwości, ale odrzuca tylko wartości datalen poniżej 10, podczas gdy odczyt bajtu 10 wymaga co najmniej 11 bajtów. Brak sprawdzenia długości może prowadzić do odczytu poza granicami bufora.

W jądrze Linux funkcja gb_audio_gb_get_topology() pobiera blob topologii o rozmiarze podanym przez moduł, a gbaudio_tplg_parse_data() używa pól size_dais, size_controls i size_widgets do wyznaczenia przesunięć sekcji bez sprawdzenia ich względem pobranego rozmiaru. Moduł podający mały rozmiar topologii, ale duże rozmiary sekcji, powoduje przesunięcia poza alokację i odczyt poza granicami.

W jądrze Linux w sterowniku staging octeon funkcja cvm_oct_tx_shutdown nie wywołuje tasklet_kill, więc tasklet TX cleanup może zostać zaplanowany przez obsługę przerwania watchdog i wykonać się po zwolnieniu struktur net_device w cvm_oct_remove(). Prowadzi to do użycia po zwolnieniu w cvm_oct_tx_do_cleanup() podczas iteracji tablicy cvm_oct_device[].

W jądrze Linux w sterowniku staging octeon funkcja cvm_oct_rx_shutdown wywołuje free_irq i netif_napi_del bez uprzedniego wyłączenia instancji NAPI. Ponieważ free_irq czeka tylko na zakończenie twardych procedur obsługi przerwań, funkcja odpytywania NAPI może być nadal aktywna, a jeśli cvm_oct_remove zwolni strukturę plat zawierającą instancje NAPI, aktywna funkcja odpytywania uzyska dostęp do zwolnionej pamięci.

W jądrze Linux w sterowniku RDMA/bnxt_re wywołania zwrotne niszczenia zerują wyjście udata po zniszczeniu zasobów sterownika. Jeśli dostęp do przestrzeni użytkownika zawiedzie, uverbs zachowuje uobject i pozwala na ponowne wykonanie wywołania zwrotnego niszczenia, mimo że zasób sterownika został już zwolniony. Poprawka przenosi ib_no_udata_io() przed zniszczenie oraz ib_respond_empty_udata() na początek przepływów tworzenia i modyfikacji.

W jądrze Linux w sterowniku phy-rcar-gen3-usb2 funkcja devm_regulator_get_exclusive() inicjalizuje regulator z enable_count = 1, wymagając od konsumenta wyłączenia go przed zwolnieniem. Akcja devm wyłączania była rejestrowana tylko, gdy wywołujący jawnie zażądał włączenia, więc gdy regulator pozostawał w początkowym stanie włączonym bez jawnego wywołania enable, ścieżka czyszczenia pomijała dekrementację enable_count, wywołując WARN_ON podczas zwalniania regulatora przy usuwaniu urządzenia.

W jądrze Linux w sterowniku perf/x86/intel/pt występuje błąd niezrównoważenia wywołań perf_aux_output_begin() i perf_aux_output_end(). Gdy pt_event_stop() zostanie wywołane bez flagi PERF_EF_UPDATE (np. w wyniku grupowego throttlingu), kolejne pt_event_start() ponownie otwiera kontekst AUX, co narusza zasadę braku zagnieżdżania i wywołuje ostrzeżenie w perf_aux_output_begin(). Problem dotyczy m.in. próbkowania obszaru AUX.

W jądrze Linux w sterowniku pinctrl bcm2835 funkcja bcm2835_pinctrl_probe() wywołuje gpiochip_remove() przed zarejestrowaniem układu GPIO przez gpiochip_add_data(), gdy devm_pinctrl_register() zawiedzie. Powoduje to, że gpio_chip.gpiodev jest NULL, co prowadzi do dereferencji wskaźnika null w gpiochip_remove().

W jądrze Linux w funkcji tps6594_regulator_probe() pętla konfiguracji wielofazowej nie zwalniała referencji do węzłów urządzeń (np, np_parent, np_pmic_parent) uzyskanych przez of_find_node_by_name() i of_get_parent(), powodując wyciek referencji w każdej iteracji. Dodatkowo brak sprawdzenia NULL po of_find_node_by_name() mógł prowadzić do dereferencji NULL.

W jądrze Linux w sterowniku remoteproc qcom_wcnss zmieniono inkrementację wskaźnika info z num_pd_vregs na num_pds, co dla platformy pronto-v3 (bez regulatorów domen zasilania w vregs) powodowało wyjście poza tablicę. Objawiało się to błędem "regulator request with no identifier" na urządzeniach SDM632 przy kompilacji LLVM.

W jądrze Linux sterownik wifi ath11k mógł otrzymywać ramki HT/VHT/HE z MCS przekraczającym maksimum dla danej przestrzeni szybkości mac80211 (np. HE z MCS 12). Funkcja ath11k_dp_rx_h_rate() pozostawiała nieprawidłową wartość rate_idx i nie ustawiała encoding, co powodowało odrzucenie ramki przez mac80211 z ostrzeżeniem i utratę prawidłowych danych.

W jądrze Linux interpreter BPF ignorował pole 'off' w instrukcji BPF_MOV64_PERCPU_REG (BPF_ADDR_PERCPU), która wymaga kompilacji JIT do natywnego kodu. W rezultacie ładowanie pamięci z takiego rejestru powodowało błąd strony (page fault) i oops jądra.

W jądrze Linux w funkcji ext4_ext_migrate() występował cykliczny zakleszczenie (deadlock) między s_writepages_rwsem a sb_internal (ochrona przed zamrożeniem). Wywołanie iput(tmp_inode) przed zwolnieniem ext4_writepages_up_write() powodowało zakleszczenie z równoległym czyszczeniem osieroconych inodów podczas montowania.

W jądrze Linux funkcja ext4_try_to_expand_extra_isize() wywoływana podczas montowania (!SB_ACTIVE) mogła przenosić xattrs do bloków zewnętrznych i zwalniać ea_inodes przez iput(), co prowadziło do cyklicznej zależności blokad: s_writepages_rwsem -> jbd2_handle -> xattr_sem -> s_writepages_rwsem.

W jądrze Linux w RDMA/core funkcja uverbs_free_dmah() wywoływała rdma_restrack_del() zbyt późno, po zwolnieniu zasobów specyficznych dla dostawcy powiązanych z dmah. Pozostawiało to krótkie okno, w którym dmah był nadal dostępny przez restrack, co mogło prowadzić do use-after-free.

W jądrze Linux w architekturze arm64 w funkcji rsi_attestation_token_init kopiowanie challenge do &regs.a1 powodowało ostrzeżenie FORTIFY o zapisie wykraczającym poza pojedyncze pole (field-spanning write), ponieważ rejestr a1 jest traktowany jako pole 8-bajtowe, a kopiowano 64 bajty.

W jądrze Linux w sterowniku PCI/pwrctrl tc9563 parsowanie obu funkcji zintegrowanego endpointu Ethernet MAC pod DSP3 powodowało dostęp poza granice tablicy tc9563_pwrctrl->cfg. Poprawka polega na parsowaniu węzła endpointu pod DSP3 zamiast obu funkcji.

W jądrze Linux w sterowniku RDMA/efa przy rejestracji MR i tworzeniu pośredniego PBL, jeśli liczba stron PBL była wielokrotnością EFA_PTRS_PER_CHUNK, długość ostatniego chunka była błędnie obliczana jako 0. Powodowało to, że urządzenie widziało chunk jako pusty i odrzucało rejestrację pamięci.

W jądrze Linux w sterowniku eswin dla układów EIC7700 funkcje eswin_clk_register_pll() i eswin_register_clkdiv() nie inicjalizują wszystkich pól struktury clk_init_data alokowanej na stosie. Niezainicjalizowane dane na stosie powodują błędne rozpoznanie rodzica zegara i prowadzą do dereferencji wskaźnika NULL podczas rejestracji zegara.

W jądrze Linux w module md/raid5-ppl funkcja ppl_do_flush() kontynuuje iterację pętli po wywołaniu ppl_io_unit_finished(), która zwalnia pamięć obiektu io. Późniejszy dostęp do pola io->pending_flushes prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux w module lockdep funkcja __lock_set_class() nie sprawdza, czy register_lock_class() zwróciła NULL. W przypadku wyczerpania puli klas blokad lub błędu walidacji, obliczany jest nieprawidłowy indeks klasy, co prowadzi do dereferencji wskaźnika NULL lub poza zakresem.

W jądrze Linux dla architektury powerpc w podsystemie XIVE, gdy funkcja xive_init_ipis() zakończy się błędem, globalna tablica xive_ipis jest zwalniana. Jednak xive_smp_probe() wcześniej ignorowała ten błąd i wywoływała xive_setup_cpu_ipi(), która używała już zwolnionego wskaźnika, prowadząc do użycia po zwolnieniu.

W jądrze Linux w trybie CONFIG_PPC_KERNEL_PCREL dla architektury PowerPC, funkcje call_do_irq() i call_do_softirq() używają inline assembly bez zadeklarowania rejestru r2 jako modyfikowanego (clobber). Powoduje to, że kompilator zakłada, iż r2 jest zachowywany, co prowadzi do uszkodzenia rejestrów i awarii jądra podczas obsługi przerwań, uniemożliwiając bootowanie.

W jądrze Linux w systemie plików OCFS2 funkcja ocfs2_read_inode_block_full() używała make_bad_inode(), która zmienia typ i-węzła na S_IFREG. Dla i-węzła katalogu podczas aktywnego wyszukiwania VFS może to prowadzić do błędów, w tym wyzwolenia VFS_BUG_ON_INODE().

W jądrze Linux w podsystemie fs-integrity (block) brakuje sprawdzenia flag BIP_CHECK przed generowaniem lub weryfikacją informacji PI. Może to prowadzić do nieprawidłowego wywołania dla metadanych niebędących PI, generowania błędnych metadanych i awarii w handlerze weryfikacji.

W jądrze Linuxa w kodzie hibernacji dla architektury arm64 stwierdzono nieprawidłowe zarządzanie maskowaniem wyjątków DAIF podczas wznawiania systemu, co może prowadzić do awarii lub ostrzeżeń. Podczas przywracania obrazu hibernacji maskowane są tylko przerwania, a nie wszystkie wyjątki DAIF, co może skutkować nieoczekiwanymi wyjątkami w niekonsystentnym stanie systemu.

W jądrze Linux dla architektury ARM64 wykryto problem w ścieżce wyjścia z trybu jądra, gdzie niepotrzebnie wywoływano local_irq_disable() w kontekstach, w których przerwania były już wyłączone lub w kontekstach NMI. To powodowało mylenie stanu śledzenia pNMI i generowanie ostrzeżeń przy włączonej opcji CONFIG_ARM64_DEBUG_PRIORITY_MASKING. Poprawka dzieli funkcję arm64_exit_to_kernel_mode() na części, aby uniknąć zbędnej pracy i zachować poprawność logiki.

W jądrze Linux wykryto podatność w mechanizmie izolacji CPU (housekeeping), gdzie pamięć przydzielona przez memblock dla maski CPU była zwalniana zbyt wcześnie podczas procesu bootowania, zanim mapa pamięci została w pełni zainicjalizowana. Powodowało to ostrzeżenie i potencjalnie nieprawidłowe działanie systemu przy użyciu parametru 'nohz_full'. Poprawka polega na odroczeniu zwolnienia tej pamięci do momentu przetwarzania initcall.

Wykryto podatność w systemie plików OCFS2 w jądrze Linux, polegającą na cyklicznej zależności blokad między semaforem ip_xattr_sem a barierą transakcji j_trans_barrier. Może to prowadzić do zakleszczenia (deadlock) podczas równoczesnych operacji setxattr i mkdir/mknod. Poprawka polega na wcześniejszym przygotowaniu stanu ACL przed rozpoczęciem transakcji oraz usunięciu zbędnego przechwytywania semafora.

W jądrze Linuxa funkcja acpi_get_first_physical_node() może zwrócić nieaktualny wskaźnik do urządzenia fizycznego, co w skrajnych przypadkach prowadzi do użycia po zwolnieniu (use-after-free). Wprowadzono nową funkcję acpi_bus_get_primary_device(), która zabezpiecza przed tym problemem poprzez odpowiednie zarządzanie referencjami.

W jądrze Linuxa odkryto podatność use-after-free w funkcji vxlan_mdb_flush() w mechanizmie VXLAN MDB. Błąd pozwala na zwolnienie pamięci jednego wpisu MDB podczas przetwarzania innego, co przy operacjach usuwania może prowadzić do zapisu do zwolnionej pamięci.