Podatności Linux kernel

W sterowniku spi: amlogic-spisg struktura clk_init_data nie jest w pełni inicjalizowana, co może prowadzić do awarii, gdy włączone są opcje CONFIG_INIT_STACK_ALL_PATTERN lub CONFIG_INIT_STACK_NONE. Problem dotyczy niezainicjalizowanego pola parent_names.

W sterowniku drm/xe występuje problem z ostrzeżeniem WARN podczas timeoutu zadania jądra, gdy urządzenie jest już w stanie wedged. Poprawka honoruje stan wedged nawet dla zabitych kolejek, aby uniknąć fałszywych ostrzeżeń.

W jądrze Linux występuje błąd w module Bluetooth mgmt, polegający na wyścigu przy dostępie do pól 'uuid_count' i 'uuids' struktury discovery_state bez blokady. Może dojść do sytuacji, gdy 'uuid_count' jest różne od zera, a wskaźnik 'uuids' jest NULL, co prowadzi do dereferencji NULL i paniki jądra. Podatność została naprawiona poprzez objęcie tych pól blokadą discovery.lock oraz przypisanie 'uuid_count' dopiero po udanej alokacji kmemdup.

W sterowniku octeontx2-af występuje podatność na odczyt poza zakresem (out-of-bounds read) podczas ustawiania powinowactwa przerwań MSI-X. Funkcja strstr() może czytać poza buforem, gdy pole nie jest zainicjalizowane, co może wywołać błąd KASAN.

W jądrze Linux w module AppArmor wykryto podatność polegającą na tym, że w przypadku niepowodzenia tworzenia profilu przed zakończeniem inicjalizacji policy_init, listy powiązane nie są poprawnie inicjalizowane. Prowadzi to do wyzwolenia ostrzeżeń i potencjalnego błędu w funkcji aa_policy_destroy podczas zwalniania profilu.

W sterowniku drm/sysfb: simpledrm poprawiono walidację stride, aby sprawdzać, czy obliczona wartość nie przekracza maksymalnej wartości INT_MAX. Zapobiega to potencjalnym problemom z przepełnieniem.

W jądrze Linux w mechanizmie secretmem (mm/secretmem) stwierdzono błąd w rozliczaniu zablokowanych stron pamięci. Strony secretmem nie są prawidłowo uwzględniane w limicie RLIMIT_MEMLOCK ani w RSS procesu, więc użytkownik może wielokrotnie mapować i odmapowywać pamięć (lub forkować), omijając limit i wyczerpując całą dostępną pamięć systemową nieusuwalnymi stronami. Prowadzi to do niestabilności systemu, a mechanizm OOM killer nie zabija procesu, bo nie widzi zużycia pamięci.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja __qla_consume_iocb() zużywała o jeden wpis kolejki odpowiedzi za dużo. Powodowało to oznaczenie jako przetworzonego niewłaściwego IOCB i pominięcie prawidłowej odpowiedzi firmware. Poprawka polega na oznaczeniu nagłówkowego IOCB jako przetworzonego i skonsumowaniu tylko entry_count - 1 kontynuacyjnych IOCB.

W jądrze Linux wykryto podatność w mechanizmie memory cgroup (memcg), która powoduje, że procesy zabite przez OOM killer mogą utknąć w ścieżce wyjścia na wiele godzin. Problem dotyczy sytuacji, gdy oom_reaper nie zdołał zwolnić pamięci procesu (ustawiając flagę MMF_OOM_SKIP), a umierające wątki nadal próbują ładować strony z zswap, co prowadzi do blokady na oom_lock i ogromnych opóźnień w zakończeniu procesu.

W jądrze Linux mechanizm memcg v1 soft limit został wycofany — zapisy do memory.soft_limit_in_bytes są teraz ignorowane, a odczyt zawsze zwraca wartość maksymalną. Poprawka usuwa też ostrzeżenie syzbot związane z reclaimem soft limit wywoływanym z kswapd.

W jądrze Linux na architekturze arm64 funkcja show_pte() wykonuje bezzamkowy spacer po tablicach stron, co może prowadzić do użycia zwolnionej strony tablicy lub wyliczenia błędnego wskaźnika przy równoczesnym niszczeniu tablic. Poprawka używa bezzamkowych helperów offsetowych z zapisanymi wpisami nadrzędnymi i wyłącza przerwania lokalne wokół spaceru.

W jądrze Linux w module s390/vfio-ap bitmapa apm_filtered jest alokowana na stosie bez zerowania. Gdy zmiana hot plug dodaje tylko domeny kontrolne, funkcja filtrująca jest pomijana i niezainicjalizowana bitmapa trafia do reset_queues_for_apids(), co może wywołać niezamierzone resety kolejek sprzętowych gościa. Poprawka zeruje bitmapę na początku funkcji.

W jądrze Linux dla architektury LoongArch brakuje definicji DIRECT_MAP_PHYSMEM_END, co powoduje, że funkcje get_free_mem_region() i mhp_get_pluggable_range() mogą zwracać regiony ZONE_DEVICE poza obszarem vmemmap. Może to prowadzić do uszkodzenia tablic stron lub awarii systemu, zwłaszcza na procesorach z mniejszą liczbą bitów adresu fizycznego, takich jak seria Loongson-2K.

W jądrze Linux w sterowniku media: meson: vdec funkcja vdec_try_fmt_common() przy nieobsługiwanym formacie pikseli wraca do V4L2_PIX_FMT_MPEG2. Jeśli dystrybucja usunęła obsługę MPEG2, find_format() zwraca NULL, co prowadzi do dereferencji NULL i awarii. Poprawka używa pierwszego formatu z tablicy platformy zamiast zakodowanego na stałe MPEG2.

W jądrze Linux w sterowniku drm/gud funkcja gud_connector_add_tv_mode() przekazuje nazwy trybów TV o stałym rozmiarze bezpośrednio do kodu właściwości DRM. Jeśli urządzenie zwróci wpis bez bajtu NUL, strlen() czyta poza bufor, powodując odczyt poza granicami. Poprawka waliduje obecność terminatora NUL i odrzuca błędne odpowiedzi z -EIO.

Podatność w sterowniku Nouveau (drm/nouveau/dmem) powoduje niedomiar licznika callocated przy podziale dużego folio. Licznik nie jest aktualizowany podczas podziału, co prowadzi do wycieku pamięci i ostrzeżeń. Poprawka uwzględnia nowe sub-folio w funkcji split.

W jądrze Linux wykryto podatność powodującą panikę podczas bootowania w konfiguracji CONFIG_DEBUG_VM z włączoną opcją hugetlb_free_vmemmap. Problem dotyczy inicjalizacji współdzielonych stron ogonowych (zone->vmemmap_tails[]) używanych przez HVO, które są przygotowywane zbyt późno, co prowadzi do dereferencji niezainicjalizowanej strony i paniki. Poprawka przenosi inicjalizację do gather_bootmem_prealloc(), przed przetwarzaniem foliów HugeTLB z bootmem.

W jądrze Linux wykryto podatność w module lockd, gdzie funkcja nlmsvc_match_ip() miała zamienione argumenty podczas porównywania adresów IP. Powodowało to, że zwalnianie blokad przez adres IP serwera (za pomocą /proc/fs/nfsd/unlock_ip) praktycznie nigdy nie działało, ponieważ porównanie opierało się na odczytaniu nieprawidłowych danych z pamięci.

Podatność w mechanizmie HugeTLB dla stron gigantycznych (gigantic bootmem) polega na zbyt późnej inicjalizacji strukturalnych stron (struct pages). Może to prowadzić do błędnego określenia ciągłości stref lub paniki podczas uruchamiania. Poprawka przenosi inicjalizację do wcześniejszej fazy (page_alloc_init_late).

W serwerze NFS (nfsd) brakuje bariery pamięci odczytu (read barrier) w funkcji rpc_status_get dumpit. Na architekturach o słabym uporządkowaniu pamięci (ARM, POWER) może to prowadzić do nieskutecznego mechanizmu ponawiania i odczytu niespójnych danych. Poprawka dodaje smp_rmb() przed drugim sprawdzeniem licznika.

W jądrze Linuxa wykryto podatność w mechanizmie opóźnionej inicjalizacji stron pamięci (CONFIG_DEFERRED_STRUCT_PAGE_INIT). Przy użyciu dużych rezerwacji CMA, funkcja deferred_grow_zone() może niewłaściwie zaktualizować wskaźnik first_deferred_pfn, co prowadzi do przepełnienia i wywołania BUG_ON w deferred_init_memmap(), skutkując awarią systemu podczas inicjalizacji.

W jądrze Linux funkcja rt6_nh_dump_exceptions() iterowała po liście wyjątków tras IPv6 za pomocą hlist_for_each_entry() bez odpowiedniej ochrony RCU, podczas gdy równolegle rt6_insert_exception() mogła dodawać nowe wpisy. Powodowało to wyścig danych (data race) wykryty przez KCSAN. Problem rozwiązano, przechodząc na iterator hlist_for_each_entry_rcu().

W sterowniku phy (fsl-imx8mq-usb) występuje wyciek przełącznika typec w przypadku błędu podczas inicjalizacji (probe). Poprawka polega na użyciu devm_add_action_or_reset(), aby zapewnić sprzątanie zarówno przy błędzie, jak i przy usuwaniu sterownika.

W jądrze Linux naprawiono błąd w module svcrdma, gdzie przy nieudanej akceptacji połączenia wywoływano rpcrdma_rn_unregister() bez wcześniejszej rejestracji. Prowadziło to do usunięcia cudzego wpisu w tablicy XArray oraz niezrównoważonego zwolnienia referencji urządzenia, a także do wycieku pamięci struktury svcxprt_rdma przy każdym nieudanym połączeniu.

W jądrze Linux w sterowniku tegra-video (staging/media) funkcja tegra_vip_channel_of_parse() w ścieżkach błędów zwalnia referencję do węzła OF, której nigdy nie pobrała, co powoduje niedomiar licznika referencji. Problem występuje, gdy parsowanie endpointu nie powiedzie się na uszkodzonym device tree.

W jądrze Linux funkcja send_signal_locked() nadpisuje identyfikatory nadawcy dla docelowej przestrzeni nazw, a przy wysyłaniu grupowym ten sam siginfo jest współdzielony między odbiorcami. Jeden odbiorca może więc wpłynąć na dane kolejnego.

W jądrze Linux występuje wyścig (race condition) w strukturze nfsd_net, gdzie pole logiczne grace_ended jest odczytywane i zapisywane bez synchronizacji z wielu wątków. Dwa równoczesne wywołania nfsd4_end_grace() mogą jednocześnie przejść do nfsd4_record_grace_done(), co prowadzi do podwójnego zwolnienia pamięci (double-free) i uszkodzenia listy reclaim_str_hashtbl. Podatność została naprawiona poprzez zastąpienie pól logicznych słowem flag i użycie atomowej operacji test_and_set_bit().

W jądrze Linux w schedulerze sched_ext funkcja kick_sync_wait_bal_cb() zakłada, że działa na CPU kolejki rq, ale w wyniku zmian w zwalnianiu blokady rq może zostać uruchomiona na obcym CPU. Prowadzi to do porównań z niepowiązanymi danymi i potencjalnego zakleszczenia.

W jądrze Linux sterownik zegara timer-sun4i reklamuje TIMER_SYNC_TICKS jako minimalną deltę, co pozwala rdzeniowi clockevents wywołać set_next_event() z wartością prowadzącą do interwału zerowego. Może to zawiesić kolejne zdarzenie i powodować zawieszenie rozruchu na Allwinner D1.

W jądrze Linux w mm/huge_memory funkcja madvise_free_huge_pmd() może napotkać device-private PMD i wejść w gałąź !pmd_present(), co prowadzi do wywołania pmd_folio() na nieoczekiwanym PMD. Sytuacja może wystąpić, gdy sterownik GPU oparty na HMM ściga się z madvise(MADV_FREE).

W jądrze Linux w mm/madvise funkcja madvise_cold_or_pageout_pte_range() może napotkać device-private PMD i wejść w gałąź !pmd_present(), wywołując VM_BUG_ON(). Sytuacja może wystąpić, gdy sterownik GPU oparty na HMM ściga się z madvise(MADV_COLD)/MADV_PAGEOUT.

W jądrze Linux w mm/page_owner funkcja print_page_owner_memcg() odczytuje page->memcg_data bez blokady w dwóch miejscach, co stwarza warunek TOCTOU. Jeśli strona zostanie równocześnie zwolniona i ponownie przydzielona jako strona ogonowa THP lub strona slab, asercje VM_BUG_ON mogą wywołać awarię jądra.

W jądrze Linux w funkcji cdx_create_res_attr() niepowodzenie sysfs_create_bin_file() powoduje zwolnienie res_attr bez wyzerowania wskaźnika w tablicy cdx_dev->res_attr[num]. Późniejsze wywołanie cdx_destroy_res_attr() zwalnia już zwolnioną pamięć, powodując podwójne zwolnienie.

W jądrze Linux w USB gadget f_tcm funkcja usbg_make_tpg() trzyma dep_lock podczas wywołania configfs_depend_item_unlocked(), co tworzy cykliczną zależność blokad z configfs_rmdir(). Może to prowadzić do zakleszczenia.

W jądrze Linux wykryto podatność polegającą na odczycie poza zakresem w funkcji of_alias_scan(). Parser rdzenia sprawdza isdigit przed weryfikacją granic, co powoduje odczyt bajtu przed nazwą właściwości, gdy nazwa jest pusta lub składa się tylko z cyfr. Może to prowadzić do niepożądanego zachowania lub wycieku informacji.

W jądrze Linux, w serwerze NFS (nfsd), występuje podatność na dereferencję pustego wskaźnika w funkcji nfsd_file_net_dispose(). Podczas zamykania sieci, wskaźnik nn->nfsd_serv może być wyczyszczony, a funkcja nadal próbuje go użyć, co prowadzi do awarii. Poprawka polega na bezpiecznym sprawdzeniu wskaźnika przed użyciem.

W jądrze Linux, w serwerze NFS (nfsd), podatność dotyczy kolejności inicjalizacji tablicy haszującej DRC przed rejestracją shrinkera. Na architekturach o słabym porządku pamięci (np. arm64, ppc) może dojść do obserwacji nie zainicjalizowanej tablicy, co prowadzi do dereferencji pustego wskaźnika w wywołaniu zwrotnym shrinkera. Poprawka przenosi inicjalizację przed rejestrację.

W jądrze Linux, w kliencie SMB, podatność dotyczy wzmocnienia pamięci podręcznej DFS przed nieprawidłowymi wskazówkami dotyczącymi celów. Funkcje get_tgt_name() i dfs_cache_noreq_update_tgthint() nie radzą sobie poprawnie z przypadkami braku wskazówki (NULL), co może prowadzić do dereferencji pustego wskaźnika. Poprawka utwardza wywołania i dodaje sprawdzanie NULL.

W jądrze Linux w podsystemie Bluetooth funkcja hci_send_cmd_sync() klonowała wysyłane polecenie do hdev->req_skb za pomocą skb_clone(). W warunkach niedoboru pamięci klonowanie mogło się nie powieść, pozostawiając req_skb jako NULL, przez co hci_req_cmd_complete() nie wywoływało hci_cmd_sync_complete() i oczekujący proces kończył się błędem -ETIMEDOUT po 10 sekundach. Problem naprawiono zastępując skb_clone() przez skb_get(), które jedynie zwiększa licznik referencji i nie może zawieść.

W jądrze Linuxa wykryto wyścig między operacją zmniejszania pamięci podręcznej KASAN a wyłączaniem procesorów. Podczas wyłączania CPU obiekty pozostają w per-CPU liście shrink_qlist i nie są zwracane do alokatora, co powoduje niepełne usuwanie pamięci podręcznej i ostrzeżenia jądra. Problem dotyczy systemów z włączonym KASAN (CONFIG_KASAN_GENERIC).

W jądrze Linux interfejs procfs do odczytu przestrzeni konfiguracyjnej PCI (proc_bus_pci_read) sprawdzał uprawnienie CAP_SYS_ADMIN na podstawie procesu wywołującego read(), a nie procesu, który otworzył plik. Uprzywilejowany proces mógł otworzyć plik i przekazać deskryptor nieuprzywilejowanemu procesowi, który następnie mógł odczytać całą przestrzeń konfiguracyjną. Poprawka używa file_ns_capable(), aby sprawdzać uprawnienia zapisane w file->f_cred w momencie otwarcia pliku, zgodnie z zachowaniem sysfs.

W jądrze Linux, w sterowniku iommu/arm-smmu-v3, podatność dotyczy zarządzania procesem zamykania (teardown). Ręczne zwalnianie zasobów w funkcji arm_smmu_device_remove() działa w niewłaściwej kolejności względem zasobów zarządzanych przez devm, co może prowadzić do użycia po zwolnieniu (use-after-free), np. kolejki IOPF zwalnianej przed obsługującym ją IRQ. Poprawka przenosi całe zarządzanie do devm.

W jądrze Linux moduł batman-adv aktualizował adresy MAC za pomocą zwykłego kopiowania, co mogło być częściowo widoczne dla równoległych czytelników. Czytelnik mógł przesłać do sieci niepełny adres MAC lub użyć go w odpowiedziach ARP, zatruwając pamięć podręczną ARP. Poprawka stosuje atomic64_t do przechowywania 48-bitowego adresu MAC, zapewniając, że czytelnik widzi albo stary, albo nowy adres, nigdy mieszankę.

W jądrze Linux występuje błąd w podsystemie I3C, polegający na rekurencyjnym zakładaniu blokady podczas rejestracji nowych urządzeń I3C. Funkcja i3c_master_register_new_i3c_devs() rejestruje urządzenia, trzymając blokadę i3c_bus_normaluse_lock(), a wywołanie device_register() może natychmiast uruchomić procedurę probe, która ponownie próbuje założyć tę samą blokadę, co prowadzi do zakleszczenia. Problem został rozwiązany poprzez rozdzielenie tworzenia i rejestracji urządzeń oraz użycie blokady konserwacyjnej.

W jądrze Linux moduł dm-pcache nie weryfikował identyfikatorów segmentów pamięci podręcznej przed użyciem ich do indeksowania w tablicy segments[]. Ponieważ metadane są chronione tylko przez CRC z publicznym ziarnem, atakujący z uprawnieniami CAP_SYS_ADMIN dostarczający urządzenie pamięci podręcznej może spowodować odczyty i zapisy poza zakresem. Poprawka dodaje walidację i odrzuca nieprawidłowe identyfikatory segmentów z błędem -EIO.

Podsystem I3C w jądrze Linux miał podatność use-after-free wskaźnika master->this. Wywołania zwrotne atrybutów sysfs używały tego wskaźnika po jego zwolnieniu, co powodowało naruszenie pamięci. Poprawka utrzymuje wskaźnik żywotność aż do momentu zwolnienia urządzenia i resetuje go na ścieżkach błędów.

W jądrze Linux funkcja i3c_master_search_i3c_dev_duplicate() wyszukująca duplikaty urządzeń I3C może błędnie dopasować samo urządzenie master (master->this), zwracając kontroler jako duplikat. Ponieważ kontroler nie jest urządzeniem docelowym, nie powinien być traktowany jako duplikat. Poprawka wyklucza master->this z dopasowania.

W jądrze Linux moduł dm-pcache nie waliduje łańcucha dirty_tail przy wczytywaniu. Złośliwy obraz, którego pola na nośniku są uwierzytelniane tylko przez crc32c ze stałym ziarnem, może wskazać dirty_tail na łańcuch ostatnich ksetów, który nigdy się nie kończy, powodując nieskończone ponowne uzbrajanie cache_writeback_fn(). Poprawka dodaje walidację łańcucha dirty_tail przy wczytywaniu z limitem przeskoków.

W jądrze Linux występuje błąd w mechanizmie memcg, w którym przy odłączaniu cgroup pamięci rozmiary LRU są kopiowane do rodzica zamiast być przenoszone, pozostawiając nieaktualne liczniki w dziecku. Powoduje to, że skaner LRU (lub MGLRU) odczytuje fałszywe rozmiary i wykonuje jałowe pętle skanowania na martwych cgroupach, co prowadzi do zawyżenia limitów i marnowania CPU. W jednym przypadku wykryto liczniki opisujące 476 GiB stron, czyli 1,89x więcej niż fizyczna pamięć hosta.

W jądrze Linux wykryto podatność use-after-free w sterowniku virtio_pmem dla pamięci trwałej NVDIMM. Problem występuje, gdy żądanie zostało już zwolnione przez nadawcę, ale jest jeszcze dostępne przez kolejkę virtqueue, co prowadzi do wybudzenia zwolnionej pamięci podczas przerwania.