Podatności Linux kernel

W jądrze Linux sterownik drm/bridge synopsys dw-dp inicjalizuje i rejestruje kanał AUX DisplayPort podczas dw_dp_bind(), ale nigdy go nie wyrejestrowuje. Może to prowadzić do wycieków zasobów i/lub use-after-free. Poprawka dodaje brakującą funkcję dw_dp_unbind() umożliwiającą sprzątanie.

W jądrze Linux w sterowniku drm/rockchip (dw_dp) zasoby rdzeniowe, takie jak kanał AUX DisplayPort, są inicjalizowane i rejestrowane podczas dw_dp_bind(), ale nigdy nie są wyrejestrowywane. Prowadzi to do wycieków pamięci i/lub użycia po zwolnieniu (use-after-free), co widać w raporcie KASAN. Problem został rozwiązany poprzez użycie funkcji dw_dp_unbind() w callbacku unbind() komponentu oraz w ścieżce błędu bind().

W jądrze Linux sterownik drm/rockchip analogix_dp ma wyciek referencji do węzła OF w rockchip_dp_drm_encoder_enable(), ponieważ of_get_child_by_name() nie wywołuje symetrycznie of_node_put(). Poprawka używa __free(device_node) do automatycznego zarządzania zwalnianiem referencji.

W jądrze Linux sterownik drm/v3d nie czyści queue->active_job, gdy v3d_fence_create() zawiedzie. Callbacki run_job() dla BIN, RENDER, TFU i CSD przypisują zadanie do queue->active_job przed wywołaniem v3d_fence_create(); w razie błędu zwracają NULL, pozostawiając wiszący wskaźnik. Poprawka dodaje ścieżkę błędu czyszczącą active_job.

W jądrze Linux funkcja smack_msg_queue_msgrcv() błędnie sprawdza uprawnienia zadania 'current' zamiast zadania 'target'. W ścieżce optymalizacji pipelined_send() nadawca sprawdza uprawnienia w imieniu odbiorcy, więc nieuprawniony odbiorca może otrzymać wiadomość, naruszając politykę MAC Smack. Poprawka sprawdza uprawnienia zadania 'target'.

W jądrze Linux funkcja cros_typec_register_partner_pdos() kopiuje PDO partnera z odpowiedzi EC TYPEC_STATUS do tablicy caps_desc.pdo[PDO_MAX_OBJECTS] (7 elementów) bez walidacji liczby. Jeśli source_cap_count lub sink_cap_count przekracza 7, memcpy zapisuje poza tablicą na stosie — liczba 255 przepełnia ją o około 1 KB. Poprawka waliduje liczniki i pomija rejestrację PDO przy przekroczeniu limitu.

W jądrze Linux sterownik HID roccat używa wartości indeksu profilu pochodzącej z urządzenia (8-bitowej) bez sprawdzenia zakresu, mimo że tablica profili ma tylko 5 elementów. Złośliwe urządzenie USB podające się za Roccat Kone może wysłać zdarzenie przełączenia profilu z wartością poza zakresem, powodując odczyt poza granicami bufora, którego wynik jest ujawniany przez atrybut sysfs actual_dpi.

W jądrze Linux w komponencie ASoC SOF funkcje sof_ipc4_widget_setup_comp_src() i sof_ipc4_widget_setup_comp_asrc() przy zerowej liczbie formatów wejściowych lub wyjściowych wypisują błąd i przechodzą do etykiety czyszczenia, ale zmienna 'ret' pozostaje równa 0. W efekcie funkcja zwraca sukces, mimo że konfiguracja widgetu faktycznie się nie powiodła.

W jądrze Linux w komponencie cxl/mbox polecenie CXL_MEM_SEND_COMMAND ogranicza rozmiar wejściowy użytkownika do rozmiaru ładunku skrzynki pocztowej, ale pozostawia nieograniczony rozmiar wyjściowy, który jest następnie używany w kvzalloc(). Duży rozmiar wyjściowy powoduje ogromną alokację, powyżej INT_MAX wywołuje ostrzeżenie i skażenie jądra, a przy panic_on_warn=1 prowadzi do paniki.

W jądrze Linuxa w sterowniku ASoC rt700-sdw wykryto podatność polegającą na tym, że funkcja rt700_sdw_remove() odprowadza pracę jack_detect_work i jack_btn_check_work tylko wtedy, gdy flaga hw_init jest ustawiona. Flaga ta jest jednak czyszczona podczas odłączenia urządzenia SoundWire, co może prowadzić do pozostawienia aktywnych obiektów pracy i zgłoszenia przez DEBUG_OBJECTS aktywnego timera po usunięciu sterownika.

W jądrze Linux w komponencie ASoC fsl_audmix po wywołaniu pm_runtime_enable() blok AUDMIX pozostaje wyłączony i zawieszony aż do pierwszego wznowienia. Zapisy do rejestrów wykonywane między probe() a pierwszym wznowieniem trafiają do niewłączonego sprzętu i powodują zawieszenie systemu.

W jądrze Linux w sterowniku drm/lima funkcja lima_vm_create() jest wywoływana przed ustawieniem va_start i va_end, przez co obie wartości wynoszą 0. Gdy włączone jest DRM_DEBUG_MM, sprawdzenie DRM_MM_BUG_ON w drm_mm_init() wywołuje BUG jądra, co zaobserwowano na exynos4412-odroid-u2.

W jądrze Linux naprawiono podatność w schedulerze (sched/fair) polegającą na przepełnieniu typu u32 w funkcji update_tg_cfs_runnable(). Przepełnienie prowadzi do korupcji wartości runnable_sum, a w konsekwencji do błędu dzielenia przez zero w propagate_entity_load_avg() i awarii jądra (kernel crash). Problem można wywołać uruchamiając obciążenie takie jak hackbench.

W jądrze Linux w perf/x86/intel/uncore kolejność wywołań uncore_box_ref()/uncore_box_unref() względem uncore_change_context() jest nieprawidłowa. W uncore_event_cpu_online() uncore_box_ref() jest wywoływane, gdy box->cpu wynosi jeszcze -1, więc box nie jest inicjalizowany przy pierwszym CPU w die, a w ścieżce offline box jest niszczony przy przedostatnim CPU.

W jądrze Linux w sterowniku drm/panthor występuje błąd dereferencji wskaźnika NULL (NPD) podczas częściowego usuwania mapowania (partial unmap) bufora obiektu (BO), który został wcześniej wyewakuowany (evicted). Gdy strony BO są zwalniane przy ewakuacji, wskaźnik 'bo->backing.pages' jest ustawiany na NULL, a logika obsługi podziału mapowania GPU nie pomijała tego przypadku dla VMA wyewakuowanego BO, co prowadziło do odwołania się do NULL i awarii jądra.

W jądrze Linux w module drm/amd/powerplay naprawiono błąd w pętli przetwarzającej tablicę VoltageObjectInfo. Złośliwy lub uszkodzony VBIOS mógł dostarczyć tablicę z nieprawidłowym rozmiarem obiektu, co prowadziło do nieskończonej pętli lub odczytu poza granicami bufora sterty.

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd i vddcInd pochodzących z tablic parsowanych z VBIOS. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć.

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd, vddciInd i mvddInd pochodzących z tablic parsowanych z VBIOS w dziewięciu miejscach kodu. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć vddc, vddci i vddmem.

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_plane_drm_plane_reset() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_crtc_reset_state() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w podsystemie BPF funkcja copy_map_value_long() nie kopiowała dopełnienia (padding) między map->value_size a round_up(map->value_size, 8) dla map per-CPU. W wyniku tego ścieżki UAPI LOOKUP_ELEM mogły zwracać do przestrzeni użytkownika nieaktualne dane ze sterty.

W jądrze Linux w podsystemie BPF/LSM wywołanie security_bpf_prog_free() z kontekstu softirq (poprzez __bpf_prog_put_rcu) powodowało błąd "sleeping function called from invalid context", gdy do hooka podłączony był program LSM typu sleepable. Poprawka usuwa bpf_prog_free z sleepable_lsm_hooks.

W jądrze Linux w mm/mm_init brakowało sprawdzenia nieudanej alokacji pgdat->per_cpu_nodestats w free_area_init_core_hotplug, co prowadziło do dereferencji NULL przy odwołaniu do obszaru per-CPU. Poprawka propaguje -ENOMEM i pozostawia per_cpu_nodestats wskazujący na boot_nodestats.

W jądrze Linux w sterowniku leds: lp5860 funkcja lp5860_device_init() w przypadku niepowodzenia lp5860_init_dt() zwalniała już zwolniony mutex (double-unlock). Poprawka zmienia sposób pobierania i zwalniania blokady.

W jądrze Linux w sterowniku dmaengine: xilinx_dma występował wyścig w procedurach obsługi przerwań AXIDMA i MCDMA. Kanał mógł zostać błędnie oznaczony jako bezczynny i rozpocząć zbędne transfery, gdy deskryptory były wciąż przetwarzane, co prowadziło do korupcji deskryptorów lub pominiętych ukończeń.

W jądrze Linux w funkcji zynqmp_dma_remove() runtime PM był wyłączany dopiero po sprawdzeniu stanu i ręcznym uśpieniu urządzenia, co może powodować wyścig z runtime PM w ścieżce usuwania/odłączania modułu (rmmod). Poprawka najpierw wyłącza runtime PM, a następnie usypia urządzenie tylko jeśli nie jest już uśpione, aby zapobiec dalszym przejściom stanów runtime PM.

W jądrze Linux w sterowniku dmaengine xilinx_dma funkcja xilinx_dma_poll_timeout wywoływana z parametrem delay_us=0 powodowała zajęte oczekiwanie CPU przez bardzo długi czas, gdy warunek zakończenia nigdy nie został spełniony. Zamiast przekroczyć limit czasu po około XILINX_DMA_LOOP_COUNT mikrosekund, przekroczenie następowało po kilku minutach, co prowadziło do zablokowania CPU. Poprawka wprowadza stałą XILINX_DMA_POLL_DELAY_US i używa delay_us=10.

W jądrze Linux ścieżka śledzenia wywołań systemowych przeładowuje argumenty z pt_regs przed wywołaniem handlera. Na C-SKY ABIv2 kod zmienia wskaźnik stosu (sp) przed załadowaniem LSAVE_A4 i LSAVE_A5, przez co odczytywane są niewłaściwe sloty i śledzone wywołania używające 5. lub 6. argumentu (np. mmap2) otrzymują uszkodzone argumenty. Poprawka ładuje a4/a5 z pt_regs przed zmianą sp.

W jądrze Linux w funkcji rtw89_ppdu_str() sterownika wifi rtw89 użyto porównania '>' zamiast '>=', co może prowadzić do dostępu poza granicami bufora. Poprawka zmienia operator na '>=' aby uniknąć nieprawidłowego dostępu do pamięci.

W jądrze Linux w module platform/chrome sensorhub wartości max_response i sensor_num pochodzą z różnych poleceń EC. Przy wadliwym firmware EC liczba odczytanych bajtów może być mniejsza niż oczekiwana, co powoduje przepełnienie odczytu (overread) bufora resp->fifo_info w funkcji cros_ec_sensorhub_ring_handler(). Poprawka sprawdza wartość zwracaną przez cros_ec_cmd_xfer_status() i przerywa działanie przy niezgodności długości.

W jądrze Linux naprawiono podatność w mechanizmie uprobes na architekturze x86. Zoptymalizowane uprobes mogły nadpisywać obszar redzone stosu użytkownika, ponieważ instrukcja call zapisywała adres powrotny na stosie, podczas gdy kod użytkownika mógł tam przechowywać dane tymczasowe bez korygowania rejestru rsp. Problem rozwiązano, przenosząc zoptymalizowane uprobes z instrukcji nop5 na nop10, co pozwala dodać instrukcję lea korygującą rsp przed wykonaniem call.

W jądrze Linux funkcja hwrng_register() dodaje rng do globalnej listy rng_list, a następnie może próbować ustawić go jako current_rng. Jeśli ten krok się nie powiedzie, funkcja zwraca błąd, ale nie usuwa rng z listy, co prowadzi do wiszącego odwołania i potencjalnego use-after-free, gdy wywołujący zwolni rng. Poprawka dodaje list_del_init() w celu posprzątania.

W jądrze Linux sterownik crypto qat kolejkuje pracę ponownego włączenia SR-IOV przy użyciu work_struct i completion osadzonych w strukturze adf_sriov_dev_data na stosie. Jeśli oczekiwanie na completion przekroczy limit czasu, reset worker może powrócić, podczas gdy device_sriov_wq nadal przechowuje lub wykonuje element pracy oparty na stosie. Poprawka anuluje pracę na device_sriov_wq przy przekroczeniu limitu czasu przed rozwinięciem ramki stosu.

W jądrze Linux funkcja qat_alg_xts_reverse_key() rozwija klucz AES XTS na stosie, a harmonogram klucza zawiera materiał klucza, który może pozostać w ramce stosu. Poprawka czyści tymczasowy crypto_aes_ctx za pomocą memzero_explicit() po skopiowaniu.

W jądrze Linux sprzętowa ścieżka ECDH w atmel_ecdh_compute_shared_secret() używa klucza prywatnego zapisanego w urządzeniu, ale klucz publiczny jest buforowany dopiero po pomyślnym wygenerowaniu klucza prywatnego przez atmel_ecdh_set_secret() dla bieżącego tfm. Poprawka dodaje sprawdzenie braku buforowanego klucza publicznego, aby zapobiec użyciu klucza prywatnego nie wygenerowanego dla bieżącego tfm.

W jądrze Linux sterownik crypto: atmel-sha204a nie zwalniał struktury work_data w przypadku niepowodzenia transferu I2C w asynchronicznej ścieżce RNG. Wskaźnik pozostawał w rng->priv, przez co kolejne odczyty mogły interpretować nieaktualny stan jako prawidłowe dane RNG, powodując wyciek informacji ze sterty.

W jądrze Linux funkcja sa_ul_probe() sterownika crypto: sa2ul ignorowała wynik wywołania sa_init_mem() tworzącego pulę DMA dla buforów kontekstu bezpieczeństwa. W razie niepowodzenia tworzenia puli probe kontynuował konfigurację DMA i rejestrację algorytmów, mimo że późniejsze operacje zależą od tej puli.

W jądrze Linux funkcja xtrng_readblock32() sterownika hwrng: xilinx-trng zwracała liczbę odczytanych bajtów nawet gdy pierwsze odpytywanie zakończyło się przekroczeniem limitu czasu. Wywołujący traktował zerowy wynik jako krótki, udany odczyt, a częściowe odczyty pełnych 32-bajtowych bloków mogły powodować użycie stałego przesunięcia bloku zamiast rzeczywistej liczby wygenerowanych bajtów.

W jądrze Linux funkcja rk_hash_run() sterownika crypto: rk3288 oczekiwała, aż RK_CRYPTO_HASH_STS osiągnie stan bezczynności po końcowym transferze DMA, ale ignorowała wynik odpytywania. Jeśli silnik hash nigdy nie stał się bezczynny, sterownik nadal odczytywał rejestry skrótu i kończył żądanie z poprzednią wartością sukcesu.

W jądrze Linux funkcja register_aes_algs() sterownika crypto: keembay rejestrowała algorytmy AEAD przed algorytmami skcipher. W przypadku niepowodzenia rejestracji skcipher funkcja wycofywała wcześniejszą rejestrację AEAD, przekazując ARRAY_SIZE(algs) (rozmiar tabeli skcipher) zamiast ARRAY_SIZE(algs_aead).

W jądrze Linux sterownik RDMA/irdma nie zabezpieczał rejestrów pamięci (MR) stojących za pierścieniami QP/CQ/SRQ przed wyrejestrowaniem z przestrzeni użytkownika. Poprawka dodaje zliczanie referencji do MR-ów użytkownika poprzez zwiększenie licznika przy kojarzeniu.

W jądrze Linux funkcja __wait_for_resp() sterownika RDMA/bng_re ignorowała wygaśnięcie wait_event_timeout(). Jeśli po przekroczeniu limitu czasu i próbie obsługi CREQ slot odpowiedzi pozostawał zajęty, pętla rozpoczynała kolejny pełny okres oczekiwania i mogła powtarzać się w nieskończoność.

W jądrze Linux funkcja apple_nvme_init_queue() sterownika nvme-apple inicjalizowała stan kolejki, a następnie oznaczała ją jako włączoną. Użycie bariery wmb() po WRITE_ONCE(enabled, true) nie publikowało wcześniejszej inicjalizacji przed ujawnieniem flagi enabled, co mogło powodować wyścig z ścieżkami przerwań i żądań.

W jądrze Linux występuje wyciek zasobów w module nvmet-rdma. Gdy cel NVMe z transportem RDMA jest usuwany podczas trwających operacji I/O, odpowiedź może zostać wysłana, ale jej potwierdzenie wysłania nigdy nie dociera przed zerwaniem połączenia, przez co funkcje nvmet_rdma_send_done() i nvmet_rdma_release_rsp() nie są wywoływane i dochodzi do wycieku kontekstu RDMA oraz SGL żądań.

W jądrze Linux zmienna nr_deadline_tasks w strukturze cpuset mogła być modyfikowana jednocześnie przez inc_dl_tasks_cs() pod rq->lock oraz przez cpuset_attach() pod cpuset_mutex. Równoczesne aktualizacje mogły uszkodzić tę zmienną, prowadząc do nieprawidłowych operacji.

W jądrze Linux w sterowniku mac80211_hwsim występuje podatność polegająca na możliwości przekazania wskaźnika NULL do funkcji ieee80211_free_txskb() podczas zatrzymywania kolejki. Problem wynika z rozdzielenia sprawdzenia pustej kolejki od operacji usunięcia elementu, co jest niebezpieczne przy współbieżnym przetwarzaniu statusu transmisji.

W jądrze Linux w mechanizmie BPF występuje podatność pozwalająca na dostęp do pamięci poza granicami obiektu dla wskaźników MEM_ALLOC BTF. Podczas przeglądania struktury BTF, dla obiektów przydzielonych statycznie, nie jest odpowiednio egzekwowane ograniczenie rozmiaru, co może prowadzić do odczytu/zapisu poza przydzielonym obszarem.

W jądrze Linux w podsystemie BPF dla architektury s390 występuje problem z instrukcją 'ly', która nie zeruje górnych bitów rejestru 64-bitowego przy ładowaniu 32-bitowej wartości. Zamiast tego należy użyć instrukcji 'llgf', która poprawnie zeruje górne bity.

W jądrze Linux w funkcji proc_timens_set_offset() brakuje walidacji pola tv_nsec, które powinno być w zakresie [0, 999999999]. Nieprawidłowe wartości mogą prowadzić do błędnych obliczeń lub nieoczekiwanego zachowania podczas dodawania czasów.

W jądrze Linux w sterowniku clk qcom gdsc występuje problem z nieprawidłowym usuwaniem domen genpd podczas odrejestrowania. Funkcja gdsc_unregister() nie wywołuje pm_genpd_remove() dla zarejestrowanych domen, co prowadzi do pozostawienia wpisów na globalnej liście i błędów przy ponownej rejestracji.