Podatności Linux kernel

W jądrze Linux w mechanizmie BPF występuje podatność pozwalająca na zapis przez niezaufane wskaźniki BTF, co omija politykę tylko do odczytu dla wskaźników utworzonych przez helpery takie jak bpf_rdonly_cast(). Brakuje odrzucenia zapisów na wspólnym etapie wejścia.

W jądrze Linux w sterowniku staging media ipu7 występuje wyciek referencji licznika pm_runtime w funkcji ipu7_resume(). Użycie pm_runtime_get_sync() bez zbalansowania w przypadku błędu prowadzi do pozostawienia zwiększonego licznika.

W jądrze Linux w sterowniku termicznym rcar występuje błąd w sprawdzaniu błędów w funkcji probe(). Funkcja thermal_zone_device_enable() jest wywoływana przed sprawdzeniem, czy rejestracja strefy termicznej się powiodła, co może prowadzić do dereferencji wskaźnika błędu.

W jądrze Linux w sterowniku USB gadget r8a66597 występuje podwójne zwolnienie ep0_req w ścieżce błędu funkcji probe(). Jeśli usb_add_gadget_udc() zawiedzie, ep0_req jest zwalniane dwukrotnie, co może prowadzić do uszkodzenia pamięci.

W jądrze Linux występuje problem w systemie plików UDF. Gdy podczas zapisu bufora Logical Volume Integrity Descriptor (LVID) wystąpi błąd wejścia/wyjścia, warstwa blokowa usuwa flagę BH_Uptodate, mimo że dane LVID w pamięci pozostają poprawne. Przy ponownym montowaniu w trybie zapisu lub synchronizacji funkcje udf_open_lvid() i udf_sync_fs() modyfikują bufor i wywołują mark_buffer_dirty(), co powoduje fałszywe ostrzeżenie WARN_ON_ONCE(!buffer_uptodate(bh)).

W jądrze Linux w sterowniku drm/amdgpu/mes pętla inicjalizująca tablicę hung_queue_db_array iterowała tylko AMDGPU_MAX_MES_PIPES razy, pozostawiając wpisy niezainicjalizowane dla GPU z wieloma XCC. Może to prowadzić do dereferencji pustego wskaźnika przy dostępie do tablic indeksowanych ID XCC >= 2. Poprawka rozszerza pętlę o wszystkie XCC.

W jądrze Linux w funkcji bpf_get_btf_vmlinux() występuje wyścig podczas publikowania wyniku parsowania BTF vmlinux. Wynik jest publikowany przez zwykłe zapisanie, a odczytywany bez blokady, co na architekturach o słabym modelu pamięci może pozwolić na obserwację wskaźnika przed widocznością zainicjalizowanych danych. Poprawka wprowadza bariery pamięci (smp_store_release/smp_load_acquire).

W jądrze Linux funkcja bpf_find_vma() odczytuje task->mm i wywołuje mmap_read_trylock() bez trzymania referencji do mm_struct. W przypadku obcego zadania, równoczesne exit_mm() może zwolnić mm_struct między odczytem a próbą zamka, prowadząc do use-after-free. Poprawka przypina mm pod task->alloc_lock i używa mmput_async(), odrzucając konteksty z wyłączonymi przerwaniami i !CONFIG_MMU.

W jądrze Linux w sterowniku bus: mhi: ep funkcja mhi_ep_create_device() przydziela referencje do urządzenia dla kanałów UL i DL. W przypadku błędu dev_set_name() lub device_add(), ścieżka błędu zwalnia tylko jedną referencję, co prowadzi do wycieku referencji i pozostawienia kanałów związanych z niezarejestrowanym urządzeniem. Poprawka kieruje oba błędy przez wspólną ścieżkę wycofania.

W jądrze Linux, gdy architektura (np. LoongArch, ARM64, RISC-V) implementuje bpf_jit_inlines_helper_call(), weryfikator pomija przepisanie offsetu wywołania pomocnika. Jeśli JIT jest wyłączony lub kompilacja JIT zawiedzie, program jest wykonywany przez interpreter, co prowadzi do skoku w nieprawidłowy adres i paniki jądra. Poprawka ustawia prog->jit_required = 1, aby odrzucić takie programy, gdy JIT jest niedostępny.

W jądrze Linux w funkcji printk, podczas emisji rekordu przez starsze drukowanie może nastąpić przekazanie kontekstu, co zwalnia blokadę SRCU i unieważnia wskaźnik do struktury konsoli. Funkcja console_flush_one_record() nie sprawdzała tego po emisji, co może prowadzić do use-after-free. Poprawka przenosi dalsze użycie @con po sprawdzeniu przekazania.

W jądrze Linux w funkcji riscv_acpi_add_prt_dep() wywołanie acpi_get_handle() może zakończyć się niepowodzeniem, pozostawiając link_handle niezainicjalizowany. Poprawka sprawdza status zwracany przez acpi_get_handle() i pomija wpis w przypadku błędu.

W jądrze Linux w funkcji riscv_acpi_add_prt_dep() pętla nieprawidłowo obsługuje warunki błędów, kontynuując bez aktualizacji wskaźnika wpisu, co pomija kolejne wpisy. Poprawka przepisuje pętlę jako pętlę for z poprawną kontynuacją i używa funkcji pomocniczych.

W jądrze Linux w sterowniku platform/x86: dell-privacy występuje wyścig przy dostępie do priv->features_present. Dostęp musi być chroniony mutexem listy, w przeciwnym razie priv może zostać zwolniony w dowolnym momencie. Poprawka zapewnia trzymanie mutexu podczas dostępu.

W jądrze Linux w sterowniku platform/x86: dell-wmi-base występuje wyciek zasobów podczas niepowodzenia ładowania modułu. Poprawka zapewnia prawidłowe czyszczenie żądania SMBIOS i sterownika prywatności w przypadku błędu ładowania.

W jądrze Linux w module platform/x86 dell-wmi-base występuje błąd indeksowania przy obsłudze klawisza ultra performance. Dane zdarzenia przekazywane do dell_wmi_process_key() są już sparsowane, więc użycie nieprawidłowego indeksu przy dostępie do pierwszego pola danych może prowadzić do odczytu poza buforem.

W jądrze Linux w module platform/x86 lg-laptop występuje błąd w obsłudze zasobów LED. Callback powiadomień zdarzeń może odwoływać się do kbd_backlight, nawet gdy urządzenie LED nie zostało pomyślnie zarejestrowane, a acpi_remove() wyrejestrowuje urządzenia LED bezwarunkowo.

W jądrze Linux w podsystemie BPF występuje błąd weryfikatora przy wypełnianiu stosu zwężającymi odczytami rozszerzającymi znak. Współdzielony identyfikator skalara nie jest usuwany, przez co dwa rejestry mogą dzielić ten sam identyfikator mimo różnych wartości, co pozwala weryfikatorowi wywnioskować nieprawidłowe ograniczenia i doprowadzić do dostępu poza granicami.

W jądrze Linux w sterowniku remoteproc qcom_q6v5_adsp występuje wyciek referencji do węzła urządzenia. Funkcja adsp_map_carveout wywołuje of_parse_phandle_with_args(), ale nie zwalnia referencji węzła przez of_node_put().

W jądrze Linux w podsystemie BPF występuje błąd walidacji argumentów kfunc rdonly_buf_size i rdwr_buf_size. Wartości przekraczające U32_MAX nie są odrzucane, lecz obcinane przy przypisaniu do pola mem_size typu u32, przez co weryfikator rejestruje nieprawidłowe ograniczenie rozmiaru pamięci.

W jądrze Linux w module platform/x86 asus-wireless funkcja asus_wireless_probe() zwraca sukces, gdy acpi_match_acpi_device() nie znajdzie dopasowania. Prowadzi to do pozostawienia urządzenia wejściowego bez zainstalowanego handlera powiadomień, a przy wymuszonym powiązaniu z urządzeniem bez towarzysza ACPI zapisuje wskaźnik NULL, co powoduje dereferencję NULL przy odłączaniu.

W jądrze Linux w sterowniku serial qcom-geni ścieżka ukończenia transmisji DMA przesuwała bufor FIFO o liczbę bajtów zapisaną w port->tx_remaining. Jeśli uart_flush_buffer() wykonał się po zakończeniu transferu DMA przez sprzęt, ale przed obsługą przerwania ukończenia, nieaktualne ukończenie DMA mogło przesunąć i odrzucić nowe dane zapisane po opróżnieniu bufora. Podatność naprawiono oznaczając trwający transfer DMA jako nieaktualny w momencie opróżnienia FIFO transmisji.

W jądrze Linux w module USB gadget (funkcja UAC1/UAC2) atrybuty configfs rate-list nie sprawdzały długości listy przed zapisem do tablic o stałym rozmiarze UAC_MAX_RATES (10 elementów). Podanie więcej niż dziesięciu wartości powodowało zapis poza granicami tablicy p_srates[] lub c_srates[], co prowadzi do uszkodzenia pamięci. Dodatkowo nieprawidłowe zwalnianie wskaźnika po strsep() powodowało wyciek pamięci lub zwolnienie wskaźnika wewnętrznego.

W jądrze Linux w funkcji ffs_dmabuf_transfer() sterownika USB gadget f_fs ścieżki błędów (ESHUTDOWN, ENOMEM) wywoływały dma_fence_put() na obiekcie fence, który został jedynie przydzielony przez kmalloc, bez wcześniejszego dma_fence_init(). Wywołanie dma_fence_put() na niezainicjalizowanym obiekcie prowadzi do niezdefiniowanego zachowania. Poprawka zastępuje to wywołanie funkcją kfree().

W jądrze Linux funkcja os_desc_qw_sign_show() sterownika USB gadget configfs przekazywała OS_STRING_QW_SIGN_LEN (14) jako długość wejściową do utf16s_to_utf8s(), mimo że argument ten liczy jednostki kodu UTF-16, a tablica qw_sign[] ma tylko 7 jednostek. Gdy sygnatura wypełnia tablicę bez terminatora NUL, konwersja odczytuje do 7 jednostek poza koniec tablicy, ujawniając sąsiednie bajty struktury gadget_info przez atrybut configfs.

W jądrze Linux funkcja ljca_enumerate_gpio() sterownika USB ljca odczytuje desc->bank_num z urządzenia i wykonuje pętlę zapisującą do tablicy valid_pin[], która ma tylko 2 wpisy. Istniejące sprawdzenia nie ograniczają bank_num względem rozmiaru valid_pin[], więc urządzenie zgłaszające bank_num 9 i pins_per_bank 7 przechodzi weryfikację i powoduje przepełnienie stosu. Złośliwe lub uszkodzone urządzenie LJCA może w ten sposób przepełnić stos.

W jądrze Linux funkcja ast_udc_probe() sterownika USB gadget aspeed_udc przydziela spójny bufor DMA używany jako magazyn buforów endpointów, a ast_udc_init_ep() wywodzi wskaźniki z udc->ep0_buf. Nieudana alokacja jest dereferencjonowana podczas probe, a istniejąca ścieżka błędu wywołuje ast_udc_remove(), co jest niebezpieczne przed udanym usb_add_gadget_udc(). Poprawka dodaje sprawdzenie alokacji i lokalny pomocnik czyszczenia.

W jądrze Linux dynamiczne identyfikatory USB są ważne tylko przy trzymanym usb_dynids_lock, ponieważ remove_id_store może zwolnić węzeł. Funkcja usb_probe_interface korzystała z tych identyfikatorów bez kopii, co prowadzi do use-after-free, gdy probe przebiega równolegle z usuwaniem dynamicznego ID. Poprawka tworzy kopię identyfikatora w usb_probe_interface.

W jądrze Linux w funkcji asus_wmi_add() sterownika platform/x86 asus-wmi etykiety ścieżek błędów są w niewłaściwej kolejności względem sekwencji rejestracji podsystemów. W efekcie niepowodzenie asus_wmi_custom_fan_curve_init() lub asus_screenpad_init() pomija wywołania czyszczące dla wcześniej zarejestrowanych zasobów, powodując ich wyciek. Poprawka zmienia kolejność etykiet na odwrotną względem alokacji.

W jądrze Linux funkcja mlxbf_pmc_probe() sterownika platform/mellanox mlxbf-pmc przekazuje wynik ACPI_COMPANION() do acpi_device_hid(), która go dereferencjonuje. Ponieważ sterownik platformowy może zostać wymuszony do dopasowania urządzenia bez obiektu towarzyszącego ACPI, prowadzi to do dereferencji wskaźnika NULL. Poprawka dodaje sprawdzenie ACPI_COMPANION() względem NULL i zwraca -ENODEV.

W jądrze Linux funkcja san_probe() sterownika platform/surface acpi-notify dereferencjonuje wynik ACPI_COMPANION() podczas instalacji handlera przestrzeni adresowej GSBUS. Ponieważ sterownik platformowy może zostać wymuszony do dopasowania urządzenia bez towarzysza ACPI, prowadzi to do dereferencji wskaźnika NULL. Poprawka sprawdza ACPI_COMPANION() względem NULL i zwraca -ENODEV.

W jądrze Linux rozwiązano problem w sterowniku clk: qcom: camcc-sc8280xp, gdzie nie wyrejestrowywano zegara CAMCC_GDSC_CLK. Po wprowadzeniu obsługi sync_state w podsystemach clk i pmdomain, przy wyłączaniu nieużywanych zegarów pojawiało się ostrzeżenie jądra o zablokowanym stanie 'on' dla titan_top_gdsc.

W jądrze Linux funkcja bpf_cpumask_populate() zapisuje do celu za pomocą bitmap_copy(), ale cel jest typowany jako struct cpumask *. Pozwala to weryfikatorowi BPF zaakceptować wskaźniki cpumask zwracane przez read-only kfuncs (np. scx_bpf_get_online_cpumask()) jako zapisywalny cel. Poprawka zmienia typ celu na struct bpf_cpumask *, aby funkcja przestrzegała reguł własności jak inne mutujące kfuncs.

W jądrze Linux link tracing_multi nie ustawia flagi ftrace_managed, co powoduje że nie udaje się zwolnić linku tracing_multi przy dołączaniu linku tracing_multi, a następnie linku fentry. Prowadzi to do ostrzeżenia w bpf_trampoline_multi_detach i potencjalnego wycieku zasobów. Poprawka ustawia 'ftrace_managed = true' w register_fentry_multi().

W jądrze Linux funkcja put_gid_ndev() jest kolejkowana przez call_rcu() i zaimplementowana w ib_core. Zatrzymanie workqueues nie opróżnia już zakolejkowanych callbacków, więc RCU może wywołać ją po wyładowaniu kodu modułu. synchronize_rcu() nie czeka na callbacki — poprawka czeka na nie po zatrzymaniu wszystkich producentów.

W jądrze Linux funkcja devx_free_subscription() może pozostać w kolejce po zwolnieniu ostatniego odwołania do modułu przez plik zdarzeń DevX lub odłączeniu urządzeń przez sterownik pomocniczy. Moduł mlx5_ib może zostać wyładowany przed wykonaniem callbacku. Ścieżka błędów rejestracji sterownika ma to samo ryzyko — poprawka czeka po zatrzymaniu wszystkich sterowników.

W jądrze Linux ukończenia odzyskiwania IPoIB mogą być sygnalizowane z wnętrza callbacku RCU. Proces teardown może obudzić się przed powrotem callbacku i wyładować ib_ipoib, gdy jego kod jest wciąż wykonywany. Awaria rejestracji klienta może również usuwać już dodane urządzenia i kolejkować callbacki — poprawka czeka po zakończeniu teardown klienta i workqueue.

W jądrze Linux funkcja restore_dm_crypt_keys_to_thread_keyring() pobiera referencję do keyringu użytkownika przed przywróceniem zapisanych kluczy dm-crypt. Ta sama referencja jest przekazywana do add_key_to_keyring() dla każdego klucza, ale funkcja ta zwalnia referencję przy każdym wywołaniu. Przy przywracaniu wielu kluczy referencja jest zwalniana zbyt wiele razy, co może wywołać underflow licznika referencji lub use-after-free. Przy więcej niż pięciu kluczach może wystąpić ostrzeżenie o underflow/use-after-free.

W jądrze Linux funkcja esp_ssg_unref() zwalnia referencje do stron źródłowego scatterlist po zakończeniu operacji AEAD. Wywołuje skb_page_unref() na każdej stronie fragmentu dla transformacji out-of-place oraz w ścieżce błędów esp_output_tail(). Jest to błędne gdy skb przenosi managed frags (SKBFL_MANAGED_FRAG_REFS), które są własnością zerocopy ubuf i skb nie posiada referencji do stron. Brak zabezpieczenia powoduje underflow licznika referencji strony i zwolnienie strony wciąż używanej.

W jądrze Linux funkcja rvt_alloc_device() dealokuje urządzenie IB, gdy nie można zaalokować tablicy portów, ale następnie zwraca wskaźnik do zwolnionej alokacji. Wywołujący traktują każdą nie-NULL wartość jako prawidłową i dereferencjonują ją, co prowadzi do use-after-free. Poprawka zwraca NULL natychmiast po dealokacji, aby wywołujący mogli propagować błąd alokacji.

Podatność w sterowniku hfi1 w jądrze Linuxa dotyczy funkcji hfi1_free_devdata(), która zakłada, że urządzenie zostało umieszczone w tabeli jednostek i bezwarunkowo kasuje dd->unit. Jeśli xa_alloc_irq() zawiedzie, wyzerowana jednostka pozostaje zerem, co może spowodować usunięcie niezwiązanego urządzenia z indeksu 0 podczas pełnego czyszczenia.

Podatność w sterowniku hfi1 dotyczy wycieku pamięci podczas późnej awarii probe. Funkcja hfi1_init_dd() przydziela współdzielone wsparcie RX AIP/VNIC przed zwróceniem. Jeśli hfi1_init() lub hfi1_register_ib_device() później zawiedzie, init_one() usuwa dane urządzenia bez wywołania hfi1_free_rx(), co powoduje wyciek netdev_rx i jego atrapy netdev.

Podatność w podsystemie v4l2-async w jądrze Linuxa powoduje awarię podczas odłączania urządzenia em28xx z użyciem i2c tvp5150. Gdy lista asc_list jest pusta, funkcja v4l2_async_unregister_subdev() nie wywołuje v4l2_device_unregister_subdev(), co prowadzi do crasha. Poprawka polega na wywołaniu v4l2_device_unregister_subdev() nawet przy pustej asc_list.

W jądrze Linux występuje podatność use-after-free w funkcji rdtgroup_kn_put() w podsystemie fs/resctrl. Struktura rdtgroup jest zwalniana przez dwa konkurencyjne mechanizmy, co może prowadzić do użycia zwolnionej pamięci, a nawet podwójnego zwolnienia. Problem naprawiono zastępując atomic_dec_and_test() funkcją atomic_dec_and_mutex_lock(), która zapewnia wzajemne wykluczanie z mechanizmami masowego zwalniania.

Podatność use-after-free (UAF) w jądrze Linux w podsystemie resctrl, występująca podczas usuwania domen monitorowania. Pracownicy (worker threads) odczytujący liczniki zdarzeń mogą spać i korzystać z opóźnionej pracy (delayed_work) umieszczonej w strukturze domeny. W pewnych warunkach, gdy pracownik czeka na blokadę, domena może zostać zwolniona, co prowadzi do odwołania do zwolnionej pamięci.

W jądrze Linux występuje zakleszczenie (deadlock) w implementacji rpmsg glink podczas niszczenia endpointu przy odłączaniu sterownika. Funkcja niszcząca endpoint próbuje wyrejestrować urządzenie rpmsg, co powoduje ponowną próbę zdobycia tego samego muteksa urządzenia już trzymanego przez rdzeń, w wyniku czego rmmod zawiesza się na stałe. Problem rozwiązano poprzez usunięcie zbędnej operacji wyrejestrowania.

Podatność w podsystemie cxl/mbox w jądrze Linuxa dotyczy zapętlenia w pętli listy trucizn. Urządzenie zwracające count == 0 z ustawionym CXL_POISON_FLAG_MORE w każdej iteracji nie zwiększa nr_records, więc zabezpieczenie max_errors nie działa i pętla do/while działa w nieskończoność, trzymając mutex poison. To zawiesza wątek skanowania sysfs i blokuje wszystkie kolejne operacje trucizn na urządzeniu. Poprawka zatrzymuje pętlę przy pustym ładunku.

Podatność w podsystemie cxl/features w jądrze Linuxa dotyczy braku serializacji wieloczęściowych transferów Get/Set Feature. Payload większy niż rozmiar skrzynki mailowej jest dzielony na kilka komend, ale mbox_mutex nie chroni całego transferu. Równoczesne wywołania z fwctl i ścieżek EDAC mogą przeplatać części transferu, co może uszkodzić kontekst urządzenia. Poprawka dodaje per-mailbox feat_mutex trzymany przez cały transfer.

Podatność w systemie plików HFS+ w jądrze Linuxa dotyczy braku walidacji rekordu wątku przed odbudową klucza usuwania. Gdy hfsplus_delete_cat() jest wywoływane z str == NULL, rekonstruuje klucz z thread.nodeName bez sprawdzenia, czy rekord jest prawidłowy. Uszkodzony obraz może podać zbyt długą długość nazwy, co prowadzi do zapisu poza przydzieloną pamięcią. Poprawka używa hfsplus_brec_read_cat(), która ogranicza odczyt i weryfikuje rozmiar rekordu.

Podatność w sterowniku wifi ath12k w jądrze Linuxa dotyczy pozostałych odwołań dp_link_peer podczas wycofywania AP vdev. Gdy tworzenie vdev zawiedzie po ath12k_peer_create(), funkcja nie wywołuje ath12k_dp_link_peer_unassign(), pozostawiając opublikowane referencje wskazujące na potencjalnie zwolnioną pamięć, co prowadzi do użycia po zwolnieniu. Poprawka polega na użyciu ath12k_peer_delete(), które najpierw wykonuje unassign.