Podatności Linux kernel

W jądrze Linux w sterowniku dmaengine dw-edma funkcja dw_edma_abort_interrupt() zwalnia blokadę vc.lock przed aktualizacją stanu żądania i kanału. W tym oknie issue_pending() może odczytać stary stan zajętości i pominąć uruchomienie zakolejkowanych deskryptorów, a następnie procedura przerwania nadpisuje stan kanału jako bezczynny, trwale pozostawiając nowe deskryptory bez obsługi.

W jądrze Linux w sterowniku dmaengine dw-edma funkcje pause() i resume() odczytują i modyfikują stan kanału bez blokady vc.lock, podczas gdy procedury przerwania robią to pod nią. Może to doprowadzić do zapisania żądania pauzy na już bezczynnym kanale, którego żadne przerwanie nie potwierdzi, trwale zakleszczając kanał.

W jądrze Linux w sterowniku ASoC meson funkcja meson_card_reallocate_links() powiększa tablice DAI link i danych prywatnych dwoma kolejnymi wywołaniami krealloc(), aktualizując wskaźniki dopiero po obu sukcesach. Gdy pierwszy krealloc() przeniesie dane, a drugi zawiedzie, card->dai_link wskazuje zwolniony blok, co prowadzi do use-after-free i podwójnego zwolnienia.

W jądrze Linux w sterowniku iio dac ad5686 brakuje sprawdzenia wskaźnika chip_info na wartość NULL. Jeśli użytkownik powiąże sterownik przez driver_override w sysfs z nazwą urządzenia nieobecną w id_table lub of_match_table, dane dopasowania będą NULL.

W jądrze Linux w sterowniku RDMA hfi1 funkcja set_txreq_header_ahg() ignoruje wartość zwracaną przez sdma_txinit_ahg(). Gdy inicjalizacja zawiedzie, tx->txreq nie jest zainicjowany, ale wywołujący kontynuuje przetwarzanie żądania tak, jakby się powiodło.

W jądrze Linux w sterowniku RDMA rxe funkcja rxe_requester() nie waliduje pól num_sge/cur_sge dla WQE pochodzących z kolejki użytkownika. Lokalny nieuprzywilejowany użytkownik może zakolejkować WQE z poza zakresem cur_sge lub zbyt dużym num_sge, wymuszając odczyt poza zakresem tablicy sge w copy_data() (vmalloc OOB read).

W jądrze Linux w sterowniku irqchip gic-v3-its funkcja its_vpe_irq_domain_alloc() nie wywołuje its_vpe_teardown() w ścieżce błędu, gdy its_irq_gic_domain_alloc() zawiedzie. Powoduje to wyciek zasobów przypisanych do danego przerwania.

W jądrze Linux w module RDMA nldev atrybut RDMA_NLDEV_ATTR_STAT_HWCOUNTERS jest atrybutem zagnieżdżonym, którego elementy podrzędne są odczytywane bezpośrednio przez nla_get_u32(). Polityka najwyższego poziomu waliduje tylko kontener, nie ustalając stałego rozmiaru każdego elementu podrzędnego.

W jądrze Linux w module ACPI processor wyszukiwanie hotplug IOAPIC parsuje rekordy MADT i _MAT bez pełnej walidacji granic. Wcześniej używano zadeklarowanej długości podtablicy do przesuwania kursora po zlokalizowaniu jedynie nagłówka generycznego, a ścieżka _MAT przekazywała nagłówek generyczny do funkcji pomocniczej IOAPIC.

W jądrze Linux w module ACPI PCI funkcja acpi_pci_root_add() przypisuje nowo przydzielony root do device->driver_data przed dmar_device_add() i pci_acpi_scan_root(). Tylko ścieżka pci_acpi_scan_root() czyści driver_data przed zwolnieniem root, więc gdy dmar_device_add() zawiedzie, pozostaje wiszący wskaźnik. Ten sam problem występuje w acpi_pci_root_remove().

W jądrze Linux w asystentach BPF dla kolejek i stosów (pop/peek) bufor wyjściowy nie był zerowany w przypadku nieudanego przejęcia zamka. Programy BPF mogły obserwować niezainicjalizowane dane ze stosu. Poprawka polega na wyzerowaniu bufora przed zwróceniem błędu -EBUSY.

W jądrze Linux dla architektury RISC-V w mechanizmie BPF JIT występuje wyciek pamięci. Gdy kompilacja JIT nie powiedzie się dla późniejszego podprogramu, funkcja bpf_jit_free() nie zwalnia tablicy offsetów kontekstu, co prowadzi do wycieku pamięci. Poprawka dodaje brakujące kfree.

W jądrze Linux dla RISC-V z włączoną opcją CFI_CLANG, podczas tailcall w BPF występuje uszkodzenie stosu jądra. Z powodu podwójnego pomijania instrukcji kcfi, skok przeskakuje o dodatkowe 4 bajty, pomijając korektę wskaźnika stosu. Poprawka usuwa to podwójne uwzględnienie.

W jądrze Linux dla RISC-V, w obsłudze wyjątków dla operacji load_acquire w BPF, brakuje wpisu w tablicy extable, co przy błędzie dostępu prowadzi do paniki (oops). Ponadto, w przypadku błędu rejestr rd nie jest zerowany, co może powodować wyciek danych przez mapę. Poprawka sprawdza warunek ret >= 0 przed dodaniem handlera i przekazuje rd dla LOAD_ACQ, aby przy błędzie wyzerować rejestr.

W jądrze Linux w mechanizmie BPF, w obsłudze instrukcji BPF_RES_SPIN_LOCK, sprawdzenie offsetu błędnie używa pola offset dla BPF_SPIN_LOCK zamiast res_spin_lock_off. Poprawka zmienia to sprawdzenie na właściwe pole.

W jądrze Linux w mechanizmie BTF, funkcja btf_find_struct_field() inicjalizuje nową maskę 'seen' przy każdym rekurencyjnym zejściu, co powoduje, że unikalne pola specjalne na różnych poziomach tej samej struktury nie są widziane wzajemnie. Może to prowadzić do duplikatów pól, które wyzwalają ostrzeżenie WARN_ON_ONCE() w btf_parse_fields(). Odpowiednio spreparowany BTF od użytkownika może wywołać to ostrzeżenie przed sprawdzeniem uprawnień. Poprawka inicjalizuje maskę raz i przekazuje ten sam wskaźnik przez całą trawersację.

W jądrze Linux w sterowniku RDMA/erdma występuje błąd use-after-free związany z taskletem CEQ podczas usuwania urządzenia. Funkcja free_irq() nie opróżnia taskletu już zaplanowanego przez handler przerwania, więc tasklet może uzyskać dostęp do zwolnionych buforów EQ (eq->qbuf lub eq->dbrec) po wywołaniu erdma_eq_destroy().

W jądrze Linux w module RDMA/mana_ib występuje błąd use-after-free podczas częściowego wstawiania tabeli QP. Funkcja mana_table_store_ud_qp() publikuje QP przed wstawieniem identyfikatora kolejki odbiorczej, zwalniając blokadę XArray, co pozwala równoległemu handlerowi ukończenia pobrać przejściową referencję; gdy druga operacja wstawiania się nie powiedzie, wycofywanie usuwa tylko wpis kolejki wysyłającej, pozostawiając referencje i prowadząc do use-after-free.

W jądrze Linux wykryto podatność use-after-free w funkcji ib_query_qp() w podsystemie RDMA/core. Problem wynika z nieprawidłowej synchronizacji podczas zapytania o QP przez netlink, gdy QP jest jednocześnie niszczony, co może prowadzić do dostępu do zwolnionej pamięci.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_destroy_cq_user(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co CQ pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_destroy_srq_user(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co SRQ pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji counter_release(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co licznik pozostaje dostępny przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_free_cq(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co CQ pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_dealloc_pd_user(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co PD pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie firmware arm_scmi występuje wyścig podczas usuwania żądanego urządzenia. Funkcja scmi_protocol_device_unrequest() zwalnia blokadę scmi_requested_devices_mtx podczas powiadamiania słuchaczy, zachowując wskaźnik do listy; gdy dwa sterowniki SCMI tego samego protokołu wyrejestrowują się równocześnie, jeden wątek może zwolnić nagłówek listy, a drugi użyć go po zwolnieniu lub zwolnić ponownie.

W jądrze Linux w podsystemie iommu/amd występuje niezdefiniowane zachowanie w funkcji debugfs devid_write. Gdy pętla for_each_pci_segment() zakończy się bez znalezienia pasującego segmentu, wskaźnik pci_seg nie jest NULL, lecz wskazuje na nagłówek listy, a dostęp do pci_seg->id po pętli powoduje niezdefiniowane zachowanie.

W jądrze Linux w sterowniku thermal intel int3400 funkcja evaluate_odvp() tworzy pliki sysfs ODVP przed zarejestrowaniem strefy termicznej i innych zasobów. Ścieżka sprzątania po błędzie wywołuje cleanup_odvp() tylko w późnym przypadku awarii sysfs, przez co błędy występujące po evaluate_odvp(), w tym awarie thermal_tripless_zone_device_register(), pozostawiają pliki i pamięć ODVP. Poprawka przenosi sprzątanie ODVP do wspólnej ścieżki ART/TRT i czyści buforowane wskaźniki ODVP.

W jądrze Linux naprawiono zakleszczenie typu ABBA w funkcji ext4_xattr_inode_cache_find() występujące przy równoczesnych operacjach na rozszerzonych atrybutach (xattr) z opcją montowania ea_inode. Zakleszczenie powstawało między transakcją trzymającą referencję do wpisu mbcache a wątkiem usuwającym (eviction) ten sam i-węzeł EA. Rozwiązaniem jest nowa flaga EXT4_IGET_NOWAIT, która wykonuje nieblokujące wyszukiwanie i-węzła i zwraca -ENOENT zamiast oczekiwać na zakończenie usuwania lub tworzenia.

W jądrze Linux naprawiono błąd wyścigu w systemie plików ext4 dotyczący zapisu danych inline. Podczas równoczesnego zapisu i obsługi błędu strony (page fault) stan danych inline mógł zostać zmieniony między funkcjami write_begin i write_end, co prowadziło do dereferencji wskaźnika NULL lub utraty danych. Rozwiązanie polega na przekazywaniu stanu zapisu przez parametr fsdata oraz zastąpieniu krytycznego BUG_ON łagodną obsługą błędu z ponowieniem operacji.

W jądrze Linux naprawiono podatność w systemie plików ext4, gdzie uszkodzony katalog mógł wywołać błąd use-after-free (wykrywany przez KASAN) podczas wywołania ext4_readdir(). Funkcja ext4_dir_llseek() unieważnia cookie katalogu, co powoduje ponowne skanowanie wpisów, a uszkodzone pole rec_len może wskazać offset, w którym blok nie ma miejsca na pełny wpis katalogowy. Prowadzi to do odczytu poza zakresem bloku i potencjalnego dostępu do zwolnionej pamięci.

W jądrze Linux w sterowniku wifi ath6kl procedury obsługi zdarzeń WMI ath6kl_wmi_scan_complete_rx(), ath6kl_wmi_addba_req_event_rx() oraz ath6kl_wmi_delba_req_event_rx() odczytują dane z bufora zdarzenia bez uprzedniego sprawdzenia, czy komunikat jest wystarczająco duży. Poprawka dodaje kontrole długości zapobiegające nadczytowi bufora.

W jądrze Linux w sterowniku wifi ath12k funkcja ath12k_wmi_op_rx() odczytuje bufor firmware bez uprzedniego sprawdzenia, czy zawiera on wystarczającą ilość danych na nagłówek. Może to prowadzić do nadczytu bufora. Poprawka dodaje weryfikację, że bufor zawiera co najmniej nagłówek wmi_cmd_hdr przed odczytem.

W jądrze Linux w sterowniku wifi ath11k funkcja ath11k_wmi_tlv_op_rx() odczytuje bufor firmware bez uprzedniego sprawdzenia, czy zawiera wystarczającą ilość danych na nagłówek. Może to prowadzić do nadczytu bufora. Poprawka dodaje kontrolę długości przed potraktowaniem skb->data jako wmi_cmd_hdr, umieszczoną przed wywołaniem trace_ath11k_wmi_event() w celu zachowania istniejącej semantyki śledzenia.

W jądrze Linux w module RDMA/bnxt_re funkcja bnxt_re_mmap() odrzuca flagę VM_WRITE dla stron DBR_PAGE i TOGGLE_PAGE, ale mapowanie tylko do odczytu może nadal zachować VM_MAYWRITE i zostać później rozszerzone przez mprotect(PROT_WRITE). Pozwala to obejść kontrolę zapisu wykonywaną tylko w momencie mmap. Poprawka czyści VM_MAYWRITE przed vm_insert_page() w gałęzi wspólnej dla DBR/toggle-page.

W jądrze Linux w funkcji ext4_init_orphan_info() występuje wyciek referencji buffer_head. Gdy odczyt bloku pliku sierot się powiedzie, ale walidacja magic lub sumy kontrolnej nie powiedzie się, pętla zwalniająca bufory pomija bufor o bieżącym indeksie, co prowadzi do wycieku pamięci.

W jądrze Linux moduł amd_pstate_ut nie sprawdza, czy sterownik amd-pstate jest aktywny, co powoduje NULL pointer dereference przy modprobe na platformach Intel. Brak wykrywania stanu sterownika amd-pstate prowadzi do awarii jądra.

W jądrze Linux w sterowniku cpufreq/amd-pstate funkcje amd_pstate_power_supply_notifier() i amd_pstate_profile_set() nie obsługują przypadku, gdy cpufreq_cpu_get() zwraca NULL. Może to prowadzić do NULL pointer dereference przy wyścigu z hotplug CPU lub niszczeniem sterownika.

W jądrze Linux funkcja scmi_protocol_table_register() może pozostawić wcześniej zarejestrowane żądania, gdy późniejszy wpis w tabeli ID zawiedzie. Każde żądanie zachowuje wskaźnik do tabeli ID sterownika, co po zwolnieniu pamięci modułu może prowadzić do dangling pointer.

W jądrze Linux funkcja scmi_driver_register() żąda urządzeń protokołu przed rejestracją sterownika. Jeśli driver_register() zawiedzie, żądania pozostają w globalnym IDR i zachowują wskaźniki do tabeli ID modułu, co po zwolnieniu pamięci modułu prowadzi do dangling pointer.

W jądrze Linux sterownik RDMA/erdma w funkcjach erdma_destroy_qp(), erdma_destroy_cq(), erdma_dereg_mr() i erdma_destroy_ah() zwraca wcześnie, gdy erdma_post_cmd_wait() zawiedzie, co powoduje wyciek buforów kolejek, MTT, doorbells oraz identyfikatorów STAG, QPN, CQN i AHN.

W jądrze Linux system plików exfat zeruje lukę w page-cache poniżej nowego valid_size przy rozszerzaniu przez zapis buforowany lub page fault. Zapis przez współdzielone mapowanie może wyścignąć się z tym zerowaniem i zostać nadpisany.

W jądrze Linux podprogramy BPF używają ABI bpf_callback_t, ale task work wywołuje callback przez wskaźnik funkcji z trzema argumentami. Powoduje to niezgodność CFI (kCFI).

W jądrze Linux w funkcji bpf_tracing_link_release występuje ostrzeżenie spowodowane nadpisaniem flag tr->flags przez 'tr->flags = BPF_TRAMP_F_TAIL_CALL_CTX' w weryfikatorze. Prowadzi to do uszkodzenia trampoliny i niepowodzenia przywrócenia instrukcji nop.

W jądrze Linux w funkcji find_pos_and_ways() ścieżka błędu zwalnia referencję do dekodera switch przed zalogowaniem komunikatu zawierającego jego nazwę. Jeśli była to ostatnia referencja, dekoder może zostać zwolniony, zanim komunikat odczyta jego nazwę, co prowadzi do use-after-free.

W jądrze Linux mechanizm liveupdate (LUO) nie zapamiętywał statusu nieudanej próby retrieve() na FLB, co powodowało ponowne wywołanie callbacku retrieve() przy kolejnej próbie. Ponowna próba jest problematyczna, ponieważ FLB może być w innym stanie (np. część stron KHO mogła już zostać przywrócona i zwolniona).

W jądrze Linux sterownik pinctrl: mediatek rejestrował gpio_chip za pomocą niezarządzanego gpiochip_add_data(), mimo że pamięć była alokowana przez devm. Gdy sterowniki mogą być budowane jako moduły i usuwane, devm zwalnia pamięć gpio_chip, gdy jest on wciąż zarejestrowany, powodując use-after-free.

W jądrze Linux funkcja mtk_eint_do_init() tworzy domenę IRQ, mapowania i łańcuchowy handler, ale nigdy ich nie zwalnia. Gdy sterowniki mogą być budowane jako moduły i usuwane, pozostawia to wiszącą domenę IRQ, mapowania wskazujące na zwolnioną pamięć oraz handler odwołujący się do zwolnionych danych.

W jądrze Linux sterownik scsi: ufs: core nieprawidłowo walidował deskryptory łańcuchowe. Przekazywał liczbę bajtów zamiast liczby jednostek UTF-16 do utf16s_to_utf8s(), co mogło powodować odczyt poza buforem deskryptora, a kopiowanie bLength bajtów mogło wykraczać poza bufor odpowiedzi.

W jądrze Linux ścieżka ukończenia single-doorbell może wywołać ufshcd_compl_one_cqe() z NULL CQE. Jeśli żadne polecenie nie jest powiązane z tagiem ukończenia, komunikat ostrzeżenia dereferencjonuje CQE podczas raportowania błędu.

W jądrze Linux sterownik scsi: ufs: core nie walidował liczby podłączonych linii. Liczba ta jest używana przez kod equalizacji TX do indeksowania tablic o rozmiarze UFS_MAX_LANES, co może prowadzić do indeksowania poza zakresem.