Podatności Linux kernel

W jądrze Linux w sterowniku coresight etm4x w ścieżce włączania perf brakuje wywołań cscfg_csdev_disable_active_config() w dwóch przypadkach: gdy wybrano branch broadcast nieobsługiwany przez sprzęt oraz gdy etm4_enable_hw() zawiedzie. Prowadzi to do wycieku config_desc->active_cnt. Poprawka wywołuje cscfg_csdev_disable_active_config() w tych ścieżkach błędów.

W jądrze Linux sterownik BRBE (arm_pmuv3) nie inicjalizuje pola hw_id w strukturze stosu gałęzi perf, mimo że jest ono przekazywane do przestrzeni użytkownika. Zgodnie z dokumentacją pole to powinno mieć wartość 0 dla architektur przechowujących surowe rekordy gałęzi w kolejności wieku.

W jądrze Linux sterownik arm_mpam powoduje dereferencję wskaźnika NULL, gdy użytkownik odłączy MSC po wcześniejszym wywołaniu mpam_disable() w reakcji na przerwanie błędu. Funkcja mpam_disable() ustawia drvdata na NULL, a callback usuwania sterownika nie sprawdza tego stanu.

W jądrze Linux sterownik arm_mpam pozwala na odłączenie MSC przez sysfs, co może prowadzić do use-after-free. Gdy odłączany MSC jest ostatnim dla danego komponentu, struktura mpam_component zostaje zwolniona, a następnie odczytywana przez resctrl_arch_get_config() przy dostępie do pliku schemata.

W jądrze Linux wykryto lukę w weryfikatorze BPF dotyczącą instrukcji load-acquire (BPF_LOAD_ACQ). W przeciwieństwie do zwykłego BPF_LDX, load-acquire nie jest zamieniany na BPF_PROBE_MEM, więc JIT generuje zwykłe ładowanie bez wpisu w tablicy wyjątków — błąd dostępu do pamięci powoduje panikę jądra zamiast być obsłużony. Problem dotyczy wskaźników wymagających ochrony przed błędami, takich jak PTR_TO_BTF_ID czy PTR_TO_MEM | MEM_RDONLY | PTR_UNTRUSTED.

W jądrze Linux w sterowniku scsi: sd obsługa błędów w sd_probe() jest nieprawidłowa, gdy zawiedzie sd_large_pool_create() po udanym device_add(&sdkp->disk_dev). Ścieżka out_free_index wywołuje kfree() na już zarejestrowanym urządzeniu i wycieka wpis sysfs.

W jądrze Linux w sterowniku scsi: sd występuje wyciek strony mempool special_vec, gdy scsi_alloc_sgtables() zawiedzie w sd_setup_unmap_cmnd() lub sd_setup_write_same{10,16}_cmnd(). Warstwa SCSI nie wywołuje uninit_command(), ponieważ RQF_DONTPREP nie jest jeszcze ustawione, co powoduje wyciek strony.

W jądrze Linux w systemie plików btrfs w trybie zoned funkcja btrfs_delayed_refs_rsv_refill() zwraca -EAGAIN, gdy nadmiarowo zakomitowane metadane przekraczają dostępny rozmiar w grupie bloków metadanych. Jeśli wystąpi to podczas reclaimu, transakcja jest przerywana, mimo że -EAGAIN jest warunkiem przejściowym.

W jądrze Linux w systemie plików Btrfs wykryto podatność prowadzącą do konfliktu zakresów zapisu (nakładających się uporządkowanych rozszerzeń), co może powodować panikę jądra. Problem wynika z nieoczekiwanego cofnięcia rozmiaru pliku po nieudanym zapisie bezpośrednim, przez co nie są oczekiwane na zakończenie istniejących operacji zapisu.

W jądrze Linux w systemie plików btrfs można ustawić POSIX ACL nawet gdy root ma ustawioną właściwość tylko do odczytu. Ścieżka kodu set_acl nie sprawdza flagi read-only roota, ponieważ odpowiedni test został usunięty w commicie 353c2ea735e4.

W jądrze Linux w systemie plików btrfs funkcja btrfs_read_merkle_tree_page() może znaleźć stronę (folio), która nie jest aktualna (not-uptodate). Po zablokowaniu strony kod traktuje to jako błąd odczytu i zwraca -EIO, co powoduje, że przejściowy błąd odczytu staje się trwały. Poprawka polega na ponowieniu odczytu elementu Merkle, gdy znaleziono nieaktualną stronę, oraz na odblokowaniu strony w przypadku błędu read_key_bytes().

W jądrze Linux w systemie plików btrfs na dyskach zoned (strefowych) występuje błąd powodujący sporadyczne przerwanie transakcji i przełączenie systemu plików w tryb tylko do odczytu. Problem pojawia się podczas intensywnego przenoszenia danych (relokacji), gdy zapis metadanych w funkcji btree_writepages() napotyka aktywną grupę bloków o wyższym adresie logicznym, co prowadzi do błędu -EAGAIN i aborcji transakcji. Poprawka polega na opróżnieniu aktywnych grup bloków metadanych i systemowych na początku btree_writepages(), aby uniknąć zakleszczenia i umożliwić dalszy postęp zapisu.

W jądrze Linux, w systemie plików btrfs na dyskach strefowych (zoned), funkcja btree_csum_one_bio() zerowała folio bufora ekstentowego przed wysłaniem, co niszczyło bufor w pamięci, gdy mógł być jeszcze używany. To prowadziło do uszkodzenia drzewa ekstentów. Poprawka zapisuje zera na dysk ze wspólnej strony zerowej, pozostawiając zawartość bufora nietkniętą.

W jądrze Linux, w systemie plików btrfs, w funkcji qgroup_free_reserved_data() występuje błędne obliczenie długości (len). Użycie round_up(start + len, sectorsize) daje zaokrągloną pozycję końcową zamiast długości, co prowadzi do zbyt dużej długości i błędnych obliczeń. Poprawka wprowadza lokalne zmienne aligned_start i aligned_len.

W jądrze Linux, w sterowniku pinctrl dla układów Airoha, brakuje podpięcia funkcji .irq_request_resources. Bez tego gpiolib nie może ustawić flagi GPIOD_FLAG_USED_AS_IRQ, co łamie blokowanie kierunku pinu i może pozwolić na rekonfigurację aktywnego pinu IRQ jako wyjścia.

W jądrze Linux, w sterowniku Bluetooth virtio_bt, funkcja virtbt_setup_zephyr() przekazuje odpowiedź na komendę Zephyr 0xfc08 jako string "%s" bez sprawdzenia długości, co może prowadzić do odczytu poza zakresem (OOB) pamięci sąsiedniej. Poprawka ogranicza drukowanie do skb->len - 1 za pomocą "%.*s".

W jądrze Linux, w Bluetooth L2CAP, pole hci_conn::l2cap_data jest dostępne bez blokad w l2cap_disconn_ind, co może prowadzić do użycia po zwolnieniu (UAF), jeśli l2cap_conn zostanie usunięty równocześnie. Poprawka używa proto_lock do ochrony l2cap_data.

W jądrze Linux, w Bluetooth hci_conn, kontekst SCO setup jest przydzielany z destruktorem NULL, co prowadzi do wycieku pamięci, gdy wpis jest anulowany. Dodatkowo kontekst przechowuje goły wskaźnik hci_conn, co może prowadzić do użycia po zwolnieniu. Poprawka trzyma połączenie i zwalnia je w destruktorze.

W jądrze Linux, w Bluetooth hci_sync, instancja reklamy przydzielana w adv_timeout_expire() nie jest zwalniana w przypadku błędu lub anulowania, co prowadzi do wycieku pamięci. Poprawka zwalnia bufor z destruktora oraz w wywołującym, gdy nie można go umieścić w kolejce.

W jądrze Linux, w Bluetooth MGMT, komenda mesh_send_cancel() jest kolejkowana z destruktorem NULL, co prowadzi do wycieku pamięci, gdy wpis jest anulowany. Wyciek blokuje również referencję do gniazda, przez co gniazdo MGMT nigdy nie jest zwalniane. Poprawka zwalnia komendę z destruktora.

W jądrze Linux w podsystemie Bluetooth MGMT występuje wyciek pamięci, gdy polecenie HCI jest anulowane. Polecenie nie jest zwalniane, co prowadzi do wycieku pamięci i utrzymywania referencji do gniazda mgmt, które nigdy nie jest zwalniane.

W jądrze Linuxa w podsystemie Bluetooth (MSFT) brakuje walidacji długości prefiksu zdarzeń (evt_prefix_len) względem rzeczywistej długości odpowiedzi. Kontroler może zadeklarować długość do 255 bajtów, a jądro skopiuje dane spoza odpowiedzi, co prowadzi do odczytu nieautoryzowanych danych.

W jądrze Linux w podsystemie BPF i cgroup występuje błąd null-ptr-deref po zastąpieniu programu. Gdy program A (pusty) jest zastępowany programem B używającym BPF_MAP_TYPE_PERCPU_CGROUP_STORAGE, nie przydzielono wymaganego storage, co prowadzi do paniki przy uruchomieniu nowego programu.

W jądrze Linux w sterowniku iio: light: gp2ap002 występuje niezbalansowane zarządzanie runtime PM przy wielokrotnych zapisach zdarzeń. Podwójne włączenie powoduje wyciek referencji runtime PM, a podwójne wyłączenie powoduje underflow licznika i ostrzeżenie.

W jądrze Linux naprawiono błąd w net/sched cls_api dotyczący usuwania przejętego protokołu w przypadku przegranej wyścigu przy wstawianiu. Gdy żądanie przegrywa wyścig w tcf_chain_tp_insert_unique(), zmienna tp_created nie była czyszczona, przez co ścieżka błędu usuwała aktywny klasyfikator należący do zwycięskiego żądania. Wprowadzono trójstanową zmienną śledzącą wynik operacji wstawiania.

W jądrze Linux w podsystemie BPF występuje wyciek mmap_lock w ścieżce irq_work. Zagnieżdżony wywołujący może ponownie użyć slotu przed pierwszym wywołaniem, co prowadzi do podwójnego zablokowania mmap_lock i wycieku blokady, blokując exit_mmap().

W jądrze Linux w module AppArmor wykryto podatność polegającą na przepełnieniu liczby całkowitej w funkcji verify_tags() podczas walidacji tabeli tagsetów z pakietu polityki. Atakujący może dostarczyć specjalnie spreparowaną politykę, która omija kontrolę granic i powoduje odczyt poza przydzieloną pamięcią. Problem jest osiągalny przez nieuprzywilejowanego użytkownika w zagnieżdżonej przestrzeni nazw, jeśli włączona jest opcja unprivileged_userns_apparmor_policy=1.

W jądrze Linux w sterowniku fbdev: kyro występuje brak walidacji współrzędnych viewportu overlay. Duże wartości wejściowe mogą powodować zawijanie się obliczeń 32-bitowych, co prowadzi do nieprawidłowych współrzędnych przekazywanych do SetOverlayViewPort().

W jądrze Linux występuje błąd w podsystemie iommu/dma dotyczący braku blokady wokół listy msi_page_list. W przypadku gdy wiele urządzeń przypisanych do maszyny wirtualnej przez legacy kontener VFIO type1 współdzieli tę samą domenę IOMMU (np. ARM SMMU z IOMMU_RESV_SW_MSI), równoczesne wywołania iommu_dma_get_msi_page() mogą uszkodzić tę listę. Problem został rozwiązany poprzez przywrócenie statycznej blokady msi_prepare_lock.

W jądrze Linux w podsystemie iommu/vt-d występuje problem z czyszczeniem bitu Present przed zburzeniem skopiowanego wpisu kontekstu. Zerowanie wpisu przy ustawionym bicie Present pozostawia okno, w którym sprzęt może pobrać uszkodzony wpis, prowadząc do nieprzewidywalnego zachowania lub fałszywych błędów.

W jądrze Linux w podsystemie iommu/vt-d występuje wyciek referencji iopf_refcount podczas zastępowania domeny na poziomie RID. Funkcje identity_domain_attach_dev() i blocking_domain_attach_dev() nie wyłączają IOPF dla starej domeny, co prowadzi do wycieku referencji. W rezultacie licznik nigdy nie spada do zera, co powoduje ostrzeżenie WARN_ON przy zwalnianiu urządzenia.

W jądrze Linux w podsystemie iommu/vt-d, podczas niepowodzenia inicjalizacji urządzenia, konteksty trybu skalowalnego nie są usuwane przed zwolnieniem tabeli PASID. Może to prowadzić do sytuacji, w której IOMMU odwołuje się do zwolnionej pamięci. Poprawka nakazuje wykonanie teardown przed zwolnieniem tabeli, analogicznie do ścieżki zwalniania urządzenia.

W jądrze Linux w podsystemie iommu/vt-d, podczas usuwania aliasów DMA, funkcja intel_context_flush_no_pasid() używa nieprawidłowego identyfikatora SID (zawsze requester ID urządzenia zamiast aliasu). Powoduje to, że wpisy kontekstu w pamięci podręcznej nie są unieważniane dla aliasów, co może prowadzić do użycia zwolnionej pamięci przez IOMMU.

W jądrze Linux w sterowniku media: amd: isp4, funkcja isp4if_alloc_fw_gpumem() nie zwalnia wcześniej przydzielonych pul pamięci GPU, gdy jedna z kolejnych alokacji nie powiedzie się. Powoduje to wyciek pamięci. Poprawka zwalnia już przydzielone pule przed zwróceniem błędu.

W jądrze Linux w sterowniku media: amd: isp4, funkcja isp4sd_pwron_and_init() powoduje zakleszczenie (deadlock) w ścieżce błędu, ponieważ ponownie próbuje uzyskać mutex ops_mutex, który już trzyma. Poprawka zmienia obsługę błędów na stopniowe zwalnianie zasobów, unikając zakleszczenia i innych problemów, takich jak niedomiar runtime-PM.

W jądrze Linux naprawiono podatność w module netfilter nft_ct dotyczącą obsługi niestandardowych oczekiwań (expectations). Wcześniejsza implementacja mogła prowadzić do uszkodzenia listy oczekiwań poprzez nieprawidłowe wskaźniki po realokacji rozszerzeń conntracka. Poprawka przenosi obsługę oczekiwań do wewnętrznego helpera conntracka i wprowadza funkcję nf_conntrack_helper_release().

W jądrze Linux w podsystemie NFS, gdy klient nie może zarejestrować delegacji otrzymanej od serwera, nie wysyła DELEGRETURN. Powoduje to, że serwer myśli, że klient nadal trzyma delegację, co prowadzi do problemów z odwołaniem delegacji i pętli w menedżerze stanu klienta. Poprawka nakazuje zwrócenie delegacji w tych ścieżkach błędów.

W jądrze Linux w sterowniku nvme-pci, pule deskryptorów DMA nie są zwalniane podczas niepowodzenia inicjalizacji (probe) po przydzieleniu zestawu tagów admin. Powoduje to wyciek obiektów dma_pool. Poprawka dodaje zwalnianie pul w ścieżce błędu out_disable.

Podatność w jądrze Linux dotyczy sterownika AMT (Automatic Multicast Tunneling). Umożliwia ona tworzenie urządzeń AMT na urządzeniu niższej warstwy w innej przestrzeni nazw sieciowych, co prowadzi do ostrzeżenia jądra i zawieszenia systemu podczas wyrejestrowywania urządzenia. Poprawka zakazuje takiej konfiguracji między przestrzeniami nazw.

W jądrze Linux występuje błąd w mechanizmie AppArmor dotyczący ograniczenia przejścia do nieograniczonego profilu (unconfined) dla zadań już objętych stosem profili. Nieprawidłowe zastosowanie ograniczenia pozwala na ucieczkę z sandboxa, jeśli możliwe jest wykonanie dwóch przejść przez profil unconfined. Poprawka przenosi sprawdzenie do etapu budowania etykiety profilu, tak aby zawsze weryfikowano względem unconfined.

W podsystemie nvmet jądra Linux funkcja nvmet_execute_identify_ns_zns() wywołuje bdev_is_zoned() na wskaźniku req->ns->bdev, który dla przestrzeni nazw opartej na pliku jest NULL. Host może wysłać polecenie Identify z CNS 05h i CSI 02h, co prowadzi do dereferencji NULL i awarii jądra (oops). Poprawka odrzuca polecenie, gdy przestrzeń nazw nie jest oparta na urządzeniu blokowym.

W jądrze Linux polecenie NVME_IOCTL_SUBMIT_IO nie wywołuje funkcji nvme_cmd_allowed(), w przeciwieństwie do IO_CMD i IO64_CMD. Nieuprzywilejowany użytkownik może w ten sposób wykonywać operacje I/O na urządzeniu partycji lub zapisywać przez deskryptor pliku otwarty tylko do odczytu. Poprawka przekazuje flagi i open_for_write oraz odrzuca niedozwolone polecenia z błędem -EACCES.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_getsockopt() zawsze zapisuje 4 bajty przez put_user(), niezależnie od wartości optlen podanej przez użytkownika. Wywołanie z optlen < 4 powoduje zapis poza buforem użytkownika, naruszając kontrakt getsockopt(2). Poprawka odrzuca wywołania z optlen < sizeof(u32), z dodatkowym sprawdzeniem wartości ujemnych.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_getsockopt() odczytuje wskaźnik llcp_sock->local przed założeniem blokady gniazda, a następnie używa go w sekcji krytycznej. Wyścig z równoległym wywołaniem bind() może spowodować użycie zwolnionego wskaźnika (use-after-free). Poprawka przenosi odczyt i sprawdzenie NULL do sekcji chronionej przez lock_sock().

W podsystemie NFC NCI jądra Linux funkcje nci_close_device() i nci_rx_work mogą równocześnie wywołać nci_data_exchange_complete(), co prowadzi do podwójnego wywołania sock_put() i niedomknięcia licznika referencji gniazda. Powoduje to zwolnienie gniazda będącego w użyciu (use-after-free). Poprawka zastępuje clear_bit() funkcją test_and_clear_bit(), dzięki czemu tylko pierwszy wywołujący kontynuuje.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_recv_snl() przetwarza listę TLV bez ograniczenia odczytów do rzeczywistych danych skb, co prowadzi do niedomknięcia długości, odczytu poza buforem i błędu w strncmp()/nfc_llcp_sock_from_sn(). Sąsiednie urządzenie NFC może to wykorzystać bez uwierzytelnienia, ponieważ aktywacja łącza LLCP następuje automatycznie po NFC-DEP. Poprawka przechodzi po TLV wskaźnikiem z ograniczeniem do skb_tail_pointer() i waliduje długości.

W jądrze Linux w sterowniku NFC pn533 występuje błąd use-after-free. Funkcja __pn533_send_async() publikuje polecenie, a następnie wywołuje send_frame(), podczas gdy równolegle obsługa przerwania I2C może zakończyć polecenie i zwolnić bufor skb, zanim transport zakończy jego używanie.

W jądrze Linux w podsystemie NFC NCI funkcje parsujące pakiet CORE_INIT_RSP nie sprawdzają długości bufora skb. Złośliwa lub uszkodzona odpowiedź może zadeklarować dużą liczbę interfejsów RF przy niedostatecznej ilości danych, powodując odczyt niezainicjalizowanej pamięci.

W jądrze Linux w podsystemie ALSA seq funkcja bounce_error_event() osadza wskaźnik data.ext.ptr w ładunku bounce, który następnie trafia do przestrzeni użytkownika. Prowadzi to do wycieku adresu jądra (8 bajtów na 64-bit), mimo że odczyt nagłówka zdarzenia jest czyszczony.

W jądrze Linux w sterowniku RDMA cxgb4 funkcja c4iw_alloc() tworzy drzewo debugfs, ale nie usuwa go w c4iw_dealloc(). Gdy rejestracja urządzenia RDMA się nie powiedzie, ścieżka err_dealloc_ctx pomija c4iw_remove(), powodując wyciek wpisów debugfs.