Podatności Linux kernel

W jądrze Linux w module RDMA/cma występuje błąd, który powoduje ostrzeżenie WARN_ON w funkcji res_to_rt() podczas asynchronicznego rozwiązywania adresów. Problem pojawia się, gdy funkcja cma_acquire_dev_by_src_ip() zwróci błąd, a zasób i tak jest dodawany do restrack z pustym wskaźnikiem urządzenia. Poprawka polega na dodawaniu zasobu tylko wtedy, gdy pozyskanie urządzenia się powiedzie.

W jądrze Linux w weryfikatorze BPF porównywanie typów iteratorów podczas przycinania stanu nie rozróżnia stanów MEM_RCU i PTR_UNTRUSTED. Może to pozwolić weryfikatorowi na przycięcie niebezpiecznej ścieżki i zaakceptowanie niebezpiecznego programu BPF.

W jądrze Linux w podsystemie UBI funkcja ubi_init_attach() wycofuje nieudane inicjalizacje, skanując ubi_devices[0..i-1] i zakładając, że indeks parametru mtd= odpowiada numerowi urządzenia UBI. Przy jawnie podanym ubi_num założenie jest błędne i pomyślnie podłączone urządzenie może zostać pominięte przy wycofywaniu.

W jądrze Linux w podsystemie UBI funkcja ubi_detach_mtd_dev() pobiera odwołanie do urządzenia przez ubi_get_device() przed sprawdzeniem, czy urządzenie jest zajęte. Ścieżka zwrotu -EBUSY zwalnia ubi->ref_count, ale nie zwalnia odwołania do urządzenia, uniemożliwiając jego późniejsze zwolnienie.

W jądrze Linux w sterowniku ASoC xilinx formatter_pcm funkcja xlnx_formatter_pcm_open() alokuje stream_data i przypisuje wskaźnik strumienia przed dalszą walidacją. Jeśli późniejszy krok zawiedzie, ALSA nie wywołuje zamknięcia, więc stream_data wycieka, a wskaźnik pozostaje wiszący na zwolnionym substreamie.

W jądrze Linux w podsystemie firewire funkcja build_tree() w ścieżce błędu pozostawia zaalokowane instancje węzłów w lokalnej liście. Gdy w sekwencji self ID wykryta zostanie nieprawidłowa wartość, instancje te nie są zwalniane, powodując wyciek pamięci.

W jądrze Linux na architekturze arm64 występuje błąd w obsłudze usług EFI runtime przy włączonym programowym PAN (CONFIG_ARM64_SW_TTBR0_PAN). Kod zarządzania kontekstem fpsimd wywoływany z __efi_fpsimd_begin() może zostać wywłaszczony, przez co po powrocie do kodu EFI wartość TTBR0_EL1 jest nieprawidłowa, co prowadzi do błędu dostępu do pamięci jądra. Problem rozwiązano, zmieniając kolejność przełączania fpsimd tak, aby odbywało się przed zmianą tablicy stron.

W jądrze Linux na architekturze s390 występuje brak wyczyszczenia rejestru docelowego przy błędzie atomowej operacji RMW na wskaźniku arena w BPF. Gdy operacja atomowa z flagą BPF_FETCH powoduje błąd na niezamapowanej stronie arena, program wznawia działanie z nieprawidłową wartością rejestru zamiast zerem, co odbiega od zachowania innych dostępu BPF_PROBE_*. Poprawka uzupełnia pole probe->reg na podstawie bpf_atomic_load_reg().

W jądrze Linux występuje błąd use-after-free w funkcji bpf_trampoline_multi_attach_free przy niepowodzeniu aktualizacji trampoliny BPF. Gdy bpf_trampoline_update() zawiedzie przed wywołaniem modify_fentry_multi()/unregister_fentry_multi(), cur_image pozostaje niezmienione i ftrace nadal do niego wywołuje, a zwolnienie old_image powoduje UAF. Poprawka zwalnia old_image tylko wtedy, gdy różni się od cur_image.

W jądrze Linux występuje zakleszczenie podczas wyrejestrowywania obszaru debugowania s390dbf, gdy jeden z powiązanych plików debugfs jest w trakcie zapisu. Wątek zapisujący debugfs czeka na debug_mutex, który jest trzymany przez debug_unregister() oczekujące na debugfs_file_put(), co prowadzi do zakleszczenia. Poprawka dzieli debug_unregister() na część s390dbf i debugfs, uruchamiając tylko część s390dbf z trzymanym debug_mutex.

W jądrze Linux sterownik zegara samsung_pwm używa zwykłego spinlocka, który przy włączonym PREEMPT_RT na ARM jest konwertowany na blokadę usypiającą (opartą na mutexie). Taka blokada nie może być używana w kontekście atomowym, np. w procedurach obsługi przerwań sprzętowych. Poprawka zmienia samsung_pwm_lock na raw_spinlock, który pozostaje prawdziwym nieusypiającym spinlockiem nawet przy PREEMPT_RT.

Podatność w jądrze Linux w ALSA sequencer MIDI rawmidi dotyczy wyścigu podczas zamykania podstrumienia rawmidi. Funkcja snd_midi_input_event() może działać równolegle z zamykaniem, co prowadzi do dereferencji wskaźnika NULL i awarii jądra. Problem występuje w ścieżce wejściowej i został naprawiony przez serializację zamykania z event_input przy użyciu RCU.

W jądrze Linux wykryto wyścig (race condition) w podsystemie nvmet pomiędzy zmianą limitu max_qid przez configfs a alokacją kontrolera. Może to prowadzić do odczytu/zapisu poza przydzieloną pamięcią (out-of-bounds) oraz potencjalnego uszkodzenia pamięci. Poprawka synchronizuje operacje za pomocą semafora i kopiuje wartość max_qid do struktury kontrolera, eliminując niebezpieczną zależność.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji numeru slotu sierot (orphan slot) podczas odczytu i-węzła. Uszkodzony dinode z flagą OCFS2_ORPHANED_FL może zawierać nieprawidłowy numer slotu, co prowadzi do odczytu poza zakresem pamięci (use-after-free) podczas operacji wymazywania i-węzła.

W jądrze Linux w systemie plików ocfs2 występuje błąd use-after-free wynikający z braku walidacji pola i_dio_orphaned_slot podczas odczytu i-węzła. Uszkodzony dinode append-DIO może zawierać wartość spoza zakresu slotów zamontowanego systemu plików, co prowadzi do użycia nieprawidłowego wskaźnika i błędu UAF w ocfs2_get_system_file_inode(). Poprawka odrzuca aktywny i_dio_orphaned_slot spoza zakresu podczas walidacji dinode.

W jądrze Linux w systemie plików Squashfs występuje błąd polegający na braku sprawdzenia, czy odczytany z dysku offset bloku nie jest ujemny. Ujemny offset (np. do zdekompresowanego bloku fragmentu) powoduje dostęp poza granicami pamięci w squashfs_copy_data(). Poprawka sprawdza, czy offset jest ujemny, i zwraca 0, co jest zgodne z istniejącym zachowaniem dla offsetu poza blokiem.

W jądrze Linuxa w podsystemie SCSI (mpt3sas) funkcja _base_release_memory_pools() nieprawidłowo zwalnia nieprzydzielone bufory SGList PCIe, co może prowadzić do ostrzeżenia "bad dma" na jądrach debug lub do dereferencji wskaźnika NULL.

W jądrze Linux występuje podatność Use-After-Free w funkcji __page_pool_release_netmem_dma w podsystemie page_pool. Wyścig między page_pool_scrub() a zwracaniem stron przez page_pool_put_netmem() na innym CPU powoduje, że przegrany w xa_cmpxchg zwalnia stronę, zanim zwycięzca zakończy dostęp do jej pól, co prowadzi do użycia zwolnionej pamięci.

Podatność w sterowniku systemu plików ntfs3 w jądrze Linuxa. W funkcji mi_enum_attr() niewystarczająca walidacja końcowego numeru klastra wirtualnego (evcn) może prowadzić do przepływu liczb (integer overflow), co umożliwia akceptację nieprawidłowych atrybutów. Naprawa dodaje sprawdzenie zakresu evcn, odrzucając wartości spoza zakresu, z wyjątkiem wartości U64_MAX używanej jako znacznik pustego atrybutu.

W jądrze Linux wykryto podatność use-after-free w funkcji snd_card_do_free() w podsystemie ALSA. Problem występuje, gdy karta dźwiękowa zarządzana przez devres jest odłączana, podczas gdy aplikacja użytkownika nadal trzyma otwarty deskryptor pliku. Po obudzeniu wątku odłączającego, wątek użytkownika odczytuje pole 'managed' z już zwolnionej pamięci, co prowadzi do błędu KASAN.

W jądrze Linuxa w sterowniku HID (haptic) funkcja fill_effect_buf() zapisuje niezainicjalizowaną wartość do nieobsługiwanych użyć (usages), co może skutkować zapisaniem losowych danych do bufora raportu efektu.

W jądrze Linuxa w podsystemie ASoC SOF brakuje walidacji zakresu wolumenu topologii przed alokacją. Odwrócony zakres lub maksimum >= INT_MAX może prowadzić do bezpiecznej alokacji i indeksowania.

W jądrze Linuxa dla architektury RISC-V (RV64) JIT nie wykonuje rozszerzenia znaku dla 1- i 2-bajtowych argumentów kfunc, co narusza ABI. Po zmianie w analizie liveness błędy te wychodzą na jaw.

W jądrze Linuxa w podsystemie ACPI scan, gdy device_add() zawiedzie po alokacji identyfikatora instancji, wycofanie nie czyści wpisów bus-ID, pozostawiając niedostępny numer instancji.

W jądrze Linuxa w sterowniku mailbox qcom-cpucp, funkcja obsługi przerwania wywołuje mbox_chan_received_data() trzymając lock chan->lock. Przy PREEMPT_RT prowadzi to do zakleszczenia (self-deadlock).

W jądrze Linux sterownik skrzynki pocztowej qcom-cpucp (qcom_cpucp_mbox_send_data) bezwarunkowo dereferencjonował wskaźnik danych, który może być NULL. Funkcja mailbox_clear_channel() wywołuje mbox_send_message() z NULL, co powodowało panikę jądra przez NULL pointer dereference, szczególnie w konfiguracji PREEMPT_RT.

W jądrze Linux sterownik riscv-sbi-mpxy nie walidował długości powiadomień RPMI zwracanej przez SBI przed skopiowaniem danych z pamięci współdzielonej do bufora powiadomień. Dodatkowo pętla przetwarzania zdarzeń miała odwrócony warunek i mogła odczytać niepełny rekord zdarzenia.

W jądrze Linux moduł null_blk inicjalizował mutex (mutex_init(&lock)) po zarejestrowaniu podsystemu configfs, przez co wyścigowe mkdir() w /sys/kernel/config/nullb/ mogło wywołać mutex_lock() przed inicjalizacją mutexa. Powodowało to ostrzeżenie DEBUG_LOCKS_WARN_ON i WARNING w kernel/locking/mutex.c.

W jądrze Linux występuje błąd w module null_blk, gdzie podsystem configfs jest rejestrowany przed utworzeniem domyślnych urządzeń. W wyniku wyścigu z przestrzeni użytkownika (mkdir + poweron) może dojść do ostrzeżenia WARN_ON w __add_disk, a w ścieżce błędu do użycia zwolnionej pamięci (UAF).

W jądrze Linux moduł null_blk przy włączonej opcji shared_tags alokuje globalny tag_set przez null_init_global_tag_set(). Jeśli późniejsze tworzenie urządzenia zakończy się błędem, ścieżka err_dev nie zwalnia globalnego tag_set, a ponieważ inicjalizacja modułu się nie powiodła, null_exit() nigdy nie jest wywoływane — tagi i mapy tag_set wyciekają trwale.

W jądrze Linux moduł null_blk alokuje tablicę dev->zones przy włączaniu urządzenia strefowego (null_init_zoned_dev()), ale null_del_dev() nie zwalnia jej przy wyłączaniu — zwolnienie następuje dopiero w null_free_dev() przy usuwaniu katalogu configfs. Ponowne włączenie urządzenia nadpisuje wskaźnik dev->zones, powodując wyciek pamięci przy każdym cyklu zasilania.

W jądrze Linux w module null_blk atrybuty configfs (submit_queues, poll_queues) są zapisywane bez odpowiedniej synchronizacji. Równoległe zapisy przez różne deskryptory plików mogą prowadzić do niespójności stanu urządzenia, np. rozbieżności między submit_queues a rzeczywistą liczbą kolejek lub wyjścia poza zakres tablicy dev->zones[].

W jądrze Linuxa w sterowniku null_blk wykryto podatność polegającą na braku synchronizacji zapisów do atrybutów configfs z procesem konfiguracji urządzenia. Atrybuty mogą być zmieniane współbieżnie z inicjalizacją urządzenia, co prowadzi do niespójności konfiguracji, wyzwolenia ostrzeżeń WARN_ON_ONCE i awarii urządzenia z błędem -EIO. W skrajnych przypadkach może dojść do dereferencji wskaźnika NULL podczas zapisu do urządzenia.

W jądrze Linux w mechanizmie blk-iolatency stan opóźnienia nie jest czyszczony przy zwalnianiu danych polityki. Grupa blk-cgroup może pozostać oznaczona jako przeciążona na stałe, co powoduje ograniczenie readahead i harmonogramowanie throttlingu przy alokacji anonimowych stron.

W jądrze Linux w mechanizmie blk-iocost stan opóźnienia nie jest czyszczony przy zwalnianiu danych polityki. Grupa blk-cgroup może pozostać oznaczona jako przeciążona na stałe, co powoduje ograniczenie readahead i harmonogramowanie throttlingu przy alokacji anonimowych stron.

W jądrze Linux w sterowniku mtip32xx procedury obsługi ioctl nie są synchronizowane z usuwaniem urządzenia. Bit REMOVE_PENDING jest sprawdzany przed wejściem do mtip_hw_ioctl(), ale usunięcie może ustawić go zaraz potem i zwolnić dd->port, podczas gdy ioctl nadal go używa, co prowadzi do use-after-free.

W jądrze Linux w weryfikatorze BPF typ wskaźnika dla atomowych operacji RMW jest zapisywany tylko wtedy, gdy bieżącym celem jest PTR_TO_ARENA. Druga ścieżka może osiągnąć tę samą instrukcję ze zwykłym wskaźnikiem bez porównania z zapisanym typem arena, co prowadzi do niezgodnego użycia instrukcji.

W jądrze Linux w funkcji smbdirect_accept_connect_request() ścieżka błędu rdma_accept_failed niszczyła pule pamięci (mem pools) przed zniszczeniem kolejki QP. Powodowało to, że obiekt recv_io pozostawał aktywny w momencie niszczenia pamięci podręcznej slab, co prowadziło do ostrzeżenia "Slab cache still has objects", a następnie do dereferencji NULL w mempool_free_bulk.

W jądrze Linux wykryto podatność w module SMB Direct (smbdirect), polegającą na zwalnianiu oczekujących gniazd potomnych przed zniszczeniem identyfikatora cm_id nasłuchującego. Powoduje to użycie po zwolnieniu (use-after-free) w funkcji _cma_cancel_listens(), co może prowadzić do awarii systemu lub eskalacji uprawnień.

W jądrze Linux w serwerze SMB (ksmbd) występuje podatność na odwołanie do wskaźnika null (null-ptr-deref) w funkcji ksmbd_ipc_tree_connect_request(). Problem pojawia się, gdy alokacja nazwy udziału (share->name) zawiedzie, a kod nie sprawdza tego błędu przed użyciem nazwy w strlen().

W jądrze Linux w serwerze SMB (ksmbd) występuje podatność na nieprawidłowe odwołanie do wskaźnika w funkcji ksmbd_stop_durable_scavenger(). Gdy utworzenie wątku (kthread_run) zawiedzie, zmienna dh_task zawiera błąd ERR_PTR, a późniejsze wywołanie kthread_stop() na tym wskaźniku prowadzi do nieprawidłowego odwołania.

W jądrze Linux w serwerze SMB (ksmbd) funkcja ksmbd_server_init() nie przerywa inicjalizacji, gdy ksmbd_proc_init() zawiedzie. ksmbd_proc_init() zwraca void, więc błędy alokacji nie są wykrywane, co prowadzi do użycia nieprawidłowych wskaźników przy późniejszym wywołaniu ksmbd_proc_reset() i tworzeniu wpisów w /proc.

W jądrze Linux w serwerze SMB (ksmbd) podczas inicjalizacji modułu, gdy późniejszy inicjalizator zawiedzie, nie jest wywoływana funkcja ksmbd_proc_cleanup(), co prowadzi do wycieku zasobów (drzewo /proc i liczniki per-CPU).

W jądrze Linux w serwerze SMB (ksmbd) występuje podatność Use-After-Free i podwójnego zwolnienia (double-free) w funkcji smb2_lock(). Przyznane zamki są publikowane na listach conn->lock_list i fp->lock_list natychmiast po sukcesie vfs_lock_file(), ale pozostają również na liście rollback_list. Jeśli późniejszy element w tablicy żądań zawiedzie, pętla rollback może zwolnić już zwolniony obiekt, gdyż równoczesne żądanie UNLOCK może go usunąć.

W jądrze Linux w systemie plików EROFS występuje podatność na odczyt poza zakresem (out-of-bounds read) w przypadku nieprawidłowych przeplatanych klastrów ztailpacking. Obrazy systemu plików mogą zawierać nieprawidłowe klastry, co prowadzi do odczytu z zmapowanej strony i kopiowania nieistotnej pamięci jądra do widocznej dla użytkownika pamięci podręcznej stron.

W jądrze Linux w module lwt_bpf występuje podatność polegająca na nieprawidłowym sprawdzaniu zapasowego miejsca w nagłówku (headroom) po wykonaniu programu BPF typu LWT_XMIT. Sprawdzenie używa hard_header_len, co nie uwzględnia wyrównania wymaganego przez ścieżkę z buforowanym nagłówkiem sąsiada (neigh_hh_output), co może prowadzić do odrzucenia pakietu.

W jądrze Linux w mechanizmie BPF występuje podatność polegająca na tym, że funkcje bpf_setsockopt() i bpf_getsockopt() mogą być wywoływane w hookach cgroup UNIX getname (BPF_CGROUP_UNIX_GETPEERNAME i BPF_CGROUP_UNIX_GETSOCKNAME) bez trzymania zamka gniazda, co prowadzi do ostrzeżenia sock_owned_by_me().

W jądrze Linux w sterowniku m68k nfcon występuje zakleszczenie (deadlock) spowodowane wywołaniem console_is_registered() w funkcji nfcon_device(), gdy funkcja .device() jest wywoływana z trzymanym zamkiem console_list_lock, a console_is_registered() próbuje go ponownie nabyć.

W jądrze Linux w mechanizmie BPF występuje podatność polegająca na tym, że program BPF w hooku cgroup getsockopt może ustawić ujemną wartość ctx->optlen, co jest akceptowane i przekazywane do kodu TCP getsockopt, prowadząc do ostrzeżenia hardened usercopy (bytes > INT_MAX).

W jądrze Linux w podsystemach BPF i XDP przeniesiono sprawdzanie programów do funkcji dev_xdp_install(), aby uniemożliwić podmianę zwykłego programu XDP na program offloaded/device-bound przy użyciu BPF_LINK_UPDATE, który wcześniej omijał weryfikację i umożliwiał wykonanie takiego programu na ścieżce programowej.