Podatności Linux kernel

W jądrze Linux naprawiono podatność w podsystemie net/smc, gdzie dla gniazd IPPROTO_SMC nie ustawiano wskaźnika icsk_sync_mss, mimo że flaga INET_PROTOSW_ICSK była aktywna. Prowadziło to do paniki jądra (NULL pointer dereference) podczas tworzenia gniazda, np. przez mechanizmy bezpieczeństwa takie jak Smack.

W jądrze Linux rozwiązano podatność w drm/amd/display: system zawieszał się podczas wznawiania z monitorem TBT. Podczas wznawiania HPD monitora Thunderbolt wywoływał drm_client_modeset_probe(), gdy connector->dev->master było NULL, co zaburzało topologię potoku. Poprawka pomija HPD monitora TBT podczas wznawiania.

W jądrze Linux w komponencie drm/xe/hdcp brakuje sprawdzenia ważności struktury GSC. Gdy xe_gsc nie jest zainicjalizowana podczas sprawdzania możliwości HDCP, dochodzi do błędu null pointer.

W jądrze Linux w funkcji dcn401_init_hw sterownika drm/amd/display występuje potencjalne odwołanie do wskaźnika NULL. Problem może wystąpić, gdy dc->clk_mgr lub dc->clk_mgr->funcs ma wartość NULL. Poprawka dodaje sprawdzenie tych wskaźników przed ich użyciem.

W jądrze Linux rozwiązano podatność w drm/amd/display: dodano sprawdzenie NULL dla wskaźnika funkcji w dcn401_set_output_transfer_func. Wcześniej set_output_gamma było sprawdzane pod kątem NULL, ale następnie dereferencjonowane bez sprawdzenia, co mogło prowadzić do dereferencji wskaźnika NULL. Poprawka zapewnia, że set_output_gamma nie jest NULL przed wywołaniem.

W jądrze Linux w funkcji amdgpu_dm_update_cursor dodano sprawdzenie null dla zmiennej 'afb'. Wcześniej zakładano, że 'afb' jest null w linii 8388, ale używano jej później bez sprawdzenia, co mogło prowadzić do dereferencji null pointer.

W jądrze Linux w sterowniku drm/amdgpu dodano sprawdzenie pustej listy, aby uniknąć problemów z dereferencją wskaźnika null w niektórych przypadkach brzegowych podczas iteracji list_for_each_entry_safe().

W jądrze Linux w sterowniku drm/xe użytkownik może zablokować się w sytuacji, gdy jego powiązania (binds) mapują się na silniki, które mogą zgłaszać błędy (faults), a te zależą od ukończenia powiązań użytkownika. Aby tego uniknąć, dla powiązań użytkownika na urządzeniach zgłaszających błędy użyto zarezerwowanego silnika kopiowania.

W jądrze Linuxa zidentyfikowano podatność związaną z niewłaściwą definicją wartości dla AMDGPU_DMUB_NOTIFICATION_MAX, co prowadzi do potencjalnego dostępu do elementów poza granicami tablicy.

W jądrze Linuxa naprawiono podatność związaną z błędem KASAN, który występował podczas zapisu danych niezgodnych z 4-bajtowym wyrównaniem do TX FIFO. Problem ten można było zreprodukować, zapisując 3 bajty danych do chipu NOR.

W jądrze Linux w sterowniku hns3 występuje luka polegająca na możliwości wyjścia poza zakres tablicy podczas pętli iterującej tnl_num. Wartość tnl_num pochodzi ze sprzętu, a długość tablicy jest stała, co może prowadzić do odczytu lub zapisu poza jej granicami.

W jądrze Linux w sterowniku drm/amdgpu/vcn usunięto wywołania wyłączające przerwania IRQ w procedurze zawieszania VCN 5, ponieważ w wersji 5.0.0 VCN IRQ nie jest bezpośrednio włączane ani wyłączane. Zmiana eliminuje ostrzeżenie "WARN_ON(!amdgpu_irq_enabled(adev, src, type))" w amdgpu_irq_put().

W jądrze Linux w podsystemie cachefiles ustawiono maksymalny rozmiar podżądania zapisu do MAX_RW_COUNT, aby zapobiec przekroczeniu maksymalnego zapisu do systemu plików.

W jądrze Linux w serwerze SMB naprawiono potencjalną dereferencję wskaźnika null w funkcji smb2_open(), która występowała gdy poziom oplock to SMB2_OPLOCK_LEVEL_LEASE, a parse_lease_state() zwracało NULL. Poprawka polega na sprawdzeniu, czy lease_ctx_info nie jest NULL.

W jądrze Linux rozwiązano podatność w sterowniku idpf dotyczącą wycieków pamięci i awarii podczas miękkiego resetu. Podczas resetu alokowano nowy zestaw kolejek z tymczasową strukturą vport, co prowadziło do use-after-free, podwójnej alokacji pamięci i wycieków, a także pozostawiania interfejsu w niespójnym stanie. Poprawka polega na niealokowaniu nowego zestawu kolejek podczas resetu oraz przywróceniu starego numeru kolejki i ponownym otwarciu interfejsu przy wycofaniu zmian.

W jądrze Linux w sterowniku idpf występuje błąd use-after-free podczas niszczenia kolejek. Sterownik zwalnia wektory przerwań z osadzonymi NAPI przed zwolnieniem kolejek, przez co wskaźniki NAPI w page_pool wskazują na zwolnioną pamięć. Poprawka odwraca kolejność alokacji i zwalniania, aby wektory były alokowane najpierw i zwalniane na końcu.

W jądrze Linux rozwiązano podatność w BPF: naprawiono awarię spowodowaną dostępem poza granice do reg2btf_ids. Commit e6ac2450d6de dodał obsługę kfunc i zdefiniował reg2btf_ids do tłumaczenia typu rejestru verifiera na odpowiedni BTF ID. Commit c25b2ae13603 przeniósł __BPF_REG_TYPE_MAX, co spowodowało, że bezpośrednie użycie reg->type do indeksowania reg2btf_ids może wykraczać poza zakres, prowadząc do dostępu poza granice i awarii jądra.

W jądrze Linux w sterowniku wifi rtw89 (funkcja WoW - Wake on Wireless) występuje błąd polegający na umieszczeniu zbyt dużego bufora skb, co przekracza skb->end i powoduje panikę jądra (skb_over_panic) podczas wznawiania systemu z uśpienia. Podatność została naprawiona.

W jądrze Linux naprawiono podatność w sterowniku wifi rtw89, gdzie skanowanie offload próbowało użyć wszystkich kanałów 6 GHz nawet gdy 6 GHz sband było NULL (np. zablokowane przez BIOS). Dodano obsługę NULL, aby uniknąć awarii.

W jądrze Linux w podsystemie blokowym funkcja blkcg_init_queue() może dodawać struktury rq qos do kolejki żądań, ale blk_cleanup_queue() nie zwalnia ich, gdy kolejka nie ma dysku (np. nieobecne LUN-y SCSI, kolejka administracyjna NVMe). Powoduje to wyciek pamięci.

W jądrze Linux w obsłudze ACPI CPPC (Collaborative Processor Performance Control) występuje błąd polegający na używaniu bit_width zamiast access_width do określania rozmiaru dostępu do pamięci systemowej. Ponieważ bit_width może przyjmować dowolną wartość 8-bitową i nie zawsze jest wyrównany do granicy 8 bitów, dochodzi do nieprawidłowych dostępów do pamięci, co na platformie Cobalt 100 powodowało asynchroniczny wyjątek SError i panikę jądra podczas inicjalizacji sterownika cppc_cpufreq.

W jądrze Linux występuje błąd dereferencji wskaźnika null w API funkcji scatterwalk dla algorytmów kryptograficznych. Występuje on, gdy użytkownik skonstruuje złośliwy pakiet z określoną konfiguracją gniazda, co może pozwolić lokalnemu użytkownikowi na zawieszenie systemu lub eskalację uprawnień.

W funkcji setup_async_work w implementacji KSMBD (serwer Samba w jądrze) oraz CIFS w jądrze Linux wykryto lukę use-after-free. Atakujący może spowodować awarię systemu, uzyskując dostęp do zwolnionej pracy.

W podsystemie BPF jądra Linux znaleziono błąd zakleszczenia (deadlock). Błąd ten pozwala lokalnemu użytkownikowi na potencjalne zawieszenie systemu.

W drivers/tty/n_gsm.c w jądrze Linux 6.2 występuje wywołanie funkcji usypiającej z nieprawidłowego kontekstu w gsmld_write, co może zablokować jądro. Strona trzecia zakwestionowała ten problem jako niebędący prawdziwą podatnością.

W jądrze Linux w sterowniku nouveau wykryto błąd use-after-free. Użytkownik może wywołać przepełnienie pamięci powodujące awarię funkcji nvkm_vma_tail. Podatność pozwala lokalnemu użytkownikowi na zawieszenie systemu lub potencjalne podniesienie uprawnień.

Funkcja afu_mmio_region_get_by_offset w drivers/fpga/dfl-afu-region.c w jądrze Linux do wersji 6.1.12 zawiera przepełnienie liczb całkowitych.

W jądrze Linux w mechanizmie Page Table Isolation (KPTI) występuje luka o nazwie "EntryBleed". Może ona pozwolić lokalnemu atakującemu na wyciek bazy KASLR za pomocą kanałów bocznych prefetch opartych na czasie TLB w systemach Intel.

W podsystemie NTFS3 jądra Linux występuje błąd double-free, gdy użytkownik jednocześnie wywoła remount i umount. Może to doprowadzić do awarii systemu lub potencjalnej eskalacji uprawnień.

W jądrze Linux w funkcji rose_connect() występuje warunek wyścigu związany z licznikiem rose_neigh->use. Podczas usuwania trasy przez rose_ioctl() sterownik usuwa sąsiadów tylko gdy ich liczniki 'count' i 'use' są zerowe, co może prowadzić do niespójności.

W funkcjonalności PLP Rose jądra Linux wykryto błąd use-after-free, gdy użytkownik wywołuje warunek wyścigu, wywołując bind jednocześnie z funkcją rose_bind(). Błąd pozwala lokalnemu użytkownikowi na zawieszenie systemu lub potencjalną eskalację uprawnień.

W funkcji filelock_init w fs/locks.c jądra Linux znaleziono błąd. Może on prowadzić do wyczerpania pamięci hosta, ponieważ memcg nie ogranicza liczby blokad plików POSIX.

W jądrze Linux w stosie protokołu smc wykryto lukę polegającą na odczycie poza zakresem pamięci. Może ona zostać wykorzystana zdalnie do wywołania odmowy usługi.

Występuje błąd w obsłudze flagi dumpable, gdy pewne binaria SUID wykonują swoje procesy potomne. Warunkiem jest binarium SUID ustawiające rzeczywisty UID równy efektywnemu UID oraz rzeczywisty GID równy efektywnemu GID; proces potomny ma wtedy dumpable ustawione na 1. Jeśli proces potomny ulegnie awarii, a core_pattern ma wartość względną, zrzut pamięci jest zapisywany w bieżącym katalogu z uprawnieniami uid:gid.

W mechanizmie deduplikacji pamięci jądra Linux wykryto lukę. Wcześniejsze badania wykazały, że deduplikacja pamięci może być atakowana lokalnie; tę samą technikę można zastosować, jeśli atakujący może przesłać pliki wielkości strony i wykryć zmianę czasu dostępu z usługi sieciowej, aby ustalić, czy strona została scalona.

W podsystemie cgroupv2 jądra Linux w wersjach przed 5.7.10 wykryto błąd dereferencji wskaźnika null podczas ponownego uruchamiania systemu. Lokalny użytkownik może wykorzystać tę podatność do zawieszenia systemu lub podniesienia uprawnień.

Overlayfs w jądrze Linux oraz shiftfs (niebędący częścią głównego jądra patch do jąder Ubuntu 5.0 i 5.3) zastępują vma->vm_file w swoich handlerach mmap. W przypadku błędu oryginalna wartość nie jest przywracana, a referencja jest zwalniana dla pliku, na który wskazuje vm_file. W jądrach głównych nie jest to problemem, ponieważ żaden wywołujący nie dereferencjonuje vm_file po błędzie call_mmap(). Jednak patche aufs zmieniają mmap_region(), zastępując fput() zmienną lokalną przez vma_fput(), co powoduje fput() na vm_file i prowadzi do niedomiaru licznika referencji.

Jądro Linux 4.14.67 nieprawidłowo obsługuje interakcje między komunikatami XFRM Netlink, pakietami IPPROTO_AH i IPPROTO_IP. Lokalny użytkownik z uprawnieniami roota może wywołać odmowę usługi (zużycie pamięci i zawieszenie systemu) poprzez uruchomienie spreparowanych aplikacji.

Funkcja check_stack_boundary w jądrze Linux do wersji 4.14.8 pozwala lokalnym użytkownikom na spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie innych nieokreślonych skutków poprzez niewłaściwe zarządzanie operacjami odczytu zmiennych ze stosu.

W jądrze Linuxa do wersji 4.14.8 występuje luka, która pozwala lokalnym użytkownikom na spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie inny nieokreślony wpływ, z powodu braku egzekwowania wyrównania wskaźnika stosu.

W jądrze Linuxa do wersji 4.14.8 występuje podatność, która pozwala lokalnym użytkownikom na wywołanie odmowy usługi (uszkodzenie pamięci) poprzez niewłaściwe użycie wskaźników zamiast skalarów.

W jądrze Linuxa do wersji 4.14.8 występuje podatność, która pozwala lokalnym użytkownikom na wywołanie odmowy usługi poprzez przepełnienie całkowite i uszkodzenie pamięci, wykorzystując nieograniczone wartości całkowite w arytmetyce wskaźników.

W jądrze Linuxa do wersji 4.14.8 występuje podatność, która pozwala lokalnym użytkownikom na wywołanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie inny nieokreślony wpływ, wykorzystując błędne obliczenia granic BPF_RSH.

W jądrze Linuxa do wersji 4.14.8 występuje podatność, która pozwala lokalnym użytkownikom na wywołanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie inny nieokreślony wpływ poprzez niewłaściwe zarządzanie operacjami ALU 32-bitowymi.

W jądrze Linuxa do wersji 4.14.8 występuje podatność, która pozwala lokalnym użytkownikom na wywołanie odmowy usługi (uszkodzenie pamięci) poprzez niewłaściwe zarządzanie skracaniem rejestrów.

Funkcja raw_sendmsg() w jądrze Linux do wersji 4.14.6 zawiera warunek wyścigu w inet->hdrincl, co prowadzi do użycia niezainicjowanego wskaźnika stosu. To umożliwia lokalnemu użytkownikowi wykonanie kodu i uzyskanie uprawnień.

Jądro Linux w wersji 2.6.32 i nowszych jest podatne na atak typu denial of service. Zatopienie portu diagnostycznego 0x80 może wywołać wyjątek prowadzący do paniki jądra.

Jądro Linux w wersji 3.3-rc1 i późniejszych zawiera podatność związaną z przetwarzaniem przychodzących poleceń L2CAP - ConfigRequest i ConfigResponse. Wycieki informacji wynikają z niezainicjowanych zmiennych stosu, które mogą być zwracane napastnikowi w ich niezainicjowanym stanie.

Funkcja bnep_add_connection w jądrze Linux przed wersją 3.19 nie zapewnia dostępności gniazda l2cap, co pozwala lokalnym użytkownikom na uzyskanie uprawnień za pomocą odpowiednio przygotowanej aplikacji.

Funkcja dccp_disconnect w jądrze Linux do wersji 4.14.3 umożliwia lokalnym użytkownikom uzyskanie uprawnień lub spowodowanie odmowy usługi (use-after-free) poprzez wywołanie systemowe AF_UNSPEC connect w stanie DCCP_LISTEN.