Podatności Linux kernel

W funkcji cedrus_init_ctrls() w sterowniku media cedrus jądra Linux handler kontrolek V4L2 jest inicjalizowany przed alokacją pamięci dla ctx->ctrls. Jeśli alokacja się nie powiedzie, funkcja zwraca -ENOMEM bez zwolnienia wcześniej przydzielonych zasobów handlera, co prowadzi do wycieku pamięci.

W sterowniku media cobalt jądra Linux funkcja snd_cobalt_card_create() zapisuje cobsc w sc->private_data i ustawia snd_cobalt_card_private_free() jako sc->private_free. Jeśli cobalt_alsa_init() zawiedzie, ścieżka err_exit_free wywołuje snd_card_free(sc), a następnie kfree(cobsc), co powoduje podwójne zwolnienie tego samego obiektu.

W sterowniku media cx23885 jądra Linux funkcja netup_ci_exit() zwalnia netup_ci_state, podczas gdy jego element roboczy netup_read_ci_status() może być wciąż oczekujący lub uruchomiony w systemowej kolejce roboczej. Worker uzyskuje stan przez container_of() i go dereferencjonuje, więc nie może przetrwać zwolnienia stanu.

W sterowniku media em28xx jądra Linux ścieżka audio-only rejestruje rozszerzenia podczas sondowania urządzenia głównego, co dla płyt dual-TS następuje przed utworzeniem dev_next. Zduplikowane urządzenie dziedziczy is_audio_only i jest niezależnie wstawiane do em28xx_devlist, co może prowadzić do use-after-free podczas rozłączenia.

W sterowniku media em28xx jądra Linux przy urządzeniu z has_dual_ts=1 i ścieżką is_audio_only zarówno dev, jak i dev->dev_next są dodawane do globalnej listy em28xx_devlist. Podczas rozłączenia em28xx_close_extension(dev) usuwa tylko dev->devlist, pozostawiając dev->dev_next->devlist w globalnej liście, co po zwolnieniu dev_next prowadzi do wiszącego wskaźnika i uszkodzenia listy.

W sterowniku media go7007 jądra Linux funkcja go7007_snd_init() pobiera referencję v4l2_device dla strony ALSA, ale go7007_snd_remove() zwalnia ją natychmiast po wywołaniu snd_card_free_when_closed(). Jest to zbyt wcześnie, gdy proces użytkownika wciąż ma otwarty PCM przechwytywania, co może prowadzić do use-after-free.

W sterowniku media i2c imx415 jądra Linux ścieżka VBLANK zwracała natychmiast, gdy programowanie VMAX nie powiodło się po pobraniu referencji runtime PM przez pm_runtime_get_if_in_use(). Prowadzi to do wycieku referencji runtime PM.

W sterowniku media i2c ov02a10 jądra Linux funkcja ov02a10_check_hwcfg() wywołuje fwnode_handle_put(ep) natychmiast po alokacji i parsowaniu endpointu, ale następnie używa tego samego uchwytu 'ep' w fwnode_property_read_u32(), co prowadzi do use-after-free. Dodatkowo odczyt opcjonalnej właściwości 'ovti,mipi-clock-voltage' nadpisywał zmienną 'ret', powodując niepowodzenie sondowania.

W sterowniku media i2c ov7740 jądra Linux funkcja ov7740_remove() miała poważny błąd kolejności niszczenia: niszczyła mutex sterownika przed zwolnieniem handlera kontrolek V4L2, który zależy od tego mutexa, co prowadziło do paniki jądra (use-after-destroy). Dodatkowo sterownik wywoływał v4l2_ctrl_handler_free() i mutex_destroy() sekwencyjnie, a następnie ov7740_free_controls(), który wywołuje je ponownie, powodując podwójne zwolnienie.

W jądrze Linux w funkcji isys_notifier_init() sterownika media intel/ipu6 występuje wyciek zasobów. Gdy parsowanie lub dodanie endpointu zakończy się błędem w połowie pętli, funkcja wraca bez wywołania v4l2_async_nf_cleanup(), pozostawiając wcześniej dodane połączenia v4l2_async_connection na liście oczekujących notyfikatora.

W jądrze Linux w sterowniku media platform mtk-mdp3 funkcja mdp_probe() nieprawidłowo zarządza licznikiem referencji urządzenia SCP. Ścieżka awaryjna zwalnia referencję uzyskaną przez __get_pdev_by_id() zbyt wcześnie, a następnie scp_put() zwalnia ją ponownie, co prowadzi do podwójnego zwolnienia referencji.

W jądrze Linux w sterowniku media platform mtk-mdp3 brakuje sprawdzenia poprawności po wyszukaniu urządzenia SCP. Jeśli sterownik SCP nie został jeszcze powiązany, może dojść do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku media rc sunxi-cir po udanej rejestracji urządzenia rc_register_device() ścieżki błędów próbkowania nie wyrejestrowują urządzenia. Wywoływane jest jedynie rc_free_device(), co pozostawia zarejestrowane urządzenie rc i powiązane zasoby.

W jądrze Linux w dekoderze media rkvdec HEVC funkcja st_ref_pic_set_prediction() oblicza indeks RPS jako st_rps_idx - (delta_idx_minus1 + 1) na typach u8. Gdy delta_idx_minus1 + 1 przekracza bieżący indeks, odejmowanie się zawija i dostęp do tablicy calculated_rps_st_sets[ref_rps_idx] następuje daleko poza granicami.

W jądrze Linux w sterowniku rtl2832_sdr funkcja rtl2832_sdr_start_streaming() przy błędzie alokacji lub wysyłania URB-ów nie zwalniała wcześniej przydzielonych buforów DMA ani struktur URB. Prowadziło to do wycieku pamięci DMA oraz do odczytu poza tablicą urb_list[] przy kolejnej próbie uruchomienia strumieniowania, co mogło skutkować użyciem nieprawidłowych wskaźników.

W jądrze Linux w sterowniku media s2255 funkcja s2255_fillbuff() kopiuje vc->jpg_size bajtów ramki JPEG/MJPEG do płaszczyzny vb2. Wartość vc->jpg_size pochodzi bezpośrednio z nagłówka S2255_MARKER_FRAME wysyłanego przez urządzenie i nie jest ograniczana, co pozwala na zapis poza buforem.

W jądrze Linux w sterowniku media s2255 funkcja s2255_probe() odczytuje 4-bajtowy znacznik i wersję z ostatnich 8 bajtów obrazu firmware. Jeśli plik firmware jest krótszy niż 8 bajtów, fw_size - 8 ulega zawinięciu i dostęp następuje poza granicami bufora.

W jądrze Linux w sterowniku media saa7164 funkcja saa7164_dev_setup() dodaje urządzenie do globalnej listy saa7164_devlist przed żądaniem regionów pamięci PCI BAR. Gdy get_resources() zawiedzie, urządzenie pozostaje na liście, a ścieżka błędu próbkowania zwalnia je, pozostawiając wiszący wpis.

W jądrze Linux w sterowniku media tda18250 występuje możliwość przepełnienia liczby całkowitej, gdy zmienna exp ma wartość zero. Operacja przesunięcia bitowego 1 << (exp - 1) może wtedy prowadzić do niezdefiniowanego zachowania.

W jądrze Linuxa w sterowniku VPE (Video Processing Engine) dla platform TI wykryto podatność polegającą na braku synchronizacji pracy wątku odzyskiwania po przepełnieniu FIFO oraz obsługi przerwań z procesem zatrzymywania strumienia. Może to prowadzić do użycia po zwolnieniu (use-after-free) zasobów strumienia, gdy przerwanie lub praca wątku zostanie wykonana po zakończeniu jego życia.

W jądrze Linux w module media v4l2-async występuje błąd polegający na usuwaniu niepowiązanego wpisu ASC przy błędzie tworzenia łącza. Wywołanie list_del() na wpisie, który nie został jeszcze wstawiony do listy, może spowodować dereferencję NULL zamiast zwrócenia oryginalnego błędu.

W jądrze Linux w module media v4l2-ctrls brakuje walidacji liczników RPS w HEVC EXT SPS. Sterowniki dekoderów mogą indeksować poza tablice dynamiczne, jeśli wartości SPS przekraczają limity HEVC (64 zestawy krótkoterminowe, 32 referencje długoterminowe) lub przekraczają maksimum DPB.

W jądrze Linux w funkcji v4l2_fwnode_parse_link() modułu media v4l2-fwnode występuje wyciek referencji fwnode. Referencja zdalnego punktu końcowego pozyskana przez fwnode_graph_get_remote_endpoint() nie jest zwalniana na ścieżce sukcesu.

W jądrze Linux w sterowniku media video-i2c wskaźnik błędu wątku jądra pozostaje w kthread_vid_cap po niepowodzeniu. Powoduje to, że kolejne wywołanie start_streaming() zwraca sukces bez uruchomienia wątku, a stop_streaming() wywołuje kthread_stop() na wskaźniku błędu, co prowadzi do awarii jądra.

W jądrze Linux w sterowniku media zoran występuje podwójne zwolnienie zarejestrowanego video_device. Funkcja zoran_exit_video_devices() wywołuje video_unregister_device(), a następnie kfree() na tym samym obiekcie, który jest już zwalniany przez callback zoran_vdev_release().

W jądrze Linux w sterowniku media qcom iris użycie disable_irq_nosync() podczas wyłączania zasilania nie czeka na zakończenie obsługi wątkowego IRQ. Procedura obsługi może nadal działać po odcięciu zasilania VPU i uzyskiwać dostęp do rejestrów sprzętowych.

W jądrze Linux w sterowniku media chips-media wave5 funkcja stop_streaming może w niektórych przypadkach wejść w nieskończoną pętlę. Wprowadzono ograniczone odpytywanie statusu kolejki z limitem czasu VPU_DEC_STOP_TIMEOUT.

W jądrze Linux w sterowniku media chips-media wave5 funkcja device_run() odkłada job_finish() nawet gdy nie zakolejkowano DEC_PIC, co prowadzi do wycieku współdzielonego slotu zadania v4l2_m2m. Powoduje to zawieszenie wszystkich instancji dekodera przy EOS, np. w GStreamer.

W jądrze Linux sterownik media chips-media wave5 ustawia flagę EOS, komunikując się z firmware przez send_firmware_command(), co wymaga dostępu do zarejestrowanych rejestrów VPU. Ścieżki STREAMOFF i V4L2_DEC_CMD_STOP mogą być wykonane, gdy urządzenie jest w stanie uśpienia runtime, co powoduje dostęp do wyłączonego sprzętu i asynchroniczny wyjątek SError, prowadzący do paniki jądra.

W jądrze Linux sterownik scsi qla2xxx w obsłudze FRU/I2C bsg używa bufora DMA o rozmiarze 256 bajtów, który nie jest zerowany, i inicjalizuje tylko kilka początkowych bajtów. Funkcja qla2x00_write_sfp() może nadpisać długość transferu wartością podaną przez użytkownika (do 255 bajtów), co powoduje odczyt niezainicjalizowanej pamięci sterty i zapis do flash urządzenia.

W jądrze Linux sterownik scsi qla2xxx w handlerach I2C bsg używa pola i2c->length (16-bit) bez sprawdzenia granic, podczas gdy bufor ma stały rozmiar 64 bajtów. Może to prowadzić do przepełnienia stosu i sterty oraz wycieku pamięci, gdy długość przekracza rozmiar bufora.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla_chk_edif_rx_sa_delete_pending() występuje dereferencja wskaźnika NULL, gdy polecenie SCSI jest już zwrócone lub przerwane. Może to prowadzić do awarii jądra w kontekście przerwania.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla28xx_validate_flash_image() zwraca QLA_SUCCESS bezwarunkowo, co powoduje, że transport FC BSG nie kończy zadania w przypadku błędu. Prowadzi to do wycieku zasobów warstwy blokowej i zawieszenia żądania aż do timeoutu.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla24xx_report_id_acquisition() występuje use-after-free, ponieważ wirtualny port jest używany po zwolnieniu blokady vport_slock bez pobrania referencji. Współbieżne qla24xx_deallocate_vp_id() może zwolnić port, prowadząc do uszkodzenia pamięci.

W jądrze Linux sterownik scsi qla2xxx w funkcjach qla_nvme_fcp_abort() i qla_nvme_ls_abort() wywołuje INIT_WORK() przed schedule_work(), co przy wielokrotnym przerwaniu tego samego polecenia może spowodować korupcję listy workqueue i awarię lub zapętlenie workera.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla2x00_do_dport_diagnostics() alokuje bufor odpowiedzi bez zerowania i kopiuje pełny rozmiar struktury do przestrzeni użytkownika, ujawniając niezainicjalizowane pola i wyciekając zawartość sterty jądra.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla2x00_update_fru_versions() kopiuje żądanie BSG do bufora stosu o stałym rozmiarze 256 bajtów i iteruje list->count razy bez ograniczenia, co może prowadzić do odczytu poza buforem i wysłania danych z pamięci stosu do urządzenia.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_fw_state_show() mimo wykrycia, że układ jest wyłączony lub EEH jest zajęte, ponownie wysyłała polecenie mailbox qla2x00_get_firmware_state() poza blokadą optrom_mutex. Mogło to zawiesić adapter podczas resetu ISP lub odzyskiwania po błędzie PCI.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() przepuszczała nie-SCSI wpisy SRB do szybkiej ścieżki SCSI, gdzie odczytywany był wskaźnik sp->u.scmd.cmd. Nieoczekiwany STATUS_TYPE IOCB dla uchwytu innego niż SCSI mógł spowodować odczyt wskaźnika śmieciowego i dereferencję dzikiego wskaźnika.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2xxx_delete_qpair() usuwała kolejkę żądań przed kolejką odpowiedzi, pozostawiając okno, w którym przerwanie MSI-X odpowiedzi mogło odwołać się do zwolnionej pamięci rsp->req. Prowadzi to do use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_error_entry() odczytywała ha->req_q_map[que] dwukrotnie, co przy równoczesnym wyzerowaniu slotu przez qla25xx_free_req_que() mogło spowodować dereferencję wskaźnika NULL.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla24xx_report_id_acquisition() w ścieżce format-1 wywoływała qla_update_host_map() bez blokady vport_slock, co mogło powodować wyścig z równoległymi aktualizacjami host_map i uszkodzenie drzewa btree.

W jądrze Linux w sterowniku scsi: qla2xxx kilka procedur obsługi bsg używało niezainicjalizowanego bufora stosu o rozmiarze 256 bajtów, a następnie kopiowało całą strukturę do odpowiedzi, ujawniając dane ze stosu. Dotyczyło to m.in. qla2x00_read_fru_status() i qla2x00_read_i2c().

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla_nvme_xmt_ls_rsp() bezwarunkowo wywoływała qla_nvme_ls_reject_iocb() nawet gdy firmware nie był uruchomiony, powodując zapis doorbell i kolejkę IOCB, których zatrzymany firmware nie mógł obsłużyć, oraz dostęp MMIO w oknie resetu/EEH.

W jądrze Linux w systemie plików f2fs funkcja redirty_blocks() mogła wykonać dodatkową iterację pętli czyszczącej, gdy read_cache_folio() zawiodło przed przypięciem jakichkolwiek folio, powodując zbyt wczesne zwolnienie referencji (folio_put_refs z 2). Prowadziło to do błędu "BUG: Bad page state" przy późniejszym drop_caches lub reclaim.

W jądrze Linux w f2fs funkcja F2FS_IOC_MOVE_RANGE sprawdza zakres źródłowy, ale nie sprawdza końca zakresu docelowego przed aktualizacją i_size. Dziura w źródle może to ujawnić, ponieważ __clone_blkaddrs() pomija wpisy NULL_ADDR i zwraca sukces, pozwalając na rozszerzenie i-węzła docelowego bez sprawdzenia pos_out + len.

W jądrze Linux w f2fs funkcja f2fs_xattr_advise_set() wywołuje inode_owner_or_capable() z &nop_mnt_idmap zamiast idmap przekazanego przez VFS do handlera ->set(). Na montowaniach z idmap powoduje to sprawdzanie fsuid wywołującego względem niezmapowanego właściciela na dysku.

W jądrze Linux w f2fs nazwy plików odzyskiwania są przechowywane jako długość plus bufor i_name o stałym rozmiarze, który nie jest zakończony NUL. Funkcje recover_inode() i recover_dentry() wypisują go przez %s, co dla nazwy 255-bajtowej może odczytać dane poza buforem i_name.

W jądrze Linux w f2fs funkcja find_in_level() pobiera folio dentry przez f2fs_find_data_folio() przed wywołaniem find_in_block(). Jeśli find_in_block() zwróci błąd, funkcja zapisuje błąd w res_folio i wychodzi z pętli bez zwolnienia folio dentry, powodując wyciek referencji.

W jądrze Linux w systemie plików f2fs występuje wyścig (race condition) w funkcji f2fs_get_read_data_folio(), która wywołuje f2fs_folio_put() przed folio_nr_pages() podczas unieważniania dużego folio z pamięci podręcznej stron. Powoduje to, że równoległy truncate lub podział folio może zmniejszyć lub zwolnić folio, zanim zostanie obliczony zakres unieważniania, co prowadzi do pozostawienia nieaktualnych wpisów w xarray i błędnego stanu stron.