Podatności Linux kernel

W jądrze Linux w systemie plików FUSE publikowanie kolejek io-uring nie używa semantyki release, co może prowadzić do niespójności widoczności danych dla czytelników.

W jądrze Linux w systemie plików FUSE ścieżka abort_on_kill nie czeka na FR_FINISHED, co może prowadzić do use-after-free podczas równoległego przetwarzania żądań.

W jądrze Linux w systemie plików FUSE występuje wyciek blokady invalidate podczas niepowodzenia zapisu zwrotnego w fuse_do_setattr(), co może zablokować późniejsze operacje na pliku.

W jądrze Linux w systemie plików FUSE występuje wyciek blokady zapisu (rwsem) podczas operacji open z flagą O_TRUNC dla plików DAX, gdy funkcja fuse_dax_break_layouts() zakończy się błędem (np. -ERESTARTSYS). Prowadzi to do zawieszenia późniejszych operacji na pliku z powodu niezwolnionej blokady.

W jądrze Linux w sterowniku USB gadget f_tcm występuje problem z licznikiem portów (tpg_port_count), który jest zmniejszany przed zakończeniem usuwania LUN, co może prowadzić do wyścigu i użycia po zwolnieniu (UAF) podczas usuwania sesji. Dodano opcjonalny callback fabric_post_unlink(), aby utrzymać licznik portów do czasu zakończenia core_dev_del_lun().

W jądrze Linux w podsystemie KVM dla AMD SEV/SEV-ES na platformach z SNP, operacje szyfrowania/deszyfrowania pamięci gościa używały bufora tymczasowego, który nie był alokowany jako pełna strona 4KiB. Na platformach SNP strona zawierająca bufor musi być tymczasowo przypisana do firmware, co powoduje, że dostęp do niej przez inne części jądra wywołuje błąd RMP #PF, prowadzący do paniki jądra.

W jądrze Linux wykryto podatność w mechanizmie TLS offload (tls_device.c), prowadzącą do zapisu poza zakresem pamięci w funkcji tls_append_frag(). Problem występuje, gdy rekord TLS pozostaje otwarty z pełną liczbą fragmentów, a kolejne wywołania splice() z flagą SPLICE_F_MORE dodają kolejne strony, co powoduje przekroczenie tablicy frags[MAX_SKB_FRAGS] i nadpisanie pamięci, w tym wskaźnika funkcji w strukturze destruct_work, co może prowadzić do wykonania dowolnego kodu.

W jądrze Linux w module GTP występuje brak serializacji aktualizacji kontekstów PDP, co może prowadzić do podwójnego usunięcia tego samego kontekstu PDP, gdy operacje GTP_CMD_DELPDP i RTM_DELLINK są wykonywane równocześnie. Skutkuje to błędem ogólnej ochrony (general protection fault) i potencjalnym użyciem po zwolnieniu.

W jądrze Linux wykryto podatność use-after-free w funkcji tcp_ao_connect_init() dotyczącą TCP-AO. Wyścig między walidacją klucza a zmianą przynależności VRF może doprowadzić do usunięcia jedynego klucza, a następnie bezpośredniego zwolnienia struktury tp->ao_info, podczas gdy ścieżka odbioru może nadal używać wskaźnika do tej struktury. Problem został znaleziony podczas statycznego audytu i potwierdzony przez reproducer wywołujący raport KASAN.

W jądrze Linuxa wykryto podatność use-after-free w module TCP-AO (TCP Authentication Option). Problem występuje podczas ponownego łączenia z innym peerem, gdy wskaźnik current_key może wskazywać na zwolnioną pamięć po wywołaniu call_rcu().

W jądrze Linux w module xfrm (ESP-in-TCP) występuje błąd użycia po zwolnieniu (UAF) podczas zamykania gniazda espintcp. Funkcja espintcp_close() zwalnia skb bez trzymania blokady gniazda, podczas gdy kolejka pracy xfrm_trans_reinject może nadal używać tego samego skb. Poprawka dodaje synchronize_rcu() po zresetowaniu sk_prot.

W jądrze Linux w stosie TCP występuje problem z wartością advmss pochodzącą z trasy, która może być mniejsza niż 1, co prowadzi do dzielenia przez zero w tcp_select_initial_window(). Poprawka wprowadza funkcję tcp_dst_advmss(), która ogranicza advmss do TCP_MIN_MSS.

W jądrze Linux w module xfrm (ESP-in-TCP) występuje problem z pakietami, które nie mają urządzenia wejściowego (ingress device). Gdy urządzenie wejściowe zostanie usunięte, dev_get_by_index_rcu() zwraca NULL, co prowadzi do dereferencji NULL w ścieżce wejściowej XFRM. Poprawka odrzuca takie pakiety.

W jądrze Linuxa wykryto podatność na zakleszczenie (deadlock) w mechanizmie keepalive dla NAT w podsystemie xfrm. Funkcja nat_keepalive_work() przegląda tabelę stanów, trzymając blokadę xfrm_state_lock, a następnie w wywołaniu zwrotnym próbuje uzyskać blokadę x->lock. Ścieżka usuwania stanu (xfrm_state_delete) blokuje te same zamki w odwrotnej kolejności, co prowadzi do zakleszczenia AB-BA. Problem został rozwiązany poprzez podzielenie przeglądania na dwie fazy: najpierw zbieranie kandydatów z referencją, a potem przetwarzanie bez zagnieżdżania blokad.

W jądrze Linuxa w podsystemie AH6 (IPsec) występuje podatność na odczyt poza zakresem pamięci. Funkcja ipv6_rearrange_rthdr() zakłada, że pole segments_left w nagłówku routingu nie przekracza liczby adresów opisanych przez hdrlen. Jednak dla surowych pakietów IPv6 (HDRINCL) można wysłać pakiet z hdrlen=2 (opisujący jeden adres) i segments_left=255, co powoduje przesunięcie wskaźnika o 4064 bajty wstecz i przekazanie długości 4064 bajtów do memmove(), prowadząc do dostępu poza pamięć. Poprawka dodaje walidację tego niezmiennika przed modyfikacją nagłówka.

W jądrze Linuxa w funkcji xfrm_state_construct() występuje wyciek pamięci związany z algorytmem uwierzytelniania. Funkcja attach_auth_trunc() może przydzielić pamięć dla x->aalg, ale nie ustawia x->props.aalgo, gdy wybrany algorytm nie ma identyfikatora sadb_alg_id (np. cmac(aes)). Następnie xfrm_state_construct() traktuje zerową wartość x->props.aalgo jako brak algorytmu i wywołuje attach_auth(), co nadpisuje wskaźnik x->aalg i traci pierwotną alokację. Poprawka sprawdza, czy x->aalg jest już ustawiony, zamiast wnioskować na podstawie x->props.aalgo.

W jądrze Linux wykryto podatność use-after-free w kodzie mostkowania multicast (bridge mcast) dla VLAN-ów nadrzędnych (master VLAN). Problem polega na tym, że podczas usuwania VLAN-u nadrzędnego flaga BR_VLFLAG_MCAST_ENABLED nie jest czyszczona pod blokadą, co pozwala czytelnikom (transmisja mostka) na ponowne uzbrojenie kontekstu multicast po jego deinicjalizacji i zwolnieniu pamięci, prowadząc do dostępu do zwolnionej pamięci.

W jądrze Linuxa w podsystemie AF_PACKET naprawiono podatność związaną z buforami pierścieniowymi TX_RING. Problem polegał na tym, że deskryptory skb przechowywały surowy wskaźnik do ramki pierścienia, który mógł wskazywać na nieistniejące już mapowanie vmalloc po zwolnieniu pg_vec. Naprawa opóźnia zwolnienie referencji do momentu po zapisie znacznika czasu i statusu ramki oraz dodaje dodatkowe sprawdzenie przed wymianą pierścienia.

W jądrze Linux w module Segment Routing IPv6 (seg6) podczas dekapsulacji IPIP (End.DX4, End.DT4) nie jest czyszczony blok sterowania IPv4 (IPCB). Skutkuje to użyciem starych danych IP6CB przez IPv4, co może prowadzić do odczytu poza zakresem w funkcji __ip_options_echo() i potencjalnego naruszenia pamięci (KASAN: slab-out-of-bounds).

W jądrze Linuxa w module batman-adv występuje podatność na odczyt poza zakresem pamięci. Funkcja batadv_tvlv_call_handler() ustawia pola network_header i transport_header w strukturze sk_buff na podstawie odebranego multicast TVLV, bez sprawdzenia, czy końcowy offset jest reprezentowalny w 16-bitowym polu. Jeśli offset przekracza zakres, skb_set_transport_header() obcina go, co powoduje, że nagłówek transportowy znajduje się przed nagłówkiem sieciowym, a skb_network_header_len() zwraca dużą wartość u32. Funkcja batadv_mcast_forw_packet() akceptuje wtedy zbyt duży multicast tracker i uzyskuje dostęp do pamięci poza danymi skb. Poprawka dodaje funkcję skb_set_transport_header_careful() i odrzuca niereprezentowalne TVLV.

W jądrze Linuxa w module vxlan występuje podatność na użycie nieprawidłowego wskaźnika (invalid pointer) podczas czyszczenia wpisów FDB. Gdy filtrowane masowe czyszczenie usuwa wszystkie remote'y z wpisu FDB, ostatni remote jest odłączany w funkcji vxlan_fdb_dst_destroy(), a dopiero potem niszczony jest wpis nadrzędny. W tym czasie czytelnik RCU może znaleźć wpis nadrzędny, a funkcja first_remote_rcu() zastosuje list_entry_rcu() do pustej listy, tworząc nieprawidłowy wskaźnik remote, który może być używany w ścieżce uczenia się. Poprawka pozostawia ostatni remote podłączony i prosi wywołującego o zniszczenie całego wpisu FDB.

W jądrze Linux w podsystemie netfilter/nf_tables występuje podatność polegająca na wyścigu (race condition) podczas kolejkowania powiadomień o obiektach z ścieżki pakietów. Funkcja nft_obj_notify() wywoływana z ścieżki pakietów (np. przez nft_quota_obj_eval) dodaje powiadomienie do listy notify_list bez odpowiedniego blokowania, co może prowadzić do użycia po zwolnieniu (use-after-free) sk_buff. Problem pojawił się po zmianie 67cc570edaa0, która zmieniła sposób wysyłania powiadomień.

W jądrze Linuxa w module crypto virtio występuje podatność na odczyt poza zakresem pamięci. Funkcja virtio_crypto_dataq_akcipher_callback() ustawia długość wyniku na podstawie długości zgłoszonej przez urządzenie, bez ograniczenia do rozmiaru bufora docelowego, który został przydzielony dla pierwotnej długości żądania. Funkcja sg_copy_from_buffer() czyta wtedy tę liczbę bajtów z bufora docelowego; backend zgłaszający większą długość odczytuje sąsiedni obszar sterty jądra do scatterlist wywołującego (odczyt poza zakresem). Poprawka ogranicza zgłoszoną długość do pierwotnie żądanej długości docelowej.

W jądrze Linux usunięto interfejs crypto_rng z sterownika qcom-rng, ponieważ był on zbędny i powodował błędy. Sterownik udostępniał ten sam sprzęt przez dwa osobne interfejsy, co mogło prowadzić do jednoczesnego dostępu do rejestrów i generowania nieprawidłowych wartości losowych. Interfejs hwrng pozostaje aktywny i jest tym właściwym.

W jądrze Linux usunięto interfejs crypto_rng z sterownika sun8i-ce, ponieważ był nieużywany i zbędny. Sterownik zawierał podatność use-after-free w funkcji ->generate() z powodu nieprawidłowej obsługi przerwania operacji DMA. Wsparcie dla hwrng pozostaje nietknięte.

W jądrze Linux usunięto interfejs crypto_rng z sterownika sun8i-ss, ponieważ był nieużywany i zbędny. Sterownik zawierał podatność use-after-free w funkcji ->generate() oraz błąd nadmiernego odczytu bufora w linii memcpy(ctx->seed, d + dlen, ctx->slen). Wsparcie dla hwrng pozostaje.

W jądrze Linux w sterowniku crypto: qce występuje błąd niedostatecznej alokacji bufora AAD w funkcji qce_aead_ccm_prepare_buf_assoclen(). Bufor może być mniejszy niż długość później programowana do listy DMA, co prowadzi do odczytu poza przydzielony obszar przez sprzęt QCE podczas obliczania CBC-MAC. Poprawka polega na dodaniu maksymalnej długości nagłówka AAD przed wyrównaniem.

W jądrze Linux w sterowniku crypto: mxs-dcp funkcja mxs_dcp_aes_block_crypt() używa sg_dma_len() bez wcześniejszego mapowania listy scatterlist przez dma_map_sg(). Może to prowadzić do nieprawidłowej długości przetwarzanych danych podczas szyfrowania i deszyfrowania, gdy włączona jest opcja CONFIG_NEED_SG_DMA_LENGTH=y. Poprawka polega na użyciu oryginalnej długości scatterlist.

W jądrze Linux w podsystemie USB dodano blokadę (spin lock) do funkcji usb_wakeup_notification(), aby zapobiec wyścigowi związanemu z dereferencją zwolnionej pamięci. Problem mógł wystąpić, gdy sterownik xHCI wywoływał tę funkcję z przerwania, konkurując z funkcją hub_disconnect().

W jądrze Linux w sterowniku ALSA: usb-audio występuje podatność zapisu poza zakresem (OOB write) w funkcji snd_usbmidi_novation_output(). Złośliwe urządzenie USB może zadeklarować wMaxPacketSize=1, co prowadzi do ujemnej długości przesyłania i zapisu poza bufor. Poprawka dodaje sprawdzenie, czy endpoint może pomieścić nagłówek i co najmniej jeden bajt danych.

W jądrze Linux w sterowniku ALSA usb-audio wykryto podatność związaną z niepełnym czyszczeniem stanu po błędzie podczas wznawiania systemu (system resume). Nieudane wznowienie może pozostawić kartę dźwiękową w stanie uniemożliwiającym jej użycie do czasu restartu, a licznik zawieszonych interfejsów pozostaje niespójny, co zaburza kolejne cykle zawieszenia i wznowienia.

W jądrze Linux w sterowniku USB: serial: option występuje podatność odczytu poza zakresem (slab OOB read) w funkcji callback przerwania URB. Bufor przerywań jest alokowany na podstawie wMaxPacketSize, a gdy urządzenie wyśle krótki pakiet, kod odczytuje dane poza przydzielonym buforem. Poprawka dodaje brakujące sprawdzenie granic przed dostępem do danych.

W jądrze Linux w sterowniku USB: c67x00 występuje podatność użycia po zwolnieniu (use-after-free) w funkcji c67x00_add_iso_urb(). Gdy tworzenie TD nie powiedzie się dla ostatniego pakietu URB izochronicznego, URB jest zwracany przed aktualizacją stanu planowania endpointu, co prowadzi do dostępu do zwolnionej pamięci. Poprawka aktualizuje next_frame i cnt przed zwróceniem URB.

W jądrze Linuxa w sterowniku mt76 dla układów mt7925 wykryto podatność polegającą na braku zapewnienia odpowiedniego miejsca w buforze (headroom) przed wysłaniem ramek przez USB/SDIO. Podczas przekazywania ramek z interfejsu przewodowego do punktu dostępowego mt7925u może dojść do paniki jądra (skb_under_panic) z powodu próby zapisu poza przydzielonym buforem. Problem dotyczy ścieżki transmisji dla ramek przekazywanych (forwarded frames), które nie rezerwują wymaganego headroomu.

W jądrze Linux wykryto podatność use-after-free w sterowniku usbfs (usbdev_release). Funkcja zwalnia referencję do struktury usb_device przed opróżnieniem listy zakończonych żądań URB, co po odłączeniu urządzenia prowadzi do odczytu zwolnionej pamięci. Problem jest osiągalny przez nieuprzywilejowany proces z dostępem do /dev/bus/usb.

W jądrze Linux w sterowniku NFC st21nfca nie sprawdzano, czy deklarowana długość ramki ATR_REQ nie przekracza faktycznie odebranej długości. Atakujący przez radio może wysłać krótką ramkę z zawyżoną długością, co prowadzi do odczytu poza zakresem i ujawnienia pamięci jądra lub do awarii systemu (DoS).

W jądrze Linux w sterowniku mailbox mchp-ipc-sbi brakuje sprawdzenia, czy funkcja devm_kasprintf() zwróciła poprawny wskaźnik. Jeśli alokacja pamięci się nie powiedzie, może dojść do użycia pustego wskaźnika.

W jądrze Linux w podsystemie NVMe over PCIe (nvmet pci-epf) brakuje zwolnienia referencji do kolejki CQ i kontrolera, gdy mapowanie adresów PCI nie powiedzie się podczas tworzenia kolejki. Zdalny host PCI może wielokrotnie wywoływać wyciek pamięci i referencji.

W jądrze Linuxa wykryto podatność w podsystemie Bluetooth RFCOMM. Funkcja rfcomm_sock_recvmsg() wywołuje rfcomm_dlc_accept() bez trzymania zamka rfcomm_mutex, co może prowadzić do dereferencji wskaźnika NULL, gdy zdalny peer wyśle ramkę DISC (rozłączenie) dla połączenia z opóźnioną konfiguracją (BT_DEFER_SETUP). Problem został naprawiony przez dodanie zamka rfcomm_mutex wokół wywołania rfcomm_dlc_accept() oraz ponowne sprawdzenie sesji.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv występuje podatność use-after-free podczas operacji teardown (usuwania). Problem pojawia się, gdy kolejka CMDQ jest zwalniana przed wykonaniem funkcji arm_smmu_impl_remove(), która następnie próbuje wysłać komendę CMD_SYNC do już zwolnionej pamięci, co może prowadzić do awarii systemu.

W jądrze Linux wykryto podatność w podsystemie iommu/iommufd, polegającą na wyłuskaniu wskaźnika NULL w funkcji iommufd_ioas_change_process podczas wyścigu z iopt_map_file_pages. Problem wynika z okna czasowego między utworzeniem obszaru IOAS a wypełnieniem jego pola pages, co może prowadzić do dereferencji NULL i awarii systemu.

W jądrze Linux w sterowniku ALSA FCP (USB) używano wspólnego URB (żądania USB) przeznaczonego dla innego endpointu, co prowadziło do błędów inicjalizacji i potencjalnego crashu. Dodano oddzielny URB oraz inicjalizację mechanizmu synchronizacji.

W jądrze Linuxa w sterowniku ALSA dla urządzeń Focusrite Scarlett 2. generacji występuje podatność polegająca na użyciu wspólnego URB (żądania USB) dla punktu końcowego powiadomień, co prowadzi do sytuacji, w której inicjalizacja nie jest wykonywana, a struktura cmd_done pozostaje wyzerowana. W rezultacie podczas operacji init może dojść do awarii (crash) w wait_for_completion_timeout().

W jądrze Linux w sterowniku rndis_host brakuje kontroli przepełnienia w funkcji rndis_rx_fixup(). Brak tej kontroli może umożliwić odczyt poza zakresem bufora danych USB.

W jądrze Linux w podsystemie NVMe over Fabrics (nvmet) funkcja nvmet_execute_identify_nslist() wywołuje dereferencję wskaźnika NULL, gdy przetwarza polecenie Identify z CNS 07h. Dzieje się tak, ponieważ req->ns nie jest ustawiane, a następnie jest używane do porównania.

W jądrze Linux w sterowniku ALSA dummy, funkcja snd_dummy_probe() nie sprawdza poprawności wartości indeksu karty. Jeśli urządzenie jest podpięte ręcznie przez sysfs, indeks może być -1, co prowadzi do dostępu poza zakresem tablicy.

W jądrze Linux w podsystemie io_uring/rsrc wykryto podatność polegającą na przepełnieniu przy obliczaniu rozmiaru folio w funkcji io_vec_fill_bvec(). Użycie zwykłego int zamiast unsigned long przy przesunięciu bitowym może prowadzić do niezdefiniowanego zachowania dla folio o przesunięciu 32 lub więcej, co skutkuje zapisem poza granicami tablicy. Problem dotyczy głównie systemów z ogromnymi stronami hugetlb (np. 16G na arm64).

W jądrze Linux w systemie plików OCFS2 brakuje rezerwacji metadanych dla dużych atrybutów rozszerzonych (xattr). Może to prowadzić do paniki jądra podczas wywołania lsetxattr() na pofragmentowanym systemie plików, gdy plik ma już zewnętrzny blok xattr.

W jądrze Linux w systemie plików ext4 występuje podatność polegająca na nieskończonej pętli ponawiania prób w funkcji ext4_xattr_block_set() podczas wyboru wpisu w pamięci podręcznej atrybutów rozszerzonych (xattr). Uszkodzony system plików może spowodować, że wpis o nasyconym liczniku odwołań będzie wybierany wielokrotnie, co prowadzi do zawieszenia zadania i blokowania operacji rmdir na katalogu nadrzędnym.

W jądrze Linux w systemie plików nilfs2 brakuje walidacji zakresu parametrów w strukturze nilfs_vdesc używanej przez ioctl GC. Może to prowadzić do wstawienia strony z indeksem ULONG_MAX do cache stron, co powoduje uszkodzenie listy i awarię.