Podatności Linux kernel

W jądrze Linuxa w sterowniku synaptics-rmi4 występuje błąd polegający na błędnym przypisaniu liczby elektrod nadajnika (TX) do wartości odbiornika (RX) z powodu literówek. Prowadzi to do nieprawidłowego rozmiaru raportu diagnostycznego i potencjalnego dostępu poza zakresem bufora.

W jądrze Linux w sterowniku ovpn występuje problem z bezpieczeństwem związany z uruchamianiem odroczonej pracy na globalnych kolejkach systemowych. Praca może być wykonywana po zwolnieniu tekstu modułu, co prowadzi do użycia po zwolnieniu. Poprawka dodaje kolejkę pracy należącą do modułu i opróżnia ją przed zniszczeniem modułu.

W jądrze Linuxa w sterowniku psxpad-spi występuje podatność na dereferencję wskaźnika NULL. Funkcja psxpad_spi_suspend() pobiera dane sterownika, ale nie są one zapisywane podczas inicjalizacji, co prowadzi do awarii podczas zawieszenia systemu.

W jądrze Linux w sterowniku pmdomain dla MediaTek (mtk_mfg) występuje niezainicjalizowana zmienna prev_o w funkcji mtk_mfg_attach_dev(). Przy pierwszej iteracji pętli zmienna jest odczytywana przed przypisaniem, co może prowadzić do użycia nieprawidłowego wskaźnika i potencjalnego błędu lub pominięcia pierwszej pozycji OPP.

W jądrze Linux w podsystemie pmdomain dla układów MediaTek występuje problem z użyciem wskaźnika do zwolnionego węzła device-tree w ścieżkach błędów. Funkcja scpsys_get_bus_protection_legacy() zwalnia węzeł przed sprawdzeniem wyniku wyszukiwania regmap, a następnie używa go w komunikacie błędu, co może prowadzić do dereferencji zwolnionej pamięci.

W jądrze Linux w sterowniku DRM dla złączy HDMI występuje problem z odczytem poza zakresem pamięci. Funkcja pomocnicza kopiuje infoframe audio do kopii w złączu, używając rozmiaru miejsca docelowego (60 bajtów) zamiast rozmiaru źródła (28 bajtów), co powoduje odczyt poza przydzielonym buforem.

W jądrze Linux w sterowniku MMC dla układów Loongson występuje problem z iteracją po liście scatterlist w funkcjach zmiany kolejności danych. Makro for_each_sg() już iteruje po wpisach, ale kod używa '&sg[i]' i 'sg_dma_len(&sg[i])', co prowadzi do dostępu do niewłaściwych wpisów lub odczytu poza zakresem.

W jądrze Linux w sterowniku drm/amdkfd parser CRAT nie sprawdza, czy deklarowana długość podtypu mieści się w granicach obrazu. Złośliwa tabela CRAT z nadmiernym polem długości może powodować odczyty poza zakresem podczas parsowania.

W jądrze Linux w sterowniku clk dla Qualcomm (dispcc-eliza) występuje problem z reparentingiem zegara, gdy wyświetlacz jest wyłączony. Powoduje to ostrzeżenie i nieprawidłową konfigurację zegara na platformie Eliza EVK.

W jądrze Linux w sterowniku regulatora FP9931 występuje problem z tabelą napięć dla VPOS/VNEG. Tabela VPOSNEG_table[] nie zgadza się z kartą katalogową: zawiera dodatkowy wpis 7.04V (przesuwając wszystkie kolejne) i ma tylko 41 wpisów zamiast 64, co powoduje odczyt poza zakresem dla selektorów powyżej 0x28.

W jądrze Linux w module netfilter nf_tables_offload funkcja nft_flow_rule_offload_abort() wywołuje WARN_ON_ONCE(err) dla każdego błędu podczas wycofywania transakcji, w tym dla -ENOMEM. Błędy alokacji pamięci są oczekiwane przy niskim poziomie pamięci i nie oznaczają błędu jądra. Poprawka zmienia warunek na WARN_ON_ONCE(err && err != -ENOMEM), aby ostrzegać tylko o nieoczekiwanych błędach.

W jądrze Linuxa w sterowniku ASoC Xilinx formatter_pcm występuje podatność na dereferencję wskaźnika NULL. Procedury obsługi przerwań pobierają dane sterownika przez dev_get_drvdata(), ale dane są ustawiane dopiero po rejestracji przerwań, co może prowadzić do awarii.

W jądrze Linuxa w af_packet występuje podatność polegająca na wysyłaniu pakietów o zerowej długości przez tpacket_snd(). Prowadzi to do ostrzeżenia w __dev_queue_xmit() i potencjalnej awarii systemu.

W jądrze Linux w funkcji drm_log_draw_kmsg_record() występuje problem z odczytem poza zakresem, gdy długość komunikatu jest równa 0. Funkcja używa wyrażenia s[len - 1], gdzie len jest typu unsigned int, co przy len=0 powoduje zawinięcie do UINT_MAX i odczyt poza pamięcią.

W jądrze Linux w sterowniku drm/log występuje nieskończona pętla, gdy skala jest zbyt duża dla wyświetlacza, co powoduje, że liczba wierszy lub kolumn wynosi 0. Pętla w drm_log_draw_kmsg_record() nie zmniejsza długości, gdy kolumny są równe 0. Dodano sprawdzenie zerowych wierszy/kolumn w drm_log_setup_modeset() i zwracanie błędu, z posprzątaniem już przydzielonego bufora, aby uniknąć wycieku.

W jądrze Linux w sterowniku mlx5e (dla kart sieciowych Mellanox/NVIDIA) wykryto podatność prowadzącą do zakleszczenia (deadlock) typu AA. Problem występuje, gdy operacja dodania przepływu FDB (Forwarding Database) w TC (Traffic Control) nie powiedzie się na niższym poziomie, a następnie usunięcie przepływu (mlx5e_tc_del_flow) próbuje ponownie uzyskać blokadę devcom, która jest już trzymana w przypadku przepływów peer. Powoduje to rekurencyjne zablokowanie (lockdep: possible recursive locking detected).

W jądrze Linux w funkcjach bpf_tcp_gen_syncookie i bpf_tcp_check_syncookie występuje problem z brakiem walidacji stanu gniazda przed dostępem do sk_protocol. Funkcje te mogą uzyskać wskaźnik do mini-socketu, który nie ma pełnych pól gniazda, co może prowadzić do dereferencji nieprawidłowej pamięci.

W jądrze Linux w sterowniku szeregowym amba-pl011 występuje problem z synchronizacją podczas wyłączania DMA. Funkcja dmaengine_terminate_all() nie czeka na zakończenie wywołania zwrotnego, więc callback TX może nadal dotykać bufora TX po jego zwolnieniu. Timer odpytywania RX odczytuje bufory RX bez blokady portu. Poprawka polega na użyciu dmaengine_terminate_sync() i usunięciu timera RX przed zwolnieniem buforów.

W jądrze Linux w podsystemie Thunderbolt występuje problem z indeksowaniem tablicy rezerwacji przepustowości. Funkcja tb_consumed_dp_bandwidth() używa identyfikatora grupy (od 1 do MAX_GROUPS) jako indeksu tablicy group_reserved[], która ma tylko MAX_GROUPS wpisów, co powoduje odczyt poza zakresem dla grupy MAX_GROUPS i pominięcie jej w sumowaniu.

W jądrze Linux w sterowniku ovpn występuje problem z bezpieczeństwem przy dereferencji sk_user_data. Niektóre podsystemy, takie jak BPF SOCKMAP, ustawiają sk_user_data bez ustawiania encap_type. Należy upewnić się, że typ jest oczekiwany przez ovpn przed dereferencją, aby uniknąć odczytów poza zakresem.

W jądrze Linux w systemie plików btrfs wykryto podatność polegającą na nieprawidłowej inicjalizacji flag mapowania i minimalnego rzędu folio dla buforowanych (cached) i-węzłów. W określonych warunkach (np. przy rozmiarze bloku 8K i stronie 4K) może to prowadzić do naruszenia asercji i paniki jądra (kernel BUG).

W jądrze Linux funkcja sk_mc_loop() wywołuje WARN_ON_ONCE(1) dla gniazd, które nie są AF_INET ani AF_INET6, np. gniazda AF_PACKET przy wysyłaniu pakietów przez surowe gniazda na wirtualnych urządzeniach takich jak VRF lub ipvlan. Gniazda nie-INET nie obsługują opcji IP_MULTICAST_LOOP ani IPV6_MULTICAST_LOOP, więc pętla zwrotna powinna domyślnie być włączona bez generowania ostrzeżenia. Poprawka usuwa to ostrzeżenie.

W jądrze Linux w sterowniku ata: pata_sl82c105 występuje użycie po zwolnieniu (use-after-free) podczas odczytu rewizji mostka. Funkcja pci_get_slot() zwraca urządzenie PCI z referencją, ale po zmianie na bezpośredni dostęp do pola revision, odczyt następuje po pci_dev_put(), co może prowadzić do użycia zwolnionej pamięci. Poprawka przenosi odczyt rewizji przed zwolnieniem referencji.

W jądrze Linuxa wykryto podatność w funkcji dev_validate_header() w stosie sieciowym. Funkcja ta, dla procesów z uprawnieniem CAP_SYS_RAWIO, dopełniała zerami krótkie nagłówki warstwy łącza, odczytując dev->hard_header_len bezpośrednio. Jeśli w międzyczasie urządzenie zostało przekonfigurowane i wartość ta wzrosła, zapis zerami wychodził poza przydzielony bufor, powodując zapis poza zakresem.

W jądrze Linux w teście ring-buffer występuje błąd prowadzący do awarii podczas przekazywania ERR_PTR do kthread_stop(). Pętla czyszcząca w test_ringbuffer() sprawdza tylko wartości NULL, a nie ERR_PTR, co prowadzi do dereferencji błędnego wskaźnika i paniki jądra podczas testu inicjalizacji. Poprawka prawdopodobnie polega na odpowiednim obsłużeniu ERR_PTR.

W jądrze Linux w kodzie mm/huge_memory podczas dzielenia folio nie inicjalizowano stanu workingset, co powoduje, że węzeł xa_node nie jest powiązany z listą shadow_nodes. Może to wywołać ostrzeżenie VM_WARN_ON podczas odzyskiwania pamięci.

W jądrze Linux w sterowniku drm/amdgpu wycofano poprawkę dotyczącą wycieku mapowania apertury. Poprzednia poprawka powodowała błąd strony podczas wywołania zwrotnego vcn_v4_0_sw_fini, ponieważ devres teardown jest LIFO i apertura była odmapowywana przed zwolnieniem urządzenia DRM. Wycofanie przywraca poprzednie zachowanie.

W jądrze Linux w podsystemie x86 MCE występuje problem z inicjalizacją timera przed wykryciem CMCI. Podczas wykrywania burzy CMCI, timer jest modyfikowany przed jego prawidłowym skonfigurowaniem, co prowadzi do ostrzeżeń ODEBUG i potencjalnych problemów.

Opcja X-mount.subdir używa szybkiej ścieżki z oddzielonym drzewem w Linuksie 6.15 i nowszych i przekazuje skonfigurowany podkatalog do open_tree() z AT_SYMLINK_NOFOLLOW. Ta flaga nie zatrzymuje przechodzenia przez pośrednie dowiązania symboliczne ani nie utrzymuje rozwiązywania wewnątrz nowo zamontowanego systemu plików. Lokalny nieuprzywilejowany użytkownik z wpisem X-mount.subdir autoryzowanym w fstab może podłączyć ścieżkę hosta w zamierzonym punkcie montowania.

Podatność w podsystemie I3C IBI w jądrze Linux (drivers/i3c/i3c_ibi_workq.c) wynika z braku synchronizacji na liście wolnych węzłów pracy (sys_slist_t). Funkcje alokujące i zwalniające węzły są wywoływane z kontekstu przerwania (ISR) i wątku workqueue bez użycia blokad, co prowadzi do wyścigu. Atakujący z fizycznym dostępem do magistrali I3C może wygenerować serię przerwań, powodując uszkodzenie listy, podwójne przydzielenie węzła lub zapis poza pamięć.

W jądrze Linux naprawiono podatność w ptp: vmclock, która pozwalała na zmianę mapowania strony tylko do odczytu na zapisywalną. Funkcja vmclock_miscdev_mmap() odrzucała zapisywalne mapowania strony ABI vmclock z błędem -EROFS, ale pozostawiała flagę VM_MAYWRITE. Użytkownik mógł zmapować stronę jako tylko do odczytu, a następnie uaktualnić ją do zapisywalnej za pomocą mprotect(), co pozwalało gościowi na uszkodzenie danych czasu przechowywanych przez hosta (licznik sekwencji, czas UTC, offset TSC), które są zdefiniowane jako tylko do odczytu. Poprawka polega na wyczyszczeniu flagi VM_MAYWRITE na ścieżce tylko do odczytu, aby uniemożliwić uaktualnienie mapowania.

W jądrze Linux naprawiono podatność w of: reserved_mem, która powodowała zapis poza granicami tablicy, gdy zdefiniowano zbyt wiele dynamicznych regionów. Podczas uruchamiania funkcja fdt_scan_reserved_mem() zapisuje każdy dynamicznie umieszczony podwęzeł /reserved-memory do lokalnej tablicy o rozmiarze MAX_RESERVED_REGIONS. Jeśli drzewo urządzeń definiuje więcej niż MAX_RESERVED_REGIONS dynamicznie umieszczonych regionów, funkcja zapisuje poza koniec lokalnej tablicy. Poprawka dodaje sprawdzenie granic, które loguje błąd i pomija nadmiarowe regiony, przywracając oryginalne zachowanie.

W jądrze Linux naprawiono podatność w wifi: mac80211, która dotyczyła walidacji parametrów TWT przed konfiguracją sterownika. Funkcja ieee80211_process_rx_twt_action() tylko częściowo waliduje odebraną ramkę S1G TWT setup przed jej zakolejkowaniem. Indywidualne porozumienie może dotrzeć do ieee80211_s1g_rx_twt_setup() z twt->length zbyt krótkim dla pełnej struktury ieee80211_twt_params. Ścieżka indywidualna przekazuje twt do drv_add_twt_setup(). Zarówno tracepoint, jak i callback sterownika konsumują pełny blok parametrów, a nie tylko req_type. Poprawka nie przekazuje krótkiego indywidualnego porozumienia do sterownika. Porozumienia rozgłoszeniowe pozostają niezmienione, ponieważ są odrzucane lokalnie po uzyskaniu dostępu tylko do req_type.

W jądrze Linux naprawiono podatność w Bluetooth: ISO, która dotyczyła pozostawania wiszących referencji hcon w iso_conn. Po iso_conn_del(), gniazda ISO nie powinny już dereferencjonować hcon. Obecnie wyczyszczenie iso_conn::hcon polega na tym, że iso_conn_del() zwalnia ostatnią referencję do iso_conn. Poprawka upraszcza to przez jawne wyczyszczenie conn->hcon w iso_conn_del(), aby uniknąć bardziej złożonego rozumowania na temat wyścigów o to, kto trzyma ostatnią referencję.

W jądrze Linux naprawiono podatność w iomap, która powodowała zakleszczenie. Funkcja iomap_split_ioend może dzielić biosa, które już pochodzą z iomap_ioend_bioset, co prowadzi do zakleszczenia, gdy bioset jest wyczerpany. Poprawka dodaje oddzielny bioset, aby uniknąć tego zakleszczenia. Dodatkowo oznaczono iomap_ioend_split_bioset jako statyczny, ponieważ jest używany tylko w ioend.c, co naprawia ostrzeżenie sparse zgłoszone przez kernel test robot.

W jądrze Linux wykryto podatność w mechanizmie MGLRU (Multi-Gen LRU) związaną z nieaktualnymi aktualizacjami partii po zmianie rodzica memcg. Problem wynika z wyścigu między chodzeniem po tablicach stron a procesem reparentingu memcg, co może prowadzić do zaniżenia liczby stron i przedwczesnego wywołania OOM.

W jądrze Linux naprawiono podatność w mm/percpu-km, która powodowała przepełnienie bitmapy i błędy w księgowaniu w funkcji pcpu_create_chunk(). W pcpu_create_chunk(), nr_pages to całkowita ciągła alokacja zapasowa, czyli nr_units * pcpu_unit_pages, ale pcpu_chunk_populated() używa jej do ustawienia chunk->populated, którego rozmiar bitmapy to pcpu_unit_pages. Ponieważ bit N w chunk->populated oznacza, że offset strony N wewnątrz każdej jednostki jest wspierany, gdy nr_units > 1, funkcja zapisuje poza chunk->populated. Poprawka używa chunk->nr_pages. Naprawia to również globalne księgowanie pcpu_nr_empty_pop_pages, ponieważ pcpu_balance_free() iteruje tylko do chunk->nr_pages. Problem został wprowadzony przez commit a63d4ac4ab609, a później commit b539b87fed37f dodał pcpu_nr_empty_pop_pages i spowodował problem księgowania.

W jądrze Linux w protokole SCTP parametr Adaptation Indication nie był poprawnie walidowany pod względem długości. Akceptowano parametr zawierający tylko nagłówek, co prowadziło do odczytu poza zadeklarowanym obszarem i potencjalnego ujawnienia czterech bajtów z bufora odbiorczego.

W jądrze Linux w podsystemie ALSA PCM występuje problem z budzeniem oczekujących na zakończenie drenażu (drain) po rozłączeniu strumienia. Może to prowadzić do użycia zwolnionej pamięci stosu podczas późniejszego wybudzania.

W jądrze Linux w sterowniku igc występuje problem z funkcją napi_synchronize() w igc_down(), która może powodować zawieszenie interfejsu sieciowego podczas zamykania, gdy używany jest AF_XDP zero-copy.

W jądrze Linux w io_uring występuje problem z zachowaniem ograniczeń per-task po wykonaniu exec. Ograniczenia te są usuwane podczas czyszczenia kontekstu zadania, co pozwala na utworzenie nieograniczonego ringa po exec.

W jądrze Linux wykryto podatność w sterowniku SPI-NAND dla układów Qualcomm (spi-qpic-snand). Wartość funkcji SET_FEATURE była zapisywana do rejestru po wykonaniu komendy, co powodowało opóźnienie zapisu o jedną operację. W rezultacie chip pozostawał w trybie OTP, co czyniło pamięć flash bezużyteczną i urządzenie niebootowalnym.

W jądrze Linux w sterowniku max17040 występuje problem z obsługą braku dostawcy statusu. Gdy nie ma zarejestrowanego dostawcy, funkcja zwraca sukces, ale wartość statusu pozostaje niezainicjalizowana, co może prowadzić do odczytu nieprawidłowych danych przez użytkownika.

W jądrze Linux w sterowniku dasd występuje problem z niedowymiarowanym buforem do sprawdzania formatu. Zmienna fmt_buffer_size jest typu int, co powoduje obcięcie wyniku obliczeń i może prowadzić do zapisu poza buforem.

W jądrze Linux w sterowniku zcrypt występuje problem z nieprawidłową walidacją wartości domeny dla CPRB EP11. Błędny górny limit może prowadzić do odczytu pamięci poza tablicą perms->adm podczas wysyłania administracyjnego CPRB.

W jądrze Linux w sterowniku zcrypt występuje problem z brakiem czyszczenia pamięci po imporcie klucza jawnego w funkcji cca_clr2cipherkey(). Bufor wewnętrzny może zawierać wrażliwe dane, które mogą zostać ujawnione przy ponownym użyciu pamięci.

W jądrze Linux w module CAN J1939 funkcja j1939_session_fresh_new() nie zerowała bufora przed użyciem, co mogło pozostawić w nim resztkowe dane. Poprawka polega na wyzerowaniu przydzielonego bufora, aby uniknąć potencjalnego wycieku informacji.

W jądrze Linux w sterowniku CAN softing funkcja fw_parse() nie sprawdzała, czy rekordy firmware mieszczą się w granicach obrazu firmware, co mogło prowadzić do odczytu poza zakresem. Ponadto obliczenia granic dla zapisów do DPRAM były podatne na przepełnienie liczb całkowitych, a kopiowanie danych w aplikacyjnym loaderze nie było odpowiednio ograniczone.

W jądrze Linux w sterowniku graficznym AMD Display (drm/amd/display) brakowało sprawdzenia, czy funkcja dml21_add_phantom_plane() poprawnie przydzieliła phantom plane, co mogło prowadzić do błędu segmentacji przy późniejszym użyciu.

W jądrze Linux w sterowniku AMD Display (drm/amd/display) funkcja get_ss_info_from_atombios() używała niezainicjalizowanego kontekstu do logowania, co prowadziło do dereferencji wskaźnika NULL podczas wywołań DC_LOG_SYNC(). Podobny problem występuje w innych funkcjach, takich jak dce112_get_pix_clk_dividers() i dcn3_get_pix_clk_dividers(). Poprawka zmienia użycie kontekstu na ten z bazy źródła zegara.