Podatności Linux kernel

W jądrze Linux w sterowniku AMD KFD (drm/amdkfd) brakowało autoryzacji w funkcji KFD_IOC_DBG_TRAP_DISABLE, co pozwalało użytkownikom z dostępem do /dev/kfd na kończenie sesji debugowania GPU innych procesów bez odpowiednich uprawnień.

W jądrze Linux w sterowniku VMware (drm/vmwgfx) dwa miejsca w pliku vmwgfx_resource.c przypisywały wartości logiczne do pola guest_memory_size, które jest polem rozmiaru alokacji, zamiast do sąsiedniego pola bitowego guest_memory_dirty. To powodowało, że pole guest_memory_size zawierało 0 lub 1 zamiast rzeczywistego rozmiaru alokacji, co prowadziło do błędów w obliczeniach zakresów stron i alokacji buforów.

W jądrze Linux w sterowniku DRM vmwgfx odkryto podatność polegającą na braku walidacji rozmiaru kursora dla ścieżki MOB (SVGA_CAP2_CURSOR_MOB). Atakujący z uprawnieniami DRM master może przez ioctl DRM_IOCTL_MODE_CURSOR2 ustawić bardzo duży kursor, co prowadzi do wywołania vmw_bo_map_and_cache(NULL) i awarii systemu (oops).

W jądrze Linux w sterowniku VMware (drm/vmwgfx) funkcja vmw_external_bo_copy() nie sprawdzała poprawności granic dla operacji kopiowania na importowanych buforach dma-buf. Brak walidacji mógł prowadzić do odczytu lub zapisu poza zakresem mapowania, szczególnie przy spreparowanych danych z plane state.

W jądrze Linux w KVM dla architektury ARM64 (vgic) występował problem podwójnej dezaktywacji przerwań w kontekście zagnieżdżonym. Fizyczne przerwanie było już dezaktywowane przez bit HW w LR, a dodatkowa dezaktywacja mogła wywołać błąd errata na procesorach AmpereOne, powodując utratę stanu oczekującego przerwania i blokowanie przyszłych przerwań.

W jądrze Linux w sterowniku DMA Engine (idxd) występował problem podwójnego zwalniania pamięci dla struktur wq, engine i group. Funkcje zwalniające (release callbacks) wywoływały kfree() na strukturze, a dodatkowo ścieżki błędów i funkcje sprzątające również wywoływały kfree() po put_device(), co prowadziło do podwójnego zwolnienia.

W jądrze Linux w systemie plików EROFS wykryto błąd polegający na tym, że pliki kopii zapasowej dla współdzielenia pamięci podręcznej stron miały nieprawidłowe pole f_path (pozostawione jako NULL). Powodowało to awarię jądra (NULL pointer dereference) podczas wywołania mincore, co objawiało się błędem w teście erofs/028.

W jądrze Linux w sterowniku hwmon ltc4282 wykryto błąd polegający na braku instrukcji return podczas odczytu minimalnego napięcia alarmowego dla kanału VGPIO, co prowadzi do odczytu poza zakresem pamięci (out-of-bounds access).

W jądrze Linux w sterowniku hwmon sht3x wykryto problem z nieprawidłowym wyrównaniem pamięci podczas odczytu 16-bitowych wartości temperatury i wilgotności. Użycie funkcji be16_to_cpup() na nieparzystych offsetach powoduje błąd wyrównania na architekturach z surowym wyrównaniem (np. ARMv5, SPARC), prowadząc do paniki jądra.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność typu use-after-free (UAF) w funkcjach hci_connect_acl/le_sync(). Jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync, może dojść do użycia zwolnionej pamięci.

W jądrze Linux w sterowniku SCSI target iblock wykryto błąd w funkcji iblock_execute_pr_out() polegający na nieprawidłowym sprawdzaniu NULL dla operacji PREEMPT, PREEMPT_AND_ABORT i RELEASE. Błąd pozwala na wywołanie niezaimplementowanych funkcji (ops->pr_clear), co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku SCSI UFS core wykryto błąd polegający na braku inicjalizacji listy hba->rpmbs w funkcji ufshcd_alloc_host(). Jeśli funkcja ufs_rpmb_probe() zakończy się niepowodzeniem, podczas usuwania urządzenia może dojść do dereferencji wskaźnika NULL.

W jądrze Linux w podsystemie tracing/mmiotrace wykryto brak sprawdzenia NULL dla wskaźnika mmio_trace_array w funkcjach __trace_mmiotrace_rw() i __trace_mmiotrace_map(). Jeśli funkcje te zostaną wywołane, gdy mmio_trace_array jest NULL (np. przed inicjalizacją lub po wyłączeniu), dostęp do tr->array_buffer.buffer spowoduje dereferencję wskaźnika NULL i awarię systemu.

W jądrze Linux dla architektury RISC-V funkcja vec_check_unaligned_access_speed_all_cpus była oznaczona jako __init, co powoduje, że jej kod znajduje się w sekcji .init.text, która jest zwalniana po zakończeniu bootowania. Funkcja ta działa w wątku jądra (kthread), który może nie zakończyć się przed zwolnieniem pamięci, co prowadzi do błędu strony przy próbie wykonania kodu z już zwolnionego obszaru.

W jądrze Linux w podsystemie iommufd/viommu, w funkcji iommufd_vdevice_alloc_ioctl(), po nieudanej walidacji rozmiaru vdevice_size, skok do etykiety out_put_idev pomija zwolnienie blokady igroup, co prowadzi do zakleszczenia kolejnych operacji vDEVICE na tej grupie.

W jądrze Linux w funkcji migrate_vma_collect_pmd() funkcje pte_pfn() i pte_dirty() mogą być wywoływane na nieobecnych wpisach PTE (np. wpisach device-private), co prowadzi do potencjalnych awarii lub błędnego liczenia brudnych foli. Poprawka dodaje sprawdzenia pte_present().

W jądrze Linux w funkcji snapshot_page() odczyt __page_2 jest wykonywany dla foli rzędu 1, mimo że powinien być wykonywany tylko dla foli o liczbie stron większej niż 2. Może to prowadzić do błędu strony (fault) podczas usuwania pamięci DLPAR na systemach ppc64le.

W jądrze Linuxa w podsystemie Bluetooth SCO wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Problem wynika z nieprawidłowego zarządzania referencjami do struktury sco_conn, gdzie gniazdo nie posiadało własnego licznika referencji, co przy wyścigu między zamknięciem gniazda a obsługą zdarzenia rozłączenia mogło skutkować podwójnym zwolnieniem pamięci.

W jądrze Linux dla architektury RISC-V wykryto błąd w obliczaniu wyrównania adresu vmemmap_start_pfn. Błąd polega na użyciu wyrównania wyrażonego w bajtach pamięci struktury page zamiast w bajtach adresu fizycznego, co powoduje ostrzeżenie i potencjalne problemy podczas inicjalizacji pamięci na systemach takich jak QEMU virt.

W jądrze Linux w sterowniku i2c amd-mp2, w przypadku niepowodzenia rejestracji adaptera, kontekst I2C jest zwalniany przez devres, ale sterownik PCI nadal może używać wygasłego wskaźnika w callbackach IRQ i sleep. Poprawka wyrejestrowuje callback przed zwróceniem błędu.

W jądrze Linux w sterowniku s390/dasd, w funkcji dasd_release_space(), użycie operatora logicznego AND zamiast OR prowadzi do wywołania funkcji is_ese() nawet gdy wskaźnik funkcji jest NULL, co powoduje dereferencję NULL.

W jądrze Linux w sterowniku i2c imx, występuje wyścig (race) podczas rejestracji slave oraz błąd w obsłudze błędów. Przypisanie wskaźnika slave przed pm_runtime_resume_and_get() może pozostawić go niezerowym po błędzie, a także może wystąpić wyścig z przerwaniem, prowadzący do dereferencji NULL. Poprawka przenosi przypisanie po udanym resume i wewnątrz sekcji krytycznej slave_lock.

W jądrze Linux w funkcji dev_has_sync_state() pole dev->driver jest odczytywane dwukrotnie bez trzymania blokady device_lock(), co może prowadzić do wyścigu podczas równoległego odpinania urządzenia. Poprawka polega na jednokrotnym odczycie z użyciem READ_ONCE(), co synchronizuje się z WRITE_ONCE() w device_set_driver().

W jądrze Linux w sterownikach Hyper-V (vmbus) pole driver_override jest dostępne bez blokady podczas wywołania match() z __driver_attach(), co może prowadzić do użycia po zwolnieniu (UAF). Poprawka wykorzystuje ogólną infrastrukturę driver_override, która zapewnia odpowiednie blokowanie.

W jądrze Linux w sterowniku NTFS wykryto podatność polegającą na obcięciu długości obszaru restartu do typu u16, co pozwala na ominięcie kontroli mieszczenia się danych w stronie systemowej. Specjalnie spreparowany obraz NTFS może doprowadzić do odczytu poza przydzielonym buforem podczas montowania systemu plików.

W jądrze Linux programy BPF LSM mogą obecnie podłączać się do haka xfrm_decode_session(), który może zwracać błąd, ale security_skb_classify_flow() wywołuje go w kontekście void i wywołuje BUG_ON() przy błędzie. Poprawka wyłącza możliwość podłączania BPF do tego haka, aby zapobiec panice systemu.

W jądrze Linux w sterowniku mlx5 dla LAG i MPESW brakowało wywołania complete() w ścieżce błędu, gdy mlx5_lag_get_devcom_comp() zwracało NULL. Proces czekający na zakończenie pracy mógł zablokować się na zawsze. Poprawka kieruje wczesny powrót przez etykietę 'complete', aby zawsze budzić oczekującego.

W jądrze Linux wykryto podatność w podsystemie Bluetooth SCO, powodującą zakleszczenie (deadlock) w funkcji sco_sock_timeout(). Problem wynika z podwójnego przejęcia tego samego zamka (lock_sock) podczas zamykania gniazda, gdy timer działa asynchronicznie. Naprawa polega na przeniesieniu wywołania disable_delayed_work_sync() poza sekcję chronioną zamkiem.

W jądrze Linux w KVM dla architektury ARM64 (arm64) w trybie zagnieżdżonej wirtualizacji (nVHE) funkcja kvm_handle_vncr_abort() zakładała, że błąd -EFAULT z kvm_translate_vncr() zawsze oznacza przerwanie (abort). Jednak możliwe są 'późne' błędy na wyjściu translacji S1, np. GFN poza memslotami. Poprawka przygotowuje zewnętrzne przerwanie przed zwróceniem z kvm_translate_vncr() i usuwa BUG_ON() w ścieżce wstrzykiwania błędów.

W jądrze Linux w netfilter xt_nat, handlery SNAT i DNAT zakładają obecność stanu conntrack dla rodziny IP i mogą wyłuskać pusty wskaźnik, gdy są instancjonowane z nieobsługiwanej rodziny przez nft_compat. Reguła mostkowa (bridge-family) może wywołać wyłuskanie NULL w nf_nat_setup_info(). Poprawka odrzuca nie-IP rodziny w xt_nat_checkentry(), aby nie można było zainstalować nieobsługiwanych celów, pozostawiając NFPROTO_INET dozwolone.

W jądrze Linux w narzędziu intel-speed-select (tools/power/x86) demon używa stałej ścieżki pliku pid w /tmp. Lokalny nieuprzywilejowany użytkownik może wcześniej utworzyć dowiązanie symboliczne w tej ścieżce i spowodować, że demon działający z uprawnieniami roota zapisze do wybranego przez atakującego pliku. Poprawka otwiera plik pid z flagą O_NOFOLLOW i waliduje go przez fstat() przed blokadą/zapisem.

W jądrze Linux wykryto podatność w podsystemie CXL, gdzie stała CXL_HEADERLOG_SIZE była zdefiniowana jako 512 bajtów, podczas gdy rzeczywisty rozmiar rejestru Header Log w strukturze RAS Capability wynosi 64 bajty. Powodowało to odczyt poza mapowaną pamięcią (o 448 bajtów) podczas kopiowania danych, a w przypadku wywołania przez CPER prowadziło do wycieku 448 bajtów pamięci stosu jądra do bufora pierścieniowego zdarzeń trace, skąd użytkownik mógł je odczytać przez tracefs.

W jądrze Linux w sterowniku UFS core, zdarzenia śledzenia (trace events) w drivers/ufs/core/ufs_trace.h używały wskaźnika do struktury hba w TP_printk(), co jest niedozwolone, ponieważ TP_printk() jest wykonywane podczas odczytu pliku trace, co może nastąpić znacznie później, gdy wskaźnik może być już nieaktualny. Poprawka zapisuje nazwę urządzenia w momencie wywołania tracepointu i umieszcza ją w buforze pierścieniowym, eliminując ryzyko wyłuskania zwolnionego wskaźnika.

W jądrze Linux wykryto podatność w podsystemie hwmon (OCC), polegającą na odwróceniu kolejności blokad (lock ordering) między mutexem OCC a wywołaniami sysfs podczas rejestracji i usuwania urządzeń hwmon. Może to prowadzić do zakleszczenia (deadlock) systemu. Problem został znaleziony przez narzędzie analizy statycznej i potwierdzony przez raport lockdep.

W jądrze Linux w sterowniku MMC vub300 wykryto zakleszczenie (deadlock) spowodowane rekurencyjnym przejęciem mutexu cmd_mutex podczas resetowania urządzenia USB po przekroczeniu limitu czasu oczekiwania na odpowiedź. Problem został rozwiązany przez odroczenie resetu do momentu zwolnienia mutexu.

W jądrze Linux w sterowniku DRM dla Rockchip (dw_dp), funkcja dw_dp_remove() próbuje uzyskać dostęp do danych sterownika przez platform_get_drvdata(), co może prowadzić do wyłuskania pustego wskaźnika, jeśli callback bind() nie został wykonany. Poprawka usuwa zbędne wywołanie platform_get_drvdata() i zamiast tego odwołuje się do struktury urządzenia przez platform_device.

W jądrze Linux w sterowniku accel/amdxdna brakowało sprawdzenia na NULL przed użyciem wskaźnika do kanału skrzynki zarządzania. Funkcje czyszczące mogły być wywoływane po zniszczeniu kanału, co prowadziło do dereferencji wskaźnika NULL. Dodano odpowiednie sprawdzenia, aby bezpiecznie zakończyć operację.

W jądrze Linux w systemie plików HFS+ brakowało walidacji rozmiaru węzła drzewa B. Uszkodzony obraz HFS+ z nieprawidłowym rozmiarem węzła mógł prowadzić do odczytu niezainicjalizowanej pamięci podczas montowania. Dodano sprawdzenie zgodności z specyfikacją techniczną.

W jądrze Linux w sterowniku soc: xilinx występował wyścig podczas rejestracji zdarzeń. Struktury robocze były inicjalizowane po rejestracji, co mogło prowadzić do dereferencji wskaźnika NULL, gdy firmware wywoła zdarzenie natychmiast po rejestracji. Poprawka inicjalizuje struktury przed rejestracją.

W jądrze Linux w sterowniku soc: xilinx występował błąd w usuwaniu kanału mailbox rx. Z powodu błędnego warunku kanał nie był zamykany ani zwalniany, co prowadziło do użycia po zwolnieniu (use-after-free). Poprawka sprawdza poprawnie zmienną rx_chan.

W jądrze Linux w sterowniku scsi: hisi_sas brakowało interfejsu slave_destroy, co powodowało ostrzeżenia podczas jednoczesnego resetu łącza i usuwania modułu. Poprawka dodaje ten interfejs, aby zapewnić poprawne usunięcie łącza po zakończeniu prac.

W jądrze Linuxa w sterowniku crypto CCP (AMD) podczas eksportu PDH (Platform Diffie-Hellman) bufor łańcucha certyfikatów o zerowej długości nie był poprawnie obsługiwany. Zamiast potraktować go jako zapytanie o długości blobów, system próbował uzyskać adres fizyczny wskaźnika ZERO_SIZE_PTR, co powodowało BUG_ON() przy włączonej opcji CONFIG_DEBUG_VIRTUAL=y. Błąd prowadzi do paniki jądra (kernel oops) i może być wywołany przez nieuprzywilejowanego użytkownika przez ioctl.

W jądrze Linux w sterowniku crypto: ccp/sev-dev-tsm występował błąd dereferencji wskaźnika NULL, gdy pdev->bus jest NULL. Funkcja dsm_create() sprawdzała warunek, ale później używała wskaźnika bez sprawdzenia, co mogło powodować awarię. Poprawka wcześniej zwraca błąd -ENODEV.

W jądrze Linux w sterowniku media: atomisp: gc2235 występowały błędy w obsłudze ścieżek błędów, prowadzące do użycia po zwolnieniu (UAF) i wycieku pamięci. Poprawka zastępuje wywołania gc2235_remove() w ścieżkach błędów jawnymi etykietami unwind, które zwalniają tylko zainicjalizowane zasoby.

W jądrze Linux w funkcji scmi_power_name_get() w firmware: arm_scmi brakowało walidacji numeru domeny, co mogło prowadzić do odczytu poza zakresem pamięci. Poprawka zwraca "unknown" dla nieprawidłowych domen, podobnie jak w scmi_reset_name_get().

W jądrze Linux w sterowniku pinctrl: spacemit występował błąd w sprawdzaniu NULL w funkcji spacemit_pin_set_config. Sprawdzano zmienną pin zamiast wskaźnika spin, co powodowało odrzucenie prawidłowego pinu 0 i pomijanie konfiguracji PAD. Poprawka sprawdza spin, co przywraca konfigurację i zapobiega dereferencji NULL.

W jądrze Linuxa w sterowniku RDMA/hns występuje problem w trybie bezpośrednim poll CQ. Kolejki CQ utworzone przez ib_alloc_cq() zawsze mają komponent obsługi (comp_handler), który mimo że nie powinien być wywoływany w trybie bezpośrednim, jest wywoływany podczas resetu sterownika, co wyzwala ostrzeżenie WARN_ONCE().

W jądrze Linuxa w funkcji __in6_dev_stats_get() istnieje możliwość wyłuskania pustego wskaźnika (NULL deref). Funkcja dev_get_by_index_rcu() może zwrócić NULL, jeśli oryginalne urządzenie fizyczne zostało wyrejestrowane.

W jądrze Linuxa w sterowniku rapidio/tsi721 występuje problem w funkcji tsi721_db_dpc(). W pętli list_for_each() zmienna 'found' nie jest resetowana na początku każdej iteracji, co może prowadzić do błędnego oznaczenia wszystkich elementów jako znalezionych po pierwszym poprawnym doorbellu, a w przypadku nieznalezienia elementu może dojść do wyłuskania nieprawidłowej pamięci.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na wywołaniu BUG_ON podczas montowania uszkodzonego obrazu systemu plików. Specjalnie spreparowany obraz może doprowadzić do awarii jądra (kernel panic) zamiast zgłoszenia błędu montowania. Problem dotyczy funkcji ocfs2_journal_toggle_dirty, która zamiast zwrócić błąd, powoduje natychmiastowe zatrzymanie systemu.