Podatności Linux kernel

W jądrze Linux w sterowniku drm/shmem_helper w handlerze ->huge_fault nie sprawdzano, czy mapowanie PMD nie przekracza granic VMA, co może prowadzić do VM_BUG_ON_VMA() w copy_pmd_range(). Poprawka dodaje sprawdzenie granic VMA przed instalacją mapowania.

W jądrze Linux w sterowniku ASoC SOF ipc4-pcm ignorowane są błędy IPC przy zmianie stanu potoku, jeśli firmware jest w stanie awarii lub IPC przekroczył limit czasu. Poprawka pozwala kontynuować zmianę stanu, aby zresetować stan wewnętrzny jądra.

W jądrze Linux w sterowniku fbdev funkcja mode_string() używa snprintf(), która może zwrócić wartość większą niż pozostałe miejsce w buforze, co prowadzi do przesunięcia offsetu poza bufor sysfs. Poprawka dodaje parametr rozmiaru i używa scnprintf(), oraz wcześniejsze wyjście, gdy offset przekracza bufor.

W jądrze Linux w sterowniku fbdev funkcja fb_set_var() może usunąć tryb z listy modeli, ale nie sprawdza, czy fb_info->mode wskazuje na usuwany wpis, co prowadzi do użycia zwisającego wskaźnika przy odczycie sysfs. Poprawka czyści fb_info->mode przed usunięciem trybu.

W jądrze Linux w sterowniku fbdev w funkcji fb_io_read() częściowe kopiowanie copy_to_user() powoduje desynchronizację wskaźnika sprzętowego, co prowadzi do odczytów poza zakresem. Poprawka polega na natychmiastowym przerwaniu pętli przy częściowym kopiowaniu.

W jądrze Linux w sterowniku amdgpu brakowało limitu rozmiaru bufora IB (indirect buffer) dla pierścieni GFX, co mogło prowadzić do uszkodzenia sąsiednich bitów sterujących i destabilizacji przesyłania poleceń. Dodano limit rozmiaru pakietu IB dla każdego pierścienia i odrzucanie zbyt dużych zgłoszeń.

W jądrze Linuxa wykryto podatność w sterowniku wejściowym cs40l50-vibra. Sterownik kopiuje dane niestandardowe efektu FF_PERIODIC/FF_CUSTOM z przestrzeni użytkownika bez walidacji długości, co może prowadzić do odczytu poza przydzielonym buforem (out-of-bounds read) oraz do nieprawidłowego indeksowania tablicy banków. Brak kontroli długości (custom_len) oraz błędne maskowanie wartości banku (przechowywanej w typie s16) umożliwiają atakującemu wywołanie niepożądanych zachowań.

W jądrze Linux w sterowniku dotykowym FocalTech naprawiono błąd poza zakresem tablicy w funkcji focaltech_process_rel_packet. Indeks palca (finger2 i finger1) był typem ze znakiem, co przy wartości 0 powodowało zapis do elementu tablicy o indeksie -1.

W jądrze Linux w sterowniku Iforce (dla urządzeń Force Feedback) brakowało walidacji długości pakietów wejściowych. Funkcja iforce_process_packet() czytała stałe pola z pakietów joysticka, kierownicy i statusu bez sprawdzania ich długości, co mogło prowadzić do odczytu poza buforem.

W jądrze Linux w sterowniku dotykowym BYD naprawiono wyścig podczas odłączania urządzenia. Funkcja byd_disconnect() używała timer_delete() zamiast timer_shutdown_sync(), co mogło pozwolić na dostęp do zwolnionej pamięci przez wywołanie zwrotne timera.

W jądrze Linux w sterowniku Synaptics RMI4 (F54) naprawiono błąd, który mógł prowadzić do przepełnienia sterty. W funkcji rmi_f54_work() w przypadku błędu nie zerowano rozmiaru raportu, co przy zmianie formatu V4L2 na mniejszy mogło spowodować kopiowanie zbyt dużych danych do mniejszego bufora.

W jądrze Linux w sterowniku Synaptics RMI4 (F54) naprawiono błąd, w którym rozmiar raportu diagnostycznego mógł przekroczyć rozmiar przydzielonego bufora. Złośliwe lub uszkodzone urządzenie RMI4 mogło zgłaszać większą liczbę elektrod F55 niż F54, co prowadziło do zapisu poza przydzieloną pamięcią.

W jądrze Linux w sterowniku Synaptics RMI4 (F54) naprawiono błąd, który mógł prowadzić do przepełnienia sterty. Zmiana typu raportu diagnostycznego podczas strumieniowania V4L2 mogła zmienić rozmiar raportu, co przy większym rozmiarze niż przydzielone bufory prowadziło do przepełnienia.

W jądrze Linux w sterowniku crypto qce występuje błąd w ścieżce obsługi błędów funkcji devm_qce_register_algs. W przypadku niepowodzenia rejestracji algorytmów, pętla błędów wielokrotnie wywołuje tę samą funkcję unregister, zamiast wyrejestrować wcześniej zarejestrowane algorytmy.

W jądrze Linux w sterowniku gpio ml-ioh używano zwykłego spinlocka do ochrony rejestrów, co jest nieprawidłowe w kontekście callbacków irq_chip na systemach z PREEMPT_RT. Poprawka zamienia go na raw_spinlock_t.

W jądrze Linux dla architektury OpenRISC funkcja restore_sigcontext() przywracała wszystkie bity rejestru SR z ramki sygnałowej, pozostawiając bity uprzywilejowane pod kontrolą użytkownika. Umożliwia to nieuprzywilejowanemu zadaniu wyłączenie MMU i uzyskanie dostępu do dowolnej pamięci fizycznej.

W jądrze Linux w sterowniku sur40 rejestracja urządzenia wejściowego odbywała się zbyt wcześnie, przed inicjalizacją komponentów V4L2 i vb2_queue. Może to prowadzić do wyścigu danych i awarii systemu. Poprawka przenosi rejestrację na koniec funkcji probe.

W jądrze Linux w sterowniku mmc: atmel-mci wykryto podatność use-after-free (UAF) w funkcji atmci_remove, wynikającą z wyścigu (race condition). Praca (work) host->bh_work może być kolejkowana przez przerwanie, timer lub zakończenie DMA, a po usunięciu modułu pamięć hosta jest zwalniana, zanim praca się zakończy, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linux w podsystemie s390/vfio_ccw występuje wyciek pamięci, gdy funkcja cp_init() zakończy się niepowodzeniem. Obecna logika czyszczenia nie obsługuje wszystkich segmentów kanału, co prowadzi do wycieku pamięci.

W jądrze Linux w podsystemie s390/vfio_ccw brakuje anulowania istniejących kolejek pracy (workqueues) podczas inicjalizacji. Może to prowadzić do wysyłania pracy po zwolnieniu struktury prywatnej.

W jądrze Linux w podsystemie s390/vfio_ccw brakuje sprawdzenia, czy indeksy regionów odczytu/zapisu mieszczą się w dozwolonym zakresie. Wprowadzenie łańcucha capabilities ograniczyło indeksy tylko dla capabilities, ale nie dla istniejących regionów.

W jądrze Linux w podsystemie s390/vfio_ccw występuje błąd w sprawdzaniu granic tablicy CCW. Pętla może sprawdzać 257. element, co wykracza poza zakres tablicy.

W jądrze Linux w podsystemie s390/vfio_ccw czyszczenie zasobów cp jest wykonywane w funkcji fsm_notoper(), która może być wywołana asynchronicznie, gdy trzymane są inne zamki. Może to prowadzić do zakleszczeń lub nieprawidłowego działania.

W jądrze Linux w podsystemie s390/vfio_ccw rozszerzono zakres działania mutexu io_mutex, aby zamknąć pozostałe luki w synchronizacji. Wykorzystuje to również przeniesienie cp_free() do workqueue, co pozwala na bezpieczne zarządzanie blokadami.

W jądrze Linux w podsystemie s390/vfio_ccw brakuje mechanizmu blokującego dla regionu CRW, który opiera się wyłącznie na asynchronicznych zdarzeniach sprzętowych. Dodano blokadę, aby zapewnić spójny odczyt listy payloadów.

W jądrze Linux w funkcji xcrb_msg_to_type6cprb_msgx() dla s390/zcrypt brakuje odpowiedniej walidacji danych wejściowych, co prowadzi do przepełnienia liczb całkowitych, braku walidacji minimalnego rozmiaru bufora i przepełnienia arytmetycznego w obliczeniach sum. Może to skutkować nieprawidłową alokacją buforów, dostępem do niezainicjalizowanej pamięci i przepełnieniem bufora.

W jądrze Linux w funkcji xcrb_msg_to_type6_ep11cprb_msgx() dla s390/zcrypt brakuje walidacji minimalnego rozmiaru bufora, występuje przepełnienie arytmetyczne w obliczeniach długości oraz nieprawidłowe parsowanie ładunku ASN.1. Może to prowadzić do dostępu do niezainicjalizowanej pamięci i przepełnienia bufora.

W jądrze Linux w funkcji zcrypt_msgtype6_send_ep11_cprb() dla s390/zcrypt używane są kruche nakładki struktur do dostępu i modyfikacji pola domeny w ładunku EP11 CPRB, co prowadzi do problemów z utrzymaniem i bezpieczeństwem. Brakuje walidacji rzeczywistego kodowania ASN.1, a logika wykrywania formatu długości jest podatna na błędy.

W jądrze Linux w funkcjach xcrb_msg_to_type6cprb_msgx() i xcrb_msg_to_type6_ep11cprb_msgx() dla s390/zcrypt kopiowana jest wiadomość z przestrzeni użytkownika do bufora jądra na podstawie długości, ale dalsze przetwarzanie zakłada wyrównanie do 4 bajtów. W rezultacie do 3 bajtów niezainicjalizowanej pamięci jądra jest przekazywane do dalszych kroków, co może ujawnić pamięć jądra firmware'owi karty kryptograficznej.

W jądrze Linux w sterowniku amdgpu funkcja AMDGPU_GEM_CREATE sprawdzała bity domeny tylko względem AMDGPU_GEM_DOMAIN_MASK, ale nie walidowała kombinacji domen. Użytkownik mógł łączyć CPU|GTT|VRAM z DOORBELL, GDS, GWS lub OA, co powodowało przekroczenie AMDGPU_BO_MAX_PLACEMENTS i wywołanie BUG_ON().

W jądrze Linux w sterowniku amdgpu błędnie obliczany jest minimalny rozmiar obrazu dekodowania UVD, ponieważ używana jest szerokość zamiast pitch. Ponadto brakuje odrzucania pitch powyżej 4096, co może prowadzić do przepełnienia.

W jądrze Linux w sterowniku amdgpu funkcja amdgpu_cs_pass1() nie odrzuca powtarzających się identyfikatorów chunków, co pozwala na przesłanie wielu chunków FENCE w jednym submit. Powoduje to podwójne wykonanie amdgpu_cs_p1_user_fence(), nadpisanie p->uf_bo i wyciek referencji do bufora obiektu.

W jądrze Linux w systemie plików XFS funkcja xfs_rtginode_ensure() traktuje każdy błąd z xfs_rtginode_load() inny niż -ENOENT jako sukces. Może to pozostawić inode grupy realtime nieustawiony po błędzie I/O, alokacji lub uszkodzeniu, a growfs kontynuuje tak, jakby inode został załadowany.

W jądrze Linux w systemie plików XFS wykryto podatność polegającą na błędzie off-by-one w walidacji poziomu korzenia drzewa B-tree dla rtrefcount. Specjalnie spreparowany obraz systemu plików z włączonymi metadirectory, realtime i reflink może doprowadzić do zapisu poza granicami pamięci (slab-out-of-bounds) podczas montowania lub odzyskiwania po awarii.

W jądrze Linux w systemie plików XFS podczas odtwarzania dziennika (log recovery) funkcja xlog_recover_do_reg_buffer() kopiuje dane do bufora na podstawie bitmapy brudnych regionów, ale nie sprawdza poprawności rozmiaru docelowego. Atakujący może dostarczyć spreparowany obraz systemu plików, który powoduje zapis poza przydzieloną pamięcią (out-of-bounds write) i uszkodzenie sterty jądra. Problem został naprawiony przez zamianę asercji (ASSERT) na rzeczywiste sprawdzenie XFS_IS_CORRUPT(), które przerywa odtwarzanie z błędem -EFSCORRUPTED.

W jądrze Linux w systemie plików XFS funkcja xfs_dq_get_next_id() pobiera blokadę ILOCK na inode quota przed wywołaniem xfs_iread_extents(). Jeśli xfs_iread_extents() zakończy się błędem, funkcja zwraca bez zwolnienia blokady, co powoduje jej wyciek. Może to pozostawić inode quota zablokowany i spowodować zawieszenie kolejnych operacji quota.

W jądrze Linux w systemie plików XFS funkcja xrep_tempfile_create może prowadzić do użycia po zwolnieniu (UAF) jeśli kod tworzenia pliku tymczasowego zakończy się błędem po ustawieniu sc->tempip. Poprawka eliminuje ten problem.

W jądrze Linux w systemie plików XFS podczas wymiany zakresów plików (exchange-range) z flagą XFS_EXCHMAPS_INO1_WRITTEN, funkcja xmi_can_exchange_reflink_flags() może przenieść flagę reflink na inny plik, ale nie wszystkie mapowania są wymieniane, co może prowadzić do wyczyszczenia flagi reflink na pliku, który nadal ma współdzielone zapisane bloki. To może skutkować uszkodzeniem danych. Poprawka wyłącza wymianę flagi reflink, gdy ustawiona jest flaga XFS_EXCHMAPS_INO1_WRITTEN.

W jądrze Linuxa w systemie plików Ceph wykryto podatność powodującą zawieszenie operacji odczytu. Problem wynika z nieprawidłowego stanu flagi mds_wanted, przez co klient może czekać w nieskończoność na przyznanie praw do odczytu (FILE_RD) po ich odebraniu przez serwer MDS. Łatka wprowadza limit czasu oczekiwania i wymusza odnowienie praw poprzez synchroniczne żądanie OPEN, gdy faktycznie brakuje wymaganych uprawnień.

W jądrze Linux w sterowniku ASoC tas2562 funkcja tas2562_volume_control_put() nie sprawdza poprawności wartości zapisywanej przez użytkownika. Wartość ta jest używana jako indeks do tablicy o stałym rozmiarze, co może prowadzić do przepełnienia bufora i zapisu nieprawidłowych danych do urządzenia.

W jądrze Linux w sterowniku optee ffa funkcja optee_ffa_lend_protmem nie sprawdza, czy przydzielony wskaźnik nie jest pusty. W warunkach niskiego poziomu pamięci może to prowadzić do wyłuskania pustego wskaźnika.

W jądrze Linux w sterowniku clk spacemit k3 zegar HDMA nie jest oznaczony jako krytyczny. Zegar ten jest odpowiedzialny za wewnętrzną ścieżkę dostępu TCM rdzenia RISC-V X100, a jego wyłączenie może spowodować zawieszenie systemu, np. przy błędzie strony podczas dostępu do wektorów.

W jądrze Linux w sterowniku crypto tegra funkcja tegra_gcm_do_one_req() nieprawidłowo oblicza rctx->cryptlen, co może prowadzić do zapisu poza bufor rctx->dst_sg podczas operacji deszyfrowania, jeśli ctx->authsize pozostaje zerowe.

W jądrze Linux w af_unix funkcja unix_del_edge() nie odłącza wpisu scc_entry przed zwolnieniem wierzchołka, co może prowadzić do częściowego zwolnienia martwego SCC przez garbage collector, powodując błędy w działaniu.

W jądrze Linux w sterowniku ovpn funkcja ovpn_crypto_kill_key zakłada, że oba sloty kryptograficzne są wypełnione i wyłuskuje każdy slot przed sprawdzeniem, czy nie jest pusty. Może to prowadzić do wyłuskania pustego wskaźnika, gdy peer ma tylko jeden klucz lub gdy usuwany klucz nie istnieje.

W jądrze Linux w podsystemie SCSI core flaga shost->eh_noresume jest odczytywana dwukrotnie w jednej iteracji obsługi błędów, co może prowadzić do niesparowania wywołań runtime PM get i put, powodując niedomiar licznika użycia.

W jądrze Linux w podsystemie perf funkcja perf_event_open() akceptuje zdarzenia w stanie EXIT jako liderów grup, co może prowadzić do użycia po zwolnieniu, gdy lider zostanie zamknięty, a nowe rodzeństwo pozostanie z wskaźnikiem do zwolnionego zdarzenia.

W jądrze Linux w module ovpn zwalnianie kluczy kryptograficznych (AEAD) odbywa się w kontekście wywołania zwrotnego RCU, co jest niebezpieczne, ponieważ funkcja crypto_free_aead może spać (np. dla implementacji sprzętowych). Poprawka przenosi zwalnianie do kolejki pracy (workqueue), gdzie spanie jest dozwolone.

W jądrze Linuxa wykryto podatność w module netfilter ipset, dotyczącą wyścigu (race condition) między operacją czyszczenia list:set (garbage collection) a operacją zamiany zbiorów (swap). Problem prowadzi do dekrementacji licznika referencji zestawu, który już został przeniesiony do innego indeksu, co skutkuje błędem BUG_ON i paniką jądra.

W jądrze Linux w module IPVS funkcja ip_vs_nat_icmp() nie waliduje ponownie pola ihl po odczytaniu z fragmentów skb, co może prowadzić do odczytu poza zakresem. Lokalny proces może zmienić pole ihl, co powoduje problemy przy wywołaniu ip_send_check().