Podatności Linux kernel

W jądrze Linuxa w sterowniku bnxt (Broadcom NetXtreme) występuje podatność na zakleszczenie (deadlock) podczas anulowania notyfikatora powinowactwa IRQ. Notyfikator wywołuje restart kolejki pod zamkiem instancji netdev, a anulowanie czeka na zakończenie callbacku, co prowadzi do zakleszczenia.

W jądrze Linuxa w interfejsie veth występuje błąd w funkcji veth_poll, która używa nieprawidłowego indeksu kolejki do wybudzenia kolejki TX peer. W przypadku braku programu XDP, indeks pozostaje 0, co może prowadzić do trwałego zatrzymania kolejki TX i braku transmisji.

W jądrze Linuxa w sterowniku ngbe występuje podatność na dereferencję wskaźnika NULL podczas włączania przerwań w trybie innym niż MSI-X. W takim trybie wx->msix_entry nie jest przydzielony, a wywołanie NGBE_INTR_MISC prowadzi do awarii.

W jądrze Linuxa w module net/sched act_api występuje podatność TOCTOU (time-of-check-time-of-use) na dereferencję wskaźnika NULL w polu a->goto_chain. Konkurencyjna operacja może wyczyścić wskaźnik między dwoma odczytami, co prowadzi do dereferencji NULL.

W jądrze Linuxa w module net/sched cls_u32 występuje podatność na odczyt poza zakresem (slab-out-of-bounds) w funkcji u32_bind_class(). Funkcja ta nie sprawdza, czy obsługiwany obiekt jest węzłem hnode, co prowadzi do nieprawidłowego dostępu do pamięci.

W jądrze Linux w module cls_bpf nie sprawdzano, czy program eBPF związany z urządzeniem (offloaded) jest przypisany do tego samego interfejsu sieciowego, do którego podłączany jest klasyfikator. Umożliwiało to podłączenie programu przeznaczonego dla urządzenia A do urządzenia B, a po usunięciu urządzenia A powodowało awarię systemu (panic).

W jądrze Linux w modułach L2TP (pppol2tp i l2tp_dfs) występuje wyciek referencji do tuneli i sesji podczas zamykania plików seq_file przed osiągnięciem końca danych. Referencje przechowywane w danych prywatnych nie są zwalniane, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku gpio: pca953x funkcja pca953x_irq_bus_sync_unlock nie trzymała blokady i2c_lock podczas wywołań regmap, co mogło prowadzić do odczytu/zapisu nieprawidłowego rejestru przy współbieżnym dostępie. Poprzednia poprawka zabezpieczała tylko zapis do rejestru maski przerwań, ale nie odczyt rejestru kierunku.

W jądrze Linux w sched_ext, gdy włączenie sub-schedulera nie powiedzie się przed scx_link_sched(), procedura czyszczenia nadal wykonuje pełne scx_sub_disable(), co może prowadzić do wyścigu z wyłączaniem roota i użycia po zwolnieniu (use-after-free). Poprawka pomija reset własności cgroup i przeszukiwanie zadań, jeśli scheduler nigdy nie został zlinkowany.

W jądrze Linux w sterowniku soc: aspeed: lpc-snoop, funkcja snoop_file_read może powodować przepełnienie bufora przy kopiowaniu do użytkownika (usercopy overflow) z powodu braku synchronizacji między producentem (IRQ) a konsumentem (plik). Poprawka dodaje spinlock per kanał do serializacji dostępu do kfifo.

W jądrze Linux w XFS, funkcja xfs_buf_free wywołuje folio_put na wskaźniku NULL, gdy alokacja pamięci zaplecza nie powiedzie się, co prowadzi do awarii jądra. Poprawka pomija wywołanie folio_put, gdy bp->b_addr jest NULL.

W jądrze Linux w sterowniku bonding (tryb ALB) funkcja bond_alb_monitor() odczytuje stan primary_is_promisc pod ochroną RCU, a następnie przed wykonaniem operacji na interfejsie zwalnia RCU i próbuje przejąć RTNL. W tym czasie aktywny slave może się zmienić (np. usunięcie interfejsu), co prowadzi do użycia nieaktualnych danych i może skutkować błędem dereferencji pustego wskaźnika (panic) lub nieprawidłowym zmniejszeniem licznika promiscuity, pozostawiając interfejs w trybie IFF_PROMISC.

W jądrze Linux w sterowniku enic, funkcja enic_remove nie anuluje pracy tx_hang_reset, co może prowadzić do użycia po zwolnieniu (use-after-free) po free_netdev(). Poprawka używa disable_work_sync() zamiast cancel_work_sync(), aby zablokować ponowne planowanie pracy.

W jądrze Linux w IPVS, funkcja ip_vs_nat_icmp może zapisywać poza dozwolony obszar, ponieważ pole ihl w nagłówku IPv4 jest odczytywane wielokrotnie, a lokalny atakujący może modyfikować pakiet w trakcie przetwarzania. Poprawka odczytuje ihl tylko raz i używa ciph->len jako offsetu do transportowego nagłówka.

W jądrze Linux w systemie plików btrfs wykryto wyciek pamięci w funkcji btrfs_do_encoded_write(). Podczas operacji zapisu kodowanego (ioctl) alokowane są struktury extent_changeset, które nie są zwalniane przed zwróceniem z funkcji, co prowadzi do wycieku pamięci. Problem został znaleziony podczas fuzzingu lokalnego na wersji 6.12.94.

W jądrze Linux w funkcji amdxdna_insert_pages() w sterowniku accel/amxdna występują dwa błędne ścieżki obsługi błędów, które wywołują vma->vm_ops->close(vma) przed zwróceniem kodu błędu. To powoduje przedwczesne zwolnienie zasobów, a późniejsze odmapowanie zakresu przez proces prowadzi do podwójnego wywołania close i niedomiaru licznika referencji.

W jądrze Linux w mechanizmie BPF podczas obsługi operacji scalar += pointer w adjust_ptr_min_max_vals() kopiowanie tylko wybranych pól stanu wskaźnika jest zawodne, ponieważ pochodzenie wskaźnika jest śledzone przez wiele pól bpf_reg_state. Poprawka używa tymczasowego rejestru offsetu, aby zachować operand skalarny i zastąpić miejsce docelowe pełnym stanem wskaźnika.

W jądrze Linux w module net/smc w funkcji smc_llc_event_handler() brakuje sprawdzenia, czy qentry jest już oczekujący przed zapisaniem nowego qentry dla CONFIRM_LINK i ADD_LINK_CONT. Złośliwy lub błędny peer może wysłać drugie żądanie, powodując nadpisanie wskaźnika bez zwolnienia poprzedniej alokacji, co prowadzi do wycieku pamięci (kmalloc-96).

W jądrze Linux w funkcji devlink_nl_reload_doit() występuje wyciek referencji do przestrzeni nazw sieci. Gdy żądana przestrzeń nazw różni się od bieżącej i akcja przeładowania nie jest DRIVER_REINIT, funkcja zwraca -EOPNOTSUPP bez zwolnienia referencji uzyskanej przez devlink_netns_get().

W sterowniku mlx5 dla jądra Linux wykryto podatność, w której funkcja tworzenia śledzenia oprogramowania układowego (fw_tracer) może zwracać zarówno NULL, jak i ERR_PTR. Brak sprawdzenia wartości zwracanej prowadzi do wyłuskania nieprawidłowego wskaźnika podczas generowania zrzutu pamięci, co powoduje awarię systemu (kernel panic).

W jądrze Linux w funkcji amdxdna_insert_pages() w sterowniku accel/amdxdna występuje podatność na BUG_ON. Funkcja vm_flags_mod() ustawia VM_MIXEDMAP i czyści VM_PFNMAP, co pozwala nieuprzywilejowanemu procesowi na wywołanie madvise(MADV_DONTNEED) na zmapowanym obiekcie GEM, a następnie dostęp do pamięci wyzwala BUG_ON w vmf_insert_pfn_prot() z powodu pfn_valid(pfn) i VM_MIXEDMAP.

W jądrze Linux wykryto podatność w funkcjach kfunc BPF związanych z conntrack, gdzie argument opts może wskazywać na współdzieloną wartość mapy. Niespójne odczyty pola netns_id podczas uzyskiwania i zwalniania referencji do przestrzeni nazw sieciowych mogą prowadzić do braku równowagi referencji, co w skrajnych przypadkach może spowodować zniszczenie aktywnej przestrzeni nazw i awarię systemu.

W jądrze Linux wykryto podatność use-after-free w funkcji bpf_iter_tcp_established_batch() dla gniazd TCP_NEW_SYN_RECV. Publikacja request_sock na łańcuchu ehash odbywa się przed ustawieniem licznika referencji, a iterator BPF używa zwykłego sock_hold() zamiast refcount_inc_not_zero(), co prowadzi do wyścigu i nadpisywania licznika, skutkując użyciem po zwolnieniu pamięci.

W jądrze Linuxa odkryto podatność w mechanizmie vhost_iotlb, gdzie mapowanie wpisów IOTLB nie było ograniczane do skonfigurowanego limitu, co pozwalało na niekontrolowaną alokację pamięci. Problem dotyczy urządzeń vhost, vDPA, VDUSE oraz vhost-vDPA, które mogą tworzyć tabele bez limitu lub z limitem zerowym. Poprawka wymusza przestrzeganie limitu i odrzuca nieprawidłowe wartości.

W jądrze Linuxa wykryto podatność typu type confusion w sterowniku hwmon dla układów PMBus. Funkcja pmbus_notify() nieprawidłowo rzutuje różne typy atrybutów na strukturę sensor_device_attribute, co może prowadzić do odczytu poza przydzieloną pamięcią (slab-out-of-bounds) lub do błędnego dopasowania maski podczas obsługi alertów. Problem został naprawiony przez zmianę struktury atrybutów i ustawienie indeksu na -1 dla atrybutów, które nie wyzwalają powiadomień.

W jądrze Linux w AF_XDP stwierdzono, że akceptowana jest długość metadanych TX wynosząca zaledwie osiem bajtów, podczas gdy każda obsługiwana operacja wymaga flag oraz co najmniej jednego ośmiobajtowego pola. Taka krótka długość może pozwolić jądru na odczyt poza zarejestrowanym obszarem.

W jądrze Linux w AF_XDP stwierdzono, że przestrzeń użytkownika może zmienić flagi metadanych po przetworzeniu żądania. Ponowne odczytanie ich podczas zakończenia może spowodować zapisanie znacznika czasu, który nie był żądany przy wysyłaniu pakietu. Poprawka polega na wyczyszczeniu wskaźnika metadanych podczas przetwarzania żądania, chyba że żądano zakończenia z timestampem.

W jądrze Linux w AF_XDP stwierdzono, że metadane launch-time wykraczają poza pierwsze 16 bajtów struktury xsk_tx_metadata. Podatność pozwala na odrzucenie żądania, gdy zarejestrowany obszar metadanych nie zawiera pełnego pola. Dodatkowo, poprawka używa migawki flag dla ścieżki generycznej transmisji, aby uniknąć niespójnych decyzji przy równoczesnej zmianie flag przez użytkownika.

W jądrze Linux w AF_XDP stwierdzono, że ścieżka zero-copy waliduje metadane TX podczas uzyskiwania kontekstu deskryptora, a następnie czyta je ponownie podczas przygotowywania żądania sprzętowego. Przestrzeń użytkownika może zmienić metadane między tymi operacjami i ominąć pierwotną walidację. Poprawka waliduje metadane w xsk_tx_metadata_request() i używa migawki flag dla wszystkich kontroli.

W jądrze Linux w sterowniku bnge stwierdzono podatność na dereferencję wskaźnika NULL w funkcji zwalniającej urządzenie pomocnicze. Jeśli alokacja auxr_dev nie powiedzie się podczas konfiguracji urządzenia pomocniczego, ścieżka błędu wywołuje auxiliary_device_uninit(), co prowadzi do wywołania bnge_aux_dev_release(), które bezwarunkowo dereferencjonuje aux_priv->auxr_dev->pdev, co powoduje wyjątek NULL pointer.

W jądrze Linux w schedulerze sieciowym sch_cake stwierdzono, że filtr ACK zawiera WARN_ON(1), który może być wyzwolony przez nieprawidłowy nagłówek IP. W zależności od konfiguracji systemu prowadzi to do spamowania dmesg ostrzeżeniami lub paniki, jeśli ustawiono panic_on_warn. Poprawka usuwa WARN_ON, ponieważ kod już poprawnie pomija pakiet w tej gałęzi.

W jądrze Linux w podsystemie vhost-scsi występuje podatność polegająca na braku walidacji liczby scatterlistów dla T10 PI. Złośliwe żądanie może zadeklarować bajty ochronne pokrywające lub przekraczające długość ładunku, co prowadzi do sytuacji, w której liczba SGL wynosi zero i wywoływana jest funkcja sg_alloc_table_chained(), powodując BUG_ON(!nents).

W jądrze Linux wykryto podatność w vhost-scsi, gdzie zmiana funkcji (feature) po aktywacji punktu końcowego (endpoint) może prowadzić do awarii systemu (kernel panic). Brak walidacji zmian funkcji po negocjacji powoduje, że włączenie T10-PI po konfiguracji pozostawia niezainicjalizowane struktury danych, co wywołuje BUG_ON w sg_alloc_table_chained().

W jądrze Linuxa w module openvswitch funkcja key_extract() nie sprawdza długości nagłówka Ethernet przed jego użyciem, co może prowadzić do błędu BUG w __skb_pull() dla pakietów przychodzących z urządzeń ARPHRD_NONE, takich jak TUN. Poprawka polega na wywołaniu check_header() przed dostępem do nagłówka Ethernet.

W jądrze Linux wykryto podatność w mechanizmie filtrów sieciowych (net/sched). Problem dotyczy wyścigu (race condition) podczas tworzenia filtrów, który może doprowadzić do użycia po zwolnieniu pamięci (UAF) w klasie cls_u32. Naprawa polega na zawsze pobieraniu blokady rtnl_lock podczas niszczenia klasyfikatorów zablokowanych.

W jądrze Linux w sterowniku DRM/Xe występuje wyciek pamięci w funkcji exec_queue_set_hang_replay_state(). Pole q->replay_state jest nadpisywane bez sprawdzenia, co może prowadzić do wycieku pamięci wcześniej przydzielonej przez vmemdup_user(). Poprawka polega na zwróceniu błędu, jeśli q->replay_state nie jest puste.

W jądrze Linux w sterowniku sieciowym mlx5e występuje podatność polegająca na nieprawidłowym resecie BQL podczas ponownej aktywacji SQ. Funkcja mlx5e_activate_txqsq() bezwarunkowo wywołuje netdev_tx_reset_queue(), zerując liczniki BQL kanałów, które mają w locie WQE, co prowadzi do BUG_ON w dql_completed().

W jądrze Linux w sterowniku bnxt_en wykryto podatność powodującą uszkodzenie danych. Gdy włączone jest EOP (dopełnienie końca ramki) na pierścieniu AGG, może dojść do nakładania się zerowego dopełnienia z danymi następnego segmentu, zwłaszcza przy włączonym Relaxed Ordering (RO). Na starszych układach (P5 i starsze) RO nie jest automatycznie wyłączane, co może prowadzić do nadpisania poprawnych danych.

W jądrze Linux w implementacji TCP Fast Open (TFO) wykryto problem z licznikiem max_qlen podczas migracji gniazda z SO_REUSEPORT. Po migracji licznik qlen nie jest poprawnie przenoszony, co powoduje, że limit liczby oczekujących żądań Fast Open nie jest respektowany i może być przekroczony.

W jądrze Linux w module netfilter nf_flow_table wykryto problem z wyciekiem referencji do dst_entry. Gdy pakiet przechodzący przez hooki flowtable ma już przypisany ref-counted dst, wywołanie skb_dst_set_noref() nadpisuje wskaźnik, powodując wyciek referencji i wyzwalając ostrzeżenia DEBUG_NET_WARN_ON_ONCE.

W jądrze Linux w module net/ncsi wykryto podatność na odczyt poza zakresem sterty (heap OOB read). Funkcja ncsi_send_cmd_nl() nie sprawdza poprawności długości ładunku z nagłówka pakietu, co pozwala atakującemu z CAP_NET_ADMIN na odczyt do 64KB pamięci jądra i wyciek informacji.

W jądrze Linux w sterowniku prestera wykryto brak walidacji długości nagłówka firmware. Funkcja prestera_fw_hdr_parse() odczytuje nagłówek przed sprawdzeniem, czy obraz firmware zawiera ten nagłówek, co może prowadzić do odczytu poza zakresem.

W kernelu Linuxa wykryto podatność TOCTOU w module net/smc. Funkcja smc_listen_out() sprawdza stan gniazda bez blokady, a następnie dopiero ją przejmuje, co pozwala na wyścig z zamykaniem nasłuchującego gniazda. W wyniku tego może dojść do wycieku pamięci jądra przez niezwolnione referencje do gniazda potomnego.

W sterowniku sieciowym Thunderbolt w jądrze Linux wykryto podatność polegającą na nieprawidłowej kolejności zamykania: najpierw zatrzymywane są pierścienie DMA i zwalniane bufory ramek, a dopiero potem dezaktywowane ścieżki DMA. Powoduje to, że dane w locie nie mają gdzie spłynąć, a bit 'pending' nigdy nie jest czyszczony, co prowadzi do przekroczenia limitu czasu i awarii łącza.

W jądrze Linux w sterowniku s390/ism wykryto podatność use-after-free. Podczas wywołania ism_dev_exit() może być aktywny równolegle handler przerwań, który uzyskuje dostęp do zwolnionych struktur danych, co prowadzi do naruszenia bezpieczeństwa pamięci.

W jądrze Linux w module net/atm wykryto podatność na odczyt poza zakresem (slab-out-of-bounds) w funkcji vcc_setsockopt(). Nieskuteczne sprawdzenie długości optlen pozwala na pominięcie walidacji, co może prowadzić do odczytu poza granicami bufora.

W jądrze Linux w sterowniku watchdog at91sam9_wdt występuje podatność polegająca na tym, że funkcja at91_ping() ponownie uzbraja timer watchdoga z poziomu wywołania zwrotnego. Użycie timer_delete() nie czeka na zakończenie działania wywołania zwrotnego ani nie zapobiega ponownemu uzbrojeniu timera, co może prowadzić do dostępu do zwolnionej pamięci podczas awarii lub usuwania sterownika.

W jądrze Linuxa wykryto podatność w mechanizmie rqspinlock, gdzie w przypadku wykrycia zakleszczenia ABBA nie jest resetowany wskaźnik ogona kolejki oczekujących. Może to prowadzić do sytuacji, w której wątek czeka na następnego oczekującego, który nigdy nie nadejdzie, powodując sporadyczne lub trwałe zawieszenie działania systemu.

W jądrze Linux w sterowniku hwmon ltc4282 występuje podatność polegająca na tym, że ujemne wartości prądu są rzutowane bezpośrednio na typ u64, co prowadzi do dużych wartości dodatnich, a następnie do przepełnienia i losowych wartości po podziale. Wartości te są następnie ograniczane do maksymalnego limitu zamiast do zera.

W jądrze Linux w sterowniku net: tap występuje podatność polegająca na tym, że w funkcji tap_get_user_xdp() parsowanie nagłówka virtio-net odbywa się przed przypisaniem skb->dev. Gdy ścieżka vhost TX przekazuje bufor XDP z nagłówkiem GSO virtio-net i protokołem ustawionym na zero, może dojść do wywołania dev_parse_header_protocol() z skb->dev równym NULL, co prowadzi do awarii.