Podatności Linux kernel

W jądrze Linux w sterowniku Input: evdev występuje podatność polegająca na tym, że indeks typu zdarzenia dostarczany przez użytkownika w ioctl EVIOCGMASK / EVIOCSMASK jest używany do indeksowania tablic w evdev_get_mask_cnt() i evdev_get_mask(). Spekulacyjne wykonanie może pominąć sprawdzenie granic i wykonać odczyty poza zakresem.

W jądrze Linux w sterowniku ALSA usb-audio występuje podatność na zapis poza zakresem (OOB write) podczas obsługi przychodzących transmisji USB typu Format Type II. Problem wynika z nieprawidłowego obliczenia rozmiaru bufora transferowego, który jest o jeden pakiet za mały, co prowadzi do zapisu danych poza przydzieloną pamięcią.

W jądrze Linux w sterowniku usb: misc: usbio występuje podatność polegająca na tym, że w funkcji usbio_bulk_msg() sprawdzenie EMSGSIZE porównuje ibuf_len (rozmiar bufora odbiorczego) z txbuf_len (rozmiar punktu końcowego nadawczego), zamiast z rxbuf_len. Gdy te rozmiary się różnią, sprawdzenie jest nieprawidłowe.

W sterowniku cxacru dla urządzeń USB ATM w jądrze Linuxa wykryto podatność polegającą na niepoprawnym zarządzaniu URB (ang. USB Request Block). Podczas błędu w funkcji cxacru_cm() nie jest zabijany aktywny rcv_urb, co może prowadzić do ostrzeżenia w usb_submit_urb() i potencjalnych problemów ze stabilnością systemu.

W jądrze Linux w sterowniku usb: gadget: f_ncm występuje podatność polegająca na tym, że zmienna ndp_index jest zadeklarowana jako typ ze znakiem, ale przechowuje wartość zwracaną przez get_ncm(), która jest bez znaku. Złośliwy host może dostarczyć duży offset, który powoduje przepełnienie ndp_index, czyniąc go ujemnym, co omija sprawdzenia poprawności i prowadzi do odczytu poza zakresem przy obliczaniu adresu bloku NDP.

W jądrze Linux w sterowniku net: usb: ax88179_178a występuje podatność polegająca na tym, że gdy interfejs ma włączoną funkcję NETIF_F_SG i funkcja skb_linearize() zawiedzie w ax88179_tx_fixup(), funkcja zwraca NULL bez zwalniania skb. Prowadzi to do wycieku pamięci przy każdej ramce TX, której linearyzacja się nie powiedzie (np. pod presją pamięci).

W jądrze Linux wykryto podatność w sterowniku ipheth dla urządzeń USB iPhone, prowadzącą do użycia po zwolnieniu (UAF) w pracy związanej z wykrywaniem nośnika. Problem występuje, gdy praca carrier_work jest ponownie planowana po zamknięciu interfejsu lub odłączeniu urządzenia, co skutkuje dostępem do zwolnionej pamięci.

W jądrze Linuxa w sterowniku vt brakuje sprawdzenia uprawnień dla ioctl KDSKBMETA, co pozwala procesowi na zmianę trybu meta klawiatury na konsoli, której nie kontroluje, bez autoryzacji.

W jądrze Linuxa funkcja kbd_keycode() odczytuje wskaźnik port.tty bez odpowiedniego zabezpieczenia referencją, co prowadzi do wyścigu z con_shutdown() i potencjalnego użycia po zwolnieniu.

W jądrze Linux wykryto podatność w funkcji zap_pte_range podczas bezpośredniego odzyskiwania stron tabeli. Błędny adres przekazywany do pte_free_tlb powoduje nieprawidłowe flushowanie TLB (pamięci podręcznej struktur stron), co może prowadzić do użycia zwolnionej pamięci lub awarii systemu. Problem dotyczy głównie architektur, gdzie flush jest zależny od adresu, np. AMD z EFER.TCE lub Intel z INVPCID.

W jądrze Linuxa w podsystemie evdev struktura input_event nie jest w pełni inicjalizowana, co powoduje wyciek niezainicjalizowanych bajtów z pamięci stosu do przestrzeni użytkownika przez padding.

W jądrze Linux wykryto podatność use-after-free (UAF) w mechanizmie vmalloc, wynikającą z wyścigu między operacją zwalniania stron tabel stron a narzędziem ptdump. Problem dotyczy promocji wpisów do ogromnych stron (huge pages), gdzie dolna tabela stron jest zwalniana bez odpowiedniego blokowania, co może prowadzić do dostępu do zwolnionej pamięci. Łata rozwiązuje problem poprzez przejęcie blokady mmap na init_mm podczas operacji vmap oraz w mechanizmie CPA (Change Page Attributes) na x86.

W jądrze Linuxa w module IMA funkcja xattr_verify() ma błąd w sprawdzaniu długości sumy kontrolnej, co prowadzi do odczytu poza zakresem bufora dla skróconych atrybutów xattr.

W jądrze Linuxa w IPVS wątek estymatora może kontynuować działanie po wyłączeniu fazy obliczeniowej, co prowadzi do zapisu poza tablicę i potencjalnej awarii.

W jądrze Linuxa w podsystemie packet, funkcja tpacket_snd() odczytuje dev->hard_header_len niezależnie dla alokacji i konstrukcji nagłówka, co przy współbieżnej rekonfiguracji może prowadzić do przepełnienia bufora.

W jądrze Linux w ścieżce transmisji gniazda pakietowego nie jest resetowany nagłówek MAC dla ramek SOCK_RAW związanego z protokołem, SOCK_DGRAM i SOCK_PACKET. W trybie PACKET_QDISC_BYPASS ramka dociera do sterownika z nieustawionym nagłówkiem MAC, co prowadzi do odczytu poza zakresem pamięci.

W jądrze Linux w funkcji packet_set_ring() stan pierścienia RX jest aktualizowany pod blokadą, ale tryb odbioru tpacket jest publikowany po jej zwolnieniu. Może to prowadzić do wyścigu, w którym packet_poll() lub packet_recvmsg() odwołują się do nieaktualnej lub NULL-owej pamięci pierścienia.

W jądrze Linux w Open vSwitch (openvswitch) podczas aktualizacji przepływu, gdy żądanie z UFID nie znajdzie przepływu i użyje klucza, wstępnie przydzielona odpowiedź może być za mała. Może to prowadzić do błędu -EMSGSIZE i wywołania BUG_ON w ścieżce aktualizacji.

W jądrze Linux w podsystemie net/sched zbyt głębokie hierarchie qdisc mogą prowadzić do nadmiernej rekurencji i wyczerpania stosu jądra. Istniejący mechanizm wykrywania pętli nie obejmuje ścieżki tworzenia i szczepienia, co pozwala na rozszerzanie hierarchii.

W jądrze Linux w podsystemie mac802154 worker beacon odczytuje local->beacon_req pod RCU, ale po opuszczeniu sekcji RCU nadal używa sdata i wpan_dev. Może to prowadzić do użycia po zwolnieniu po zakończeniu interfejsu.

W jądrze Linux wykryto podatność w module netfilter ebt_nflog, która prowadzi do użycia po zwolnieniu (use-after-free). Problem wynika z braku utrzymania referencji do modułu logującego NFLOG, co pozwala na wywołanie reguły ebtables po zwolnieniu per-net danych przez nfnetlink_log. Atakujący może wykorzystać tę wadę do naruszenia integralności pamięci jądra.

W jądrze Linux w podsystemie bridge MRP funkcja br_mrp_alloc_test_skb() tworzy ramki testowe MRP na skb z dev_alloc_skb(), które nie czyści obszaru danych. W gałęzi ring-role MRA trzy bajty pozostają niezainicjalizowane w każdej ramce MRP_Test.

W jądrze Linux wykryto podatność w mechanizmie futex, dotyczącą wyścigu podczas wychodzenia z procesu z użyciem robust futex. Poprzednia poprawka (ca16d5bee598) była niewystarczająca, co pozwalało na utratę powiadomienia o wybudzeniu, gdy inny wątek przejął futex szybką ścieżką. W rezultacie oczekujące wątki mogły zasnąć na zawsze, mimo że futex był wolny.

W jądrze Linux w funkcji fib_nlmsg_size() błędnie szacowano rozmiar przestrzeni dla nexthopów, zakładając, że każdy gateway jest kodowany jako atrybut IPv4 RTA_GATEWAY. Trasy IPv4 mogą jednak zawierać gateway IPv6, który jest zrzucany jako RTA_VIA, co prowadzi do zbyt małej alokacji skb i błędów -EMSGSIZE, a przy włączonym panic_on_warn do paniki jądra.

W jądrze Linux wykryto podatność use-after-free w funkcji fib_nhc_update_mtu() dla IPv4. Problem wynika z braku synchronizacji przeglądania tabeli wyjątków PMTU z aktualizacjami, co może prowadzić do dostępu do zwolnionej pamięci. Atakujący może wykorzystać tę wadę do naruszenia integralności systemu.

W sterowniku UART qcom-geni w jądrze Linux występuje problem z opróżnianiem bufora DMA podczas transmisji, co powoduje zawieszenie UART i nieskończone powtarzanie uszkodzonych ramek TX DMA. Brakuje wywołania zwrotnego flush_buffer w trybie DMA, a ścieżka zatrzymania jest uszkodzona, co prowadzi do zakleszczenia.

W sterowniku 8250_dma w jądrze Linux, funkcja serial8250_release_dma() kończy RX DMA i zwalnia kanał, ale pozostawia ustawioną flagę rx_running. Przy ponownym otwarciu portu, przestarzały stan powoduje przekazanie NULL do dmaengine_pause(), co prowadzi do kernel Oops.

W jądrze Linux wykryto podatność w sterowniku szeregowym 8250_of dla układu NXP LPC32xx. UART może zgłaszać przerwanie przekroczenia czasu odbioru (RX timeout) przy pustym buforze FIFO, co nie jest automatycznie czyszczone. Powoduje to burzę przerwań, która na jednordzeniowym ARM926 może zablokować działanie procesora (livelock).

W sterowniku amba-pl011 w jądrze Linux, timery hrtimer RS485 są osadzone w zarządzanym przez devm porcie i mogą się uruchomić po jego zwolnieniu. Obsługa przerwań może uzbroić timer, dlatego należy najpierw zwolnić IRQ, a następnie anulować oba timery.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_get_wpa_ie() odczytuje bajty na stałych offsetach z elementu informacyjnego specyficznego dla dostawcy bez sprawdzania, czy element jest wystarczająco długi, co powoduje odczyt poza zakresem dla krótkiego elementu IE.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja WMM_param_handler() kopiuje element parametrów WMM o stałym rozmiarze z odebranego elementu informacyjnego bez sprawdzania, czy element jest wystarczająco długi, co powoduje odczyt poza zakresem dla krótkiego elementu WMM IE.

W sterowniku staging rtl8723bs w jądrze Linux, procedura uwierzytelniania WEP shared-key używa długości elementu challenge-text kontrolowanej przez atakującego bez sprawdzania jej względem stałego bufora 128-bajtowego chg_txt, co może prowadzić do przepełnienia lub niedopełnienia bufora.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_cfg80211_monitor_if_xmit_entry() usuwa nagłówek radiotap i odczytuje pole kontrolne ramki 802.11 bez sprawdzania, czy pozostał podstawowy nagłówek 802.11, co może prowadzić do odczytów poza zakresem lub niewystarczających danych.

W jądrze Linux w module fastrpc występuje potencjalny wyścig podczas operacji unmap bufora. Bufor jest usuwany z listy dopiero po zakończeniu operacji unmap, co może prowadzić do problemów przy równoczesnym wywołaniu unmap przez wiele wątków. Poprawka przenosi usunięcie z listy przed operacją unmap, a w przypadku niepowodzenia bufor jest ponownie dodawany.

W jądrze Linux w module fastrpc brakuje blokady fl->lock podczas przenoszenia mapowań pamięci po przerwaniu wywołania invoke. Operacje list_del() i list_add_tail() są wykonywane bez tej blokady, co może prowadzić do wyścigu z innymi operacjami na liście mmaps. Poprawka dodaje blokadę wokół przenoszenia.

W jądrze Linux w module DAMON_LRU_SORT istnieje podatność na dzielenie przez zero, gdy parametr active_mem_bp jest ustawiony na wartość większą niż 10000. Wartość docelowa dla zimnej pamięci jest obliczana jako '10000 - active_mem_bp + 2', co przy wartości 10002 daje zero, prowadząc do błędu dzielenia. Poprawka zwraca błąd przy próbie uruchomienia DAMON z wartością >10000.

W jądrze Linux w module DAMON występuje problem z folio, gdy cel migracji jest nieprawidłowy (np. NUMA_NO_NODE). Funkcje damon_pa_migrate() i damos_va_migrate() izolują folio, ale gdy target_nid jest nieprawidłowy, folio nie są zwracane do LRU, co prowadzi do wycieku referencji i pozostawienia stron poza LRU. Poprawka dodaje zwracanie folio na ścieżce nieprawidłowego nid.

W jądrze Linux wykryto podatność w module przykładowym DAMON_SAMPLE_MTIER, która pozwala użytkownikowi na wywołanie dzielenia przez zero w funkcji damos_quota_score(). Problem występuje, gdy parametr node0_mem_free_bp lub node0_mem_used_bp zostanie ustawiony na zero, co prowadzi do błędu krytycznego (Oops) i awarii systemu.

W jądrze Linux w sterowniku ALSA USB występuje podatność use-after-free (UAF) przy opóźnionym zwalnianiu punktów końcowych MIDI2. Poprzednia poprawka dla UAF w ump_to_endpoint() powoduje kolejny UAF, ponieważ próbuje dereferencjonować obiekt punktu końcowego UMP, który może być już zwolniony w kontekście opóźnionym. Poprawka dodaje private_free do wyczyszczenia powiązanych danych.

W jądrze Linux w sterowniku ALSA usx2y (dla kart dźwiękowych USB US-X2Y) brakuje walidacji offsetu w funkcji mmap dla interfejsu hwdep. Atakujący może podać dowolny offset, co prowadzi do uzyskania dostępu do pamięci jądra poza przydzielonym obszarem, a w skrajnych przypadkach do oopsa systemu.

W jądrze Linux wykryto podatność w sterowniku ALSA FCP, polegającą na zapisie poza zakresem pamięci (OOB write) w funkcji fcp_meter_ctl_get(). Problem wynika z nieprawidłowego ograniczenia rozmiaru mapy poziomów (do 255 zamiast 128), co pozwala na zapis danych poza przydzielony bufor. Atakujący z uprawnieniami CAP_SYS_RAWIO może zainstalować zbyt dużą mapę, a następnie każdy proces z dostępem do /dev/snd/controlC0 może wywołać zapis poza pamięcią.

W jądrze Linuxa w sterowniku ALSA dla urządzenia us144mkii występuje podatność polegająca na użyciu po zwolnieniu (use-after-free). Podczas ponownego przesyłania pakietów URB w funkcji capture_urb_complete() nie kotwiczono ich ponownie, co powodowało, że po pierwszym zakończeniu przesyłania lista zakotwiczonych URB była pusta. W rezultacie funkcje usuwające, takie jak tascam_free_urbs(), nie mogły poprawnie zatrzymać URB, co prowadziło do zapisu do zwolnionej pamięci i dereferencji zwolnionego obiektu.

W jądrze Linux w sterowniku graficznym V3D (drm/v3d) wykryto podatność związaną z brakiem serializacji procedur obsługi limitów czasu (timeout) dla różnych kolejek sprzętowych (BIN, RENDER, TFU, CSD). Ponieważ reset jest globalny, równoczesne obsługiwanie timeoutów w różnych kolejkach może prowadzić do niespójności liczników zadań, co skutkuje zawieszeniem GPU i interfejsu użytkownika.

W jądrze Linux wykryto podatność use-after-free w podsystemie perf, związaną z nieprawidłowym odłączaniem zdarzeń potomnych od grupy. Gdy zdarzenie potomne jest odłączane od grupy (np. podczas hot-unplug CPU), jego wskaźnik group_leader pozostaje wskazujący na starego lidera, który może zostać zwolniony, co prowadzi do dereferencji zwolnionej pamięci podczas wywołania ioctl PERF_IOC_FLAG_GROUP. Problem został zaobserwowany przez fuzzer zdarzeń perf, hotplug CPU i obciążenie systemu.

W jądrze Linux wykryto wyścig (race condition) między funkcjami event_define_fields() i update_event_fields() podczas jednoczesnego ładowania modułów. Brak ochrony listy pól zdarzeń przez event_mutex w trace_event_update_all() może prowadzić do paniki jądra.

W jądrze Linux w sterowniku fbdev funkcja bit_cursor() nie sprawdzała poprawności indeksu glifu odczytanego z bufora ekranu, co mogło prowadzić do odczytu poza zakresem pamięci. Problem został zgłoszony przez narzędzie Syzkaller i dotyczy ścieżki zapisu do /dev/vcsa.

W jądrze Linuxa funkcja ring_buffer_subbuf_order_set() zwalnia strony bufora, co jest niedozwolone, gdy zmiana rozmiaru jest wyłączona. Nieczytający konsument może doświadczyć użycia po zwolnieniu (use-after-free) w rb_advance_iter(). Funkcja zwraca teraz -EBUSY, gdy resize_disabled jest ustawione, zgodnie z zachowaniem ring_buffer_resize().

W jądrze Linuxa w module tracingu występuje błąd prowadzący do dereferencji wskaźnika NULL podczas usuwania zdarzeń z pamięci podręcznej modułu. Filtr zdarzeń specyficzny dla modułu, taki jak ':mod:foo', jest buforowany z wskaźnikiem NULL, gdy moduł nie został załadowany. Późniejsza próba usunięcia konkretnego dopasowania z tego samego modułu przekazuje ten NULL do strcmp(), powodując dereferencję NULL.

W jądrze Linux wykryto subtelny wyścig (race condition) w implementacji strony huge_zero_folio, który może prowadzić do błędnej identyfikacji strony jako zwykłej strony THP. Problem dotyczy sytuacji, gdy shrinker nadpisuje wskaźnik huge_zero_pfn wartością ~0UL w trakcie równoczesnego dostępu z get_huge_zero_folio(). Skutkiem może być nieprawidłowe dzielenie strony huge zero i inne błędne operacje.

W jądrze Linuxa w funkcji smc_rx_splice() występuje błąd braku równowagi w czasie życia wpisów splice. Funkcja przekazuje strony do splice_to_pipe() przed pobraniem referencji, co może prowadzić do użycia po zwolnieniu (use-after-free) z powodu niedomiaru licznika referencji.