Podatności Linux kernel

W jądrze Linuxa funkcja in6_dev_get() może wskrzesić obiekt inet6_dev po jego zwolnieniu. Odczytuje dev->ip6_ptr pod RCU, a następnie bezwarunkowo zwiększa licznik referencji. Jeśli teardown urządzenia wyczyści wskaźnik i zwolni ostatnią referencję między tymi operacjami, inkrementacja może wskrzesić obiekt, którego zwolnienie RCU już zostało zaplanowane, prowadząc do użycia po zwolnieniu.

W jądrze Linuxa w module net/dibs występuje problem z podwójnym zwolnieniem i użyciem po zwolnieniu (UAF) w dmb_clientid_arr. Obsługa przerwań może być aktywna po dibs_dev_del() i nadal uzyskiwać dostęp do tablicy. W przypadku błędu w dibs_dev_add() tablica jest zwalniana dwukrotnie.

W jądrze Linuxa w funkcji zerocopy_fill_skb_from_devmem() brakuje zabezpieczenia przed mieszaniem fragmentów net_iov i stron w jednym pakiecie sieciowym (skb). Taka mieszanka może prowadzić do awarii stosu sieciowego.

W jądrze Linuxa w sterowniku ntb_netdev funkcja ntb_netdev_rx_handler() przekazuje odebrany skb do stosu sieciowego przed przydzieleniem jego następcy. Jeśli alokacja się nie powiedzie, bufor nie jest ponownie wysyłany, co stopniowo opróżnia kolejkę RX i może zatrzymać odbiór pakietów.

W jądrze Linuxa w podsystemie netfilter bridge, gdy reguła nftables ustawia strefę ct, szablon conntrack może zostać dołączony do skb przed przetworzeniem przez nf_ct_bridge_pre(). Dla nie-IP typów EtherType funkcja nadpisuje stan conntrack bez zwolnienia referencji do szablonu, co prowadzi do wycieku pamięci.

W jądrze Linuxa w netfilter nf_conntrack, ścieżki TCP i SCTP mogą generować logi o nieprawidłowych pakietach, gdy trzymają blokadę ct->lock. Jeśli logowanie jest kierowane do nfnetlink_log i eksport conntrack jest włączony, może dojść do zakleszczenia.

W jądrze Linuxa w sterowniku atlantic, podczas deinicjalizacji pierścieni TX, funkcja aq_vec_deinit() czyści tylko ograniczoną liczbę deskryptorów i zatrzymuje się na hw_head, pozostawiając wiele buforów (skb lub xdp_frame) niezwolnionych. Prowadzi to do wycieku pamięci przy każdym wyłączeniu interfejsu, a w przypadku page_pool może zablokować jego zniszczenie.

W jądrze Linuxa w sterowniku atlantic, funkcja aq_ring_rx_deinit() przegląda tylko zakres [sw_head, sw_tail), pomijając bufory, które zostały zużyte, ale nie zostały jeszcze uzupełnione. Powoduje to wyciek stron i mapowań DMA przy każdym wyłączeniu interfejsu.

W jądrze Linux wykryto podatność w module net/sched/act_ct, która powoduje wyciek pamięci sk_buff. Gdy funkcja tcf_ct_handle_fragments() odrzuca pakiet z powodu błędów w nagłówkach (np. -EINVAL, -ENOMEM, -EPROTO), pakiet nie jest zwalniany, a akcja zwraca TC_ACT_CONSUMED, co prowadzi do trwałego wycieku pamięci. Problem został zaobserwowany na wersji v7.2-rc6, gdzie każdy nieprawidłowy pakiet powoduje wyciek obiektu skbuff_head_cache (232 bajty) oraz bufora danych (704 bajty).

W jądrze Linux wykryto podatność w modułach net/sched: act_gact i act_police. Brakuje walidacji zakresu dla zapasowej akcji sterującej (fallback control action) dostarczanej przez użytkownika, co pozwala na ustawienie wartości TC_ACT_CONSUMED (spoza dozwolonego zakresu UAPI). Powoduje to wyciek pamięci (sk_buff i bufora danych) dla każdego pakietu przechodzącego przez filtr, bez ograniczeń, w tym dla pakietów generowanych przez jądro.

W jądrze Linux wykryto podatność w systemie plików OverlayFS. Nieuprzywilejowany użytkownik może wywołać ostrzeżenie WARN_ON w ovl_fill_super(), co może doprowadzić do zanieczyszczenia jądra, zalania logów, a nawet paniki systemu (jeśli włączono panic_on_warn). Problem wynika z możliwości dokończenia montowania przez proces z innej przestrzeni nazw użytkownika.

W jądrze Linux wykryto podatność w module binfmt_misc, która pozwala nieuprzywilejowanemu procesowi na wywołanie ostrzeżenia WARN_ON() w funkcji bm_fill_super(). Dzieje się tak, gdy kontekst fsopen() jest tworzony w jednej przestrzeni nazw użytkownika, a następnie przekazywany do innej, co prowadzi do zalania logów i możliwego paniki systemu przy włączonej opcji panic_on_warn.

W jądrze Linuxa odkryto podatność w sterowniku VXLAN, polegającą na uzbrajaniu timera starzenia (age_timer) na interfejsie, który jest wyłączony (down). Brak testu netif_running() powoduje, że timer jest aktywowany nawet dla urządzenia, które nigdy nie zostało uruchomione, co prowadzi do użycia po zwolnieniu (use-after-free) podczas usuwania interfejsu. Problem może być wykorzystany przez nieuprzywilejowanego użytkownika w nowej przestrzeni nazw użytkownika i sieci.

W jądrze Linuxa w virtio vsock pracownicy RX, TX i event odczytują swoją kolejkę przed sprawdzeniem flagi działania, co może prowadzić do użycia usuniętej kolejki po zawieszeniu i przywróceniu urządzenia.

W jądrze Linux wykryto podatność w sterowniku vsock/virtio, gdzie po usunięciu kolejek (virtqueues) pracownik RX może nadal uzupełniać kolejkę, prowadząc do użycia po zwolnieniu (use-after-free) i paniki jądra. Problem pojawia się, gdy praca jest kolejkowana po wywołaniu virtio_vsock_vqs_del().

W jądrze Linuxa w TLS, gdy pierścień sk_msg jest pełny, nie jest ustawiana flaga full_record, co może prowadzić do zawinięcia wskaźników i nadpisania wpisów, a następnie do awarii systemu (NULL pointer dereference).

W jądrze Linux w module TIPC wykryto podatność use-after-free. Funkcja tipc_node_link_down() odczytuje wskaźnik do łącza przed uzyskaniem blokady, co przy równoczesnym usuwaniu łącza może prowadzić do odwołań do zwolnionej pamięci. Problem został naprawiony poprzez przeniesienie odczytu wskaźnika wewnątrz blokady.

W jądrze Linux w podsystemie KVM/SVM wykryto problem z synchronizacją list właściciela i listy mirrorów. Operacje przenoszenia i kopiowania kontekstu szyfrowania mogą być wykonywane współbieżnie, co prowadzi do uszkodzenia listy lub nieprawidłowego wywołania kvm_put_kvm().

W jądrze Linux w podsystemie eventfs wykryto błąd use-after-free w funkcji eventfs_remove_rec(). Podczas rekurencyjnego usuwania wpisów, iterator listy może odczytać wskaźnik po zwolnieniu pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linux w podsystemie eventfs wykryto problem z użyciem pola listy jako głowy RCU oraz brak barier pamięci. Może to prowadzić do odczytu uszkodzonych danych podczas iteracji po liście dzieci.

W jądrze Linux w sterowniku termicznym hwmon cofnięto commit, który wprowadził błąd use-after-free w ścieżce błędów funkcji thermal_add_hwmon_sysfs(). Poprawka przywraca usuniętą walidację.

W jądrze Linux w sterowniku ptp_ocp wykryto błąd odczytu poza zakresem pola ID płyty z EEPROM. Pole to nie jest zakończone znakiem NUL, co może prowadzić do odczytu pamięci poza buforem.

W jądrze Linux w podsystemie ring-buffer wykryto brak inicjalizacji pola order w strukturze bpage. Może to prowadzić do nieprawidłowego zwalniania buforów o rozmiarze większym niż strona.

W jądrze Linux wykryto podatność w mechanizmie ring-buffer, gdzie funkcja ring_buffer_swap_cpu() może zamienić bufory per-CPU w trakcie trwającej operacji zapisu. Licznik committing może chwilowo spaść do zera, co pozwala na niebezpieczną zamianę buforów i prowadzi do niespójności stanu oraz ostrzeżenia RB_WARN_ON. Poprawka zastępuje sprawdzanie licznika kontrolą current_context, która jest ustawiana na początku operacji i pozostaje ważna przez cały czas jej trwania.

W jądrze Linux w mechanizmie page_table_check stwierdzono podatność polegającą na nieprawidłowym uwzględnianiu specjalnych mapowań zerowych (shared zero-page i huge zero PMD) jako stron plikowych. Nieuprzywilejowany proces może utworzyć wystarczająco dużo takich mapowań, aby przepełnić licznik file_map_count i wywołać BUG_ON().

W jądrze Linux w mechanizmie ptdump stwierdzono wyścig (race condition) z procesem zwalniania tablic stron jądra. Poprzednie poprawki zabezpieczały tylko ptdump dla init_mm, ale na architekturach x86 i arm64 ptdump może działać na innych mm, co pozostawia lukę. Poprawka polega na zablokowaniu init_mm przed wykonaniem ptdump.

W jądrze Linux w funkcji rt6_route_rcv() stwierdzono błędną walidację długości opcji Route Information (RFC 4191). Z powodu błędu off-by-one, jądro może odczytać do 8 bajtów poza końcem opcji, co może ujawnić dane z sąsiednich obszarów pamięci w trasach widocznych dla użytkownika.

W jądrze Linux w funkcji setattr_prepare() stwierdzono zbędne sprawdzenie, czy fs-verity jest włączone. To sprawdzenie nie jest konieczne, a jego obecność może powodować, że operacja truncate na plikach fsverity zakończy się sukcesem, co jest niepożądane.

W jądrze Linux w funkcji fscrypt_ioctl_set_policy() stwierdzono, że sprawdzenie właściciela pliku używa nop_mnt_idmap zamiast idmap zamontowanego systemu plików. Na systemach plików wspierających idmapped mounts (np. ext4, f2fs) może to prowadzić do błędnego odmówienia dostępu prawowitemu właścicielowi lub przyznania dostępu niepowołanej osobie.

W jądrze Linux wykryto podatność w mechanizmie PSI (Pressure Stall Information) dla grup cgroup. Wyścig między funkcjami psi_schedule_rtpoll_work() a psi_trigger_destroy() może doprowadzić do ponownego uzbrojenia timera po jego usunięciu, a następnie do użycia po zwolnieniu pamięci (use-after-free) podczas wyzwalania timera na zwolnionej strukturze grupy.

W jądrze Linux w mechanizmie sched_ext stwierdzono potencjalny zakleszczenie (deadlock) spowodowane kolejnością blokad w scx_cgroup_lock(). Funkcja najpierw blokuje scx_cgroup_ops_rwsem, a następnie cgroup_lock(), co może prowadzić do zakleszczenia z operacjami cgroup rmdir i zapisami cpu.weight.

W jądrze Linux w mechanizmie IMA stwierdzono brak natychmiastowego resetowania flag akcji (IMA_DONE_MASK) podczas operacji truncate. Poprawka instaluje haki file_truncate i path_truncate, aby wymusić ponowne zbieranie, mierzenie, audyt i ocenę pliku przy następnym dostępie.

W jądrze Linuxa w funkcji bpf_get_fsverity_digest() występuje problem z założeniami dotyczącymi dynptr. Mimo że weryfikator BPF i abstrakcja dynptr zapewniają ważność pamięci, nie gwarantują stabilności jej zawartości. Funkcja mogła ulec awarii, jeśli arg->digest_size został współbieżnie zmodyfikowany. Poprawka polega na użyciu znanej, poprawnej wartości hash_alg->digest_size oraz poszerzeniu typów zmiennych do u64.

W jądrze Linux wykryto podatność use-after-free w mechanizmie BPF sockmap podczas przetwarzania werdyktu wysyłki. Problem polega na tym, że funkcja tcp_bpf_send_verdict() kopiuje wskaźnik do gniazda docelowego bez zwiększania licznika referencji, co przy współbieżnym dostępie może prowadzić do użycia zwolnionej pamięci. Atakujący może wykorzystać tę wadę do eskalacji uprawnień lub wywołania awarii systemu.

W jądrze Linuxa w podsystemie Thunderbolt występuje podatność na odczyt poza zakresem (out-of-bounds) podczas parsowania DROM. Pole dual_link_port_nr, pochodzące z urządzenia, nie jest odpowiednio sprawdzane przed użyciem jako indeks tablicy sw->ports. Może to prowadzić do uzyskania wskaźnika poza zakresem i późniejszego jego użycia.

W jądrze Linuxa w sterowniku RDMA bnxt_re występuje wyciek pamięci jądra do przestrzeni użytkownika. Strona współdzielona (shpg) nie jest zerowana przed udostępnieniem jej użytkownikowi, co powoduje ujawnienie niezaszyfrowanych danych z pamięci jądra. Poprawka polega na użyciu get_zeroed_page() zamiast __get_free_page().

W jądrze Linuxa w klasyfikatorze route4 (net/sched: cls_route) występuje błąd use-after-free w pamięci podręcznej fastmap. Klasyfikator przechowuje wskaźniki do filtrów w 16-slotowej pamięci podręcznej, a wyścig między operacjami odczytu i zapisu może prowadzić do użycia zwolnionej pamięci, co może skutkować awarią systemu lub eskalacją uprawnień.

W jądrze Linuxa w funkcji packet_snd() (ścieżka wysyłki pakietów) występuje niespójność w odczycie dev->hard_header_len, co może prowadzić do zapisu poza zakresem podczas konstruowania skb. Problem dotyczy również packet_sendmsg_spkt().

W jądrze Linuxa odkryto podatność w podsystemie vhost. Pamięć podręczna metadanych vring (vq->meta_iotlb[]) nie jest resetowana podczas rekonfiguracji vring przez ioctl VHOST_SET_VRING_ADDR lub VHOST_SET_VRING_NUM, gdy urządzenie ma podpięty IOTLB. Może to prowadzić do użycia nieaktualnych mapowań, co skutkuje dostępem do pamięci poza faktycznie zamapowanym regionem.

Implementacja funkcji waitid() w systemie Linux tłumaczy strukturę siginfo_t z FreeBSD na strukturę siginfo_t Linuksa umieszczoną na stosie, ale nie zeruje tej struktury przed użyciem. Nieuprzywilejowany użytkownik może zaobserwować 104 bajty niezainicjalizowanych danych ze stosu jądra, które mogą zawierać wrażliwe informacje.

Sterownik ARM PL011 UART (drivers/serial/uart_pl011.c) nie potwierdza przerwań błędów odbioru. Błędy ramki, parzystości, przerwy i nadmiaru są czyszczone tylko przez zapis do rejestru UARTICR, ale procedura przerwania pl011_isr() tego nie robi, co powoduje, że przerwanie pozostaje aktywne po zakończeniu obsługi. Atakujący kontrolujący port szeregowy może wywołać te błędy, prowadząc do niekończącej się burzy przerwań i trwałego zawieszenia systemu.

W jądrze Linux naprawiono podatność w netfilter: nft_payload, dotyczącą budowania maski dla częściowego offloadu pól. Dla częściowego dopasowania adresu IPv6 (field_len = 16, priv_len = 1) przesunięcie 1 << 120 jest niezdefiniowane na 32-bitowym typie int. Powoduje to również nadmierne maskowanie bajtów, co może prowadzić do błędów w dopasowywaniu pakietów. Poprawka ustawia bajty bezpośrednio i usuwa niebezpieczne przesunięcie.

W jądrze Linux wykryto podatność w mechanizmie AF_ALG (algif_skcipher), gdzie asynchroniczne przetwarzanie żądań szyfrowania pozwala na nadpisanie wektora inicjalizującego (IV) przez nieuprzywilejowanego użytkownika. Prowadzi to do ponownego użycia IV/keystreamu, co umożliwia odzyskanie tekstu jawnego z równoległej operacji. Poprawka wymusza synchroniczne przetwarzanie, eliminując wyścig.

W jądrze Linuxa w funkcji mpls_getroute() nie inicjalizowano pola rtm_tos w strukturze rtmsg, co prowadzi do wycieku jednego bajtu niezainicjalizowanej pamięci sterty do przestrzeni użytkownika podczas odbierania odpowiedzi RTM_GETROUTE. Problem został wykryty przez KMSAN i dotyczy protokołu MPLS.

W jądrze Linux wykryto podatność prowadzącą do nieograniczonej rekurencji w ścieżce zwalniania pamięci (free path) w menedżerze pamięci slab. Problem wynika z możliwości tworzenia cykli między tablicami obj_exts różnych cache'ów kmalloc, co może doprowadzić do przepełnienia stosu (stack overflow) i awarii systemu.

W jądrze Linuxa w podsystemie Thunderbolt występuje podatność use-after-free w opóźnionej pracy XDomain podczas rozłączania. Funkcja tb_xdp_handle_request() może zaplanować opóźnioną pracę po tym, jak funkcja tb_xdomain_remove() anuluje synchronizację, ale przed zwolnieniem obiektu xdomain, co prowadzi do wykonania pracy na zwolnionej pamięci. Poprawka dodaje flagę xd->removing i synchronizację przez xd->lock.

W jądrze Linuxa w sterowniku dmaengine idxd występuje problem z czyszczeniem po nieudanej konfiguracji fdev w funkcji idxd_cdev_open(). Ścieżki failed_dev_add i failed_dev_name zwalniają referencję do urządzenia plikowego, trzymając wq->wq_lock, co może prowadzić do zakleszczenia, jeśli put_device() wywoła funkcję zwrotną idxd_file_dev_release() próbującą ponownie przejąć ten sam lock. Dodatkowo te ścieżki przechodzą do dalszego czyszczenia kontekstu, które może działać na zwolnionej pamięci. Poprawka przenosi idxd_wq_get() przed możliwą awarię i zwalnia lock przed put_device().

W systemie Linux w podsystemie btrfs dla dysków strefowych (zoned) wykryto zakleszczenie (deadlock) między zapisem metadanych a zatwierdzaniem transakcji. Problem występuje, gdy zapis metadanych blokuje zamek zoned_meta_io_lock, a następnie próbuje aktywować strefę, co wymaga oczekiwania na zatwierdzenie transakcji, która z kolei potrzebuje tego samego zamka. Naprawa polega na zwolnieniu zamka przed wywołaniem btrfs_zone_finish_one_bg() i ponownym jego przejęciu po zakończeniu.

W jądrze Linux w systemie plików btrfs występuje podatność na dereferencję wskaźnika NULL podczas montowania z opcją rescue=ibadroots, gdy drzewo bloków grup lub drzewo pasków RAID jest uszkodzone. Funkcja btrfs_update_global_block_rsv() odwołuje się do brakującego korzenia na podstawie bitu funkcji, co prowadzi do awarii systemu.

W jądrze Linux w podsystemie kluczy występuje podatność na odczyt poza zakresem w funkcji keyring_get_key_chunk(). Dla fragmentów na poziomie opisu wskaźnik odczytu jest przesuwany o level * sizeof(long) poza prefiks, ale sprawdzane są tylko granice prefiksu, co pozwala na odczyt poza przydzieloną pamięcią dla długiego opisu klucza.