Podatności Linux kernel

W jądrze Linux w podsystemie kluczy występuje podatność związana z niezgodnością kolejności bajtów w fragmentach kluczy w keyring_get_key_chunk() i keyring_diff_objects(). Różnice w kolejności bajtów i pozycji bitów mogą pozwolić na kolizje kluczy, co może prowadzić do nieprawidłowego umieszczania kluczy w keyringu.

W jądrze Linux w netfilter nf_tables występuje podatność na użycie po zwolnieniu (use-after-free) z powodu globalnej tablicy rhltable dla obiektów nft. Umożliwia to dostęp do obiektów, które są usuwane z innych przestrzeni nazw sieciowych, co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w netfilter xt_hashlimit występuje podatność na niezainicjalizowany dostęp do pola burst w unii struktury dsthash_ent, gdy tryb XT_HASHLIMIT_RATE_MATCH jest używany przez mniej niż dwie reguły odnoszące się do tej samej tablicy haszującej. Ponadto tryb ten jest odrzucany dla rewizji mniejszych niż 3.

W jądrze Linux w RDS/TCP występuje podatność na użycie po zwolnieniu (use-after-free) w funkcji rds_tcp_laddr_check(). Funkcja pobiera wskaźnik do interfejsu IPv6, zwalnia blokadę RCU, a następnie używa tego wskaźnika w ipv6_chk_addr(), co może prowadzić do odczytu zwolnionej pamięci, jeśli interfejs zostanie usunięty.

W jądrze Linuxa w module nexthop występuje podatność polegająca na wyścigu (race condition) podczas operacji zastępowania nexthopa. Funkcje fib6_check_nh_list() i __nexthop_replace_notify() przeglądają listę f6i_list bez trzymania zamka nh->lock, podczas gdy operacje IPv6 RTM_NEWROUTE/RTM_DELROUTE modyfikują tę listę pod tym zamkiem. Prowadzi to do użycia po zwolnieniu (use-after-free) i może zostać wykorzystane do wykonania kodu lub wywołania awarii systemu.

W jądrze Linuxa w module nexthop występuje podatność polegająca na wyścigu w funkcji nh_rt_cache_flush(), która przegląda listę f6i_list bez trzymania zamka nh->lock. Operacje IPv6 dodawania/usuwania tras modyfikują tę listę pod zamkiem i mogą zwolnić wpisy fib6_info, co prowadzi do użycia po zwolnieniu (use-after-free). Atakujący może wykorzystać ten błąd do eskalacji uprawnień lub wywołania awarii systemu.

W jądrze Linux wykryto podatność w AF_XDP, powodującą wyciek buforów podczas odrzucania pakietów multi-buffer w funkcji xsk_drop_skb(). W trzech scenariuszach (błąd przepełnienia, nieprawidłowy deskryptor w pierścieniu TX, zamknięcie gniazda) deskryptory TX są konsumowane, ale adresy buforów nie są publikowane w kolejce CQ, przez co przestrzeń użytkownika traci do nich dostęp. Poprawka polega na wywołaniu destruktora skb, który publikuje adresy do CQ, oraz na przeniesieniu przypisania adresu przed sprawdzenie przepełnienia.

W jądrze Linuxa w module XSK (AF_XDP) występuje podatność w funkcji xsk_build_skb() dotycząca logiki multi-buffer w ścieżce generycznego wysyłania. Gdy pakiety są zbyt duże (liczba deskryptorów przekracza MAX_SKB_FRAGS) lub zawierają nieprawidłowy deskryptor, deskryptory kontynuacji są po cichu tracone i nie mogą być ponownie użyte. Poprawka wprowadza flagę xdp_sock::drain_cont, która pozwala na ich opróżnienie do kolejki Cq.

W jądrze Linuxa w podsystemie XSK (zero-copy) wykryto podatność w ścieżce przetwarzania wsadowego deskryptorów Tx. Nieprawidłowe deskryptory mogą powodować utratę ramek UMEM lub naruszenie kolejności zwrotów do przestrzeni użytkownika, co prowadzi do nieprawidłowego działania kolejki Tx.

W jądrze Linuxa w bibliotece libiscsi (SCSI) występuje podatność polegająca na wycieku nieaktualnych danych do bufora sense. Funkcja iscsi_scsi_cmd_rsp() kopiuje dane sense z odpowiedzi SCSI, ale sprawdzenie granic nie uwzględnia 2-bajtowego prefiksu długości sense. Cel może zwrócić odpowiedź z datalen równym senselen, co powoduje odczyt do dwóch bajtów poza danymi i skopiowanie ich do bufora sense, który jest zwracany do przestrzeni użytkownika.

W jądrze Linuxa w podsystemie SCSI libsas występuje zakleszczenie (deadlock) podczas wznawiania pracy kontrolera oraz wyścig związany z budzeniem dysków w sterowniku hisi_sas. Problem pojawił się po zmianie, która pominęła opróżnianie kolejki zdarzeń, co doprowadziło do sytuacji, w której dyski wysyłały I/O do zawieszonego kontrolera i były wyłączane. Poprawka przenosi powiadomienie PHYE_RESUME_TIMEOUT po opróżnieniu kolejki, co eliminuje zakleszczenie i przywraca bezpieczne wznawianie.

W jądrze Linux w sterowniku ath12k wystąpił błąd poza zakresem w funkcji ath12k_mac_dp_peer_cleanup(), gdzie indeksowanie bitmapy free_ml_peer_id_map używało peer_id z ustawionym bitem ATH12K_PEER_ML_ID_VALID (BIT(13)), co prowadziło do zapisu poza pamięcią bitmapy (256 bitów). Powodowało to uszkodzenie pamięci i wyczerpanie identyfikatorów ML peer.

W jądrze Linux w sterowniku hwmon nct6775-core dla chipu NCT6116 użyto błędnej liczby rejestrów temperatury (sześć zamiast trzech), co prowadziło do odczytu poza zakresem (KASAN). Poprawka polega na ustawieniu liczby rejestrów na trzy i usunięciu zbędnej tablicy.

W jądrze Linux w sterowniku hwmon lm90 występuje podatność na odczyt atrybutów sysfs przed zakończeniem rejestracji sterownika, co może prowadzić do wyłuskania wskaźnika NULL (NULL pointer dereference) w funkcji lm90_report_alarms(). Poprawka polega na planowaniu pracy tylko po ustawieniu data->hwmon_dev.

W jądrze Linux w sterowniku hwmon nzxt-smart2 bufor wyjściowy nie był wyrównany do granicy DMA, co na architekturach z niespójną pamięcią podręczną (np. ARM, MIPS) prowadziło do uszkodzenia pamięci podczas mapowania DMA. Poprawka polega na wyrównaniu bufora do ARCH_DMA_MINALIGN.

W jądrze Linux w stosie sieciowym, gdy alokacja wpisu peer (inet_getpeer_v4/v6) zawiedzie, funkcje wysyłające przekierowania ICMP/NDISC wysyłały pakiety bez ograniczeń szybkości, co mogło prowadzić do burzy pakietów. Poprawka polega na zaniechaniu wysyłania przekierowań, gdy peer jest NULL.

W jądrze Linux w sterowniku hwmon nct6775-core dla chipu NCT6116, tablice rejestrów wagowych mają tylko 3 elementy, ale sterownik iteruje do 5 kanałów PWM, co prowadzi do odczytu poza zakresem (KASAN) i nieprawidłowego dostępu do rejestrów sprzętowych. Poprawka rozszerza tablice o zera, aby oznaczyć nieobsługiwane rejestry.

W jądrze Linux w sterowniku forcedeth występuje podatność use-after-free w funkcji nv_remove(), gdzie per-CPU statystyki txrx_stats są zwalniane przed wyrejestrowaniem urządzenia sieciowego, co może prowadzić do dostępu do zwolnionej pamięci. Poprawka przenosi zwolnienie po unregister_netdev().

W jądrze Linux w sterowniku hwmon adt7470, ustawienie auto_update_interval na 0 przez sysfs powoduje zapętlenie wątku aktualizacji, co prowadzi do ciągłego obciążenia CPU i zalewania magistrali I2C. Poprawka podnosi dolny limit interwału do 500 ms.

W jądrze Linux w sterowniku hwmon adt7470 występuje podatność na awarię dzielenia przez zero (TOCTOU) podczas odczytu prędkości wentylatora. Jeśli dane o wentylatorze staną się zerowe między sprawdzeniem poprawności a konwersją, może dojść do awarii systemu z powodu wyścigu z równoczesną aktualizacją buforowanej wartości.

W jądrze Linux w klasyfikatorze cls_u32 brakuje walidacji wartości offshift, co pozwala na przesunięcie poza zakres (shift-out-of-bounds) podczas klasyfikacji pakietów. Nieuprawniony użytkownik może wywołać niezdefiniowane zachowanie przez przestrzenie nazw użytkownika/sieci.

W jądrze Linux wykryto wyciek pamięci w kodzie offloadu tuneli UDP (udp_tunnel_nic). Gdy rejestracja urządzenia sieciowego nie powiedzie się, funkcja udp_tunnel_nic_unregister() wcześnie kończy działanie, nie zwalniając zaalokowanej struktury, co prowadzi do trwałego wycieku pamięci. Poprawka usuwa wczesny powrót i synchronizuje anulowanie oczekującej pracy przed zwolnieniem pamięci.

W jądrze Linux w podsystemie netfs występuje problem z alokacją folio_queue podczas zapisu zwrotnego, co może prowadzić do ostrzeżenia i potencjalnej awarii. Dodano mempool i przekazywanie flag gfp_t, aby obsłużyć błędy alokacji.

W jądrze Linux w Bluetooth ISO występuje podatność use-after-free, gdy połączenie jest odłączane od hcon. Nie wyczyszczenie pola iso_data prowadzi do późniejszego użycia po zwolnieniu pamięci.

W jądrze Linux w Bluetooth L2CAP występuje podatność use-after-free w funkcji l2cap_le_connect_rsp. Kanał jest pobierany bez trzymania referencji, co pozwala na zwolnienie go przez równoczesne rozłączenie, prowadząc do użycia po zwolnieniu.

W jądrze Linux w Bluetooth ISO funkcja iso_sock_getname nie posiada blokady gniazda (lock_sock) podczas dostępu do pola conn, co może prowadzić do wyścigu i potencjalnego użycia po zwolnieniu.

W jądrze Linux w Bluetooth ISO funkcja iso_connect_ind nie posiada blokady gniazda (lock_sock) podczas dostępu do pola conn, co może prowadzić do wyścigu i potencjalnego użycia po zwolnieniu. Dodatkowo pole conn może być NULL, jeśli gniazdo zmieniło stan.

W jądrze Linux w Bluetooth ISO funkcja iso_conn_ready nie trzyma odpowiednio referencji do gniazda (sk) podczas dostępu do pola conn->sk, co może prowadzić do użycia po zwolnieniu w przypadku równoczesnego zamknięcia gniazda.

W jądrze Linux w podsystemie Bluetooth ISO wykryto wyciek referencji do gniazda (sk) po jego zamknięciu. Warunek wczesnego powrotu w funkcji iso_sock_kill() jest zawsze prawdziwy, ponieważ sock_orphan() ustawia flagę SOCK_DEAD, co powoduje, że referencja nigdy nie jest zwalniana, a destruktor gniazda nie jest wywoływany. Dodatkowo referencja wycieka, gdy __iso_sock_close() nie ustawia SOCK_ZAPPED, ponieważ iso_conn_del() nie wywołuje iso_sock_kill() po zapping.

W jądrze Linux w podsystemie Bluetooth ISO wykryto możliwość zakleszczenia (deadlock) w funkcji iso_sock_timeout(), która wywołuje lock_sock, a następnie synchronicznie wyłącza timer, co może prowadzić do zakleszczenia. Ponadto funkcja iso_sock_timeout() może działać równolegle z iso_conn_del(), co prowadzi do użycia po zwolnieniu (UAF) — jeden wątek zwalnia strukturę hcon, a drugi próbuje uzyskać do niej dostęp.

W jądrze Linux w podsystemie Bluetooth ISO wykryto błąd w zliczaniu referencji (refcounting) struktury iso_conn. Wyścig między funkcjami iso_conn_del() i iso_chan_del() może prowadzić do podwójnego zwolnienia (double-put) iso_conn, co skutkuje użyciem po zwolnieniu (UAF). Problem wynika z dodatkowego put w iso_conn_del() dla przypadku, gdy iso_chan_add() nie powiedzie się.

W jądrze Linux w podsystemie Bluetooth ISO wykryto wyścig między operacjami kfree i kref_get_unless_zero na polu hci_conn::iso_data, które jest dostępne i modyfikowane bez synchronizacji (lock lub RCU). Może to prowadzić do użycia po zwolnieniu (UAF) oraz do wyścigów między iso_conn_add() a iso_conn_free().

W jądrze Linux w podsystemie Bluetooth (sterownik btintel) wykryto brak walidacji długości przed dostępem do pola tlv->val[0] w funkcji btintel_diagnostics(). Może to prowadzić do odczytu danych poza odebraną ramką, co skutkuje ujawnieniem informacji lub awarią.

W jądrze Linux w podsystemie Bluetooth (hci_conn) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji abort_conn_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Brakuje trzymania referencji do połączenia.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji hci_connect_big_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Brakuje trzymania referencji do połączenia. Dodatkowo, jeśli hcon jest NULL, funkcja zwraca 0 i nic nie robi, aby zachować poprzednie zachowanie.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji hci_connect_pa_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Brakuje trzymania referencji do połączenia.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji hci_past_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Może to prowadzić do przekazania zwolnionych wskaźników do hci_conn_valid(), które mogą zostać ponownie wykorzystane przez kmalloc.

W jądrze Linux w podsystemie octeontx2-af wykryto podatność, która pozwala funkcjom wirtualnym (VF) na nadpisanie specjalnego stanu PKIND w interfejsie CGX. Gdy włączone jest parsowanie HiGig2 lub EDSA, alokacja NIX LF przez VF nie powinna resetować konfiguracji PKIND RX ani domyślnej konfiguracji TX parse ustawionej przez PF. Brakuje odpowiednich funkcji sprawdzających uprawnienia.

W jądrze Linux w sterowniku mpi3mr wykryto potencjalny zakleszczenie w funkcji mpi3mr_fault_uevent_emit(). Funkcja ta działa w kontekście watchdoga i ścieżek resetowania, gdzie I/O hosta może być już zablokowane. Alokacje pamięci z użyciem GFP_KERNEL, zarówno lokalne, jak i wewnątrz kobject_uevent_env(), mogą wywołać odzyskiwanie pamięci, które czeka na zablokowane I/O i prowadzi do zakleszczenia.

W jądrze Linux w sterowniku sieciowym sxgbe wykryto wyciek pamięci: gdy alokacja pierścieni deskryptorów RX nie powiedzie się, funkcja init_dma_desc_rings() zwalnia tylko częściowo przydzielone pierścienie RX i zwraca, pozostawiając wcześniej przydzielone pierścienie TX bez zwolnienia.

W jądrze Linux dla architektury RISC-V wykryto podatność polegającą na wyjściu poza zakres podczas usuwania pamięci (memory hot-remove). Funkcje remove_pud_mapping() i remove_p4d_mapping() uzyskują bazę tabeli podrzędnej z offsetem 0, a następnie dodają indeks dla adresu. Przy składaniu poziomów tabel stron (page-table folding) może to prowadzić do przejścia poza tabelę nadrzędną i przekazania nieprawidłowej strony do __free_pages(), co powoduje BUG w jądrze.

W sterowniku qede jądra Linux wykryto zakleszczenie (deadlock) podczas odzyskiwania po przekroczeniu limitu czasu transmisji (TX timeout) na kartach sieciowych z skonfigurowanymi tunelami VXLAN/GENEVE. Proces odzyskiwania próbuje ponownie zablokować ten sam mutex (qede_lock), co prowadzi do zablokowania całej płaszczyzny sterowania rtnetlink i zawieszenia wielu usług systemowych.

W jądrze Linux w serwerze SMB (ksmbd) wykryto podatność use-after-free w funkcji __close_file_table_ids(). Obiekt ksmbd_file może pozostać aktywny po logicznym zamknięciu, gdy inna sesja posiada tymczasowe odniesienie. Przy finalnym zwolnieniu przez obcą sesję obiekt jest usuwany bez usunięcia go z idr właściciela, co prowadzi do odwołania do zwolnionej pamięci podczas zamykania tabeli plików.

W jądrze Linux w podsystemie iommu/iommufd wykryto podatność use-after-free dotyczącą własności grup IOPF. Grupy IOPF są dodawane do listy oczekujących przed wywołaniem handlera fault, a po zaakceptowaniu są również dodawane do listy dostarczania IOMMUFD bez usunięcia z listy ogólnej. Przy odłączeniu urządzenia lub wymianie HWPT, gdy licznik odniesień spadnie do zera, grupy mogą zostać zwolnione, a późniejszy dostęp do nich prowadzi do UAF.

W jądrze Linux w podsystemie pinctrl dla devicetree wykryto podatność polegającą na zwalnianiu niezainicjalizowanej nazwy urządzenia (dev_name) na ścieżce błędu. Funkcja dt_remember_or_free_map() duplikuje dev_name dla każdego wpisu mapy. Jeśli kstrdup_const() zawiedzie, dt_free_map() zwalnia dev_name we wszystkich wpisach, w tym tych niezainicjalizowanych, co prowadzi do podwójnego zwolnienia (double-free).

W jądrze Linux wykryto podatność w mechanizmie hugetlb, powodującą uszkodzenie listy w funkcji allocate_file_region_entries(). Problem wynika z użycia list_splice() zamiast list_splice_init(), co przy współbieżnym dostępie do współdzielonego mapowania może prowadzić do uszkodzenia pamięci lub paniki systemu.

W jądrze Linux wykryto podatność w KVM/SVM, gdzie przy dezaktywacji AVIC podczas aktywnego L2 nie są aktualizowane przechwyty MSR x2APIC dla L1. Skutkuje to możliwością odczytu stanu APIC hosta, wysyłania dowolnych przerwań i zmiany priorytetu zadań, co może prowadzić do ataku DoS na host.

W jądrze Linux w podsystemie KVM dla architektury s390 w obsłudze PCI wykryto podatność polegającą na braku odrzucenia żądania włączenia przekazywania przerwań, jeśli jest ono już włączone dla danego urządzenia zPCI. Instrukcja MPCIFC nie pozwala na ponowną rejestrację przerwań bez uprzedniego wyrejestrowania. Poprawka dodaje odpowiednie sprawdzenie, co zapobiega nadpisaniu i wyciekowi zasobów przy wielokrotnym wywołaniu ioctl dla tego samego urządzenia.

W jądrze Linux w podsystemie KVM dla architektury s390 w obsłudze PCI wykryto problem z rozliczaniem pamięci dla stron przypiętych i odpiętych. Funkcje account_mem() i unaccount_mem() wywołują get_uid(), które zwiększa licznik referencji struktury user_struct przy każdym wywołaniu, ale nie jest wywoływane free_uid() w celu jego zmniejszenia. Dodatkowo rozliczanie odbywa się względem current->mm, co może być nieprawidłowe, gdy unaccount_mem() jest wywoływane z innego kontekstu procesu niż ten, który pierwotnie przypiął strony. Poprawka przechowuje user_struct i mm_struct procesu przypinającego, a następnie zwalnia te zasoby przy odpinaniu.

W jądrze Linuxa wykryto podatność use-after-free w warstwie dibs, dotyczącą operacji attach/detach/unregister dla węzłów dmb_node w trybie loopback. Problem wynika z wyścigu między wyszukiwaniem węzła w tablicy haszującej a operacją na liczniku referencji, co może prowadzić do użycia zwolnionej pamięci. Poprawka polega na wykonaniu operacji na liczniku referencji i usunięciu z tablicy haszującej w jednej sekcji krytycznej z blokadą zapisu.