Podatności Linux kernel

W jądrze Linux w sterowniku graficznym drm/vc4 dodano zerowanie tablicy danych stanu kafelków (TSDA) przed każdym zadaniem BIN. Wcześniej sloty binnera były ponownie wykorzystywane bez czyszczenia, co mogło prowadzić do działania PTB na nieaktualnych danych i powodować zawieszenia GPU.

W jądrze Linux w sterowniku graficznym drm/panthor dodano odrzucanie sekcji firmware z nadmiernie dużymi danymi. Wcześniej rozmiar danych do skopiowania nie był weryfikowany względem przydzielonego rozmiaru sekcji, co mogło prowadzić do przepełnienia bufora sterty i masowego zerowania pamięci poza zakresem.

W jądrze Linux w sterowniku graficznym drm/panthor dodano walidację rozmiarów struktur interfejsu firmware. Funkcja iface_fw_to_cpu_addr() sprawdzała tylko, czy adres wirtualny MCU wskazuje wewnątrz współdzielonej sekcji, ale nie sprawdzała, czy cała struktura mieści się w sekcji, co mogło prowadzić do odczytów poza zakresem.

W jądrze Linux w sterowniku amdgpu występuje podatność use-after-free w funkcji amdgpu_dpm_get_pp_table(). Funkcja zwraca wskaźnik do tabeli zasilania po zwolnieniu mutexa, a równoczesny zapis do pp_table może zwolnić pamięć podczas kopiowania, prowadząc do użycia po zwolnieniu. Poprawka polega na kopiowaniu danych do bufora dostarczonego przez wywołującego przy trzymanym mutexie.

W jądrze Linux w sterowniku amdgpu (display) występuje podatność dzielenia przez zero w funkcji calculate_mcache_setting, gdy viewport ma zerowe pole. Prowadzi to do paniki jądra i potencjalnego niedomiaru num_mcaches. Poprawka zmienia funkcję na zwracającą bool i dodaje zabezpieczenia, aby odrzucić tryb w przypadku zerowych wartości.

W jądrze Linux w sterowniku amdkfd występuje wyciek bitów QID w funkcji pqm_create_queue(). Gdy alokacja pamięci jądra nie powiedzie się przy pierwszym tworzeniu kolejki, funkcja zwraca wcześnie bez wyczyszczenia bitu QID, co prowadzi do trwałego wycieku slotów kolejki. Poprawka zmienia ścieżkę błędu na goto err_allocate_pqn, aby zawsze wywoływać clear_bit.

W jądrze Linux w sterowniku amdkfd występuje podatność przepełnienia liczby uint32_t podczas wyrównywania rozmiaru bufora EOP. Użytkownik może podać rozmiar 0xFFFFF001, który po zawinięciu daje 0, co omija sprawdzenie rozmiaru i pozwala na akceptację dowolnego BO. Może to prowadzić do zapisu poza bufor i awarii GPU.

W jądrze Linux w sterowniku amdkfd występuje podatność wyścigu w funkcji kfd_criu_checkpoint_events(). Liczenie i przeglądanie zdarzeń nie jest chronione mutexem event_mutex, co może prowadzić do zapisu poza tablicę lub użycia po zwolnieniu. Poprawka polega na trzymaniu mutexa podczas liczenia i przeglądania.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku sprawdzenia kontekstu DX przed obsługą polecenia DX_BIND_QUERY. Użytkownik może wywołać dereferencję wskaźnika NULL, co prowadzi do paniki jądra. Poprawka dodaje wczesne odrzucenie polecenia, gdy brak kontekstu DX.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku walidacji rozmiaru nagłówka polecenia DRAW_PRIMITIVES przed dzieleniem. Mały rozmiar nagłówka powoduje zawinięcie odejmowania, co prowadzi do odczytu poza buforem. Poprawka odrzuca zbyt małe nagłówki.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku sprawdzenia, czy rozmiar nagłówka polecenia DMA jest wystarczający dla sufiksu. Może to prowadzić do niedomiaru wskaźnika sufiksu i nadpisania zweryfikowanych pól wcześniejszego polecenia, co umożliwia atak typu TOCTOU. Poprawka odrzuca polecenie, gdy ciało jest zbyt małe.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na wywołaniu destroy_workqueue(NULL) podczas inicjalizacji vkms, gdy kolejka pracy nie została utworzona. Może to prowadzić do paniki jądra. Poprawka usuwa wczesny powrót i dodaje sprawdzenie NULL przed zniszczeniem kolejki.

W jądrze Linux wykryto podatność w sterowniku USB Type-C UCSI, powodującą wyścig podczas wyrejestrowywania portu. Może to prowadzić do użycia po zwolnieniu (use-after-free) i awarii systemu (NULL pointer dereference). Problem dotyczy synchronizacji zadań partnera z niszczeniem kolejki pracy.

W jądrze Linux w sterowniku drm/xe podczas wykonywania operacji exec IOCTL nie czekano na semafory (fences) jądra dla zewnętrznych obiektów BO, co mogło prowadzić do wyścigu i potencjalnego odczytu/zapisu pamięci podczas jej przenoszenia. Poprawka polega na dodaniu zależności od semaforów jądra dla wszystkich obiektów zablokowanych przez exec.

W jądrze Linux w sterowniku sun4i-ss usunięto niebezpieczny i nieużywany algorytm RNG (sun4i_ss_rng), który zawierał wiele podatności, w tym brak synchronizacji, przepełnienie bufora i nieprawidłowe generowanie losowych bajtów. Kod nie ma znanych użytkowników, więc usunięto go zamiast naprawiać.

W jądrze Linux w sterowniku uvcvideo występuje zakleszczenie, gdy funkcja uvc_status_stop jest wywoływana z pracy async_ctrl.work. Prowadzi to do czekania na zakończenie pracy, która sama czeka na zakończenie, co powoduje zawieszenie systemu.

W jądrze Linux w podsystemie rxrpc funkcja rxrpc_verify_data nie zawsze alokuje bufor rx_dec_buffer, co może prowadzić do wywołania skb_copy_bits z pustym wskaźnikiem i dereferencji NULL. Poprawka zapewnia, że alokacja jest zawsze próbowana, gdy bufor jest NULL.

W jądrze Linux w podsystemie rxrpc funkcja rxrpc_recvmsg() nie zwalnia referencji do już zwolnionego połączenia, gdy używana jest flaga MSG_PEEK, co prowadzi do wycieku pamięci.

W jądrze Linux w podsystemie rxrpc funkcja rxrpc_recvmsg() może wejść w nieskończoną pętlę, ponieważ oczekiwanie nie sprawdza kolejki OOB. Poprawka dodaje sprawdzenie kolejki OOB w pętli oczekiwania.

W jądrze Linuxa wykryto podatność w podsystemie rxrpc, polegającą na nieprawidłowej obsłudze pakietów ACKALL. Sfałszowany pakiet ACKALL może zostać zaakceptowany dla nowego połączenia serwerowego w stanie, w którym nie powinien być przetwarzany, co prowadzi do wyłuskania wskaźnika NULL i awarii systemu.

W jądrze Linuxa w podsystemie rxrpc naprawiono problem z odbiorem pakietu odpowiedzi przed wysłaniem danych. Funkcja rxrpc_receiving_reply() nie sprawdzała, czy wywołanie zostało już wystawione, co mogło prowadzić do błędu w rxrpc_rotate_tx_window(). Dodatkowo zmieniono pętlę do...while na while, aby obsłużyć pustą kolejkę transmisji.

W jądrze Linuxa w podsystemie AFS naprawiono błąd prowadzący do wyłuskania pustego wskaźnika (NULL pointer dereference) w funkcji afs_get_tree(). Gdy ctx->dyn_root nie jest null, pola as->cell i as->volume są null, a funkcja trace_afs_get_tree() je wyłuskuje.

W jądrze Linuxa w podsystemie AFS naprawiono obsługę żądań CB.InitCallBackState3 bez rekordu serwera. Sprawdzane jest, czy rekord serwera został dołączony, a jeśli nie, żądanie jest ignorowane, zgodnie z istniejącym zachowaniem dla innych niepasujących żądań.

W jądrze Linuxa w podsystemie fbcon naprawiono błąd prowadzący do wyłuskania pustego wskaźnika dla konsoli bez vc_data. Funkcja fbcon_new_modelist() zakładała, że konsola z ustawionym trybem ma vc_data, co nie zawsze jest prawdą. Poprawka utrzymuje tryb tylko gdy vc_data istnieje.

W jądrze Linuxa w sterowniku accel/amdxdna naprawiono wyciek pamięci podczas przypinania stron ubuf. Gdy funkcja pin_user_pages_fast() zwraca mniej stron niż żądano, wcześniej przypięte strony nie są zwalniane. Poprawka zwalnia częściowo przypięte strony przed zwróceniem błędu.

W jądrze Linuxa w sterowniku drm/rockchip inno-hdmi naprawiono błąd use-after-free. Struktura wewnętrzna zawierająca enkoder była alokowana przez devm_kzalloc(), a podczas czyszczenia enkodera przez drmm_encoder_alloc_release() dostęp do zwolnionej struktury powodował błąd. Poprawka zmienia alokację na drmm_kzalloc().

W jądrze Linuxa w sterowniku drm/rockchip dw_dp naprawiono błąd use-after-free. Struktura wewnętrzna zawierająca enkoder była alokowana przez devm_kzalloc(), a podczas czyszczenia enkodera przez drmm_encoder_alloc_release() dostęp do zwolnionej struktury powodował błąd. Poprawka zmienia alokację na drmm_kzalloc().

W jądrze Linux w podsystemie drm/gpusvm podczas tworzenia zakresów SVM nie odrzucano regionów pamięci oznaczonych VM_IO lub VM_PFNMAP. Takie regiony nie są obsługiwane przez struktury struct page, co powodowało powtarzające się błędy get_pages() i mogło prowadzić do nieskończonej pętli w obsłudze błędów stron.

W jądrze Linux w sterowniku accel/amdxdna ilość danych zwracanych do przestrzeni użytkownika nie była ograniczana rozmiarem bufora dostarczonego przez aplikację. Jeśli bufor był mniejszy niż rozmiar danych, funkcja zwracała błąd zamiast tylko części danych.

W jądrze Linux w mechanizmie dma-fence tracepointy trace_dma_fence_signaled, trace_dma_fence_wait_end i trace_dma_fence_destroy mogły wyłuskiwać pusty wskaźnik fence->ops po jego zresetowaniu podczas sygnalizowania. Poprawka używa bezpiecznych getterów i przenosi tracepoint sygnału przed wyczyszczeniem ops.

W jądrze Linux w sterowniku drm/radeon funkcja radeon_align_pitch() miała przepełnienie liczby całkowitej ze znakiem podczas zaokrąglania wyrównania i obliczania 'aligned * cpp'. Może to prowadzić do zwrócenia nieprawidłowego pitcha lub utworzenia bufora o zerowym rozmiarze.

W jądrze Linux w sterowniku drm/radeon funkcja radeon_ring_restore() nie zwalniała bufora danych (przydzielonego przez radeon_ring_backup()) w przypadku błędu radeon_ring_lock(). Powodowało to wyciek pamięci przy każdym nieudanym resecie GPU.

W jądrze Linux w sterowniku spi: atcspi200 zasoby DMA są inicjalizowane po rejestracji kontrolera SPI. Podczas odpinania sterownika może wystąpić use-after-free, gdy DMA jest usuwane, a kontroler nadal działa i wyzwala transfery DMA.

W jądrze Linux w systemie plików hfsplus występuje podwójne oznaczanie atrybutu inode jako brudnego, co prowadzi do null-ptr-deref podczas wywołania setxattr, gdy plik atrybutów nie został załadowany podczas montowania.

W jądrze Linux w sterowniku wifi: rtw89 procedury obsługi błędów AER (io_error_detected i io_resume) pobierały wskaźnik zapisany przez pci_set_drvdata() jako net_device, podczas gdy faktycznie był to wskaźnik ieee80211_hw. Powodowało to operacje na niewłaściwych offsetach struktury.

W jądrze Linux w sterowniku wifi: rtw88 procedury obsługi błędów AER (io_error_detected i io_resume) pobierały wskaźnik zapisany przez pci_set_drvdata() jako net_device, podczas gdy faktycznie był to wskaźnik ieee80211_hw. Powodowało to operacje na niewłaściwych offsetach struktury.

W jądrze Linux wykryto podatność w sterowniku WiFi rtw89, powodującą zapętlenie nieskończone podczas skanowania pasma 6 GHz. Błąd typu danych dla indeksu skanowania prowadzi do zawieszenia CPU (soft lockup) i paniki systemu.

W jądrze Linux w sterowniku rtw88 (PCIe) brakuje walidacji rozmiaru danych odbieranych z firmware, co może prowadzić do odczytu poza buforem DMA. Atakujący może wykorzystać tę podatność do ujawnienia danych z pamięci jądra.

W jądrze Linux w sterowniku rtw89 brakuje sprawdzenia zakresu wartości pola mac_id pochodzącego z firmware, co może prowadzić do odczytu poza tablicą. Atakujący może wykorzystać tę podatność do uzyskania informacji z pamięci jądra.

W jądrze Linux w sterowniku ath9k brakuje sprawdzenia zakresu wartości qid pochodzącej z firmware, co może prowadzić do odczytu poza tablicą. Atakujący może wykorzystać tę podatność do uzyskania informacji z pamięci jądra.

W jądrze Linuxa wykryto podatność w sterowniku ath11k dla kart Wi-Fi. Podczas restartu systemu, który nakłada się na proces odzyskiwania po awarii firmware (SSR), może dojść do wyścigu prowadzącego do dereferencji pustego wskaźnika i paniki jądra. Problem dotyczy urządzeń korzystających z interfejsu PCI/MHI.

W jądrze Linux w podsystemie OPP istnieje wyścig między dodawaniem a wyszukiwaniem wpisów, co może prowadzić do uszkodzenia licznika referencji i przedwczesnego zwolnienia pamięci. Atakujący może wykorzystać tę podatność do awarii systemu.

W jądrze Linux w funkcji snp_filter_reserved_mem_regions() występuje błąd off-by-one, który może prowadzić do przepełnienia bufora na stercie. Atakujący może wykorzystać tę podatność do wykonania kodu w jądrze.

W jądrze Linux w funkcji __snp_alloc_firmware_pages() brakuje prawidłowego sprawdzenia błędu alokacji strony, co może prowadzić do dereferencji nieprawidłowego wskaźnika. Atakujący może wykorzystać tę podatność do awarii systemu.

W jądrze Linux w sterowniku atmel-sha204a występuje błąd w logice blokującego i nieblokującego generatora liczb losowych, co powoduje, że nie dostarcza on prawidłowej entropii. Może to prowadzić do osłabienia bezpieczeństwa kryptograficznego.

W jądrze Linuxa funkcje BPF bpf_set_dentry_xattr i bpf_remove_dentry_xattr nie sprawdzały, czy inode jest NULL, co przy ujemnych dentry prowadziło do dereferencji wskaźnika NULL. Dodano sprawdzenie NULL i zwracanie -EINVAL. Usunięto również ostrzeżenia WARN_ON, które mogły powodować DoS przy włączonym panic_on_warn.

W jądrze Linuxa funkcja evm_read_xattrs() nie inicjalizowała bufora, co przy braku skonfigurowanych xattrs prowadziło do odczytu poza pamięcią przez strlen(). Poprawka polega na jawnym zakończeniu bufora, użyciu snprintf() i przekazaniu rzeczywistej długości do simple_read_from_buffer().

W jądrze Linuxa w sterowniku mlx5_ib funkcja mlx5_ib_alloc_transport_domain() przeciekała przydzielony transport domain, gdy mlx5_ib_enable_lb() zwracała błąd. Poprawka dodaje dealokację TD w przypadku błędu, jawny zwrot 0 w gałęzi bez obsługi loopbacku oraz przenosi inicjalizację mutexu lb do mlx5_ib_stage_init_init().

W jądrze Linuxa w sterowniku RDMA/mlx5 funkcja mlx5r_umr_update_xlt() przeciekała bufor XLT i mapowanie DMA, gdy mlx5_odp_populate_xlt() zwracała błąd, a także pozostawiała zablokowany mutex awaryjny. Poprawka polega na wyjściu z pętli, aby wykonać wspólną ścieżkę czyszczenia.

W jądrze Linuxa w sterowniku RDMA/mlx5 funkcja MLX5_IB_METHOD_DEVX_SUBSCRIBE_EVENT() łączyła event_sub z listą przed inicjalizacją pól używanych w ścieżce błędów, co prowadziło do dereferencji NULL i nieprawidłowego czyszczenia XA. Poprawka dodaje funkcję devx_key_in_sub_list() i wywołuje subscribe_event_xa_dealloc() tylko przy ostatnim oczekującym wpisie.