Podatności Linux kernel

W jądrze Linuxa w funkcji drm_syncobj_find_fence() występuje wyciek pamięci, ponieważ drm_syncobj_find() pobiera referencję do syncobj, ale wczesny zwrot nie zwalnia tej referencji. Poprawka polega na zwolnieniu referencji przed wczesnym zwrotem.

W jądrze Linuxa funkcja dm_poll_bio() przekazywała flagi pollowania bez zmian do klonów, co mogło powodować długie spin-waiting i RCU CPU stall. Poprawka wymusza jednorazowe pollowanie dla docelowych biosów.

W jądrze Linuxa w module tracing funkcje pomocnicze pól syntetycznych używały strcat() do budowania nazw i komend w stałych buforach, co mogło prowadzić do zapisu poza pamięć. Poprawka używa seq_buf i propaguje -E2BIG, gdy przekroczony jest limit MAX_FILTER_STR_VAL.

W jądrze Linuxa w funkcji irdma_copy_user_pgaddrs występuje podatność na zapis poza zakresem. Problem pojawia się, gdy palloc->total_cnt jest równe zero, co powoduje, że pętla może wyjść poza stały rozmiar tablicy pgaddrmem (4 elementy) w przypadku lvl==0. Może to prowadzić do przepełnienia bufora.

W jądrze Linuxa w sterowniku RDMA HNS występuje problem z zalewaniem logów po awarii hns_roce_cmd_mbox(). Gdy sprzęt jest nieprawidłowy, nieograniczone komunikaty błędów mogą spowodować zalew logów i nawet awarię systemu.

W jądrze Linux wykryto podatność use-after-free (UAF) w podsystemie ALSA OSS sequencer. Problem występuje, gdy dane SysEx są przetwarzane, a port sequencera zostaje zamknięty przed wysłaniem zdarzenia, co prowadzi do użycia zwolnionej pamięci. Łatka rozszerza mechanizm refcounting, aby chronić zasoby do czasu wysłania zdarzenia.

W jądrze Linux w podsystemie ALSA SEQ MIDI wykryto podatność na użycie po zwolnieniu (use-after-free) i dereferencję pustego wskaźnika. Problem wynika z braku synchronizacji między ścieżką przetwarzania zdarzeń a zamykaniem wyjścia MIDI, co może prowadzić do awarii systemu.

W jądrze Linuxa w module nvmet-tcp występuje wyciek pamięci w ścieżce błędów. Gdy połączenie jest zamykane podczas alokacji, strona fragmentów (page fragment cache) nie jest opróżniana, co prowadzi do wycieku pamięci przy każdym nieudanym połączeniu.

W jądrze Linuxa w module nvmet-tcp nie jest sprawdzana wartość zwracana przez nvmet_tcp_set_queue_sock(). Jeśli funkcja zawiedzie, wywołania zwrotne gniazda nie są poprawnie ustawione, co prowadzi do wycieku kolejki i gniazda.

W jądrze Linuxa w sterowniku nvme-pci występuje dostęp poza zakresem w funkcji nvme_setup_descriptor_pools. Na jądrze bez NUMA, hctx->numa_node jest równe -1, ale parametr jest zadeklarowany jako 'unsigned', co powoduje, że indeks staje się UINT_MAX i wychodzi poza tablicę, prowadząc do błędu strony.

W jądrze Linuxa w module cls_bpf występuje nieograniczona rekurencja w funkcji cls_bpf_offload_cmd, co może prowadzić do przepełnienia stosu. Problem pojawia się, gdy wywołanie tc_setup_cb_replace() zawiedzie, a następnie próba wycofania również zawiedzie, powodując rekurencyjne wywołania.

W jądrze Linuxa w module host1x występuje problem z pamięcią podręczną BO, która nie może być zwolniona. Mapowania w pamięci podręcznej trzymają referencję do obiektu bufora, co uniemożliwia jego zwolnienie, prowadząc do wycieku pamięci.

W jądrze Linux w sterowniku gpu: host1x poprawiono sprawdzanie wartości zwracanej przez iommu_map_sgtable(). Funkcja ta zwraca teraz ssize_t z ujemnymi wartościami w przypadku błędów, a nie size_t z zerem. Ponadto w pin_job() błędnie przypisywano wynik do typu int, co mogło powodować przepełnienia do wartości ujemnych.

W jądrze Linux w podsystemie dax/kmem naprawiono problem z częściowo nieciągłym zasobem podczas usuwania. Gdy dev_dax_kmem_probe() częściowo się powiedzie, ale kolejny zakres nie zostanie zmapowany, dev_dax_kmem_remove() może próbować usunąć nieistniejący zasób, co prowadzi do operacji na wskaźniku NULL.

W jądrze Linux w sterowniku RDMA/rxe naprawiono podatność TOCTOU prowadzącą do przepełnienia sterty w funkcji get_srq_wqe(). Funkcja ta odczytuje num_sge z bufora kolejki współdzielonej, który jest zmapowany do przestrzeni użytkownika, i po walidacji ponownie odczytuje to pole do obliczenia rozmiaru memcpy, co pozwala na modyfikację przez współbieżny wątek i przepełnienie bufora.

W jądrze Linux w sterowniku RDMA/rxe naprawiono problem w ścieżce odbioru dla QP bez SRQ, gdzie pola WQE były odczytywane bezpośrednio z bufora współdzielonego zmapowanego do przestrzeni użytkownika. Umożliwiało to złośliwemu użytkownikowi modyfikację pól podczas przetwarzania, prowadząc do odczytów poza zakresem.

W jądrze Linux w sterownikach md/raid1 i md/raid10 naprawiono zakleszczenie w ścieżce odzyskiwania po błędach odczytu. Ponowne wysyłanie sklonowanego bio może prowadzić do zakleszczenia, gdy macierz jest zawieszona, ponieważ próba uzyskania dodatkowego odniesienia active_io przez percpu_ref_tryget_live() może się zablokować.

W jądrze Linux w sterownikach md/raid1 i md/raid10 naprawiono wykrywanie ścieżki błędów za pomocą md_cloned_bio() zamiast polegania na r1_bio lub r10_bio->read_slot, które mogą być NULL lub -1 po podziale i ponownym wysłaniu nieudanego bio. Poprzednia logika mogła prowadzić do użycia GFP_NOIO zamiast (GFP_NOIO | __GFP_HIGH), co może powodować zakleszczenie przy braku pamięci.

W jądrze Linux w sterownikach md/raid1 i md/raid10 naprawiono rozliczanie bio dla podzielonych sklonowanych bio. Zamiast polegać na r1bio_existed w raid1 lub fladze io_accounting w raid10, użyto md_cloned_bio() do kontroli rozliczania, aby uniknąć podwójnego rozliczania lub jego braku.

W jądrze Linux w sterowniku raid1 naprawiono wyciek nr_pending w ścieżce błędów dla zapisów REQ_ATOMIC z badblockami. W raid1_write_request() każda iteracja pętli zwiększa rdev->nr_pending, ale w przypadku napotkania badblocka kod przeskakuje do err_handle bez zmniejszenia licznika dla bieżącego mirrora, co prowadzi do trwałego wycieku i uniemożliwia usunięcie rdev.

W jądrze Linux wykryto podatność w funkcji BPF_PROG_QUERY, która powoduje zapis poza zakresem (OOB) podczas zapisywania pola 'query.revision' do przestrzeni użytkownika. Problem występuje, gdy użytkownik przekaże mniejszą strukturę bpf_attr (np. 40 bajtów, sprzed dodania pola revision), co prowadzi do zapisu poza przydzielony bufor. Poprawka polega na propagowaniu rozmiaru atrybutu użytkownika do handlerów zapytań cgroup i warunkowym pomijaniu zapisu pola revision, gdy bufor jest zbyt mały.

W jądrze Linux naprawiono podatność typu TOCTOU w funkcji luo_session_retrieve() mechanizmu liveupdate. Rozszerzono zakres blokady rwsem_read tak, aby obejmował również przejęcie mutexu sesji, co zapobiega sytuacji, w której współbieżny wątek zwalnia i usuwa sesję między jej wyszukaniem a zablokowaniem.

W jądrze Linux naprawiono podatność typu use-after-free w funkcjach luo_file_unpreserve_files() i luo_file_finish() mechanizmu liveupdate. Poprawka zmienia kolejność wywołań module_put() i xa_erase(), aby moduł obsługi plików pozostał przypięty podczas wykonywania operacji, co zapobiega użyciu zwolnionej pamięci.

W jądrze Linux naprawiono wyciek pamięci w sterowniku WiFi ath12k, w funkcji ath12k_wifi7_dp_rx_h_verify_tkip_mic(). Gdy walidacja długości nagłówka NWIFI nie powiedzie się, funkcja kończy się błędem, a odpowiedni MSDU nie jest zwalniany, co prowadzi do wycieku pamięci.

W jądrze Linux naprawiono problemy w funkcji ath12k_mac_vdev_create() sterownika WiFi ath12k, które pozostawiały obiekt arvif w niespójnym stanie podczas błędów. Poprawka zmienia przepływ sterowania, aby zapewnić prawidłowe czyszczenie stanu w przypadku niepowodzeń tworzenia vdev.

W sterowniku ath12k dla kart Wi-Fi odkryto podatność prowadzącą do wywołania pustego wskaźnika (NULL deref) podczas operacji na łączach (links) w przypadku nieprawidłowo utworzonego interfejsu. Problem występuje, gdy walidacja kanału w mac80211 nie powiedzie się, a sterownik nie zostanie poprawnie zainicjalizowany, co skutkuje próbą użycia nieistniejących struktur.

W jądrze Linux naprawiono podatność w mechanizmie BTT (Block Translation Table) dla pamięci NVDIMM, związaną z wywłaszczaniem podczas przejmowania pasów (lanes). Dotychczasowy model oparty na spinlocku i liczniku rekurencji per-CPU był nieprawidłowy po wprowadzeniu wywłaszczalności, co mogło prowadzić do cichego uszkodzenia danych. Poprawka zastępuje spinlock dynamicznie alokowaną tablicą mutexów dla każdego pasa.

W jądrze Linux naprawiono podatność w mechanizmie BPF, która pozwalała na obejście gwarancji ekskluzywności map BPF. Mapy ekskluzywne (tworzone przez excl_prog_hash) mogły być umieszczane w mapach zewnętrznych (map-of-maps) i modyfikowane przez niepowiązane programy, co omijało sprawdzanie zgodności programów.

W jądrze Linux naprawiono podatność typu use-after-free w systemie plików bpffs. Poprzednia poprawka przeniosła czyszczenie inode z funkcji free_inode() do destroy_inode(), co usunęło opóźnienie RCU i umożliwiło dostęp do zwolnionej pamięci podczas równoległego chodzenia po ścieżkach w trybie RCU. Poprawka przywraca opóźnione zwalnianie inode i bufora i_link.

W jądrze Linux naprawiono podatność w systemie plików ext2, polegającą na ignorowaniu wartości zwracanej przez funkcję generic_write_sync() w ext2_dio_write_iter(). Poprawka zapewnia propagację błędów synchronizacji, co zapobiega zgłaszaniu sukcesu zapisu, gdy synchronizacja się nie powiodła.

W jądrze Linuxa odkryto podatność w mechanizmie iteratorów bpf_map_elem. Iteratory te wiążą mapę docelową w czasie dołączania, omijając sprawdzanie wyłączności map, co pozwala na dostęp do map przeznaczonych tylko dla jednego programu. Dodatkowo iterator udostępnia wartość mapy jako bufor do zapisu.

W jądrze Linuxa w funkcji configfs_lookup() występuje błąd polegający na pozostawieniu nieaktualnego wskaźnika ->s_dentry w przypadku niepowodzenia alokacji inode. Prowadzi to do użycia po zwolnieniu (use-after-free) podczas kolejnych operacji getdents(2) w katalogu.

W jądrze Linuxa w systemie plików ext4 występuje błąd w mapowaniu bitów oczekiwania i budzenia dla szybkiego zatwierdzania (fast commit) na architekturach 64-bitowych. Funkcje oczekiwania i budzenia używały surowych wartości EXT4_STATE_* zamiast odpowiedniego przesunięcia o 32 bity, co powodowało nieprawidłowe działanie synchronizacji.

W jądrze Linux w sterowniku amdgpu wykryto podatność prowadzącą do zapisu poza przydzielony bufor (slab-out-of-bounds) podczas generowania zrzutu pamięci (coredump) po resecie GPU. Problem wynika z wyścigu między dwiema pętlami przetwarzającymi pierścienie GPU, gdzie liczba pierścieni może się zmienić między zliczaniem a kopiowaniem danych.

W jądrze Linuxa w podsystemie vhost funkcja vhost_get_avail_idx zwraca nieprawidłową wartość, informując o zużyciu wszystkich wpisów zamiast o aktualizacji indeksu. Może to prowadzić do zakleszczenia (livelock) hosta, gdy gość nie robi postępów, ponieważ vhost natychmiast wyłącza powiadomienia i ponawia próby.

W jądrze Linuxa w podsystemie iommu/vt-d występuje błąd powodujący uszkodzenie drzewa RB w ścieżce błędów podczas wykrywania urządzeń. Jeśli urządzenie nie obsługuje ATS, węzeł RB pozostaje wyzerowany, a w przypadku błędu kolejnego kroku, usunięcie węzła interpretuje go jako korzeń drzewa, co prowadzi do jego uszkodzenia.

W jądrze Linux naprawiono podatność w funkcji zap_pages() w BPF, która wymagała trzymania mmap_lock. Poprzednio brak odpowiedniego blokowania mógł prowadzić do problemów z synchronizacją i potencjalnego użycia po zwolnieniu (UAF) podczas operacji na mapach pamięci.

W jądrze Linux naprawiono problem w sterowniku graficznym amdkfd, gdzie po nieudanym zawieszeniu wszystkich kolejek nie przywracano poprawnie dobrych kolejek. Teraz zawsze wykonywane jest przywracanie po zawieszeniu, a usuwanie kolejki jest wykonywane nawet w przypadku błędu.

W jądrze Linux naprawiono podatność use-after-free w mechanizmie rezerwacji pamięci (reserved_mem). Gdy funkcja alloc_reserved_mem_array() zawiedzie, globalny wskaźnik reserved_mem nadal wskazuje na pamięć w sekcji __initdata, co po inicjalizacji może prowadzić do odwołania do zwolnionej pamięci.

W jądrze Linux w systemie plików OCFS2 wykryto podatność use-after-free w iteratorze debugfs locking_state. Iterator kopiuje strukturę ocfs2_lock_res, ale wskaźnik LVB (sb_lvbptr) nadal wskazuje na oryginalny obiekt, który może zostać zwolniony przed odczytem danych, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux naprawiono podatność w systemie plików OCFS2, gdzie funkcja FITRIM akceptowała zakresy krótsze niż rozmiar klastra, co prowadziło do niedomiaru arytmetycznego i potencjalnego przycinania poza żądany zakres. Teraz odrzucane są zakresy krótsze niż rozmiar klastra.

W jądrze Linux w systemie plików OCFS2 wykryto podatność use-after-free w mechanizmie debugfs locking_state. Funkcja debug_lockres_open() nie sprawdza wyniku dlm_grab(), co pozwala na zapisanie wskaźnika do zwolnionej struktury dlm_ctxt, a następnie jej użycie w debug_lockres_release() po usunięciu domeny. Problem prowadzi do naruszenia pamięci (slab-use-after-free) zgłaszanego przez KASAN.

W jądrze Linux naprawiono podatność w module netfilter cttimeout, gdzie zmieniono zarządzanie licznikami odniesień dla zasad limitów czasu. Teraz licznik odniesień jest używany tylko dla wpisów conntrack, co pozwala na natychmiastowe usunięcie zasad z nfnetlink_cttimeout.

W jądrze Linux naprawiono podatność w sterowniku RDMA/irdma, która powodowała odczyt poza zakresem (OOB) podczas rejestracji pamięci CQ. Problem wynikał z nieprawidłowego ustawienia pola cqmr->split, co prowadziło do odczytu poza tablicą dla sprzętu GEN_2 i nowszych.

W jądrze Linux w mechanizmie BPF podczas zwalniania bpf_rb_root nie są czyszczone wskaźniki węzłów drzewa czerwono-czarnego. Jeśli obiekt przetrwa zwolnienie, może zawierać nieaktualne wskaźniki do zwolnionej struktury, co przy ponownym użyciu adresu może prowadzić do błędnego usunięcia z drzewa.

W jądrze Linux w mechanizmie kernfs występuje wyścig w operacjach xattr, gdy wiele superbloków o różnych przestrzeniach nazw współdzieli ten sam węzeł kernfs_node. Operacje xattr nie są odpowiednio serializowane, co może prowadzić do wyścigu w simple_xattr_set().

W jądrze Linux wykryto podatność w systemie kernfs, gdzie nowo tworzony węzeł (kn) nie ma jeszcze zainicjalizowanych wskaźników do rodzica i katalogu głównego w momencie wywołania haka LSM (kernfs_init_security). Prowadzi to do dereferencji pustego wskaźnika i paniki jądra, co można deterministycznie wywołać przy pierwszym utworzeniu katalogu cgroup przez systemd w systemach z SELinux.

W jądrze Linux w sterowniku wifi wcn36xx występuje przepełnienie sterty spowodowane brakiem walidacji długości odpowiedzi HAL z firmware. Odpowiedź większa niż 4096 bajtów może spowodować przepełnienie bufora hal_buf.

W jądrze Linux w sterowniku wifi wcn36xx występuje odczyt poza zakresem (OOB) spowodowany brakiem walidacji pola count sterowanego przez firmware w komunikacie PRINT_REG_INFO. Zbyt duża wartość count może prowadzić do odczytu poza buforem.

W jądrze Linux w ALSA seq funkcja snd_seq_read() kopiuje nagłówek zmiennej długości zdarzenia do przestrzeni użytkownika bez wyczyszczenia wskaźnika data.ext.ptr, co może ujawnić adres jądra komórki rozszerzenia.