Podatności Linux kernel

W jądrze Linux w mechanizmie BPF brakuje odrzucania programów BPF_LSM_CGROUP oznaczonych jako sleepable podczas ładowania. Może to prowadzić do wywołania funkcji uśpienia w kontekście, gdzie jest to niedozwolone, powodując błąd jądra.

W jądrze Linux w mechanizmie BPF występuje zakleszczenie (deadlock) przy ponownym wejściu z NMI lub tracepoint do blokad LRU. Programy BPF mogą ponownie wejść do blokady już trzymanej na tym samym CPU, powodując AA-deadlock.

W jądrze Linux w mechanizmie mac80211 funkcja ieee80211_s1g_check_tim() przekazuje błędny wskaźnik końca do chodzenia po PVB, co może prowadzić do odczytu poza elementem TIM (out-of-bounds read).

W jądrze Linux w funkcji bpf_task_from_vpid() występuje dereferencja pustego wskaźnika, gdy bieżące zadanie jest w trakcie do_exit() i jego przestrzeń nazw PID jest już wyczyszczona. Programy cgroup_skb działające w softirq mogą wywołać tę funkcję i spowodować błąd jądra.

W jądrze Linux w podsystemie RDMA/nldev występuje problem z synchronizacją dostępu do wskaźnika mr->pd, który może się zmieniać podczas operacji rereg_mr. Poprawka polega na użyciu mr->device zamiast mr->pd->device oraz dodaniu operacji rdma_restrack_sync() w celu bezpiecznego odczytu identyfikatora restrack PD.

W jądrze Linux w sterowniku ASoC dla AMD (acp-sdw-legacy) występuje błąd odczytu poza granicami tablicy w funkcji create_sdw_dailinks(). Pętla iteruje po tablicy soc_dais, która ma dokładnie num_ends elementów, ale jeśli wszystkie są zainicjalizowane, odczyt wykracza poza koniec tablicy, co zgłasza KASAN.

W jądrze Linux w sterowniku ASoC dla AMD (acp-sdw-sof) występuje błąd odczytu poza granicami tablicy w funkcji create_sdw_dailinks(). Pętla iteruje po tablicy sof_dais, która ma dokładnie num_ends elementów, ale jeśli wszystkie są zainicjalizowane, odczyt wykracza poza koniec tablicy.

W jądrze Linux w module firmware_loader występuje zakleszczenie spowodowane rekurencyjnym blokowaniem w funkcji device_cache_fw_images(). Podczas przygotowania do zawieszenia lub hibernacji, fw_pm_notify() wywołuje tę funkcję, która trzyma fw_lock podczas iteracji po urządzeniach. Jeśli alokacja pamięci dla asynchronicznego zadania się nie powiedzie, zadanie jest wykonywane synchronicznie, co prowadzi do ponownego zażądania fw_lock i zakleszczenia.

W jądrze Linux w systemie plików configfs występuje problem z bezpiecznym przechodzeniem po liście ->s_children. Posiadanie zablokowanego katalogu nadrzędnego chroni wpisy przed usunięciem przez inny wątek, ale nie chroni kursorów przed przesuwaniem przez lseek() lub przed zwolnieniem.

W jądrze Linux w podsystemie watchdog występuje problem z rejestracją notyfikatora PM. watchdog_register_device() rejestruje wdd->pm_nb, ale watchdog_unregister_device() go nie usuwa, co pozostawia osadzony blok notyfikatora na łańcuchu PM. Późniejsze powiadomienia o zawieszeniu/wznowieniu mogą wywołać watchdog_pm_notifier() z nieaktualnym wskaźnikiem watchdog_device.

W jądrze Linux w podsystemie iommufd występuje problem z kolejnością operacji podczas odłączania od dmabuf. Mutex może być nadal używany przez wywołania zwrotne unieważnienia dmabuf, dlatego nie należy niszczyć zawartości stron przed całkowitym odłączeniem dmabuf.

W jądrze Linux w funkcji is_vm_area_hugepages() występuje błąd polegający na braku sprawdzenia wyniku find_vm_area(), który może zwrócić NULL dla nieprawidłowego adresu. Prowadzi to do dereferencji wskaźnika NULL i awarii jądra.

W jądrze Linux w sterowniku WiFi mt76 (model mt7921) występuje wyciek zasobów w ścieżce błędów funkcji probe. Gdy pcim_iomap_region() lub devm_kmemdup() zawiedzie, kod zwraca bezpośrednio bez sprzątania wcześniej przydzielonych zasobów, takich jak mt76_device i wektory przerwań PCI.

W jądrze Linux w sterowniku WiFi mt76 występuje problem z użyciem po zwolnieniu w funkcji mt76_put_vif_phy_link(). Funkcja zwalnia offchannel mlink za pomocą kfree(), ale rcu_assign_pointer nie czeka na istniejących czytelników RCU, którzy mogą nadal używać wskaźnika. Ścieżka TX może dereferencjonować zwolnioną pamięć.

W jądrze Linux w sterowniku mt7925 funkcja mt7925_tm_query() kopiuje dane z odpowiedzi firmware do bufora bez sprawdzenia jej długości. Jeśli odpowiedź jest krótsza niż oczekiwane 520 bajtów, dochodzi do odczytu poza buforem, a nadmiarowe dane są zwracane do przestrzeni użytkownika. Dodano sprawdzenie długości przed kopiowaniem.

W jądrze Linux w sterowniku mt7996 funkcja mt7996_tx_prepare_skb() może przeciekać tokeny transmisji, jeśli wyszukiwanie link_conf lub link_sta zakończy się niepowodzeniem. Token jest przydzielany przed sprawdzeniem, a w przypadku błędu nie jest zwalniany. Poprawka polega na zwolnieniu tokena w przypadku błędu.

W jądrze Linux w sterowniku mt7996 funkcja mt7996_mac_write_txwi_80211() może wywołać dereferencję wskaźnika NULL, gdy ramka jest wstrzykiwana (np. przez radiotap), ponieważ mac80211 może przekazać info->control.vif = NULL. Dodano sprawdzenie wskaźnika vif przed wywołaniem ieee80211_vif_is_mld().

W jądrze Linux w funkcji __btrfs_run_delayed_refs() systemu plików Btrfs występuje nieprawidłowa dereferencja wskaźnika. Gdy btrfs_select_ref_head() zwraca błąd -EAGAIN, zmienna locked_ref pozostaje wskaźnikiem błędu, a następnie jest używana w spin_lock(), co prowadzi do dereferencji nieprawidłowego adresu. Poprawka resetuje locked_ref do NULL i zwiększa licznik, aby uniknąć zapętlenia.

W jądrze Linux w sterowniku sm501fb występują błędy w kodzie obsługi OF: użycie po zwolnieniu, przepełnienie bufora i wycieki pamięci. Dane EDID nie są zwalniane w przypadku błędu, a przy włączonych CRT i PANEL dane są używane po zwolnieniu i zwalniane dwukrotnie. Dodatkowo string z of_get_property jest kopiowany bez sprawdzania długości. Poprawka używa kstrdup() i zwalnia pamięć przed zwolnieniem info.

W jądrze Linux w systemie plików Btrfs na strefowych dyskach występuje zakleszczenie podczas relokacji danych. Proces relokacji czeka na ticket rezerwacji miejsca, który nigdy nie zostanie spełniony, ponieważ to relokacja ma zwolnić to miejsce. Poprawka wprowadza nowy stan flush, który używa priority_reclaim_data_space() zamiast normalnej ścieżki, aby uniknąć zakleszczenia.

W jądrze Linux w systemie plików Btrfs wykryto podatność powodującą zakleszczenie (deadlock) podczas klonowania extentów inline, gdy system jest zamontowany z opcją flushoncommit. Poprzednia poprawka obejmowała tylko przypadek, gdy offset docelowy wynosi 0, a nie uwzględniała offsetów większych od zera. Problem został zgłoszony przez syzbot i objawia się blokadą procesów na czas ponad 143 sekund.

W jądrze Linuxa w sterowniku ixgbe występuje podatność polegająca na wywoływaniu netif_set_xps_queue() dla kolejek XDP Tx, które nie są widoczne dla netdev. Na systemach z liczbą CPU >= 64 i kartą E610, konfiguracja XDP prowadzi do 64 kolejek XDP, podczas gdy maksymalna liczba par kolejek to 63, co powoduje ostrzeżenie i raport KASAN (slab-out-of-bounds). Poprawka polega na pominięciu konfiguracji XPS dla kolejek XDP Tx.

W jądrze Linux w serwerze NFSD funkcja nfsd4_drop_revoked_stid() nie obsługuje przypadku SC_TYPE_LAYOUT, co powoduje, że gdy klient wysyła FREE_STATEID dla unieważnionego layout stid, stid nie jest usuwany z listy ani zwalniany. Poprawka usuwa layout stid z listy i wywołuje nfs4_put_stid(), aby zwolnić referencję.

W jądrze Linuxa odkryto podatność w mechanizmie BPF dotyczącą recyklingu wartości w mapach. Podczas aktualizacji lub usuwania wpisu, pola specjalne (np. timery, kolejki pracy) były usuwane w kontekście operacji, co mogło być niebezpieczne w kontekście NMI. Wprowadzono nową funkcję anulującą, która wykonuje tylko bezpieczne operacje w kontekście NMI, a pełne usunięcie pozostawia do końcowego czyszczenia.

W jądrze Linux w funkcji vduse_dev_open() występuje wyścig (race condition) między wyszukiwaniem obiektu w IDR a przejęciem blokady urządzenia. Atakujący może wykorzystać okno czasowe, w którym operacja VDUSE_DESTROY_DEV usuwa i zwalnia obiekt, zanim ścieżka otwarcia go zablokuje, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcjach vhost_vdpa_mmap() i vhost_vdpa_fault() indeks kolejki wirtualnej (virtqueue) nie jest poprawnie walidowany przed użyciem w wywołaniu get_vq_notification(). Brak sprawdzenia, czy indeks jest mniejszy niż v->nvqs, pozwala na przekazanie nieprawidłowego indeksu do sterownika, co może prowadzić do dostępu poza zakresem i awarii systemu.

W jądrze Linux w sterowniku virtio:rtc podczas przywracania urządzenia (restore) nie są usuwane stare kolejki wirtualne przed ich ponowną inicjalizacją. Jeśli inicjalizacja nie powiedzie się, może dojść do wyłuskania pustego wskaźnika w vp_del_vq(), co powoduje awarię jądra gościa.

W jądrze Linux w systemie plików ext4, gdy używana jest opcja montowania data=journal, funkcja ext4_journalled_write_end() nieprawidłowo wywołuje ext4_write_inline_data_end() bez sprawdzenia flagi EXT4_STATE_MAY_INLINE_DATA. Może to prowadzić do wywołania BUG_ON w ext4_write_inline_data(), powodując awarię jądra.

W jądrze Linux wykryto podatność w systemie plików ext4 związaną z operacją EXT4_IOC_MOVE_EXT. Walidacja pliku dawcy (donor) była wykonywana zbyt późno, po przejęciu blokad, co przy jednoczesnym zamrożeniu systemu plików mogło prowadzić do zakleszczenia (deadlock). Poprawka przenosi sprawdzenie przynależności pliku dawcy do tego samego superbloku przed jakiekolwiek operacje blokujące.

W jądrze Linux w sterowniku vfio/qat funkcja qat_vf_resume_write() sprawdza pozycję pliku (f_pos) przed przejęciem blokady migf->lock, ale kopiuje dane po przejęciu blokady i ponownym odczycie pozycji. Dwa równoczesne zapisy mogą ominąć sprawdzenie granic i zapisać poza buforem stanu migracji.

W jądrze Linux w mechanizmie BPF, sprawdzanie zgodności cookie dla tablic programów jest niedostateczne. Program bez magazynu cgroup może być uznany za zgodny z dowolnym cookie, co pozwala na pomostowanie łańcucha tail call między programem wejściowym a programem korzystającym z magazynu, co prowadzi do nieprawidłowego dostępu do magazynu lokalnego cgroup.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje błąd polegający na wyłuskaniu wskaźnika NULL w funkcji qca_setup() dla urządzeń niekorzystających z serdev. hu->serdev jest NULL, a funkcja bezwarunkowo wywołuje serdev_device_get_drvdata(hu->serdev), co prowadzi do awarii. Poprawka dodaje sprawdzenie NULL przed wyłuskaniem.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje błąd wyłuskania wskaźnika NULL w funkcji qca_dmp_hdr() dla urządzeń niekorzystających z serdev. hu->serdev jest NULL, a funkcja bezwarunkowo wyłuskuje hu->serdev->dev.driver->name, co prowadzi do awarii. Poprawka dodaje sprawdzenie NULL i używa domyślnej nazwy "hci_ldisc_qca".

W jądrze Linux w podsystemie Bluetooth hci_core występuje podatność use-after-free w funkcji hci_unregister_dev(). Funkcja nie wyłącza timerów cmd_timer i ncmd_timer przed zwolnieniem struktury hci_dev. Jeśli timer wygaśnie podczas usuwania urządzenia, wywołanie zwrotne odwołuje się do zwolnionej pamięci, co prowadzi do użycia po zwolnieniu. Poprawka dodaje wywołania disable_delayed_work_sync() obok istniejących disable_work_sync().

W jądrze Linux w sterowniku Bluetooth btmtk występuje wyciek URB w ścieżce błędu funkcji alloc_mtk_intr_urb. Gdy funkcja btmtk_isopkt_pad() zawiedzie, wcześniej przydzielony URB nie jest zwalniany, co prowadzi do wycieku pamięci. Poprawka dodaje wywołanie usb_free_urb() przed zwróceniem błędu.

W jądrze Linux w podsystemie Bluetooth hci występuje podatność polegająca na nieprawidłowej walidacji długości elementu capabilities w odpowiedzi kontrolera. Funkcja hci_read_codec_capabilities() sprawdza tylko długość payloadu, ale nie uwzględnia bajtu długości, co pozwala na odczyt poza zakresem. Poprawka waliduje pełny rozmiar elementu, włączając bajt długości.

W jądrze Linux w podsystemie RDMA/core występuje błąd w przepływie błędu podczas przenoszenia uchwytów FRMR między kolejkami. Gdy przeniesienie do niepustej kolejki nieaktywnej zawiedzie z powodu braku alokacji strony, uchwyt nie jest obsługiwany i dochodzi do wycieku mkey. Poprawka wprowadza funkcję push_queue_to_queue_locked(), która nie wymaga alokacji i upraszcza obsługę błędów.

W jądrze Linux w podsystemie RDMA/core występuje błąd w ścieżce błędu podczas ustawiania FRMR jako przypiętego. Gdy przeniesienie do puli zawiedzie, uchwyty FRMR nie są niszczone, co prowadzi do wycieku zasobów. Poprawka dodaje niszczenie uchwytów FRMR w przypadku niepowodzenia przeniesienia.

W jądrze Linux w sterowniku RDMA/mlx5 występuje niezdefiniowane przesunięcie bitowe rozmiaru WQE dla kolejki RQ. Funkcja set_rq_size() oblicza rozmiar jako "1 << rq_wqe_shift" na podstawie wartości podanej przez użytkownika, która jest tylko sprawdzana, czy jest większa niż 32, więc przesunięcia o 32 są nadal akceptowane. Przesunięcie o 31 również powoduje przepełnienie liczby całkowitej ze znakiem, co prowadzi do niezdefiniowanego zachowania. Poprawka używa check_shl_overflow() do obliczenia rozmiaru i odrzuca nieprawidłowe wartości.

W jądrze Linux w sterowniku RDMA/mlx5 występuje błąd polegający na zwalnianiu indeksu UAR dostarczonego przez oprogramowanie zamiast indeksu dostarczonego przez sprzęt. Poprawka polega na zwalnianiu indeksu UAR zwróconego przez sprzęt.

W jądrze Linux w sterowniku ASoC codec hdac_hdmi występuje podatność polegająca na braku walidacji wartości enum przed użyciem jej jako indeksu tablicy texts. Funkcja hdac_hdmi_set_pin_port_mux() używa wartości enum do indeksowania tablicy przed wywołaniem snd_soc_dapm_put_enum_double(), która waliduje zakres. Wartość spoza zakresu może spowodować odczyt poza tablicą. Poprawka przenosi wyszukiwanie po walidacji przez funkcję pomocniczą.

W jądrze Linux w sterowniku ASoC dla Meson AIU funkcje zwrotne dla multiplekserów HDMI i wewnętrznego kodeka używają wartości zapisanej przez użytkownika przed sprawdzeniem, czy jest ona prawidłowa dla danej enumeracji. Brak walidacji może prowadzić do nieprawidłowego działania lub potencjalnych błędów.

W jądrze Linux w sterowniku ASoC dla Freescale fsl_audmix funkcje fsl_audmix_put_mix_clk_src() i fsl_audmix_put_out_src() konwertują wartość enumeracji podaną przez użytkownika przed sprawdzeniem, czy mieści się ona w zakresie. Może to prowadzić do nieprawidłowego dostępu do pamięci lub błędów.

W jądrze Linux w sterowniku ASoC dla Tegra210 AHUB funkcja tegra_ahub_put_value_enum() odczytuje e->values[item[0]] przed sprawdzeniem, czy item[0] jest w zakresie. To pozwala na odczyt poza zakresem tablicy values.

W jądrze Linux w parserze topologii ASoC, nazwy PCM i DAI przechowywane w tablicach o stałym rozmiarze nie są sprawdzane pod kątem zakończenia znakiem NUL przed użyciem jako ciągi C. Złośliwy plik topologii może spowodować odczyt poza końcem pola.

W jądrze Linux klasyfikator przepływu cls_flow w trybie mapy pozwala użytkownikowi kontrolować parametry i obserwować wynikowy classid, co umożliwia odzyskanie złożonej wartości wskaźników skb->sk, skb_dst() lub skb_nfct(). Poprawka zastępuje składanie XOR bezpiecznym siphash.

W jądrze Linux wykryto podatność use-after-free w funkcji fib_leaf_notify() dla IPv4. Podczas zrzutu informacji o trasach (fib_info) pod osłoną RCU, funkcje takie jak nsim_fib4_prepare_event() wywołują fib_info_hold() bez sprawdzenia, czy obiekt nadal istnieje, co prowadzi do użycia po zwolnieniu pamięci. Problem został zgłoszony przez syzbot.

W jądrze Linux w funkcji fib_rules_dump() wywoływana jest fib_rule_get() podczas zrzutu RCU, co może prowadzić do problemów z refcount, jeśli reguła jest w stanie umierania. Poprawka używa refcount_inc_not_zero().

W jądrze Linux dla urządzeń sieciowych PFCP nie jest przydzielana pamięć per-CPU dla statystyk, co powoduje, że dev->tstats jest NULL. Przy tworzeniu urządzenia PFCP może dojść do wyłuskania NULL podczas generowania powiadomienia RTM_NEWLINK.

W jądrze Linux w funkcji netif_rxq_cleanup_unlease() kolejność operacji jest odwrócona: najpierw usuwane są mapowania DMA, a potem zatrzymywana kolejka. To może pozwolić urządzeniu na DMA do nieaktualnego adresu. Poprawka zamienia kolejność.