Podatności Linux kernel

W jądrze Linux wykryto podatność w schedulerze sieciowym HFSC (sch_hfsc). Podczas pojedynczego dequeuing klasa może być dwukrotnie oznaczona jako pasywna, co prowadzi do nieprawidłowego dekrementowania licznika aktywnych klas rodzica. W efekcie rodzic z aktywnymi klasami potomnymi zostaje usunięty z drzewa vttree, a kolejki przestają być obsługiwane (stall).

W jądrze Linuxa w podsystemie TIPCv2 operacje modyfikujące stan sieci (np. zmiana identyfikatora sieci, kluczy, włączanie/wyłączanie nośnika) nie wymagały uprawnień administratora. Lokalny nieuprzywilejowany proces mógł zmieniać stan TIPC. Poprawka dodaje wymóg CAP_NET_ADMIN dla tych operacji.

W jądrze Linuxa w podsystemie TIPC, podczas obsługi wiadomości CONN_ACK, liczba potwierdzonych wiadomości odbierana od peera nie była weryfikowana. Zbyt duża wartość mogła spowodować niedomiar licznika snt_unacked, co prowadziło do trwałego zablokowania transmisji na połączeniu.

W jądrze Linuxa w podsystemie TIPC, podczas przetwarzania ogłoszeń o zakresach usług od zdalnych węzłów, nie sprawdzano, czy dolna granica zakresu nie jest większa od górnej. Takie odwrócone zakresy mogły prowadzić do wycieku pamięci w tabeli powiązań.

W jądrze Linux wykryto podatność w ALSA SEQ, która ujawnia adres pamięci jądra (heap) do przestrzeni użytkownika. Funkcja bounce_error_event() wysyłała zdarzenie SNDRV_SEQ_EVENT_KERNEL_ERROR z surowym wskaźnikiem do wszystkich klientów, w tym do klientów użytkownika, co prowadziło do wycieku adresu przez copy_to_user(). Problem dotyczy ścieżki fixed-length, która nie była objęta wcześniejszą poprawką.

W jądrze Linuxa w podsystemie IOMMU DMA, w ścieżce obsługi PCI P2PDMA, długość DMA bieżącego segmentu była błędnie przypisywana z pierwszego segmentu zamiast z bieżącego. Powodowało to uszkodzenie długości DMA dla list wielosegmentowych.

W jądrze Linux wykryto podatność w sterowniku SPI dla układów Xilinx. Sterownik błędnie określa rozmiar bufora FIFO, nie uwzględniając rejestru przesuwnego, co prowadzi do utraty danych i zapętlenia się sterownika podczas transmisji SPI w trybie przerwań.

W jądrze Linuxa w podsystemie CXL region, funkcja cxl_cancel_auto_attach() używała indeksu cxled->pos do dostępu do tablicy p->targets[], ale indeks ten mógł być ujemną wartością errno, co prowadziło do odczytu poza zakresem.

W jądrze Linux w podsystemie CXL region wykryto podatność polegającą na tym, że w tablicy celów (target array) aktywnego regionu mogą pozostać puste miejsca (wskaźniki NULL) po usunięciu endpoint decoderów. Prowadzi to do dostępu przez wskaźnik NULL (błąd ogólnej ochrony) oraz do błędnego liczenia podłączonych dekoderów, co może skutkować nieprawidłowym działaniem regionu. Poprawka polega na wypełnianiu pierwszego wolnego slotu w tablicy celów podczas automatycznego wykrywania.

W jądrze Linux w podsystemie CXL region zablokowano usuwanie regionu podczas jego tworzenia. Rozszerzono zakres blokady, aby uniemożliwić usunięcie regionu w krytycznym okresie między konstrukcją a dołączeniem celu oraz między rejestracją urządzenia a zarejestrowaniem akcji usuwania. Bez tego użytkownik mógłby wprowadzić jądro w błąd, naruszając założenia dotyczące żywotności regionu.

W jądrze Linux w podsystemie CXL region rozwiązano problemy z wyścigami podczas usuwania regionów. Zamiast instalować nowe akcje devres dla każdego regionu, wykorzystano istniejące zdarzenie wyrejestrowania dekodera głównego do usunięcia wszystkich pozostałych regionów. Zastosowano tablicę xarray regionów zamiast listy devres, co eliminuje trzy problemy: wyścigi między użytkownikami usuwającymi ten sam region, wielokrotne akcje usuwania oraz wyścig z devres_release_all().

W jądrze Linux w podsystemie power supply core naprawiono problem z alokacją pamięci dla właściwości supplied_from. Gdy właściwość dts power-supplies zawiera wiele wartości, dostęp do psy->supplied_from[i-1] w funkcji __power_supply_populate_supplied_from może spowodować przekroczenie granic tablicy supplied_from.

W jądrze Linux w podsystemie handshake dodano wymóg uprawnień administratora dla polecenia DONE. Wcześniej polecenie DONE nie miało żadnej kontroli uprawnień, co pozwalało nieuprzywilejowanemu procesowi na wysłanie fałszywego DONE z kodem statusu 0, co mogło spowodować, że jądro uzna ręczne uzgadnianie za zakończone sukcesem, lub z kodem niezerowym, co mogło przerwać prawidłowe uzgadnianie.

W jądrze Linux w module net/sched/sch_dualpi2 występuje podatność prowadząca do dereferencji pustego wskaźnika (null-ptr-deref). Podczas operacji peek, gdy dualpi2 odrzuca pakiety, wywołuje qdisc_tree_reduce_backlog przed przywróceniem licznika qlen, co może błędnie dezaktywować klasę nadrzędną i doprowadzić do awarii systemu.

W jądrze Linux w podsystemie net: mana zainicjalizowano identyfikator kolejki gdma na INVALID_QUEUE_ID. Wcześniej identyfikator pozostawał 0, co mogło prowadzić do usunięcia nieprawidłowej kolejki podczas czyszczenia po nieudanym tworzeniu, co mogło uszkodzić tablicę gc->cq_table[0] i wpłynąć na działanie innej kolejki.

W jądrze Linux wykryto podatność w kodzie watchdoga sieciowego (net/sched/sch_generic.c), związaną z wyścigami w śledzeniu referencji (refcount tracking). Brak synchronizacji między funkcjami netdev_watchdog_up() i dev_watchdog() może prowadzić do uszkodzenia listy i awarii systemu (kernel panic).

W jądrze Linux w sterowniku WWAN t7xx funkcja t7xx_port_ctrl_tx() klonuje każdy fragment skb przed przekazaniem go do ścieżki transmisji. Brak sprawdzenia wyniku skb_clone() prowadzi do dereferencji wskaźnika NULL, gdy klonowanie się nie powiedzie.

W jądrze Linux w module KCM funkcje kcm_attach() i kcm_unattach() podmieniają wskaźniki wywołań zwrotnych (sk_data_ready, sk_write_space) na żywym gnieździe TCP bez użycia WRITE_ONCE(). Może to prowadzić do niespójnych obserwacji tych pól na innych CPU i błędnych wywołań zwrotnych.

W jądrze Linux wykryto podatność w podsystemie ALSA sequencer, związaną z operacją zmiany rozmiaru kolejki FIFO (snd_seq_fifo_resize). Problem polega na tym, że podczas zmiany rozmiaru mogą pozostać nieaktualne komórki (stale cells) w kolejce, co prowadzi do zakleszczenia w funkcji snd_seq_pool_done podczas usuwania starej puli. Atakujący może wywołać tę sytuację poprzez odpowiednie operacje ioctl, powodując blokadę wątku na czas nieokreślony.

W jądrze Linux w module netfilter nf_dup_netdev funkcje nft_dup i nft_fwd zostały zaktualizowane, aby używać pomocniczych funkcji nf_dev_xmit_recursion(). Dodatkowo wyłączono przerwania (BH) podczas transmisji skb, aby zapobiec migracji na inny CPU i niezbalansowanemu dekrementowaniu liczników rekurencji.

W jądrze Linuxa w mechanizmie BPF dla danych uprobe_multi brakowało sprawdzenia access_ok przed użyciem __get_user, co mogło prowadzić do nieautoryzowanego dostępu do pamięci użytkownika. Poprawka dodaje odpowiednie sprawdzenie granic.

W jądrze Linux wykryto podatność use-after-free w funkcji udp_bpf_recvmsg() dla mechanizmu sockmap. Problem wynika z braku serializacji dostępu do struktury sk_msg, co przy współbieżnym odczycie może prowadzić do użycia zwolnionej pamięci. Poprawka przywraca blokadę lock_sock() w tej funkcji.

W jądrze Linux wykryto podatność w mechanizmie BPF sockmap, polegającą na przepełnieniu liczby całkowitej w funkcji bpf_msg_pop_data(). Mnożenie start + len wykonywane jest w arytmetyce 32-bitowej, co pozwala na obejście kontroli granic i prowadzi do dostępu poza zakresem listy rozproszonej (scatterlist), skutkując błędem ogólnej ochrony (GPF) i potencjalną awarią systemu.

W jądrze Linuxa w protokole TCP dla IPv6, funkcja ip6_default_advmss() może zwracać wartość IPV6_MAXPLEN (65535), która jest interpretowana jako mss_clamp, pozwalając MSS osiągnąć 65535. Jednak wartość 0xFFFF jest również używana jako magiczna wartość GSO_BY_FRAGS, co może prowadzić do dereferencji wskaźnika NULL podczas segmentacji pakietów TCP.

W jądrze Linuxa w sterowniku RDMA bnxt_re, zmienna dpi jest inicjalizowana tylko dla przypadku BNXT_RE_ALLOC_WC_PAGE, ale jest kopiowana dla wszystkich przypadków. Brak inicjalizacji może prowadzić do użycia niezainicjalizowanej wartości.

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla SRQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_srq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla CQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_cq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, podczas zrzucania informacji o MR za pomocą narzędzia rdma, wyświetlany jest wskaźnik jądra mr_hwq. Nie ma potrzeby ujawniania tej wartości użytkownikowi końcowemu, więc została usunięta.

W jądrze Linuxa w sterowniku RDMA bnxt_re, brakuje sprawdzenia maksymalnej liczby slotów dla SQ. Tryb zmiennej WQE musi być walidowany względem maksymalnej liczby slotów obsługiwanych przez sprzęt (maks. 64K). Dodano sprawdzenie maksymalnej i minimalnej wartości, aby odrzucić wartości większe niż maksymalna i równe zero.

W jądrze Linux w module ksmbd funkcja same_client_has_lease() zwraca wskaźnik opinfo z listy ci->m_op_list po zwolnieniu blokady m_lock bez przejęcia referencji. Może to prowadzić do użycia po zwolnieniu (UAF) podczas równoczesnego zamykania. Dodano przejmowanie referencji i jej zwalnianie po skopiowaniu stanu dzierżawy.

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_aes_decrypt zawierała nieprawidłowe sprawdzenie wskaźnika stainfo, które zwracało _FAIL dla prawidłowego wskaźnika. Odwrócono warunek, aby zwracał _FAIL tylko dla nieprawidłowego wskaźnika.

W jądrze Linux w sterowniku staging nvec funkcja nvec_rx_completed() zawiera błąd użycia po zwolnieniu (UAF). Po wywołaniu nvec_msg_free() kod nadal odczytuje nvec->rx->data[0], co może być już nadpisane przez równoczesne wywołanie nvec_msg_alloc(). Poprawka zapisuje bajt typu wiadomości przed zwolnieniem i używa zapisanej wartości.

W jądrze Linux w podsystemie soundwire funkcja sdw_add_element_group_count zawierała błąd powodujący dostęp poza zakres pamięci w pętli for, gdy i == num. Poprawka dodaje sprawdzenie istniejących wpisów rate/lane przed ich dodaniem, bez zmian funkcjonalnych poza tą poprawką.

W jądrze Linux w podsystemie PCI funkcja pci_get_rom_size może powodować awarię z powodu dostępu poza zakres pamięci ROM lub nieprawidłowego wyrównania adresu struktury danych. Dodano sprawdzanie nagłówka obrazu i adresu struktury danych oraz sprawdzanie wyrównania, aby zapobiec awariom na architekturach x86_64 i arm64.

W jądrze Linuxa w sterowniku mailbox mtk-adsp występuje podatność use-after-free podczas wyłączania urządzenia. Gdy inicjalizacja sterownika audio SOF nie powiedzie się, obiekt snd_sof_dev jest zwalniany, a późne przerwanie może wywołać procedurę obsługi po zwolnieniu kanału, prowadząc do dostępu do zwolnionej pamięci. Naprawa polega na użyciu disable_irq() i IRQF_NO_AUTOEN, aby zapobiec wyzwalaniu przerwań w nieodpowiednim momencie.

W jądrze Linuxa w podsystemie coresight platform występuje problem z licznikiem połączeń, który jest zwiększany przed udaną alokacją pamięci. Jeśli alokacja się nie powiedzie, licznik pozostaje zwiększony, a funkcja sprzątająca może odwoływać się do nieprawidłowych wskaźników, powodując panikę jądra. Poprawka przenosi zwiększenie licznika po wszystkich udanych alokacjach.

W jądrze Linuxa w sterowniku most: video występuje podwójne zwolnienie pamięci (double free) podczas nieudanej rejestracji urządzenia wideo. Funkcja comp_register_videodev() zwalnia video_device, ale ścieżka błędu w __video_register_device() również go zwalnia, co prowadzi do podwójnego zwolnienia. Poprawka używa video_device_release_empty() podczas rejestracji, aby uniknąć podwójnego zwolnienia.

W jądrze Linuxa w sterowniku USB host max3421 występuje podatność przesunięcia poza zakres (shift-out-of-bounds) w funkcji max3421_hub_control(). Niezaufany proces użytkownika może wysłać żądanie USBDEVFS_CONTROL z wartością wValue większą lub równą 32, co powoduje przesunięcie bitowe poza zakres i uszkodzenie port_status, w tym bitów niezmiennych. Poprawka odrzuca żądania z wartością przekraczającą szerokość przesunięcia.

W jądrze Linuxa w sterowniku gpib występuje podwójne zmniejszenie licznika descriptor_busy w funkcji command_ioctl(). Ścieżka błędu wewnątrz pętli zmniejsza licznik i przerywa, ale potem następuje bezwarunkowe zmniejszenie po pętli, co prowadzi do niedomiaru licznika. To ponownie umożliwia use-after-free, które pierwotna poprawka miała zapobiec. Poprawka usuwa wczesne zmniejszenie ze ścieżki błędu.

W jądrze Linuxa w sterowniku iio: magnetometer ak8975 występuje potencjalny wyciek pamięci stosu jądra. Jeśli funkcja i2c_smbus_read_i2c_block_data_or_emulated() zwróci mniej bajtów niż rozmiar bufora, niezainicjalizowane bajty pozostają w buforze i są przekazywane do buforów IIO, co może ujawnić pamięć jądra użytkownikowi. Poprawka dodaje sprawdzenie, czy zwracana wartość jest równa rozmiarowi bufora.

W jądrze Linuxa w sterowniku iio: adc xilinx-ams występuje podatność odczytu poza zakresem w funkcji ams_event_to_channel(). Funkcja może zwrócić wskaźnik poza koniec tablicy dev->channels, gdy nie zostanie znaleziony pasujący scan_index, co prowadzi do nieprawidłowego dostępu do pamięci w ams_handle_event(). Poprawka dodaje sprawdzenie granic i zwraca NULL, gdy kanał nie zostanie znaleziony.

W jądrze Linuxa w sterowniku iio: accel mma8452 występuje problem z obsługą błędów odczytu I2C w funkcji mma8452_read(). Jeśli odczyt I2C się nie powiedzie, ale funkcja mma8452_set_runtime_pm_state() zakończy się sukcesem, funkcja zwraca 0, co powoduje, że wywołujący używa niezainicjalizowanej pamięci stosu. Poprawka dodaje sprawdzenie wartości zwracanej i propaguje błędy do wywołującego.

W jądrze Linuxa w systemie plików NTFS3 występuje podatność odczytu poza zakresem w funkcji run_get_highest_vcn(). Funkcja analizuje bufor mapowania par bez ograniczenia długości, polegając tylko na terminatorze 0x00. Specjalnie spreparowany rekord $LogFile UpdateMappingPairs może spowodować odczyt poza przydzieloną pamięcią, wywołując błąd KASAN podczas montowania. Poprawka dodaje parametr run_buf_size i odrzuca nagłówki, których dane wykraczają poza bufor.

W jądrze Linux w funkcji dma_release_channel() występuje podatność na użycie po zwolnieniu (use-after-free). Sprawdzenie licznika privatecnt odbywa się po wywołaniu dma_chan_put(), które może zwolnić ostatnie odniesienie do urządzenia, jeśli dostawca DMA już nie istnieje, prowadząc do zwolnienia pamięci. Poprawka przenosi wywołanie dma_chan_put() przed sprawdzenie.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z niepełnym zwolnieniem struktury axi_dmac_desc. W ścieżce błędu po wywołaniu axi_dmac_alloc_desc() w axi_dmac_prep_peripheral_dma_vec() nie jest używana funkcja axi_dmac_free_desc(), co prowadzi do wycieku pamięci lub niepełnego zwolnienia.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z zarządzaniem deskryptorami DMA. Użycie dma_alloc_coherent() może powodować remapowanie pamięci (vmalloc) na architekturach takich jak Microblaze lub arm64, co prowadzi do BUG() podczas wywołania dma_free_coherent() z kontekstu softirq. Poprawka wykorzystuje pulę DMA do zarządzania deskryptorami, unikając bezpośredniego wywołania dma_free_coherent() w kontekście przerwania.

W jądrze Linux w systemie plików NTFS3 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej lcn. Gdy poszukiwany VCN nie zostanie znaleziony w runs[0], funkcja run_lookup() zwraca false, co prowadzi do przedwczesnego wyjścia z attr_data_get_block_locked() bez inicjalizacji lcn, wywołując błąd KMSAN. Poprawka przenosi sprawdzenie clen przed sprawdzenie lcn w ni_seek_data_or_hole().

W jądrze Linux w systemie plików NTFS3 (fs/ntfs3) występuje podatność polegająca na przepełnieniu bufora. Podczas montowania brudnego woluminu NTFS, funkcja log_replay() alokuje bufor one_page_buf o rozmiarze strony hosta, a następnie, gdy odnajdzie obszar restartu, może przyjąć większy rozmiar strony z dysku. Jeśli rozmiar strony na dysku jest większy niż początkowo zaalokowany, bufor pozostaje za mały, a późniejszy odczyt log->page_size bajtów do tego bufora powoduje przepełnienie.

W jądrze Linuxa w podsystemie xprtrdma wykryto podatność polegającą na braku równowagi w liczniku referencji (kref) podczas obsługi zdarzenia ADDR_CHANGE. Gdy zdarzenie to pojawi się przed ESTABLISHED, wywoływane jest ep_put bez odpowiadającego ep_get, co prowadzi do niedomiaru licznika i użycia zwolnionej pamięci (use-after-free) podczas rozłączania.

W jądrze Linux w module xprtrdma występuje podatność na wyścig (race condition) podczas inicjalizacji re_id. rpcrdma_create_id() rejestruje ep->re_rn zanim rpcrdma_ep_create() przypisze ep->re_id, co pozwala lokalnemu administratorowi na wywołanie usunięcia urządzenia RDMA w tym oknie, prowadząc do wyłuskania NULL w trace_xprtrdma_device_removal(). Poprawka przypisuje re_id przed publikacją re_rn.