Podatności Linux kernel

W jądrze Linux w module xprtrdma występuje podatność polegająca na ignorowaniu wyniku funkcji frwr_wp_create() podczas nawiązywania połączenia. Jeśli funkcja zawiedzie, ep->re_write_pad_mr pozostaje NULL, a połączenie jest nadal uznawane za udane, co prowadzi do wyłuskania NULL podczas kodowania listy zapisu. Poprawka sprawdza wartość zwracaną i kończy połączenie z błędem -ENOTCONN.

W jądrze Linux w podsystemie xprtrdma stwierdzono podatność polegającą na braku ograniczenia wartości kredytu odpowiedzi (credit grant) przed jej użyciem. Złośliwy peer może wysłać odpowiedź z nieznanym XID i zawyżonym kredytem, co prowadzi do nadmiernej alokacji i wysyłania Receive WR, przekraczając limit re_max_requests.

W jądrze Linux w podsystemie xprtrdma wykryto podatność, która pozwala zdalnemu przeciwnikowi na wyczerpanie kolejki odebranych pakietów (Receive queue) klienta poprzez wysyłanie ciągłego strumienia nieprawidłowych odpowiedzi (zbyt krótkich lub z nieznaną wersją RPC/RDMA). Każda taka odpowiedź zużywa jeden wpis w kolejce bez jego uzupełnienia, co po opróżnieniu kolejki prowadzi do zatrzymania transportu do czasu ponownego połączenia.

W jądrze Linux w module AppArmor występuje wyścig w mediacji gniazd unixowych, gdy używana jest ścieżka peer_path. Dostęp do ścieżki poza blokadą stanu pozwala na wyścig z funkcją unix_release_sock(), co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w module AppArmor występuje wyciek referencji podczas aktualizacji sk_ctx. Funkcja update_sk_ctx() przenosi referencję plabel, ale wywołujący zawsze ją zwalnia, co prowadzi do podwójnego zwolnienia lub wycieku referencji.

W jądrze Linux w module AppArmor występuje podatność polegająca na sprawdzeniu etykiety przed testem no_new_privs. Funkcja aa_change_profile() buduje etykietę zastępczą, która może zwrócić NULL lub ERR_PTR, ale wynik jest przekazywany do aa_label_is_unconfined_subset() przed sprawdzeniem IS_ERR_OR_NULL(), co może prowadzić do dereferencji nieprawidłowej etykiety.

W jądrze Linux w module AppArmor występuje wyciek zasobów w funkcji aa_label_alloc(). Funkcja alokuje secid przed alokacją lub przejęciem proxy etykiety. Jeśli późniejszy krok proxy zawiedzie, ścieżka błędu zwalnia tylko pamięć etykiety, nie zwalniając zasobów zainicjowanych przez aa_label_init().

W jądrze Linux w module AppArmor występuje podatność polegająca na dereferencji wskaźnika NULL w funkcji unpack_pdb. Jeśli funkcja unpack_dfa zawiedzie, pdb->dfa może być NULL, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w module AppArmor występuje podatność polegająca na nieprawidłowej obsłudze błędu alokacji tabeli ACCEPT2 w funkcji unpack_pdb. Jeśli alokacja zawiedzie, funkcja ustawia komunikat błędu, ale przechodzi do ścieżki sukcesu, zwracając policydb bez wymaganej tabeli.

W jądrze Linux w module AppArmor funkcja get_current_exe_path() przecieka referencje do pliku exe i ścieżki, gdy aa_path_name() zwróci błąd. Poprawka kieruje obsługę błędu przez wspólną ścieżkę czyszczenia, aby zawsze zwalniać zasoby.

W jądrze Linux w module AppArmor wykryto błąd polegający na przekazaniu niezainicjalizowanego wskaźnika do funkcji audit_log_untrustedstring(). Błąd został wprowadzony przez commit 4a134723f9f1 i może prowadzić do błędu strony (page fault) podczas operacji na plikach, gdy ścieżka została zastąpiona przez aa_null.dentry. Problem zaobserwowano na jądrze 7.0.2 openSUSE Tumbleweed.

W jądrze Linux w sterowniku MIPI I3C HCI występuje wyścig w funkcji i3c_hci_addr_to_dev(), która przeszukuje listę urządzeń I3C bez odpowiedniego blokowania. Poprawka wprowadza dedykowaną tablicę lookupową i synchronizację przez hci->lock.

W jądrze Linux w mechanizmie regcache, gdy funkcja populate() zwróci błąd, a operacje cache zawierają callback exit(), kod błędu jest nadpisywany wartością zwracaną przez exit(). To ukrywa błąd przed wywołującym regcache_init() i może prowadzić do dereferencji pustego wskaźnika.

W jądrze Linux w sterowniku i915 (drm) funkcja intel_crtc_put_color_blobs() zwalnia referencje do blobów kolorów CRTC, ale nie czyści wskaźników. Może to prowadzić do podwójnego zwolnienia przy ponownym czyszczeniu stanu CRTC.

W jądrze Linux w module xfrm funkcja xfrm_selector_match() może wykonać przesunięcie poza zakres (shift-out-of-bounds) dla selektora AF_UNSPEC z dużym prefixlen. Poprawka dodaje walidację rodzin i długości prefiksów.

W jądrze Linux w sterowniku amdkfd (drm) funkcja kfd_criu_resume_svm() nie usuwa elementów z listy przed zwolnieniem pamięci, co prowadzi do użycia po zwolnieniu i podwójnego zwolnienia. Poprawka dodaje list_del() przed kfree().

W jądrze Linux w sterowniku octeontx2-pf funkcja otx2_free_sq_res() nie zwalnia bufora znaczników czasowych SQ (sq->timestamps), co prowadzi do wycieku pamięci podczas wyłączania interfejsu lub usuwania urządzenia.

W jądrze Linux w module SCTP_DIAG podczas zrzutu endpointów nie jest utrzymywany zamek gniazda, co prowadzi do wyścigu i potencjalnego wycieku niezainicjalizowanej pamięci do przestrzeni użytkownika. Poprawka dodaje odpowiednie blokowanie i serializację.

W jądrze Linux w sterowniku ALSA USB-audio dla platform Qualcomm występuje podatność polegająca na braku walidacji indeksu interfejsu w ścieżce wyłączania strumienia. Żądanie wyłączenia z nieprawidłowym interfejsem może prowadzić do dereferencji wskaźnika NULL lub odczytu/zapisu poza pamięcią, co może spowodować awarię systemu lub uszkodzenie pamięci.

W jądrze Linux w sterowniku ALSA USB-audio dla platform Qualcomm występuje podatność polegająca na nieczyszczeniu flagi 'opened' w przypadku niepowodzenia włączenia strumienia. Gdy walidacja interwału usługi nie powiedzie się, sub-stream pozostaje w stanie zablokowanym, co uniemożliwia jego ponowne użycie.

W jądrze Linuxa wykryto podatność w mechanizmie flow_dissector, który bezwarunkowo odczytuje adresy Ethernet (ETH_ADDRS) z nagłówka pakietu, nawet gdy urządzenie nie ma nagłówka warstwy łącza (np. TUN w trybie L3). Prowadzi to do odczytu niezainicjalizowanej pamięci skb, która może być użyta jako klucz w tabeli rhashtable, co może skutkować nieprzewidywalnym dopasowaniem filtrów TC. Problem został naprawiony przez sprawdzenie typu urządzenia (ARPHRD_ETHER) oraz czy nagłówek MAC został ustawiony.

W jądrze Linux wykryto podatność w sterowniku ALSA USB-audio dotyczącą MIDI 2.0. Podczas błędu konfiguracji, URB (żądania USB) wejściowe MIDI 2.0 nie są zatrzymywane przed zwolnieniem pamięci punktów końcowych, co prowadzi do użycia po zwolnieniu (use-after-free) w funkcji input_urb_complete(). Problem został zaobserwowany jako błąd KASAN.

W jądrze Linux wykryto podatność powodującą wyciek niezainicjalizowanych danych ze stosu do przestrzeni użytkownika w funkcji dgram_recvmsg() dla protokołu IEEE 802.15.4. Problem wynika z niezerowania pola pan_id w strukturze adresu, gdy tryb adresowania to IEEE802154_ADDR_NONE, co prowadzi do ujawnienia zawartości stosu jądra.

W jądrze Linux w module md/raid1 występuje podatność polegająca na wycieku referencji writes_pending i bariery w przypadku niepowodzenia zapisu. Niektóre ścieżki błędów w raid1_write_request() kończą bio bez wywołania md_write_end(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid10 występuje podatność polegająca na wycieku referencji writes_pending w przypadku niepowodzenia żądania zapisu. Niektóre ścieżki błędów w raid10_write_request() kończą bio bez wywołania md_write_end(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid10 występuje podatność polegająca na wycieku referencji writes_pending i bariery w przypadku niepowodzenia operacji discard. Niektóre ścieżki błędów w raid10_handle_discard() kończą bio bez wywołania md_write_end() lub allow_barrier(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid1 występuje podatność polegająca na wycieku struktury r1_bio w przypadku, gdy odczyt z flagą REQ_NOWAIT napotka blokadę podczas ponownej próby. Gdy wait_read_barrier() nie powiedzie się, bio jest kończone, ale wcześniej przydzielony r1_bio nie jest zwalniany.

W jądrze Linux w module netfilter/ipset podczas obsługi rozszerzenia komentarza wywołano kfree_rcu() przed rcu_assign_pointer(), co jest nieprawidłową kolejnością. Poprawiono kolejność, aby rcu_assign_pointer() było wywoływane jako pierwsze.

W jądrze Linux w module netfilter/ipset podczas niszczenia zbioru wywoływano cancel_delayed_work_sync(), podczas gdy gc nieprzerwanie wywołuje queue_delayed_work(), co może uniemożliwić prawidłowe zatrzymanie gc. Poprawiono to.

W jądrze Linux w module nft_meta_bridge występuje wyciek danych ze stosu w NFT_META_BRI_IIFPVID. Poprawka wymaga sprawdzenia niezerowej wartości zwracanej.

W jądrze Linux w sterowniku tpm_crb brakowało sprawdzenia ACPI_COMPANION() przeciwko NULL podczas inicjalizacji. Dodano to sprawdzenie, aby zapobiec problemom, gdy urządzenie nie ma towarzyszącego obiektu ACPI.

W jądrze Linux w mechanizmie alloc_tag występuje use-after-free w /proc/allocinfo po wyładowaniu modułu. Iterator nie jest poprawnie reinitializowany, co prowadzi do odwołań do zwolnionej pamięci modułu.

W jądrze Linux w module net/sched: act_ct występuje wyciek nf_connlabels na dwóch ścieżkach błędów. Funkcja tcf_ct_fill_params() wywołuje nf_connlabels_get(), ale dwa późniejsze miejsca błędów używają zwykłego return zamiast goto err, pomijając oczyszczanie nf_connlabels_put().

W jądrze Linux w BPF występuje błąd indeksu slotu stosu w kontrolach nospec. check_stack_write_fixed_off() oblicza slot bajtowy jako -off - 1, ale pre-check sanitizacji Spectre v4 używa slot_type[i] zamiast tego, co może prowadzić do pominięcia sanitizacji dla niektórych zapisów.

W jądrze Linux w BPF występuje błąd indeksu efektywnej tablicy programów z flagą BPF_F_PREORDER. replace_effective_prog() i purge_effective_progs() lokalizowały slot w tablicy efektywnej poprzez liniowe zliczanie wpisów na liście hlist, co nie zgadza się z układem tablicy, gdy obecny jest program preorder.

W jądrze Linuxa w mechanizmie BPF podczas czyszczenia martwych slotów stosu w połowach 4-bajtowych, gdy górna połowa slotu typu STACK_SPILL jest martwa, a dolna pozostaje żywa, konwersja dolnej połowy do STACK_MISC lub STACK_ZERO czyści metadane spilled_ptr. Jest to bezpieczne tylko dla skalarnych spillów, ale dla spillów wskaźnikowych umożliwia późniejszy 32-bitowy odczyt z żywej połowy, który omija normalną kontrolę i jest traktowany jako zwykły odczyt skalarny. Poprawka pozostawia nie-skalarne sloty spill w tym stanie, co jest konserwatywne dla przycinania i zachowuje istniejącą ścieżkę odrzucania częściowych odczytów ze spillów wskaźnikowych.

W jądrze Linuxa w sterowniku ice występuje wyciek zasobów CTRL VSI podczas resetowania wszystkich VF (funkcji wirtualnych) z włączonymi filtrami FDIR. Funkcja ice_reset_all_vfs() tylko unieważnia CTRL VSI, ale ich nie zwalnia, co prowadzi do wycieku zasobów. Poprawka polega na użyciu ice_vf_ctrl_vsi_release() zamiast ice_vf_ctrl_invalidate_vsi(), co jest zgodne z zachowaniem funkcji ice_reset_vf().

W jądrze Linuxa w sterowniku RTC msc313 występuje błąd prowadzący do wyłuskania pustego wskaźnika (NULL deref) w wspólnym handlerze przerwań podczas inicjalizacji. Funkcja msc313_rtc_probe() wywołuje devm_request_irq() z IRQF_SHARED i przekazuje &pdev->dev jako cookie, ale platform_set_drvdata() jest wywoływane dopiero później. Jeśli inne urządzenie na tej samej linii przerwań wywoła handler w tym oknie, handler wykonuje dev_get_drvdata() na cookie, otrzymuje NULL i dereferencjonuje priv->rtc_base w kontekście przerwania. Poprawka polega na przekazaniu priv jako cookie bezpośrednio, aby handler czytał go z dev_id bez wyszukiwania.

W jądrze Linuxa w mechanizmie BPF funkcje kfunc do wyszukiwania i alokacji conntrack przyjmują wskaźnik opts oraz argument opts__sz. Weryfikator sprawdza tylko zakres pamięci opisany przez opts__sz, ale wrappery bezwarunkowo zapisują opts->error, gdy wewnętrzna funkcja zwróci błąd. Dla nieprawidłowego rozmiaru mniejszego niż koniec pola opts->error, zapis może trafić poza sprawdzany zakres. Poprawka polega na tym, aby nadal zwracać NULL dla nieprawidłowych argumentów, ale raportować błąd przez opts->error tylko wtedy, gdy podany rozmiar obejmuje to pole.

W jądrze Linux wykryto wyścig (race condition) w podsystemie md/raid5 podczas przerywania partii stripe'ów. Problem dotyczy operacji na flagach R5_Overlap, co może prowadzić do zawieszenia procesu (wait_on_bit) w wyniku utraty wybudzenia (wake_up). Poprawka rozszerza strefę chronioną i zmienia kolejność operacji na wskaźniku batch_head, aby zapobiec równoczesnemu dostępowi.

W jądrze Linux wykryto podatność w module netfilter nf_nat, polegającą na użyciu nieprawidłowego wskaźnika nat_net po nieudanej inicjalizacji nf_nat_init(). Problem prowadzi do odczytu poza zakresem pamięci (slab-out-of-bounds), co może zostać wykorzystane przez lokalnego użytkownika do wywołania awarii systemu lub potencjalnie eskalacji uprawnień.

W jądrze Linuxa wykryto podatność w module netfilter (nf_conncount), która powoduje błędne odrzucanie pakietów dla prawidłowych połączeń przy użyciu connlimit w trybie miękkiego limitowania. Problem pojawia się, gdy nowe połączenie ponownie wykorzystuje gniazdo w stanie TIME_WAIT — wpis śledzenia połączenia jest błędnie traktowany jako potwierdzony, co prowadzi do wyzerowania licznika aktywnych połączeń i fałszywego odrzucenia ruchu. Poprawka zastępuje sprawdzenie interfejsu pętli zwrotnej kontrolą stanu połączenia (IPS_ASSURED), co pozwala poprawnie zliczać pakiety konfiguracyjne wczesnych połączeń.

W jądrze Linux w warstwie nft_compat brakuje odrzucania celów nieprzeznaczonych dla mostów w emulacji ebtables. Cele xtables zwracają werdykty niezgodne z ebtables, co może prowadzić do nieprawidłowego działania.

W jądrze Linux w funkcji ge_put_enum_double() w ASoC SDCA brakuje walidacji wartości indeksu przed użyciem. Może to prowadzić do odczytu poza zakresem bufora wartości.

W jądrze Linux w sterowniku DSA sja1105 czas trwania pinu PTP jest zaokrąglany w górę do co najmniej 1 ticka, aby uniknąć dzielenia przez zero w future_base_time().

W jądrze Linux w protokole SCTP występują wycieki pamięci err_chunk w obsłudze INIT. W kilku ścieżkach kodu alokowany chunk nie jest zwalniany, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku DSA mxl862xx występuje użycie po zwolnieniu (use-after-free) portów DSA w funkcji crc_err_work. Praca może zostać wykonana po zwolnieniu portów, co prowadzi do odwołania do zwolnionej pamięci.

W jądrze Linux w podsystemie octeontx2-af naprawiono błędny warunek sprawdzający, czy jakiekolwiek LFs (Logical Functions) zostały przypisane do PF/VF. Poprawka dotyczy walidacji maksymalnej liczby LFs ustawianej przez polecenie devlink.

W jądrze Linuxa w sterowniku mvneta (Marvell Armada 370/XP/38x) występuje podatność powodująca trwałe zablokowanie przerwań per-CPU po wznowieniu z zawieszenia. Jeśli zawieszenie nastąpi w trakcie oczekiwania na zakończenie NAPI, przerwanie nie zostanie ponownie włączone, co prowadzi do całkowitej utraty łączności sieciowej.

W jądrze Linux w podsystemie sungem naprawiono podwójne zwalnianie zasobów podczas obsługi błędu w funkcji gem_init_one(). Wcześniej, gdy register_netdev() zawodził, wywoływano gem_remove_one(), a następnie ponownie zwalniano te same zasoby, co prowadziło do podwójnego zwolnienia.