Podatności Linux kernel

W jądrze Linux w sterowniku drm/panthor funkcja panthor_fw_load_section_entry() pomija tworzenie BO dla sekcji firmware o zerowym rozmiarze, ale dodaje je do listy sekcji, co prowadzi do dereferencji NULL w późniejszych ścieżkach. Poprawka polega na pomijaniu dodawania takich sekcji do listy.

W jądrze Linux w podsystemie powerpc/pseries (papr-phy-attest) brakowało walidacji pola cmd.length, co mogło prowadzić do przepełnienia bufora. Dodano sprawdzanie długości i zwracanie błędu, a także naprawiono wyciek pamięci na ścieżkach błędów.

W jądrze Linux w sterowniku Synaptics RMI4 (F54) naprawiono błąd, w którym błędy wątku roboczego nie były propagowane do kolejki V4L2. Wcześniej, jeśli wątek roboczy zawiódł, kolejka zwracała sukces, dostarczając nieaktualne lub niezainicjalizowane dane do przestrzeni użytkownika.

W jądrze Linux w sterowniku hynitron_cstxxx nieprawidłowo sprawdzano liczbę dotknięć i identyfikatory palców. Może to prowadzić do uszkodzenia stanu dotyku lub odczytu poza zakresem bufora.

W jądrze Linux w sterowniku gve brakuje implementacji funkcji adjfine, co prowadzi do wyłuskania pustego wskaźnika (NULL dereference) podczas wywołania z przestrzeni użytkownika, np. przez testptp.

W jądrze Linux wykryto podatność use-after-free w sterowniku gpio-sloppy-logic-analyzer. Plik debugfs 'trigger' nie posiadał odpowiedniego zabezpieczenia, co pozwalało na zapis do zwolnionej pamięci podczas odłączania urządzenia. Problem został naprawiony przez użycie debugfs_create_file() zamiast debugfs_create_file_unsafe().

W jądrze Linux w funkcjach xcrb_msg_to_type6cprb_msgx() i xcrb_msg_to_type6_ep11cprb_msgx() dla s390/zcrypt kopiowana jest wiadomość z przestrzeni użytkownika do bufora jądra na podstawie długości, ale dalsze przetwarzanie zakłada wyrównanie do 4 bajtów. W rezultacie do 3 bajtów niezainicjalizowanej pamięci jądra jest przekazywane do dalszych kroków, co może ujawnić pamięć jądra firmware'owi karty kryptograficznej.

W jądrze Linux w sterowniku amdgpu dla AMD Display występuje błąd NULL pointer dereference w funkcji amdgpu_dm_crtc_set_vblank(), gdy vblank jest włączany lub odpytywany przed podłączeniem strumienia do acrtc_state->stream. Może to prowadzić do awarii systemu.

W jądrze Linux w systemie plików XFS podczas naprawy drzewa katalogów (dirtree scrubber) może zostać wykryty katalog odnoszący się do samego siebie. W takim przypadku kod naprawczy próbuje zablokować ten sam inode dwukrotnie (podwójne założenie blokady iolock/ilock), co prowadzi do zakleszczenia. Poprawka polega na wykryciu tego przypadku i odpowiednim jego obsłużeniu.

W jądrze Linux w systemie plików XFS podczas naprawy listy niepołączonych inodów (AGI repair) funkcja xrep_iunlink_walk_ondisk_bucket może próbować użyć wskaźnika sc->sa.agi_bp, który może być pusty (null), jeśli weryfikator bufora zawiedzie. Poprawka polega na użyciu ragi->agi_bp, który pomija weryfikację, aby uniknąć przejścia poza koniec pamięci.

W jądrze Linux w systemie plików XFS podczas naprawy online (online fsck) funkcja xrep_iunlink_resolve_bucket jest nadal podatna na nieskończone pętle wynikające z wskaźników next_unlinked. Poprawka polega na zapamiętywaniu już odwiedzonych inodów i sprawdzaniu nowych wskaźników agino, aby wykryć pętle.

W jądrze Linux w systemie plików XFS funkcja xlog_recover_dquot_commit_pass2() podczas odtwarzania dziennika waliduje odzyskany dquot za pomocą xfs_dqblk_verify(). W przypadku błędu ustawia error = -EFSCORRUPTED i przeskakuje do etykiety out_release, ale out_release bezwarunkowo zwraca 0, więc błąd jest ignorowany. To powoduje, że uszkodzony bufor quota może zostać zapisany na dysk.

W jądrze Linux wykryto podatność w podsystemie ASoC SOF (Sound Open Firmware) dotyczącą kopiowania danych IPC dla widgetów copier. Po zawieszeniu i wznowieniu systemu bufor ipc_config_data nie jest odświeżany, co prowadzi do wysyłania do firmware'u nieaktualnych przypisań kanałów DMA, powodując błędy i awarie firmware'u. Poprawka polega na odświeżaniu danych copier_data i dma_config_tlv przed wysłaniem komunikatu IPC.

W jądrze Linux w sterowniku optee ffa funkcja optee_ffa_lend_protmem nie sprawdza, czy przydzielony wskaźnik nie jest pusty. W warunkach niskiego poziomu pamięci może to prowadzić do wyłuskania pustego wskaźnika.

W jądrze Linux w podsystemie SCSI core flaga shost->eh_noresume jest odczytywana dwukrotnie w jednej iteracji obsługi błędów, co może prowadzić do niesparowania wywołań runtime PM get i put, powodując niedomiar licznika użycia.

W jądrze Linux w mechanizmie rseq funkcja rseq_grant_timeslice_extension() wywołuje hrtimer_rearm_deferred_tif() z włączonymi przerwaniami, podczas gdy funkcja __hrtimer_rearm_deferred() wymaga wyłączonych przerwań. Może to prowadzić do zakleszczenia (livelock) i jest wykrywane przez lockdep.

W jądrze Linuxa w module net/sched act_api występuje podatność TOCTOU (time-of-check-time-of-use) na dereferencję wskaźnika NULL w polu a->goto_chain. Konkurencyjna operacja może wyczyścić wskaźnik między dwoma odczytami, co prowadzi do dereferencji NULL.

W jądrze Linuxa w module regmap sdw-mbq występuje podatność na wywołanie niezainicjowanego callbacku readable_reg. Gdy callback nie jest ustawiony, wywołanie go prowadzi do dereferencji wskaźnika NULL, co może spowodować awarię systemu.

W jądrze Linux w modułach L2TP (pppol2tp i l2tp_dfs) występuje wyciek referencji do tuneli i sesji podczas zamykania plików seq_file przed osiągnięciem końca danych. Referencje przechowywane w danych prywatnych nie są zwalniane, co prowadzi do wycieku pamięci.

W sterowniku firewire: ohci jądra Linux wykryto podatność prowadzącą do wyłuskania pustego wskaźnika (NULL pointer dereference) w funkcji ar_context_release(). Problem występuje podczas obsługi błędów w funkcji probe, gdy inicjalizacja kontekstu nie została wykonana, a mechanizm devres wywołuje sprzątanie. Atakujący może wykorzystać tę wadę do wywołania awarii systemu (paniki jądra).

W jądrze Linux w podsystemie DRM/AMD Display, funkcja dce110_set_avmute wywoływała is_tg_enabled bez sprawdzenia, czy jest zaimplementowana w tabeli ops dla starszych generatorów timingów DCE. Powodowało to dereferencję pustego wskaźnika na GPU Southern Islands przy wyłączaniu wyświetlacza przez HDMI.

W jądrze Linux w sterowniku soc: aspeed: lpc-snoop, funkcja snoop_file_read może powodować przepełnienie bufora przy kopiowaniu do użytkownika (usercopy overflow) z powodu braku synchronizacji między producentem (IRQ) a konsumentem (plik). Poprawka dodaje spinlock per kanał do serializacji dostępu do kfifo.

W jądrze Linux w XFS, funkcja xfs_buf_free wywołuje folio_put na wskaźniku NULL, gdy alokacja pamięci zaplecza nie powiedzie się, co prowadzi do awarii jądra. Poprawka pomija wywołanie folio_put, gdy bp->b_addr jest NULL.

W jądrze Linux w systemie plików btrfs wykryto wyciek pamięci w funkcji btrfs_do_encoded_write(). Podczas operacji zapisu kodowanego (ioctl) alokowane są struktury extent_changeset, które nie są zwalniane przed zwróceniem z funkcji, co prowadzi do wycieku pamięci. Problem został znaleziony podczas fuzzingu lokalnego na wersji 6.12.94.

W jądrze Linux w module net/smc w funkcji smc_llc_event_handler() brakuje sprawdzenia, czy qentry jest już oczekujący przed zapisaniem nowego qentry dla CONFIRM_LINK i ADD_LINK_CONT. Złośliwy lub błędny peer może wysłać drugie żądanie, powodując nadpisanie wskaźnika bez zwolnienia poprzedniej alokacji, co prowadzi do wycieku pamięci (kmalloc-96).

W jądrze Linux w funkcji devlink_nl_reload_doit() występuje wyciek referencji do przestrzeni nazw sieci. Gdy żądana przestrzeń nazw różni się od bieżącej i akcja przeładowania nie jest DRIVER_REINIT, funkcja zwraca -EOPNOTSUPP bez zwolnienia referencji uzyskanej przez devlink_netns_get().

W jądrze Linux w funkcji amdxdna_insert_pages() w sterowniku accel/amdxdna występuje podatność na BUG_ON. Funkcja vm_flags_mod() ustawia VM_MIXEDMAP i czyści VM_PFNMAP, co pozwala nieuprzywilejowanemu procesowi na wywołanie madvise(MADV_DONTNEED) na zmapowanym obiekcie GEM, a następnie dostęp do pamięci wyzwala BUG_ON w vmf_insert_pfn_prot() z powodu pfn_valid(pfn) i VM_MIXEDMAP.

W jądrze Linux w AF_XDP stwierdzono, że przestrzeń użytkownika może zmienić flagi metadanych po przetworzeniu żądania. Ponowne odczytanie ich podczas zakończenia może spowodować zapisanie znacznika czasu, który nie był żądany przy wysyłaniu pakietu. Poprawka polega na wyczyszczeniu wskaźnika metadanych podczas przetwarzania żądania, chyba że żądano zakończenia z timestampem.

W jądrze Linux w sterowniku bnge stwierdzono podatność na dereferencję wskaźnika NULL w funkcji zwalniającej urządzenie pomocnicze. Jeśli alokacja auxr_dev nie powiedzie się podczas konfiguracji urządzenia pomocniczego, ścieżka błędu wywołuje auxiliary_device_uninit(), co prowadzi do wywołania bnge_aux_dev_release(), które bezwarunkowo dereferencjonuje aux_priv->auxr_dev->pdev, co powoduje wyjątek NULL pointer.

W jądrze Linux w sterowniku DRM/Xe występuje wyciek pamięci w funkcji exec_queue_set_hang_replay_state(). Pole q->replay_state jest nadpisywane bez sprawdzenia, co może prowadzić do wycieku pamięci wcześniej przydzielonej przez vmemdup_user(). Poprawka polega na zwróceniu błędu, jeśli q->replay_state nie jest puste.

W jądrze Linux w sterowniku sieciowym mlx5e występuje podatność polegająca na nieprawidłowym resecie BQL podczas ponownej aktywacji SQ. Funkcja mlx5e_activate_txqsq() bezwarunkowo wywołuje netdev_tx_reset_queue(), zerując liczniki BQL kanałów, które mają w locie WQE, co prowadzi do BUG_ON w dql_completed().

W jądrze Linux w module net/ncsi wykryto podatność na odczyt poza zakresem sterty (heap OOB read). Funkcja ncsi_send_cmd_nl() nie sprawdza poprawności długości ładunku z nagłówka pakietu, co pozwala atakującemu z CAP_NET_ADMIN na odczyt do 64KB pamięci jądra i wyciek informacji.

W jądrze Linux w sterowniku prestera wykryto brak walidacji długości nagłówka firmware. Funkcja prestera_fw_hdr_parse() odczytuje nagłówek przed sprawdzeniem, czy obraz firmware zawiera ten nagłówek, co może prowadzić do odczytu poza zakresem.

W jądrze Linuxa wykryto podatność w mechanizmie rqspinlock, gdzie w przypadku wykrycia zakleszczenia ABBA nie jest resetowany wskaźnik ogona kolejki oczekujących. Może to prowadzić do sytuacji, w której wątek czeka na następnego oczekującego, który nigdy nie nadejdzie, powodując sporadyczne lub trwałe zawieszenie działania systemu.

W jądrze Linux w sterowniku hwmon ltc4282 występuje podatność polegająca na tym, że ujemne wartości prądu są rzutowane bezpośrednio na typ u64, co prowadzi do dużych wartości dodatnich, a następnie do przepełnienia i losowych wartości po podziale. Wartości te są następnie ograniczane do maksymalnego limitu zamiast do zera.

W jądrze Linux w sterowniku ALSA usb-audio występuje podatność na zapis poza zakresem (OOB write) podczas obsługi przychodzących transmisji USB typu Format Type II. Problem wynika z nieprawidłowego obliczenia rozmiaru bufora transferowego, który jest o jeden pakiet za mały, co prowadzi do zapisu danych poza przydzieloną pamięcią.

W jądrze Linux w sterowniku usb: misc: usbio występuje podatność polegająca na tym, że w funkcji usbio_bulk_msg() sprawdzenie EMSGSIZE porównuje ibuf_len (rozmiar bufora odbiorczego) z txbuf_len (rozmiar punktu końcowego nadawczego), zamiast z rxbuf_len. Gdy te rozmiary się różnią, sprawdzenie jest nieprawidłowe.

W sterowniku cxacru dla urządzeń USB ATM w jądrze Linuxa wykryto podatność polegającą na niepoprawnym zarządzaniu URB (ang. USB Request Block). Podczas błędu w funkcji cxacru_cm() nie jest zabijany aktywny rcv_urb, co może prowadzić do ostrzeżenia w usb_submit_urb() i potencjalnych problemów ze stabilnością systemu.

W jądrze Linux w sterowniku usb: gadget: f_ncm występuje podatność polegająca na tym, że zmienna ndp_index jest zadeklarowana jako typ ze znakiem, ale przechowuje wartość zwracaną przez get_ncm(), która jest bez znaku. Złośliwy host może dostarczyć duży offset, który powoduje przepełnienie ndp_index, czyniąc go ujemnym, co omija sprawdzenia poprawności i prowadzi do odczytu poza zakresem przy obliczaniu adresu bloku NDP.

W jądrze Linux wykryto podatność w sterowniku ipheth dla urządzeń USB iPhone, prowadzącą do użycia po zwolnieniu (UAF) w pracy związanej z wykrywaniem nośnika. Problem występuje, gdy praca carrier_work jest ponownie planowana po zamknięciu interfejsu lub odłączeniu urządzenia, co skutkuje dostępem do zwolnionej pamięci.

W jądrze Linuxa w module IMA funkcja xattr_verify() ma błąd w sprawdzaniu długości sumy kontrolnej, co prowadzi do odczytu poza zakresem bufora dla skróconych atrybutów xattr.

W jądrze Linux w Open vSwitch (openvswitch) podczas aktualizacji przepływu, gdy żądanie z UFID nie znajdzie przepływu i użyje klucza, wstępnie przydzielona odpowiedź może być za mała. Może to prowadzić do błędu -EMSGSIZE i wywołania BUG_ON w ścieżce aktualizacji.

W jądrze Linux w podsystemie bridge MRP funkcja br_mrp_alloc_test_skb() tworzy ramki testowe MRP na skb z dev_alloc_skb(), które nie czyści obszaru danych. W gałęzi ring-role MRA trzy bajty pozostają niezainicjalizowane w każdej ramce MRP_Test.

W jądrze Linux wykryto podatność w mechanizmie futex, dotyczącą wyścigu podczas wychodzenia z procesu z użyciem robust futex. Poprzednia poprawka (ca16d5bee598) była niewystarczająca, co pozwalało na utratę powiadomienia o wybudzeniu, gdy inny wątek przejął futex szybką ścieżką. W rezultacie oczekujące wątki mogły zasnąć na zawsze, mimo że futex był wolny.

W sterowniku 8250_dma w jądrze Linux, funkcja serial8250_release_dma() kończy RX DMA i zwalnia kanał, ale pozostawia ustawioną flagę rx_running. Przy ponownym otwarciu portu, przestarzały stan powoduje przekazanie NULL do dmaengine_pause(), co prowadzi do kernel Oops.

W jądrze Linux w module DAMON_LRU_SORT istnieje podatność na dzielenie przez zero, gdy parametr active_mem_bp jest ustawiony na wartość większą niż 10000. Wartość docelowa dla zimnej pamięci jest obliczana jako '10000 - active_mem_bp + 2', co przy wartości 10002 daje zero, prowadząc do błędu dzielenia. Poprawka zwraca błąd przy próbie uruchomienia DAMON z wartością >10000.

W jądrze Linux wykryto podatność w module przykładowym DAMON_SAMPLE_MTIER, która pozwala użytkownikowi na wywołanie dzielenia przez zero w funkcji damos_quota_score(). Problem występuje, gdy parametr node0_mem_free_bp lub node0_mem_used_bp zostanie ustawiony na zero, co prowadzi do błędu krytycznego (Oops) i awarii systemu.

W jądrze Linux w sterowniku ALSA USB występuje podatność use-after-free (UAF) przy opóźnionym zwalnianiu punktów końcowych MIDI2. Poprzednia poprawka dla UAF w ump_to_endpoint() powoduje kolejny UAF, ponieważ próbuje dereferencjonować obiekt punktu końcowego UMP, który może być już zwolniony w kontekście opóźnionym. Poprawka dodaje private_free do wyczyszczenia powiązanych danych.

W jądrze Linuxa w sterowniku ALSA dla urządzenia us144mkii występuje podatność polegająca na użyciu po zwolnieniu (use-after-free). Podczas ponownego przesyłania pakietów URB w funkcji capture_urb_complete() nie kotwiczono ich ponownie, co powodowało, że po pierwszym zakończeniu przesyłania lista zakotwiczonych URB była pusta. W rezultacie funkcje usuwające, takie jak tascam_free_urbs(), nie mogły poprawnie zatrzymać URB, co prowadziło do zapisu do zwolnionej pamięci i dereferencji zwolnionego obiektu.

W jądrze Linux wykryto wyścig (race condition) między funkcjami event_define_fields() i update_event_fields() podczas jednoczesnego ładowania modułów. Brak ochrony listy pól zdarzeń przez event_mutex w trace_event_update_all() może prowadzić do paniki jądra.