Podatności Linux kernel

W jądrze Linux wykryto podatność w KVM dla architektury x86, polegającą na opóźnionym przetwarzaniu EOI (End of Interrupt) kontrolera I/O APIC. Jeśli opóźnione zadanie EOI zostanie przetworzone po zniszczeniu vCPU, dochodzi do użycia po zwolnieniu (UAF), co może prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W sterowniku igbvf występuje wyciek pamięci podczas czyszczenia błędów DMA w TX. Z powodu błędu off-by-one, jeśli część mapowań się powiedzie, a potem wystąpi błąd, jedno mapowanie DMA (głowa) nie jest cofane, co prowadzi do wycieku.

W jądrze Linux w module sieciowym SMC wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free) podczas kończenia działania grupy linków. Problem wynika z braku zabezpieczenia gniazda przed równoczesnym zamknięciem, co może doprowadzić do naruszenia integralności pamięci.

W jądrze Linux w module mostka sieciowego (bridge) występuje błąd w funkcji br_multicast_leave_group(), który po usunięciu grupy portów może prowadzić do użycia zwolnionej pamięci (use-after-free) podczas szybkiego opuszczania grupy multicastowej.

W jądrze Linux w sterowniku UML vector występuje błąd use-after-free w funkcji vector_mmsg_rx(), gdy pakiet z nieprawidłowym nagłówkiem jest odrzucany. Zwolniony skb pozostaje w buforze, co prowadzi do podwójnego zwolnienia i potencjalnego wykorzystania podatności.

W jądrze Linux w interfejsie veth występuje podatność polegająca na nieprawidłowym przetwarzaniu pakietów frag_list przed uruchomieniem XDP. Pakiety frag_list mogą mieć ustawione data_len, ale puste frags[], co prowadzi do przekazania fałszywych metadanych do XDP i awarii w trybie kopiowania AF_XDP.

W jądrze Linux w module vxlan funkcja route_shortcircuit() odczytuje adres MAC sąsiada (n->ha) bez zabezpieczenia seqlock, co może prowadzić do niekompletnych lub częściowo zaktualizowanych odczytów.

W jądrze Linux w module vxlan funkcje vxlan_xmit(), arp_reduce() i vxlan_mdb_entry_skb_get() używają pskb_may_pull() zamiast pskb_network_may_pull(), co nie uwzględnia offsetu nagłówka MAC i może pozostawić część nagłówka sieciowego w nieciągłych fragmentach.

W jądrze Linux w module vxlan funkcja route_shortcircuit() używa pskb_may_pull() zamiast pskb_network_may_pull(), co nie uwzględnia offsetu nagłówka MAC i może prowadzić do odczytu poza liniowym buforem przy dostępie do pól nagłówka IP.

W jądrze Linux w podsystemie iommu/vt-d podczas usuwania wpisu kontekstu w trybie skalowalnym bit Present nie jest najpierw wyczyszczony, co stwarza okno, w którym sprzęt może pobrać uszkodzony wpis, prowadząc do nieprzewidywalnego zachowania lub fałszywych błędów. Problem dotyczy funkcji device_pasid_table_teardown(), która nie została dostosowana do wcześniejszej poprawki.

W jądrze Linux w podsystemie rxrpc brak synchronizacji między funkcją rxrpc_kernel_charge_accept a zamykaniem gniazda może prowadzić do użycia zwolnionej pamięci. Równoczesne wywołanie rxrpc_discard_prealloc może zwolnić strukturę rxrpc_backlog, podczas gdy pracownik prealokacji nadal jej używa.

W jądrze Linux w podsystemie rxrpc podczas odczytu wiadomości OOB z flagą MSG_PEEK wiadomość jest przenoszona na kolejkę pending_oobq, mimo że nie powinna być usuwana z kolejki. Prowadzi to do podwójnego zwolnienia pamięci i użycia po zwolnieniu, co może powodować uszkodzenie pamięci.

W jądrze Linux w podsystemie rxrpc funkcja rxgk_issue_challenge() zwalnia stronę zawierającą treść wyzwania po wywołaniu tracepointu, ale wskaźnik whdr przekazany do tracepointu wskazuje na tę stronę, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w podsystemie rxrpc naprawiono podwójne odblokowanie (double unlock) w funkcji rxrpc_recvmsg() podczas obsługi komunikatów OOB (out-of-band).

W jądrze Linuxa w podsystemie AFS naprawiono problem z zamykaniem przestrzeni nazw sieciowych (netns), aby anulować ładowanie wstępnie przydzielonych zasobów. Funkcja afs_charge_preallocation() pomija ładowanie, gdy net->live jest fałszywe, a afs_rx_new_call() unika ponownego kolejkowania.

W jądrze Linux w funkcji vxlan_gro_prepare_receive() istnieje ryzyko odwołania do wskaźnika NULL, gdy sk_user_data zostanie ustawione na NULL podczas działania funkcji. Może to prowadzić do awarii systemu.

W jądrze Linux w module DLM występuje problem z kolejnością dodawania wiadomości do kolejki send_queue, co może prowadzić do błędów refcounting i użycia po zwolnieniu. Atakujący może wykorzystać tę podatność do awarii systemu.

W jądrze Linuxa funkcja addrconf_dad_failure() w IPv6 mogła nadpisać stan DEAD na ERRDAD, co prowadziło do użycia po zwolnieniu (use-after-free) i awarii systemu. Poprawka polega na sprawdzeniu stanu przed przejściem do ERRDAD i wykonaniu operacji w jednej sekcji krytycznej.

W jądrze Linuxa w sterowniku RDMA/srpt funkcja sprawdzająca długość danych natychmiastowych nie sprawdzała przepełnienia liczby całkowitej, co pozwalało złośliwemu inicjatorowi na obejście kontroli granic i przekazanie ~4GB długości do sg_init_one(). Poprawka używa check_add_overflow().

W jądrze Linux wykryto podatność w sterowniku nvme-multipath. Struktura nvme_ns_head zawiera elastyczną tablicę current_path[], która jest indeksowana numerem węzła NUMA. Alokacja pamięci używała liczby możliwych węzłów (num_possible_nodes), co na systemach z rzadkimi identyfikatorami NUMA (np. POWER9) prowadzi do odczytu/zapisu poza zakresem pamięci (slab-out-of-bounds).

W jądrze Linux w sterowniku md/raid10 naprawiono problem z resetowaniem read_slot podczas ponownego użycia r10bio dla operacji discard. Jeśli r10bio był wcześniej używany do odczytu, read_slot mógł być nieujemny, co powodowało pominięcie zwolnienia repl_bio.

W jądrze Linux naprawiono podatność w sterowniku NVMe, dotyczącą nieprawidłowego sprawdzania granic dla indeksu fdpcidx w mechanizmie FDP (Flexible Data Placement). Błąd polegał na użyciu operatora > zamiast >=, co pozwalało na akceptację nieprawidłowego indeksu równego NUMFDPC + 1.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji szybkich dowiązań symbolicznych (fast symlink) podczas odczytu i-węzła. Uszkodzony i-węzeł z dowiązaniem o zerowej liczbie klastrów może prowadzić do odczytu poza buforem bloku i-węzła, co skutkuje błędem użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux naprawiono podatność w sterowniku RDMA/siw, która powodowała użycie po zwolnieniu (UAF) podczas rozłączania gniazda od punktu końcowego. Problem występował podczas przetwarzania nieprawidłowego żądania MPA, co mogło prowadzić do zamknięcia nowego punktu końcowego i dostępu do zwolnionej pamięci.

W jądrze Linux w usłudze lockd funkcja nlm4svc_lookup_file() używa niezainicjalizowanych bajtów w funkcji file_hash(), gdy długość uchwytu pliku jest mniejsza niż LOCKD_FH_HASH_SIZE. To powoduje, że ten sam uchwyt może być hashowany do różnych zasobników, co prowadzi do niepowodzenia wyszukiwania. Poprawka zeruje tylko końcowe bajty, które są używane przez file_hash().

W jądrze Linuxa wykryto podatność w vhost-net, gdzie zerocopy ubufs mogą być finalizowane wielokrotnie. Klonowanie skb przez stos sieciowy (np. batman-adv) zwiększa licznik referencji ubuf_info, ale vhost_zerocopy_complete() traktuje każde wywołanie zwrotne jako zakończenie deskryptora, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux w sterowniku vdpa/octeon_ep w procedurze obsługi przerwań (interrupt handler) indeks IRQ jest wyszukiwany w tablicy oct_hw->irqs zamiast zakładać, że jest to irq - irqs[0]. Poprawka obsługuje nieciągłe numery IRQ i zapobiega błędnemu indeksowaniu pierścieni.

W jądrze Linux w protokole SCTP funkcje sctp_verify_asconf() i sctp_verify_param() nie sprawdzają, czy długość zagnieżdżonego parametru adresu mieści się w granicach parametru zewnętrznego. Może to prowadzić do odczytów poza zakresem podczas przetwarzania złośliwych pakietów INIT lub ASCONF.

W jądrze Linuxa w sterowniku kryptograficznym Marvell OcteonTX, podczas czyszczenia buforów DMA w ścieżce błędów używano niewłaściwego indeksu pętli. Powodowało to wyciek poprawnie zamapowanych wpisów i wielokrotne odmapowywanie tego samego wpisu.

W jądrze Linuxa w sterowniku kryptograficznym Cavium CPT, podczas czyszczenia buforów DMA w ścieżce błędów używano niewłaściwego indeksu pętli. Powodowało to wyciek poprawnie zamapowanych wpisów i wielokrotne odmapowywanie tego samego wpisu.

W jądrze Linuxa wykryto podatność w sterowniku bnxt, powodującą niedomiar (underflow) przy budowaniu nagłówka skb podczas operacji XDP head-grow. Błąd prowadzi do uszkodzenia licznika referencji stron, co może skutkować przedwczesnym zwolnieniem i podwójnym zwolnieniem pamięci.

W jądrze Linux w podsystemie TCP wyczyszczono flagi cb sock_ops przed wymuszonym zamknięciem gniazda potomnego. Gniazdo potomne dziedziczy flagi bpf_sock_ops_cb_flags od nasłuchującego, a jeśli jego konfiguracja nie powiedzie się, może zostać zamknięte bez trzymania blokady, co prowadzi do ostrzeżenia w tcp_set_state(). Poprawka czyści te flagi w wspólnym punkcie zamykania, aby uniknąć wywołań callbacków BPF na nieustalonym gnieździe.

W jądrze Linuxa w module net/sched/sch_codel występuje podatność polegająca na wywołaniu funkcji qdisc_tree_reduce_backlog podczas operacji peek przed przywróceniem licznika qlen. Może to doprowadzić do błędnej dezaktywacji klasy nadrzędnej, co skutkuje awarią systemu (np. dzikim dostępem do pamięci) w przypadku użycia dyscypliny qfq z codel jako dzieckiem.

W jądrze Linuxa w funkcji tipc_l2_send_msg() występuje podatność use-after-free (UAF). Problem wynika z wywołania synchronize_net() w tipc_disable_l2_media() podczas gdy wskaźnik media_ptr jest nadal ważny, co pozwala równoległym czytelnikom RCU uzyskać wskaźnik do urządzenia po zakończeniu synchronizacji, a następnie urządzenie może zostać zwolnione, gdy jest nadal używane.

W jądrze Linux w sterowniku RDMA/bnxt_re funkcja bnxt_qplib_alloc_dpi zwraca sukces nawet gdy wywołanie ioremap zawiedzie. Dodano prawidłowe wycofanie zmian (rollback) w przypadku błędu ioremap oraz zwracanie statusu -ENOMEM.

W jądrze Linux w sterowniku RDMA/bnxt_re aplikacje mogą żądać wielu stron WC dla tego samego ucontext, ale obecnie obsługiwana jest tylko jedna strona WC na ucontext. Dodano blokadę zapobiegającą równoczesnemu dostępowi oraz sprawdzenie odrzucające powtarzające się żądania. Dodatkowo, jeśli wstawienie wpisu mmap dla WC zawiedzie, zwalniany jest indeks strony Doorbell zmapowany dla strony WC.

W jądrze Linux w sterowniku RDMA/irdma zastąpiono kolejkę oczekiwania (waitqueue) i flagę request_done mechanizmem completion. Poprzednie użycie flagi bez odpowiednich barier pamięciowych mogło prowadzić do problemów ze współbieżnością. Zastosowanie completion rozwiązuje ten problem w sposób przeznaczony do tego celu.

W jądrze Linux w funkcji enqueue_to_backlog() występuje wyścig (TOCTOU) związany z bezblokowym sprawdzaniem netif_running(). Przeniesiono to sprawdzenie wewnątrz blokady kolejki, co serializuje je z operacją opróżniania kolejki i zapobiega użyciu po zwolnieniu (UAF) zgłoszonemu przez syzbot.

W jądrze Linuxa wykryto wyścig (race condition) w sterowniku 9p/RDMA (trans_rdma.c) dotyczący pola rdma->state. Pole to jest modyfikowane bez blokady req_lock w funkcjach recv_done() i p9_cm_event_handler(), podczas gdy rdma_request() używa tej blokady. Może to prowadzić do utraty przejść stanu, uszkodzenia maszyny stanów połączenia i użycia-po-zwolnieniu (use-after-free) obiektów żądań RDMA podczas zamykania.

W jądrze Linuxa w systemie plików NTFS3 występuje problem z obsługą błędów podczas zmiany nazwy pliku. Zamiast wywoływać _ntfs_bad_inode() w przypadku niepowodzenia zmiany nazwy, sterownik używa WARN_ON, co nie zapobiega dalszym operacjom na niespójnym i-węźle. Poprawka zastępuje WARN_ON wywołaniem _ntfs_bad_inode(), aby zapobiec dalszym operacjom na uszkodzonym i-węźle.

W jądrze Linuxa w podsystemie xprtrdma odkryto podatność związaną z nieprawidłowym zarządzaniem cyklem życia żądań RPC. Problem polegał na tym, że pojedynczy licznik referencji (rl_kref) obsługiwał dwa różne cykle życia, co mogło prowadzić do zwolnienia bufora wysyłki, podczas gdy kontroler DMA (HCA) nadal z niego czytał. Poprawka rozdziela te cykle, dodając osobne referencje dla warstwy RPC i strony wysyłającej, oraz zapewnia, że żądanie wraca do puli dopiero po zakończeniu obu właścicieli.

W jądrze Linuxa wykryto podatność w podsystemie NFS dotyczącą ochrony listy blokad plików. Problem polega na niewłaściwym użyciu blokady flc_lock podczas iteracji po liście blokad, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na zastosowaniu nfsi->rwsem do ochrony tych operacji oraz przeniesieniu wywołania locks_lock_inode_wait w celu uniknięcia zakleszczeń.

W jądrze Linux w module xprtrdma wykryto podatność powodującą wyciek bufora odbiorczego i wyczerpanie kolejki Receive. Błędna dekodacja krótkich lub uszkodzonych odpowiedzi może prowadzić do błędnej klasyfikacji ramki jako wywołania zwrotnego (backchannel), co skutkuje utratą bufora i brakiem ponownego opublikowania slotu odbiorczego.

W jądrze Linux w podsystemie xfrm występuje podatność use-after-free podczas asynchronicznego wznawiania przetwarzania. Funkcja xfrm_rcv_cb może zmienić skb->dev na urządzenie tunelowe bez przejęcia referencji, a późniejsze wznawianie zmniejsza licznik referencji urządzenia tunelowego, co prowadzi do użycia po zwolnieniu i wycieku referencji.

W jądrze Linux w module xfrm występuje wyścig podczas wstawiania stanu do cache. Walidacja stanu odbywa się przed uzyskaniem globalnego zamka xfrm_state_lock, co pozwala na wstawienie martwego stanu do cache.

W jądrze Linux w module netfilter flowtable występuje podatność związana z obsługą tuneli IP6IP6. Funkcja nf_flow_ip6_tunnel_proto() używa skb_header_pointer() zamiast pskb_may_pull(), co może prowadzić do nieprawidłowego przetwarzania pakietów. Ponadto uproszczono obsługę nagłówków rozszerzeń, co może wpływać na poprawność działania.

W jądrze Linux w module netfilter/ipset w typach hash używano test_bit() w bezzamkowych czytelnikach RCU, co jest operacją atomową bez gwarancji barier pamięci. Zastąpiono ją test_bit_acquire() tam, gdzie operacja może działać równolegle z add/del/gc.

W jądrze Linux w ipv6: ioam występuje problem typu confusion dst_entry. IOAM używa fikcyjnego dst_entry (null_dst) do oznaczenia, że miejsce docelowe nie powinno być zmieniane, ale to dst jest przechowywane w stanie IOAM lwt i może być przekazane do dst_cache_set_ip6(), co prowadzi do nieprawidłowego rzutowania i potencjalnego nieprawidłowego dostępu do pamięci.

W jądrze Linuxa w module ksmbd (serwer SMB) wykryto podatność use-after-free w strukturze conn->preauth_info podczas równoczesnych żądań SMB2 NEGOTIATE. Jeden wątek może zwolnić pamięć, podczas gdy inny wątek w ścieżce wysyłania odpowiedzi nadal jej używa, co prowadzi do odczytu po zwolnieniu (potwierdzone przez KASAN).

W jądrze Linuxa w IPv4 FIB, gdy CONFIG_IP_MULTIPLE_TABLES jest włączone, ale nie dodano żadnej reguły, funkcja fib_lookup() wykonuje wyszukiwanie trasy bezpośrednio w dwóch tabelach. Ponieważ pierwsze wyszukiwanie nie kończy się poprawnie, wynik trasy błędu w połączonej tabeli local/main może zostać nadpisany przez inną trasę w tabeli domyślnej. Poprawka naprawia tę niespójność, aby trasa błędu była respektowana.