Podatności Linux kernel

W jądrze Linux w podsystemie cfg80211 (Wi-Fi) wykryto błąd podczas defragmentacji elementów multi-link. Nieprawidłowe obliczanie długości pozostałych IE może prowadzić do odczytu poza zakresem bufora.

W sterowniku klawiszy zasilania MTK (mtk-pmic-keys) w jądrze Linux wykryto podatność na dereferencję wskaźnika null. Problem występuje, gdy przycisk nie jest zdefiniowany w drzewie urządzeń (np. pozostawiony niepodłączony), co powoduje, że kod próbuje uzyskać dostęp do niezainicjalizowanego wskaźnika regs.

W jądrze Linux wykryto lukę w kodzie przełączania przestrzeni adresowej pamięci (mm switching) dla architektury x86. W pewnym oknie czasowym między ustawieniem nowego rejestru CR3 a aktualizacją wskaźnika 'loaded_mm' funkcja should_flush_tlb() błędnie pomija wysyłanie unieważnień TLB (TLB flush), co może prowadzić do użycia nieaktualnych translacji stron.

W jądrze Linux wykryto podatność w KVM dla SVM, gdzie przechwycenie SHUTDOWN nie wymusza opuszczenia trybu SMM (System Management Mode) przed wysłaniem INIT. Powoduje to ostrzeżenie WARN i potencjalne problemy z bezpieczeństwem, ponieważ INIT jest blokowany w SMM, co może prowadzić do nieokreślonego zachowania.

W serwerze SMB ksmbd w jądrze Linux wykryto błąd umożliwiający zmianę nazwy pliku na pusty string. Powoduje to awarię jądra (oops) w funkcji d_alloc.

W kliencie SMB jądra Linux występuje wyścig w funkcji open_cached_dir z przerwaniem dzierżawy. Istniejący wpis cfid może być uznany za nieprawidłowy, co prowadzi do wycieku referencji dentry, jeśli alokacja nastąpi przed wykonaniem pracy przerwania dzierżawy.

W serwerze SMB ksmbd w jądrze Linux wykryto błąd use-after-free w funkcji __close_file_table_ids. Możliwe jest zdalne wywołanie tej podatności, gdy jeden wątek niszczy plik, a inny trzyma do niego referencję.

W jądrze Linux w podsystemie xenbus wykryto błąd w zarządzaniu cyklem życia żądań (req). Po wywołaniu wake_up() może nastąpić natychmiastowe przełączenie kontekstu, a inny wątek może zwolnić pamięć żądania (kfree), zanim wątek xenbus_thread zdąży z niej skorzystać, prowadząc do dereferencji wskaźnika null.

W serwerze SMB ksmbd jądra Linux wykryto brak walidacji przesunięcia zapisu w funkcji ksmbd_vfs_stream_write(). Jeśli *pos był większy lub równy długości strumienia, mogło dojść do zapisu poza dozwolony obszar pamięci.

W jądrze Linux wykryto błąd w sterowniku PHY dla interfejsów sieciowych zarządzanych przez phylink. Podczas wznawiania systemu z uśpienia, stan maszyny stanów PHY nie jest poprawnie zatrzymywany, co prowadzi do ostrzeżenia WARN_ON i potencjalnie nieprawidłowego działania. Problem dotyczy sterowników DSA oraz innych sterowników sieciowych używających phylink, które nie ustawiły flagi mac_managed_pm.

W sterowniku Wi-Fi ath12k w jądrze Linuxa wykryto błąd polegający na użyciu nieprawidłowej funkcji do pobierania wpisów z pierścienia docelowego (destination ring) w funkcji ath12k_dp_mon_srng_process. Użyto funkcji przeznaczonej dla pierścieni źródłowych, co prowadzi do nieprawidłowej arytmetyki wskaźników i zarządzania pierścieniem, skutkując potencjalnym uszkodzeniem danych lub awarią systemu.

W sterowniku Wi-Fi ath12k w jądrze Linuxa wykryto podatność polegającą na braku walidacji długości pakietów przed przetwarzaniem w funkcji ath12k_dp_rx_h_undecap_nwifi. Sprzęt może dostarczyć pakiety o długości przekraczającej maksymalny nagłówek natywnego Wi-Fi, co prowadzi do nieprawidłowego dostępu do danych i potencjalnego uszkodzenia pamięci.

W jądrze Linuxa wykryto podatność w weryfikatorze formatów zdarzeń śledzenia (trace events). Weryfikator pomijał formaty zawierające "%*p..", co mogło prowadzić do odwołań do pamięci, która została zwolniona przed odczytaniem zdarzenia, skutkując awarią jądra. Poprawka rozszerza weryfikację o te przypadki.

W jądrze Linux wykryto podatność w mechanizmie PEBS (Precise Event-Based Sampling) dla maszyn wirtualnych KVM. Podczas przełączania kontekstu do gościa KVM, wartość MSR_IA32_PEBS_ENABLE nie była maskowana zgodnie z oczekiwaniami gościa, co mogło prowadzić do nieoczekiwanego włączenia PEBS. Skutkowało to lawiną błędów strony (#PF) i awariami systemu gościa.

W jądrze Linux w systemie plików Btrfs wykryto podatność powodującą uszkodzenie dziennika drzewa (tree log corruption) na maszynach z rozmiarem strony 64k i rozmiarem węzła 16k. Problem wynika z nieprawidłowego obliczania pozycji bitu w bitmapie podstrony podczas zapisywania bloków metadanych, co prowadzi do pomijania zapisu brudnych bloków.

W jądrze Linux w funkcji trace_seq_to_buffer() wykryto podatność na zapis poza zakresem (OOB write). Funkcja może kopiować więcej danych niż rozmiar bufora, co prowadzi do naruszenia pamięci.

W jądrze Linux w sterowniku VXLAN (vxlan) występuje błąd polegający na usuwaniu domyślnego wpisu FDB bez blokady haszowania podczas usuwania VNI w trybie vnifilter. Powoduje to ostrzeżenie lockdep i potencjalne problemy z synchronizacją.

W AF_XDP jądra Linux w ogólnej ścieżce RX wykryto wyścig, gdy wiele gniazd współdzieli ten sam xsk_buff_pool w trybie umem. Przeniesiono blokadę rx_lock z xsk_socket do xsk_buff_pool, aby chronić obie kolejki.

W sterowniku Bluetooth btusb w jądrze Linuxa wykryto podatność prowadzącą do dereferencji wskaźnika NULL w funkcji skb_dequeue() podczas przetwarzania zrzutu awaryjnego firmware QCA. Funkcja handle_dump_pkt_qca() zwracała 0 zamiast wartości ujemnej w przypadku błędu, co powodowało podwójne przetwarzanie pakietu i dereferencję NULL.

W sterowniku mtk-star-emac dla jądra Linux wykryto błąd rekurencji spinlocka podczas przetwarzania pakietów RX/TX w funkcji poll. Problem występuje, gdy ponowne włączenie przerwań DMA w trakcie pollowania powoduje zakleszczenie na tym samym spinlocku.

W harmonogramie sieciowym DRR (Deficit Round Robin) w jądrze Linuxa wykryto podatność polegającą na podwójnym dodaniu klasy do listy aktywnej, gdy kolejka potomna netem powoduje ponowne wywołanie funkcji enqueue rodzica. Prowadzi to do uszkodzenia pamięci. Poprawka dodaje sprawdzenie, czy klasa jest już na liście aktywnej przed dodaniem.

W jądrze Linux w dyscyplinie kolejkowania ETS (net_sched: ets) występuje błąd podwójnego dodania do listy aktywnej klasy, gdy dzieckiem jest netem. Reentrancja w enqueue powoduje, że klasa jest dodawana dwukrotnie do active_list, co prowadzi do uszkodzenia pamięci.

W jądrze Linux w harmonogramie sieciowym QFQ wykryto podwójne dodanie klasy do listy aktywnej, gdy jako dyscyplina potomna używana jest netem. Powoduje to uszkodzenie pamięci.

W sterowniku bnxt_en jądra Linux wykryto podatność polegającą na kopiowaniu poza zakres bufora podczas operacji ethtool -w. Funkcja __bnxt_get_coredump() może skopiować dane DMA o długości przekraczającej rozmiar bufora docelowego, co prowadzi do uszkodzenia pamięci.

W jądrze Linux wykryto wyciek pamięci w sterowniku lan743x. Problem występuje, gdy włączone jest GSO (Generic Segmentation Offload) i liczba fragmentów wynosi zero – wtedy skb jest mapowany do deskryptora EXT zamiast LS, co uniemożliwia jego zwolnienie.

W jądrze Linux wykryto błąd w funkcji unaccount_slab(), która nie czyści wskaźnika slab->obj_exts, gdy profilowanie alokacji pamięci jest wyłączone w czasie wykonania lub z powodu błędu. Prowadzi to do błędnego stanu strony i ostrzeżenia o naliczaniu opłat cgroup.

W jądrze Linux wykryto błąd wyścigu między io_uring_cmd_complete_in_task a ublk_cancel_cmd w sterowniku ublk. Anulowanie polecenia może kolidować z zaplanowanym zadaniem, prowadząc do awarii jądra. Poprawka zapobiega anulowaniu, jeśli żądanie blokowe ublk zostało już uruchomione.

W sterowniku graficznym AMD (amdgpu) w jądrze Linux wykryto podatność use-after-free w kodzie HDCP. Kopiowanie wskaźników do obiektów amdgpu_dm_connector bez zwiększania licznika referencji kref powoduje, że po odłączeniu stacji dokującej USB-C obiekty są zwalniane, a pozostałe wiszące wskaźniki są później używane, co prowadzi do błędu.

W jądrze Linux w sterowniku irqchip/qcom-mpm brakuje sprawdzenia GPIO_NO_WAKE_IRQ, co powoduje crash przy próbie obsługi przerwań dla GPIO nieobsługujących wybudzania. Problem występuje na chipsetach Qualcomm, gdzie nie wszystkie GPIO mają przypisany pin MPM.

W jądrze Linuxa, w ksmbd, występuje błąd use-after-free podczas wylogowywania sesji. Obiekt sess->user może być używany przez inny wątek, na przykład gdy inne połączenie wysyła żądanie konfiguracji sesji, aby związać się z zwalnianą sesją. Łatka rozwiązuje ten problem.

W jądrze Linux w podsystemie ALSA UMP wykryto przepełnienie bufora podczas konwersji komunikatów SysEx z MIDI 1.0 na UMP. Funkcja konwertująca używała zbyt małego bufora (4 bajty) dla formatu SysEx, który może wymagać do 6 bajtów, co prowadzi do przepełnienia i potencjalnego uszkodzenia pamięci.

W jądrze Linux w schedulerze sieciowym HFSC występuje podatność use-after-free, gdy klasa HFSC ma netem jako dziecko qdisc. Sprawdzenie cl->qdisc->q.qlen == 0 nie gwarantuje, że klasa nie została wstawiona do vttree/eltree, co prowadzi do podwójnego wstawienia i UAF.

W sterowniku pds_core jądra Linux brak inicjalizacji zmiennej stosowej fw_list prowadzi do wycieku danych i potencjalnego crasha podczas wykonywania polecenia 'devlink dev info'. Nieobsługiwany wynik polecenia PDS_CORE_CMD_FW_CONTROL powoduje odczyt śmieci ze stosu i dostęp poza tablicę.

W sterowniku pds_core jądra Linux kontekst oczekiwania (wait_context) był przechowywany na stosie w funkcji pdsc_adminq_post(), co powodowało użycie wskaźnika do nieistniejącego obiektu po upływie czasu oczekiwania. Prowadzi to do crasha jądra i niestabilności systemu.

W jądrze Linux w KVM dla architektury x86 stwierdzono podatność polegającą na nieprawidłowym przywracaniu IRTE do kontroli hosta, gdy nowa trasa GSI uniemożliwia bezpośrednie wysyłanie przerwań do vCPU. Może to prowadzić do błędnego dostarczania przerwań do gościa, a w skrajnych przypadkach do use-after-free.

W jądrze Linux w sterowniku USB xHCI wykryto podatność związaną z obsługą zdarzeń niedomiaru/nadmiaru (Ring Underrun/Overrun) dla transmisji izochronicznych. Wskaźnik TRB w tych zdarzeniach może wskazywać na miejsce enqueue w momencie błędu lub być NULL, co przy opóźnionym przetwarzaniu może prowadzić do pominięcia lub błędnego przetworzenia nowego TD, potencjalnie powodując utratę danych lub użycie po zwolnieniu bufora przez kontroler xHC.

W jądrze Linuxa wykryto błąd powodujący crash systemu podczas inicjalizacji podsystemu netfs, gdy opcja CONFIG_PROC_FS jest wyłączona. Problem wynika z próby utworzenia katalogu /proc/fs/netfs bez sprawdzenia, czy system plików proc jest dostępny, co prowadzi do paniki jądra.

W jądrze Linuxa wykryto podatność w systemie plików NFSD, która może prowadzić do zakleszczenia (deadlock) podczas obsługi delegacji. Problem występuje, gdy operacja kolejkowania dl_recall kończy się niepowodzeniem, a następnie wywoływana jest funkcja nfs4_put_stid, co może skutkować próbą przejęcia tego samego zamka (cl_lock) przez dwa wątki.

W jądrze Linux w sterowniku DRM dla układów Xe (xe_migrate_clear) wykryto podatność polegającą na użyciu potencjalnie niestabilnego wskaźnika fence (m->fence) w ścieżce błędu zamiast lokalnie wygenerowanego fence. Może to prowadzić do użycia po zwolnieniu (UAF), ponieważ m->fence jest stabilny tylko pod mutexem zadania.

W jądrze Linux w sterowniku SCSI mpi3mr stwierdzono podatność na dostęp do nieprzydzielonej pamięci podczas przetwarzania kolejek odpowiedzi przez wątek zarządzania zadaniami (TM) i wątek resetowania. Resetowanie ustawiało nieprawidłowy identyfikator kolejki (0xFFFF), co prowadziło do awarii. Dodano flagę synchronizującą dostęp.

W systemie plików Btrfs jądra Linux operacje list_del_init() na liście bg_list bloków grup mogą wyścigać się z funkcjami btrfs_mark_bg_unused() lub btrfs_mark_bg_to_reclaim(), prowadząc do podwójnego zwolnienia referencji i ostrzeżenia jądra.

W sterowniku amdkfd w jądrze Linux występuje błąd use-after-free podczas resetowania GPU w trybie mode1. Po przerwaniu procesów przez KFD, kolejki użytkownika mogą nadal zapisywać do zwolnionej pamięci systemowej, co prowadzi do uszkodzenia struktur danych i awarii sterownika.

W KVM dla architektury ARM64, jeśli utworzenie vCPU nie powiedzie się, dane vGIC vCPU nie są czyszczone. Prowadzi to do wycieku pamięci oraz potencjalnego use-after-free podczas obsługi urządzenia redystrybutora.

W jądrze Linux w mechanizmie śledzenia fprobe (tracing: fprobe events) wykryto podatność umożliwiającą użycie po zwolnieniu (UAF) modułu. Poprzednia poprawka przeniosła wywołanie try_module_get() poza blokadę, co pozwala na wyładowanie modułu przed inkrementacją licznika referencji, prowadząc do dostępu do zwolnionego obiektu.

W jądrze Linux dla architektury RISC-V, w implementacji uprobes brakuje instrukcji fence.i po zbudowaniu bufora XOL. Może to prowadzić do wykonania nieprawidłowych instrukcji z powodu braku odświeżenia pamięci podręcznej instrukcji.

W sterowniku xen-netfront w jądrze Linux wykryto błąd polegający na braku sprawdzenia wartości NULL zwracanej przez xdp_convert_buff_to_frame(). Może to prowadzić do dereferencji pustego wskaźnika oraz wycieku pamięci.

W jądrze Linux stwierdzono podatność w sterowniku TTY związaną z operacją TIOCL_SELMOUSEREPORT. Poprzednia łatka (commit 2f83e38a095f) niekonsekwentnie złagodziła wymagania dotyczące uprawnień, co może pozwolić atakującemu na symulowanie ruchów myszy i potencjalne wstrzykiwanie danych wejściowych do aplikacji działających w terminalu. Problem został rozwiązany przez przywrócenie wymogu posiadania uprawnienia CAP_SYS_ADMIN dla wszystkich zastosowań TIOCL_SELMOUSEREPORT.

W jądrze Linux w sterowniku USB xHCI występuje błąd dereferencji nieprawidłowego wskaźnika w kodzie workaround dla kontrolerów Etron. Sprawdzenie enqueue + 1 może wskazywać poza segment, co prowadzi do crasha lub uszkodzenia danych.

W jądrze Linuxa w module ksmbd (SMB serwer) wykryto ostrzeżenie o wywoływaniu operacji blokujących w stanie nie-TASK_RUNNING. Funkcja ksmbd_durable_scavenger_alive() próbuje przejąć mutex będąc w stanie uśpienia, co jest nieprawidłowe. Mutex nie jest tam potrzebny.

W sterowniku SPI dla i.MX (spi-imx) brakuje sprawdzenia wartości zwracanej przez funkcję spi_imx_setupxfer(). Może to prowadzić do wywołania wskaźnika NULL i awarii systemu.