Podatności Linux kernel

W jądrze Linux usunięto uszkodzoną funkcję automatycznego wiązania gniazd AX25. Powodowała ona wycieki pamięci i liczników referencji, co prowadziło do awarii systemu. Zamiast naprawiać, usunięto tę funkcję, a wywołanie connect() bez uprzedniego bindowania zwraca teraz błąd -EINVAL.

W jądrze Linux w sterowniku bnxt_en pole bd_cnt w TX BD jest nieprawidłowo maskowane, co może prowadzić do uszkodzenia TX BD i timeoutu transmisji. Dodano makro do prawidłowego maskowania pola bd_cnt.

W sterowniku DSA dla układu SJA1105 w jądrze Linux wykryto podatność polegającą na odczycie poza zakresem pamięci (out-of-bounds) podczas usuwania wpisu z tablicy. Problem występuje w funkcji sja1105_table_delete_entry() i może prowadzić do dostępu do nieprawidłowych danych.

W jądrze Linux w sterowniku ibmvnic naprawiono problem z drukowaniem hex dumpów, gdzie bufor był rzutowany na 8-bajtową liczbę i drukowany za pomocą formaterów string. Jeśli rozmiar bufora nie był wielokrotnością 8, możliwe było odczytanie poza buforem (read buffer overflow). Poprawka polega na użyciu funkcji hex_dump_to_buffer.

W sterowniku Bluetooth btnxpuart w jądrze Linux wykryto błąd powodujący panikę jądra podczas zwalniania firmware'u. Problem występuje w scenariuszu, gdy jednocześnie pobierane są firmware WLAN i BT, a z powodu błędu sprzętowego chip wysyła tylko jeden podpis bootloadera. Po 60-sekundowym czasie oczekiwania na kolejny podpis, wywołanie release_firmware prowadzi do paniki jądra.

W jądrze Linuxa w sterowniku graficznym panthor (DRM) wykryto wyścig podczas zbierania próbek fdinfo dla grup. Brak ochrony dostępu do grup za pomocą blokady xarray może prowadzić do use-after-free.

W jądrze Linuxa w sterowniku PCI dla kontrolera Broadcom STB (brcmstb) wykryto podatność polegającą na braku wyzerowania licznika regulatorów po błędzie funkcji regulator_bulk_get(). Jeśli nie zostanie to zrobione, a łącze PCIe nie nawiąże połączenia, wywołanie regulator_bulk_free() doprowadzi do paniki jądra.

W jądrze Linux w module powerpc/perf brakuje przypisania własności modułu do PMU 'vpa_pmu'. Umożliwia to wyładowanie modułu podczas aktywnych zdarzeń perf, prowadząc do dereferencji pustego wskaźnika i paniki jądra.

W jądrze Linux w mechanizmie PAT (Page Attribute Table) dla architektury x86 wykryto błąd w obsłudze flagi VM_PAT podczas nieudanego wywołania fork(). Gdy funkcja track_pfn_copy() zawiedzie, flaga VM_PAT pozostaje ustawiona dla docelowego VMA, co prowadzi do próby odczytu informacji PAT z nieskopiowanych tablic stron i wywołuje ostrzeżenie (WARNING) oraz potencjalną awarię systemu.

W jądrze Linux w podsystemie RDMA/core wykryto podatność, która powodowała wyciek liczników sprzętowych (hw_counters) do nieinicjalnych przestrzeni nazw sieciowych. Próba odczytu tych liczników w takiej przestrzeni prowadziła do dereferencji wskaźnika NULL i paniki jądra.

W jądrze Linux w mechanizmie BPF występuje błąd przekroczenia zakresu tablicy interpreters[] spowodowany przez instrukcję may_goto, która używa dodatkowych 8 bajtów na stosie. Przy przeliczaniu indeksu na podstawie rozmiaru stosu dochodzi do odczytu poza tablicą.

W sterowniku MLX5 dla jądra Linux wykryto błąd w funkcji mlx5_poll_one() polegający na nieprawidłowym porównywaniu numeru QP z CQE z numerem QP w strukturze mlx5_ib_qp zamiast z mlx5_core_qp. Prowadzi to do użycia niewłaściwego QP przy obsłudze CQE, co może skutkować dereferencją wskaźnika NULL i awarią systemu.

W jądrze Linuxa w podsystemie vhost-scsi wykryto wiele błędów związanych z wielokrotnym wywołaniem funkcji vhost_scsi_set_endpoint bez pośredniego wywołania vhost_scsi_clear_endpoint. Błędy te mogą prowadzić do użycia po zwolnieniu (use-after-free), zakleszczenia przy usuwaniu katalogów TPG oraz wycieku TPG, co uniemożliwia ich usunięcie.

W systemie plików NTFS3 w jądrze Linux na 32-bitowych systemach występuje przepełnienie liczb całkowitych przy dodawaniu 'off + sizeof(struct NTFS_DE)'. Może to prowadzić do nieprawidłowego działania.

W systemie plików NTFS3 w jądrze Linux funkcja hdr_first_de() nie sprawdza poprawnie wartości 'de_off' i 'used' pochodzących z dysku. Na 32-bitowych systemach może to prowadzić do przepełnienia liczb całkowitych, omijając zabezpieczenia.

W systemie plików OCFS2 w jądrze Linux pole l_tree_depth (16-bitowe) nie jest walidowane przed użyciem, co może prowadzić do odczytu poza zakresem, jeśli ma nieprawidłową wartość (np. z uszkodzonego dysku). Maksymalna głębokość jest ograniczona do OCFS2_MAX_PATH_DEPTH.

W ksmbd (serwer SMB w jądrze Linux) licznik r_count jest zwiększany tylko podczas oczekiwania na oplock break, ale zmniejszany w innych miejscach, co prowadzi do niezgodności. Może to spowodować, że r_count stanie się ujemny, uniemożliwiając zakończenie wątku ksmbd.

W jądrze Linux w spufs (Cell Broadband Engine) występują błędy w zarządzaniu czasem życia katalogów gang. Poprzednia łatka nieprawidłowo usuwała pinowanie dentry, prowadząc do niezbalansowanych dput() i wycieków licznika linków.

W jądrze Linux w protokole SCTP wykryto podatność polegającą na braku wzajemnego wykluczania w funkcji proc_sctp_do_udp_port(). Równoczesne wywołania sctp_udp_sock_stop() i sctp_udp_sock_start() mogą prowadzić do wyścigu, skutkującego dereferencją wskaźnika NULL i awarią systemu, jak zgłoszono przez syzbot.

W sterowniku sieciowym Airoha dla jądra Linux wykryto błąd w funkcji airoha_tc_get_htb_get_leaf_queue(), który powoduje nieprawidłowe raportowanie identyfikatora kolejki (qid). Problem prowadzi do ostrzeżenia jądra i potencjalnego błędu podczas usuwania odciążonych kolejek HTB lub głównego dyscypliny qdisc HTB.

W jądrze Linux w sterowniku mvpp2 wykryto podatność na uszkodzenie pamięci TCAM parsera. Brak synchronizacji przy równoczesnym dostępie do rejestrów indeksujących TCAM i SRAM może prowadzić do zapisu do niewłaściwych wierszy, a także do błędów TOCTOU przy alokacji wierszy. Problem został zaobserwowany podczas równoległego wywoływania funkcji mvpp2_set_rx_mode() na dwóch rdzeniach, co skutkowało uszkodzeniem wpisu MVPP2_PE_MAC_UC_PROMISCUOUS i odrzucaniem całego ruchu unicast.

W jądrze Linux wykryto podatność w implementacji protokołu UDP, polegającą na wielokrotnym przepełnieniu licznika sk->sk_rmem_alloc. Poprzez ustawienie dużej wartości sk->sk_rcvbuf (np. INT_MAX) i wysłanie dużej liczby pakietów, atakujący może doprowadzić do przepełnienia licznika, co pozwala na przechowywanie nadmiernej ilości danych w gnieździe.

W jądrze Linux w funkcji dst_release nie są poprawnie dekrementowane liczniki buforowanych wpisów dst (gdy CONFIG_DST_CACHE jest włączone). Może to prowadzić do dostępu do już zwolnionej pamięci podczas niszczenia przestrzeni nazw sieciowych, powodując panikę jądra.

W jądrze Linux w module netfilter nft_tunnel wykryto podatność polegającą na błędnym dodawaniu wskaźników podczas przetwarzania atrybutów GENEVE. Błąd typu confusion w konwersji typów przed dodawaniem wskaźników prowadzi do zapisu poza stertą (heap out-of-bounds write).

W jądrze Linux wykryto podatność na przepełnienie liczby całkowitej w strukturze geneve_opt. Atakujący może wykorzystać 128-bajtową opcję, aby sfałszować zerową długość i wywołać odczyt poza dozwolonym obszarem sterty (heap out-of-bounds read).

W jądrze Linux dla architektury LoongArch stała ARCH_DMA_MINALIGN ma domyślnie wartość 1, ale niektóre urządzenia (np. APBDMA) wymagają 16-bajtowego wyrównania. Małe bufory DMA mogą powodować błędy zapisu cacheline przez sprzęt.

W jądrze Linux w architekturze LoongArch w podsystemie BPF występuje błąd polegający na nadpisywaniu wartości zwracanej przez podprogram (subprog). Podczas wywołań bpf2bpf wartość zwracana jest nieprawidłowo przenoszona z rejestru a0 do a5, co może prowadzić do paniki jądra.

W jądrze Linux w podsystemie x86/microcode/AMD występuje błąd w funkcji __apply_microcode_amd(). Gdy funkcja verify_sha256_digest() zawiedzie, funkcja zwraca -1 zamiast false, co jest interpretowane jako sukces.

W jądrze Linux w architekturze x86 funkcja flush_tlb_range() może być używana do usuwania wpisów PMD (wskaźników do tablic stron) wraz z odpowiadającymi im wpisami PTE. Obecna implementacja nie uwzględnia tego przypadku, co może prowadzić do nieprawidłowego unieważnienia TLB, szczególnie w kontekście leniwych procesorów TLB.

W jądrze Linux w sterowniku ACPI NFIT funkcja acpi_nfit_ctl() nieprawidłowo konwertuje wartość call_pkg->nd_family z typu u64 na int przed sprawdzeniem zakresu. Może to prowadzić do pominięcia walidacji, gdy górne 32 bity są niezerowe, a dolne 32 bity są zerowe, co skutkuje przekazaniem nieprawidłowego argumentu.

W jądrze Linux w podsystemie ksmbd (SMB serwer) brakuje sprawdzenia zakresu dla kontekstu trwałego uchwytu (durable handle context).

W jądrze Linux w podsystemie ksmbd (SMB serwer) brakuje sprawdzenia zakresu dla kontekstu tworzenia dzierżawy (create lease context).

W jądrze Linux w systemie plików ksmbd stwierdzono podatność na przepełnienie w sprawdzaniu zakresu pola dacloffset. Pole to było typowane jako int i używane w niesprawdzanym dodawaniu, co mogło prowadzić do przepełnienia i ominięcia istniejących kontroli granic. Skutkowało to dostępem do pamięci poza dozwolonym zakresem i awarią jądra podczas dereferencji wskaźnika DACL.

W jądrze Linux w systemie plików ksmbd stwierdzono podatność na odczyt poza dozwolonym zakresem przy dostępie do sub_auth, gdy liczba subauth (num_subauth) wynosi zero. Brak walidacji przed odczytem psid->sub_auth[psid->num_subauth - 1] prowadzi do odczytu poza zakresem.

W systemie plików exfat w jądrze Linux wykryto błąd prowadzący do losowego uszkodzenia stosu. Podczas wywołania get_block z buforem alokowanym na stosie (np. w do_mpage_readpage) może dojść do użycia po zwolnieniu (UAF) bufora w sytuacji wyścigu, co powoduje korupcję stosu.

W jądrze Linux stwierdzono podatność w mechanizmie device-exclusive entries dla stron HugeTLB i THP. Błąd powoduje, że strony oznaczone jako wyłączne dla urządzenia nie mogą być poprawnie migrowane, swapowane ani dzielone, co prowadzi do blokowania pamięci i niepowodzeń migracji.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy funkcji nfsd_proc_stat_init(), ignorującej kod zwracany przez svc_proc_register(). W przypadku niepowodzenia przy tworzeniu pliku proc, jądro generuje ostrzeżenie przy próbie usunięcia wpisu.

W jądrze Linux w serwerze NFS (nfsd) wykryto wyciek pamięci obiektów nfs4_stid. Problem występuje, gdy funkcja nfsd4_run_cb nie zdoła zakolejkować zadania dl_recall do kolejki callback_wq, a wcześniej zwiększono licznik odwołań dl_stid. W przypadku niepowodzenia licznik nie jest zmniejszany, co prowadzi do trwałego wycieku pamięci.

W jądrze Linux dodano sprawdzenie trybu tylko do odczytu przed wywołaniem txBeginAnon w funkcjach extAlloc i extRecord w systemie plików JFS. Zapobiega to próbom modyfikacji na zamontowanym systemie plików tylko do odczytu, unikając potencjalnych błędów lub awarii.

W jądrze Linux w systemie plików JFS dodano sprawdzenie trybu tylko do odczytu przed wykonaniem skracania pliku w funkcji jfs_truncate_nolock. Ma to na celu uniknięcie błędów związanych z zapisem na systemie plików tylko do odczytu.

W jądrze Linuxa w podsystemie PCI/ASPM wykryto błąd powodujący użycie pamięci po zwolnieniu (use-after-free) podczas usuwania funkcji przełącznika PCIe. Problem pojawia się, gdy link ASPM jest zwalniany zbyt wcześnie (przy usunięciu dowolnej funkcji) lub zbyt późno (dopiero po usunięciu ostatniej funkcji).

W jądrze Linux w sterowniku ntb_hw_switchtec występuje podatność polegająca na przesunięciu poza zakres (shift-out-of-bounds). Funkcja ntb_mw_clear_trans() przekazuje wartości 0 dla adresu i rozmiaru, co prowadzi do ujemnej wartości xlate_pos.

W jądrze Linuxa wykryto podatność w sterowniku USB xHCI dla kontrolerów NEC uPD720200. Brak ustawionego bitu łańcucha (chain bit) w TRB łącza dla izochronicznych punktów końcowych powoduje błędy IOMMU i pomijanie segmentów pierścienia transferowego, co może prowadzić do zapisu danych do przypadkowych buforów.

W systemie plików bcachefs w jądrze Linux stwierdzono błędy w funkcji bch2_ioctl_subvolume_destroy(). Funkcja bch2_evict_subvolume_inodes() zawieszała się z powodu nieprawidłowego czyszczenia dcache, a także brakowało kontroli uprawnień.

W jądrze Linux wykryto podatność w mechanizmie migracji stron pamięci (mm/migrate). Błąd polega na nieprawidłowym określaniu liczby wpisów w tablicy xarray podczas migracji folio (strony) shmem, co prowadzi do uszkodzenia wpisów multi-indeksowych. Problem występuje, gdy funkcja __folio_migrate_mapping() używa folio_test_swapbacked() zamiast folio_test_swapcache() do rozróżnienia między folio w cache'u stron a folio w cache'u swap.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, polegającą na nieprawidłowym leniwym zapisywaniu stanu FPSIMD/SVE/SME gospodarza. Problem prowadzi do przypadkowego odrzucenia stanu SVE, modyfikacji stanu przez ptrace po zapisie oraz utraty wartości FPMR podczas uruchamiania maszyn wirtualnych.

W jądrze Linux wycofano zmianę w drzewie urządzeń dla SDM845/850, która wymuszała spójność pamięci podręcznej w apps_smmu. Na niektórych urządzeniach (np. Lenovo Yoga C630) powoduje to blokady i restarty.

W jądrze Linux wykryto wyciek pamięci w funkcji fib_check_nh_v6_gw() dla IPv6. Problem pojawił się po przeniesieniu inicjalizacji fib_nh_common_init() przed alokację pamięci pcpu, co spowodowało brak czyszczenia wskaźnika nhc_pcpu_rth_output w przypadku niepowodzenia alokacji.

W jądrze Linux w podsystemie net/atm (LAN Emulation) występuje błąd use-after-free w funkcji lec_send(). Funkcja ->send() zwalnia bufor skb, ale długość jest odczytywana po zwolnieniu, co prowadzi do użycia po zwolnieniu.

W akceleratorze QAIC (Qualcomm AI Core) w jądrze Linux wykryto błąd przepełnienia liczb całkowitych w funkcji qaic_validate_req(). Zmienne typu u64 pochodzące od użytkownika mogą spowodować zawijanie się arytmetyki, co może prowadzić do nieprawidłowego przydziału pamięci.