Podatności Linux kernel

W jądrze Linuxa rozwiązano podatność związaną z io_uring, która dotyczy spekulacji opcode. Wprowadzono zabezpieczenia, aby upewnić się, że sqe->opcode jest odpowiednio sanitizowane przed spekulacjami.

W jądrze Linux stwierdzono podatność w mechanizmie migrate_device_finalize(), gdzie folio (strona) przeznaczone do zwolnienia jest nieprawidłowo dodawane do listy LRU (Least Recently Used). Powoduje to ostrzeżenia w kodzie memcg i może prowadzić do niepotrzebnego obciążenia systemu.

W sterowniku ibmvnic jądra Linux wykryto błąd use-after-free. Po wysłaniu bufora transmisji do VIOS sterownik nieprawidłowo odwoływał się do struktury skb, co mogło prowadzić do wyścigu między odczytem długości skb a jego zwolnieniem przez przerwanie z VIOS.

W jądrze Linux wykryto podatność w mechanizmie BPF, polegającą na trzymaniu blokady freeze_mutex podczas całej operacji mmap, co może prowadzić do zakleszczeń. Problem został rozwiązany poprzez skrócenie czasu trzymania blokady tylko do niezbędnych czynności związanych z weryfikacją uprawnień do zapisu.

W jądrze Linux funkcja arena_map_free powoduje miękki blokad (soft lockup) na jądrach z 64k stronami (aarch64). Adres zwrócony przez bpf_arena_get_kern_vm_start() może nie być wyrównany do strony, co prowadzi do nieskończonej pętli w apply_to_pte_range.

W jądrze Linux stwierdzono podatność w systemie wywołania acct(2), która może prowadzić do dereferencji wskaźnika NULL. Problem występuje, gdy proces zapisuje do pliku wyzwalającego wewnętrzne wyszukiwanie (np. /sys/power/resume) po zakończeniu działania i wywołaniu exit_fs().

W kliencie SMB (CIFS) w jądrze Linux w funkcji receive_encrypted_standard() brakuje sprawdzenia wartości zwracanej przez cifs_buf_get() i cifs_small_buf_get(). Może to prowadzić do dereferencji wskaźnika NULL (null pointer dereference).

W sterowniku amdkfd w jądrze Linux wykryto błąd polegający na nieprawidłowym zwalnianiu obiektu gang_ctx_bo w przypadku niepowodzenia inicjalizacji kolejki użytkownika. Funkcja amdgpu_amdkfd_free_gtt_mem() oczekuje wskaźnika do wskaźnika (void**), ale przekazywano void*, co prowadzi do błędów podczas dereferencji.

W jądrze Linux wykryto błąd w KVM dla architektury x86, polegający na ładowaniu do rejestru DR6 nieaktualnej wartości z vcpu->arch.dr6 zamiast rzeczywistej wartości gościa. Problem występuje, gdy gość modyfikuje DR6 przy wyłączonej przechwytywaniu, a następnie następuje szybki VM-Exit (np. z powodu timera VMX), co powoduje nadpisanie poprawnej wartości DR6 starą daną.

W jądrze Linux w podsystemie io_uring/kbuf występuje błąd polegający na ponownym użyciu starej struktury io_buffer_list podczas rejestracji bufora pierścieniowego (IORING_REGISTER_PBUF_RING). Narusza to wymóg stabilności pól po publikacji, co może prowadzić do nieprawidłowego działania.

W jądrze Linux w blokowym systemie I/O funkcja blkdev_read_iter() wykonuje iov_iter_revert() z ujemną wartością dla -EIOCBQUEUED, co powoduje ostrzeżenie WARN i potencjalne problemy.

W jądrze Linux w module landlock wykryto podatność polegającą na tym, że uszkodzony system plików (np. bcachefs) może zwracać dziwne pliki. Zamiast ostrzegać i zezwalać na dostęp do takiego pliku, traktuje je teraz jako zwykłe pliki.

W jądrze Linux w sterowniku DRM dla V3D wykryto podatność polegającą na tym, że podczas niszczenia aktywnego monitora wydajności (perfmon) nie jest on zatrzymywany, co pozostawia wskaźnik `v3d->active_perfmon` w nieaktualnym stanie. Może to prowadzić do nieokreślonego zachowania i niestabilności systemu.

W jądrze Linux w module mac80211 (WiFi) wykryto podatność, w której jeśli stan stacji (STA) został przedwcześnie przeniesiony do AUTHORIZED (np. w scenariuszach IBSS) i wstawienie się nie powiedzie, stacja jest zwalniana. Próba opróżnienia (flush) takiej stacji, która nie została przesłana do sterownika, może spowodować awarię systemu.

W jądrze Linuxa w sterowniku Bluetooth btusb dla układów Mediatek wykryto brak blokady podczas wywoływania usb_driver_claim_interface() z kontekstu innego niż probe(). Może to prowadzić do błędów "Failed to claim iso interface" lub dereferencji NULL wskaźnika.

W jądrze Linux w podsystemie netfilter (nf_tables) występuje podatność polegająca na braku odrzucania niezgodności między sumą długości pól a długością klucza zbioru. Polega to na tym, że rejestrowe operacje arytmetyczne pozwalają na łączenie niezgodnych wartości, co prowadzi do nieprawidłowego obliczenia szerokości reguły pipapo.

W jądrze Linux wykryto podatność w mechanizmie bpf_timer, która powoduje naruszenie zasad planowania („scheduling while atomic”) w systemach z włączonym PREEMPT_RT. Problem występuje podczas aktualizacji elementów w prealokowanej tablicy haszującej (htab), gdy wywołanie check_and_free_fields() próbuje przejąć spin-lock, podczas gdy nadrzędna funkcja trzyma już raw-spin-lock (bucket lock).

W jądrze Linux w podsystemie mac80211 wykryto podatność polegającą na możliwości dezaktywacji wszystkich łączy przez interfejs debugfs. Powoduje to wywołanie ostrzeżenia WARN_ON, co może wskazywać na błąd wewnętrzny.

W jądrze Linux w systemie plików UBIFS wykryto podatność polegającą na wywołaniu dereferencji wskaźnika null podczas zrzucania drzewa TNC, gdy pamięć podręczna jest czyszczona. Po wyczyszczeniu pamięci podręcznej wskaźnik c->zroot.znode staje się NULL, a próba zrzucenia drzewa TNC prowadzi do awarii systemu.

W jądrze Linux w podsystemie remoteproc wykryto błąd polegający na wywołaniu funkcji ida_free dla identyfikatora, który nie został wcześniej przydzielony przez ida_alloc. Problem występuje w funkcji rproc_alloc, gdy błąd pojawi się przed wywołaniem ida_alloc, a następnie w procedurze zwalniania (rproc_type_release) próbowane jest zwolnienie nieprzydzielonego ID, co generuje ostrzeżenie jądra.

W jądrze Linuxa w module batman-adv usunięto niezarządzany wątek roboczy ELP metric worker. Poprzednie rozwiązanie powodowało problemy z bezpieczeństwem, ponieważ wątki robocze nie były zatrzymywane po usunięciu interfejsu lub wyładowaniu modułu, co prowadziło do potencjalnych nieprawidłowych dostępów do pamięci. Nowe podejście eliminuje te problemy poprzez przetwarzanie metryk w kontekście wątku interfejsu oraz użycie rcu_trylock w celu uniknięcia zakleszczeń.

W jądrze Linux wykryto podatność polegającą na potencjalnym zakleszczeniu (deadlock) podczas wywoływania funkcji sysfs ->store(). Problem występuje, gdy operacje zapisu do sysfs (np. update_nr_requests, wbt, scheduler) alokują pamięć z flagą GFP_KERNEL, co może prowadzić do bezpośredniego odzyskiwania pamięci (direct reclaim) i zakleszczenia, gdy kolejka jest zamrożona. Poprawka polega na oznaczaniu kontekstu flagą GFP_NOIO wokół wywołań ->store().

W jądrze Linux stwierdzono podatność polegającą na wywoływaniu funkcji zwrotnej ->enable bez sprawdzenia, czy jest zaimplementowana. Niektóre sterowniki (np. ptp_s390, ptp_vclock, ptp_mock) nie definiują tego wywołania, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w API class_dev_iter_next() występuje problem dzikich wskaźników. Funkcja class_dev_iter_init() nie inicjalizuje iteratora w przypadku błędu, a kolejne wywołania class_dev_iter_next() i class_dev_iter_exit() mogą dereferencjonować niezainicjalizowane wskaźniki, prowadząc do awarii.

W jądrze Linux wykryto problem z blokowaniem w implementacji protokołów rxrpc i afs. Funkcja zwalniająca listę adresów AFS wywoływana jest w kontekście RCU (Bottom Half), co prowadzi do próby przejęcia zwykłego spinlocka (peer_hash_lock) używanego również w kontekście nie-BH. Powoduje to potencjalny zakleszczenie (deadlock) i zgłoszenie przez lockdep ostrzeżenia o niespójności blokowania.

W jądrze Linux w mechanizmie XDP brakuje sprawdzenia uniemożliwiającego dołączanie programów związanych z urządzeniem w trybie generycznym. Programy te korzystają z funkcji kfuncs zależnych od sterownika, które nie działają w trybie generycznym, co może prowadzić do awarii.

W jądrze Linux wykryto podatność na zakleszczenie (ABBA deadlock) w mechanizmie zamrażania kolejki blokowej podczas modyfikacji limitów przez sysfs. Problem występuje, gdy użytkownik zmienia limit (zamrażając kolejkę), a sterownik urządzenia (np. SCSI sd) próbuje jednocześnie przeprowadzić rewalidację limitów, co prowadzi do wzajemnego blokowania się operacji.

W jądrze Linux w sterowniku PCI RCAR Endpoint (rcar-ep) funkcja rcar_pcie_parse_outbound_ranges() używa zmiennej łańcuchowej na stosie do przechowywania nazwy zasobu, która jest przekazywana do devm_request_mem_region(). Może to prowadzić do niezdefiniowanego zachowania, w tym wyświetlania śmieci w /proc/iomem lub awarii systemu.

W sterowniku sieciowym HNS3 jądra Linux wykryto podatność polegającą na wywołaniu błędu Oops podczas równoległego odciążania sterowników hclge i hns3. Problem występuje, gdy odciążanie hclge próbuje wyłączyć SR-IOV dla węzłów ae_dev, a jednocześnie odciążanie hns3 usuwa te węzły, co prowadzi do naruszenia pamięci.

W jądrze Linuxa w sterowniku sieciowym ravb brakowało blokady rtnl podczas operacji wstrzymywania i wznawiania systemu. Wywołania funkcji ravb_open, ravb_close oraz operacji WOL (Wake-on-LAN) wykonywane bez tej blokady mogły prowadzić do konfliktów z równoczesnymi operacjami ndo, co skutkowało ostrzeżeniami RCU i potencjalną niestabilnością.

W jądrze Linux wykryto podatność powodującą zawieszenie funkcji nfsd4_shutdown_callback. Problem występuje, gdy klient NFS znajduje się w stanie grzecznościowym (courtesy state), co uniemożliwia wysłanie callbacku i prowadzi do 15-minutowego blokowania, dopóki TCP nie zerwie połączenia.

W jądrze Linuxa w stosie AX25 wykryto wyciek licznika referencji przy użyciu opcji gniazda SO_BINDTODEVICE. Podczas zwalniania gniazda (ax25_release) dekrementowany jest licznik referencji urządzenia, ale przy wiązaniu przez SO_BINDTODEVICE nie jest on inkrementowany, co prowadzi do błędu i potencjalnego wycieku pamięci.

W architekturze LoongArch jądra Linux funkcja sumy kontrolnej IP dla ujemnych długości powoduje niezdefiniowane przesunięcie bitowe i odczyt poza zakresem pamięci, co może prowadzić do crasha lub wycieku danych.

W sterowniku Ethernet TI AM65 CPSW w jądrze Linux wykryto wyciek pamięci w przypadku, gdy program XDP nie zwraca XDP_PASS. Pamięć alokowana przez am65_cpsw_build_skb() nie była zwalniana, a dodatkowo alokacja SKB przed wykonaniem programu XDP marnowała cykle CPU. Poprawka przenosi alokację SKB po ocenie wyniku XDP.

W jądrze Linux dla architektury ARM64 w podsystemie cacheinfo stwierdzono podatność na zapis poza dozwolonym zakresem do tablicy cacheinfo. Pętla wykrywająca informacje o pamięci podręcznej nie uwzględniała poziomów z oddzielnymi pamięciami podręcznymi dla danych i instrukcji, co prowadziło do zapisu poza zakresem.

W jądrze Linux w sterowniku amdgpu wykryto podatność na przepełnienie bufora w funkcji smu_sys_set_pp_table(). Złośliwy użytkownik może przez sysfs dostarczyć małą tabelę pptable, a następnie większą, co prowadzi do ataku typu buffer overflow.

W jądrze Linux wykryto podatność w mechanizmie mapowania pamięci (mmap) dla trwałych buforów pierścieniowych śledzenia. Próba wykonania mmap na instancji bufora powiązanej z opcją reserve_mem powoduje błąd strony (page fault) i awarię systemu. Problem wynika z użycia funkcji virt_to_page na pamięci zaalokowanej przez vmap, co jest niedozwolone.

W jądrze Linuxa naprawiono podatność związaną z obsługą błędnych tabel partycji. Problemy dotyczyły m.in. nieprawidłowego rozmiaru sektora oraz braku odpowiedniego zakończenia NUL w tabeli partycji.

W jądrze Linux w funkcji __ip_rt_update_pmtu() dla IPv4 brakowało ochrony RCU podczas odczytu struktury sieciowej (net). Może to prowadzić do wyścigu (race condition) i dostępu do już zwolnionej pamięci.

W jądrze Linux stwierdzono podatność w funkcji ip6_default_advmss(), która nie zapewniała ochrony RCU podczas odczytu struktury sieciowej. Brak tej ochrony mógł prowadzić do użycia pamięci po jej zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w funkcji ndisc_alloc_skb(), która może być wywoływana bez trzymania blokady RTNL lub RCU. Brak odpowiedniej ochrony RCU może prowadzić do użycia po zwolnieniu (UAF).

W jądrze Linuxa zidentyfikowano podatność w funkcji arp_xmit(), która może być wywoływana bez ochrony RTNL lub RCU. Wprowadzono poprawkę, aby zastosować ochronę RCU, co ma na celu uniknięcie potencjalnego użycia po zwolnieniu (UAF).

W jądrze Linux wykryto wyciek referencji subsystemu klasy @block_class w funkcji blkcg_fill_root_iostats(). Funkcja iteruje po urządzeniach za pomocą class_dev_iter_(init|next)(), ale nie kończy iteracji przez class_dev_iter_exit(), co prowadzi do wycieku referencji.

W jądrze Linux w podsystemie libata-sff wykryto błąd umożliwiający zapis poza przydzielony bufor podczas obsługi poleceń ATA PIO. Funkcja ata_pio_sector() nie miała zabezpieczenia przed zapisem poza buforem, w przeciwieństwie do podobnej funkcji __atapi_pio_bytes(). Może to prowadzić do nadpisania losowej pamięci.

W jądrze Linuxa zidentyfikowano podatność związaną z brakiem sprawdzania granic w funkcji nci_hci_create_pipe(). Zmienna 'pipe' pochodząca z sieci może prowadzić do uszkodzenia pamięci, jeśli jej wartość przekroczy 127.

W jądrze Linux w sterowniku misc fastrpc obliczanie rozmiaru strony dla nie zarejestrowanych buforów nie uwzględnia offsetu, co może prowadzić do przekazania nieprawidłowego rozmiaru strony i dostępu poza dozwolony obszar pamięci.

W jądrze Linux w sterowniku HID multitouch (mt_input_configured) brakuje sprawdzenia wartości zwracanej przez devm_kasprintf(). Może to prowadzić do dereferencji wskaźnika NULL, gdy alokacja pamięci się nie powiedzie.

W jądrze Linux w module safesetid brakowało walidacji rozmiaru danych zapisywanych do sysfs. Atakujący mógł wysłać bardzo duży bufor, co powodowało ostrzeżenie w kmalloc i potencjalnie destabilizowało system.

W jądrze Linux w sterowniku int3472 dla platform x86 brakowało sprawdzenia, czy wskaźnik adev (ACPI device) nie jest NULL. Teoretycznie może to wystąpić, gdy użytkownik ręcznie przypisze sterownik do urządzenia i2c/platform przez sysfs, co prowadziło do możliwego dereferencji wskaźnika NULL w funkcji skl_int3472_get_acpi_buffer().

W jądrze Linuxa w podsystemie UFS (Universal Flash Storage) dla interfejsu BSG (Block SCSI Generic) brakuje wyzerowania wskaźnika bsg_queue po jego usunięciu. Może to prowadzić do podatności use-after-free (UAF) polegającej na użyciu zwolnionej pamięci.