Podatności Linux kernel

W jądrze Linux wykryto podatność w sterowniku NBD (Network Block Device), która umożliwia użycie po zwolnieniu pamięci (UAF) struktury nbd_config. Problem wynika z możliwości ponownego połączenia (reconnect) po wykonaniu rozłączenia (disconnect), co prowadzi do wyścigu i dostępu do już zwolnionej pamięci.

W jądrze Linux w sterowniku rtw89 wykryto podatność polegającą na podwójnej inicjalizacji listy mgnt_entry podczas nieudanego wyjścia z trybu WoWLAN. W rezultacie dochodzi do uszkodzenia listy, co prowadzi do błędu jądra (kernel BUG) i awarii systemu.

W jądrze Linux w kliencie CIFS/SMB stwierdzono podatność polegającą na braku obsługi niezdefiniowanej prędkości łącza (LinkSpeed) przez serwer. Prowadzi to do błędu dzielenia przez zero i awarii systemu (oops) podczas odczytu danych debugowania.

W jądrze Linux stwierdzono podatność w mechanizmie XFRM (IPsec) w trybie odciążania pakietów (packet offload). Gdy włączone jest przekazywanie IP (ip_forward), wpis secpath nie jest usuwany po sprawdzeniu polityki, co prowadzi do ponownego przetworzenia pakietu przez sterownik sieciowy z ustawioną flagą xfrm_offload. Skutkuje to dereferencją pustego wskaźnika i paniką jądra, jak zaobserwowano w sterowniku mlx5.

W jądrze Linux w module ipmr wykryto podatność polegającą na wywołaniu funkcji mr_mfc_uses_dev() dla wpisów nierozpoznanych (unres), co prowadzi do dereferencji dzikiego wskaźnika i awarii systemu. Problem istnieje od początku implementacji i może być wykorzystany do wywołania paniki jądra.

W jądrze Linux wykryto podatność w implementacji protokołu ROSE (sieć amatorska). Liczniki czasowe (timery) ROSE nie sprawdzały, czy gniazdo nie jest aktualnie używane przez wątek użytkownika, co prowadziło do wyścigu (race condition) i użycia pamięci po zwolnieniu (use-after-free).

W jądrze Linux w sterowniku mlx5e (Mellanox ConnectX) brakowało wywołania cpu_to_node przed przekazaniem identyfikatora CPU do funkcji kvzalloc_node. Operacje ethtool/netlink na CPU o indeksie większym niż MAX_NUMNODES powodowały dostęp poza zakresem i panikę jądra.

W jądrze Linux wykryto podatność w implementacji TCP, która w ekstremalnych warunkach braku pamięci może prowadzić do trwałego zakleszczenia połączenia. Gdy gniazdo tymczasowo ogłasza zerowe okno odbiorcze, a następnie nie może zaktualizować swojego rozmiaru okna po zwolnieniu pamięci, peer nie wysyła danych, co blokuje transmisję.

W jądrze Linux podczas obsługi błędów dup_mmap() struktura mm_struct może pozostać niekompletna, co stwarza ryzyko wyścigu. Ustawienie flag MMF_OOM_SKIP i MMF_UNSTABLE zapobiega dostępowi do nie w pełni zainicjalizowanego mm_struct przez inne komponenty, w tym uprobe.

W jądrze Linux wykryto podatność w podsystemie MPTCP (MultiPath TCP) dotyczącą menedżera ścieżek działającego w przestrzeni jądra. Funkcja ustawiająca flagę 'fullmesh' na punktach końcowych była zbyt liberalna i pozwalała na ustawienie tej flagi na niejawnych (implicit) punktach końcowych, co prowadziło do wywołania ostrzeżenia (WARNING) i potencjalnej destabilizacji systemu.

W jądrze Linuxa wykryto podatność w implementacji protokołu MPTCP, związaną z nieprawidłową obsługą rozłączenia (disconnect) podczas korzystania z mechanizmu TCP Fast Open. Błąd może prowadzić do uszkodzenia strumienia danych i wywołania ostrzeżenia (WARNING) w funkcji __mptcp_clean_una.

W jądrze Linux wykryto błąd use-after-free w podsystemie PPS (Pulse Per Second). Problem występuje podczas usuwania urządzenia PPS, gdy funkcja pps_device_destruct() zwalnia pamięć przed zakończeniem operacji na otwartych deskryptorach plików, co prowadzi do awarii systemu.

W jądrze Linux wykryto podatność powodującą miękkie zawieszenie (soft lockup) podczas obsługi OOM (Out-Of-Memory) w grupie cgroup. Problem występuje, gdy w grupie OOM znajduje się bardzo duża liczba procesów (np. 56 000), a ich przeglądanie trwa zbyt długo, blokując system.

W sterowniku rdma/cxgb4 jądra Linux wykryto podatność na przepełnienie liczby całkowitej na systemach 32-bitowych. Zmienna 'gl->tot_len' kontrolowana przez użytkownika może spowodować zawinięcie się dodawania, co prowadzi do potencjalnego błędu bezpieczeństwa.

W jądrze Linux w sterowniku i40e występuje podatność prowadząca do wywołania śladu (call trace) i potencjalnie paniki systemu. Problem pojawia się, gdy po resecie PF i teście ethtool -t druga operacja i40e_vsi_close rozpoczyna się przed zakończeniem poprzedniej, co prowadzi do awarii.

W jądrze Linux w sterowniku tun występuje podatność polegająca na wyścigu (race) między zniszczeniem pliku tun a zniszczeniem urządzenia sieciowego. NAPI w strukturze tun_file może zostać zniszczone przed netdev, a kod nie usuwa jawnie NAPI, jeśli kolejka została wcześniej odłączona.

W jądrze Linux w module TIPC występuje podatność na awarię z powodu wyłuskania pustego wskaźnika. Przy tworzeniu nowego węzła, link rozgłoszeniowy (bc link) jest tworzony po wstawieniu węzła do tablicy haszującej, co stwarza okno czasowe, w którym przychodzący pakiet może uzyskać węzeł bez jeszcze utworzonego linku, prowadząc do paniki jądra.

W jądrze Linux wykryto podatność w funkcji in6_dump_addrs() dla IPv6, gdzie użyto rcu_dereference() bez trzymania blokady rcu_read_lock(), co powoduje ostrzeżenie lockdep i potencjalne problemy z synchronizacją.

W jądrze Linux w sterowniku drm/panfrost wykryto podatność polegającą na uszkodzeniu listy shrinker przez podwójne wywołanie IOCTL madvise. Powoduje to dodanie obiektu BO do listy dwukrotnie, co prowadzi do uszkodzenia pamięci i awarii jądra.

W jądrze Linux w module IMA występuje podatność polegająca na potencjalnym przepełnieniu liczby całkowitej w funkcji ima_appraise_measurement. Gdy włączona jest opcja ima-modsig, wartość rc przekazywana do evm_verifyxattr() może być ujemna, co może prowadzić do przepełnienia.

W jądrze Linux w sterowniku pinctrl dla układów Aspeed funkcja aspeed_pinmux_set_mux() mogła wyłuskać wskaźnik NULL, co prowadziło do awarii. Poprawka dodaje sprawdzenie przed wyłuskaniem.

W jądrze Linux w sterowniku be2net wykryto podatność na przepełnienie bufora w funkcji be_get_module_eeprom. Funkcja be_cmd_read_port_transceiver_data zakłada, że bufor ma odpowiednią długość, co nie zawsze jest spełnione, co może prowadzić do zapisu poza zakresem.

W jądrze Linux, w module crypto qat, dodano sprawdzenie parametrów dla DH, aby odrzucać żądania z buforem źródłowym większym niż rozmiar klucza. Zapobiega to możliwemu niedomiarowi całkowitoliczbowemu podczas kopiowania scatterlist.

W jądrze Linux, w module crypto qat, dodano sprawdzenie parametrów dla RSA, aby odrzucać żądania z buforem źródłowym większym niż rozmiar klucza. Zapobiega to możliwemu niedomiarowi całkowitoliczbowemu podczas kopiowania scatterlist.

W jądrze Linux w KVM dla architektury x86 występuje podatność w aktualizacji bitów A/D w tablicy stron gościa. Użycie mapowania PTE do przestrzeni adresowej jądra jest błędne w przypadku VM_PFNMAP, co może prowadzić do dostępu do przypadkowych ramek stron.

W jądrze Linuxa w systemie plików exFAT występuje podatność polegająca na odczycie poza zakresem (slab-out-of-bounds) w funkcji exfat_clear_bitmap. Problem jest wywoływany przez operację truncate z rozmiarem 0, co prowadzi do naruszenia pamięci. Poprawka dodaje walidację numeru klastra przed użyciem go w operacjach bitmapy.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje podatność polegająca na użyciu del_timer() zamiast del_timer_sync() przed zwolnieniem timera, co może prowadzić do uszkodzenia listy timerów. Dodatkowo, timer wake_retrans_timer może być ponownie uzbrajany przez kolejkę pracy.

W jądrze Linux, w systemie plików NTFS3, dodano walidację pola sectors_per_clusters w sektorze BOOT. Zbyt duża wartość może prowadzić do ujemnych przesunięć lub przesunięć większych niż rozmiar pola, co powoduje błąd UBSAN.

W jądrze Linux, w ALSA USB-audio, podczas zamykania podstrumienia MIDI może pozostać oczekująca praca, która uzyskuje dostęp do zwalnianego obiektu runtime. Poprawka anuluje oczekującą pracę przy zamykaniu.

W jądrze Linuxa w sterowniku ath11k występuje podatność powodująca ostrzeżenie w mhi_pm_disable_transition() podczas symulacji awarii firmware. Problem wynika z wywołania mhi_device_put() bez wcześniejszego mhi_assert_dev_wake(), gdy stan MHI nie jest normalny, co prowadzi do niezerowego licznika dev_wake i ostrzeżenia.

W jądrze Linux w sterowniku lpfc (SCSI) wystąpił błąd prowadzący do dereferencji pustego wskaźnika po nieudanym wysłaniu FLOGI i PLOGI. Jeśli operacja FLOGI lub PLOGI zakończy się niepowodzeniem, a istnieje oczekująca praca dev-loss-evt, węzeł może zostać zwolniony przedwcześnie, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w sterowniku ath11k występuje podatność przepełnienia bufora podczas przetwarzania żądań skanowania Wi-Fi. Maksymalna liczba SSID jest raportowana jako 16, ale struktura scan_req_params może pomieścić tylko 10, co prowadzi do nadpisania wskaźnika extraie. Poprawka ustawia maksymalną liczbę SSID i BSSID zgodnie z możliwościami firmware.

W jądrze Linux w sterowniku kamery dw9714 (media i2c) podczas niepowodzenia inicjalizacji nie wyłączano regulatora napięcia, co powodowało ostrzeżenia i potencjalne problemy. Poprawka dodaje wyłączenie regulatora w obsłudze błędów.

W sterowniku venus (media) w jądrze Linux naprawiono wyłuskanie pustego wskaźnika w funkcji hfi_core_deinit. Gdy hfi_destroy ustawia core->ops na NULL, hfi_core_deinit nie może wywołać core_deinit, co prowadziło do błędu. Poprawka pomija wywołanie, gdy jest to konieczne.

W jądrze Linux w sterowniku ath11k występuje podatność powodująca awarię (crash) podczas usuwania modułów (rmmod) przy włączonym skanowaniu spektralnym. Problem wynika z braku wyłączenia skanowania spektralnego przed oczyszczeniem bufora danych, co prowadzi do dereferencji wskaźnika NULL. Poprawka polega na wysłaniu polecenia WMI do firmware przed czyszczeniem bufora.

W jądrze Linux w architekturze ARM64 wykryto podatność związaną z obsługą nieznanych wywołań systemowych w trybie compat (32-bitowym). Gdy proces compat wywoła nieprawidłowy numer syscall, jądro błędnie interpretuje ten numer jako kod ESR_ELx, co prowadzi do mylących komunikatów o błędach w dmesg, sugerujących problemy z uwierzytelnianiem wskaźników (pointer authentication). Poprawka polega na ustawieniu wartości ESR_ELx na 0, aby uniknąć błędnej interpretacji.

W jądrze Linuxa wykryto podatność w sterowniku ath10k, prowadzącą do podwójnego zwolnienia pamięci (double free) podczas zawieszenia systemu, gdy sterownik jest w stanie RESTARTING po odzyskiwaniu po awarii. Problem występuje, gdy zdarzenie zawieszenia pojawia się w trakcie restartu sterownika, co powoduje dwukrotne wywołanie funkcji ath10k_halt() i awarię systemu.

W jądrze Linux w podsystemie ASoC SOF dla topologii IPC3 występuje podatność na dostęp poza zakresem w funkcji sof_get_control_data(). Funkcja ta zakłada, że dane są typu bytes, ale może być wywołana dla innych typów, co prowadzi do błędnego odczytu pamięci.

W jądrze Linux w sterowniku sieciowym Intel ice funkcja ice_get_vf_vsi może zwracać NULL w pewnych sytuacjach, a wiele miejsc w sterowniku nie sprawdzało poprawności wskaźnika, co mogło prowadzić do wyłuskania NULL. Poprawka dodaje sprawdzanie wartości zwracanej we wszystkich miejscach.

W jądrze Linux w sterowniku fbdev defio występuje podatność polegająca na uszkodzeniu listy pagelist z powodu wyścigu między procesami w fb_deferred_io_mkwrite() i fb_deferred_io_fault(). Jeden proces dodaje stronę do listy, a drugi inicjalizuje tę samą stronę bez ochrony lockiem.

W sterowniku wl1251 (WiFi) w jądrze Linuxa wykryto podatność polegającą na użyciu parametrów stosu do DMA, co po wprowadzeniu mapowanych stosów (vmap'ed stacks) prowadzi do paniki jądra. Problem występuje w kilku miejscach sterownika, np. przy dostępie przez SDIO, co czyni go bezużytecznym na platformach takich jak OpenPandora.

W jądrze Linux w sterowniku MediaTek VCODEC (mtk-vcodec-dec) występuje podatność powodująca awarię jądra podczas usuwania modułu. Gdy sterownik działa w trybie subdev, wskaźnik dev->pm.dev jest pusty, co prowadzi do wywołania funkcji __pm_runtime_disable na nieprawidłowym adresie i paniki systemu.

W jądrze Linux w sterowniku mt76 wystąpił wyścig prowadzący do użycia po zwolnieniu podczas usuwania stacji. W małym oknie czasowym trwająca transmisja może spowodować dodanie skb do idr śledzenia statusu po jego wyczyszczeniu, co utrzymuje wcid na liście poll.

W sterowniku rtw89 (dla kart WiFi) funkcja rtw89_phy_cfo_parse() nie sprawdzała poprawności mac_id przed dostępem do tablicy, co prowadziło do odczytu poza zakresem (out-of-bounds). Poprawka dodaje sprawdzenie indeksu przed dostępem do tablicy.

W sterowniku ti_sci_pm_domains w jądrze Linux dodano sprawdzenie wyniku funkcji devm_kcalloc. Jeśli alokacja pamięci się nie powiedzie, funkcja zwraca -ENOMEM, aby uniknąć późniejszego wyłuskania pustego wskaźnika.

W jądrze Linuxa w podsystemie firmware arm_scmi występuje podatność polegająca na nieprawidłowej walidacji liczby protokołów podczas wyliczania listy protokołów. Sprawdzanie używa sumy liczb całkowitych bez znaku, która może się przepełnić i ominąć kontrolę. Poprawka unika dodawania przy walidacji.

W systemie plików f2fs w jądrze Linuxa wykryto podatność polegającą na dereferencji nieaktualnego iteratora listy po zakończeniu pętli. Jeśli pętla nie znajdzie odpowiedniego elementu, iterator pozostaje wskaźnikiem śmieciowym, a jego dereferencja (np. cur->page) może prowadzić do odczytu poza zakresem lub niezdefiniowanych wartości, co może być wykorzystane przez atakującego.

W jądrze Linux w module mac80211 wykryto użycie po zwolnieniu w kodzie związanym z kontekstem kanału (chanctx). Po zwolnieniu starego kontekstu w funkcji ieee80211_vif_use_reserved_reassign(), dalsze odwoływanie się do niego prowadzi do UAF.

W sterowniku staging r8188eu (WiFi) w jądrze Linuxa wykryto podatność polegającą na braku sprawdzenia przed zapisem do tablicy ->Ssid w funkcji rtw_wx_set_scan(). Istnieje kontrola zapobiegająca przepełnieniu przy odczycie, ale brakuje kontroli zapisu poza koniec tablicy, co może prowadzić do przepełnienia bufora.

W systemie plików F2FS w jądrze Linux naprawiono błąd w funkcji dec_valid_node_count(), który powodował wywołanie BUG_ON. Gdy liczniki total_valid_block_count lub total_valid_node_count były uszkodzone (wyzerowane), funkcja wywoływała panikę. Poprawka zamiast paniki wyświetla ostrzeżenie i ustawia flagę SBI_NEED_FSCK.