Podatności Linux kernel

W jądrze Linuxa wykryto podatność w weryfikatorze BPF, gdzie flaga MEM_UNINIT została przeciążona, co pozwala programom BPF na zapis do map oznaczonych jako tylko do odczytu (np. .rodata). Błąd polega na tym, że gdy rozmiar bufora nie jest stały, weryfikator pomija sprawdzanie uprawnień do zapisu, umożliwiając modyfikację chronionych danych.

W jądrze Linux w systemie plików UDF wykryto użycie niezainicjalizowanej wartości w funkcji udf_get_fileshortad. Problem wynika z braku sprawdzenia przepełnienia przy obliczaniu długości alen w funkcji udf_current_aext, co może prowadzić do nieprawidłowego działania.

W jądrze Linuxa zidentyfikowano podatność związaną z walidacją długości zdarzenia, która nie uwzględniała znaku NULL. W przypadku, gdy długość łańcucha była równa maksymalnej długości bufora, brakowało miejsca na znak kończący.

W jądrze Linuxa w podsystemie Bluetooth SCO występuje podatność use-after-free (UAF) w funkcji sco_sock_timeout. Połączenie conn->sk mogło zostać odłączone lub zwolnione podczas oczekiwania na sco_conn_lock, dlatego dodano sprawdzenie, czy conn->sk jest nadal ważny, poprzez weryfikację jego obecności na liście sco_sk_list.

W jądrze Linuxa zidentyfikowano podatność, która pozwala na dostęp do pamięci poza przydzielonym buforem podczas pobierania argumentów w funkcji uprobe. Problem ten wynika z braku sprawdzenia, czy dane przekraczają rozmiar pojedynczej strony pamięci, co prowadzi do błędów typu use-after-free.

W jądrze Linux stwierdzono podatność polegającą na możliwości wykonania skoku ogonowego (tail call) między programami BPF dołączonymi do różnych haków. Pozwala to na ominięcie weryfikacji dostępu do kontekstu i zasad zwracanych wartości, co może prowadzić do naruszenia integralności danych.

W jądrze Linuxa naprawiono podatność związaną z podwójnym zwolnieniem pamięci w API sterowników przy rejestracji bus_register(). Błąd ten występował, gdy po kset_register() wystąpił błąd, co prowadziło do podwójnego zwolnienia wskaźnika @priv.

W jądrze Linux w funkcji ieee80211_get_rate_duration w podsystemie mac80211 występuje możliwość odczytu poza zakresem tablicy, co może prowadzić do nieprawidłowego działania lub awarii systemu. Problem został zgłoszony przez narzędzie UBSAN.

W jądrze Linux w podsystemie TIPC występuje podatność use-after-free. Po wywołaniu tipc_msg_validate() oryginalny skb jest zwalniany, a dalsze odwoływanie się do starego skb cb prowadzi do awarii. Poprawka polega na ponownym pobraniu skb cb z nowo przydzielonego skb po walidacji.

W jądrze Linux w module HSR (High-availability Seamless Redundancy) wykryto potencjalne użycie po zwolnieniu. Po przekazaniu pakietu (skb) do funkcji netif_rx(), która może go zwolnić, dalsze odwoływanie się do tego pakietu może prowadzić do UAF.

W jądrze Linuxa w sterowniku graficznym AMD (drm/amd/display) występuje błąd indeksowania tablicy poza zakresem w module DCN32 DML. Tablica LinkCapacitySupport jest indeksowana liczbą stanów napięcia zamiast maksymalną liczbą DPP, co prowadzi do odczytu poza zakresem. Poprawka zmienia rozmiar tablicy na poprawną, większą wartość.

W jądrze Linux w podsystemie NFC NCI brakuje walidacji granic dla tablic w strukturze nfc_target, co może prowadzić do zapisu poza zakresem pamięci. Problem został wykryty przez syzkaller przy włączonym CONFIG_FORTIFY_SOURCE.

W jądrze Linux w sterowniku ravb wykryto podatność na użycie po zwolnieniu (use-after-free) w funkcji ravb_rx_gbeth(). Po przekazaniu pakietu (skb) do napi_gro_receive(), który może go zwolnić, dalsze odwoływanie się do tego pakietu może prowadzić do naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku sieciowym hisilicon (hisi_femac) istnieje potencjalna podatność use-after-free w funkcji hisi_femac_rx(). Pakiet skb jest przekazywany do napi_gro_receive(), która może go zwolnić, a następnie odwołanie do skb może prowadzić do użycia po zwolnieniu.

W jądrze Linux w sterowniku sieciowym hisilicon występuje podatność use-after-free w funkcji hix5hd2_rx(). Pakiet skb jest przekazywany do napi_gro_receive(), która może go zwolnić, a następnie odwołanie do skb może prowadzić do użycia po zwolnieniu.

W jądrze Linux w systemie plików ext4 wykryto podatność polegającą na dostępie do niezainicjalizowanego spinlocka (sbi->s_bdev_wb_lock) podczas ścieżki odtwarzania fast-commit. Problem objawia się komunikatem o próbie rejestracji niestatycznego klucza i może prowadzić do nieprawidłowego działania mechanizmu walidacji blokad. Podatność została załatana przez przeniesienie inicjalizacji spinlocka na wcześniejszy etap funkcji __ext4_fill_super().

W jądrze Linux w sterowniku mlx5 wystąpił błąd w ścieżce obsługi błędów podczas transmisji WQE wielopakietowej. W przypadku niepowodzenia mapowania DMA kod błędnie usuwał mapowanie z listy aktywnych mapowań, co mogło prowadzić do usunięcia losowego mapowania i potencjalnie spowodować błąd funkcji PCI.

W jądrze Linux wykryto podatność w mechanizmie wyłączania (shutdown) sterownika DSA. Problem dotyczy dwóch kwestii: wywołania dev_get_drvdata() w sterowniku lan9303 po zakończeniu procedury wyłączania oraz braku synchronizacji przy zerowaniu wskaźnika dsa_ptr, co prowadzi do wyścigu (race condition) podczas odbierania pakietów. Poprawka polega na zamykaniu interfejsu nadrzędnego (conduit) przed zerowaniem wskaźników, co zapobiega dostępowi do sterownika po jego wyłączeniu.

W jądrze Linux wykryto podatność na przepełnienie liczby całkowitej w operacji BLKSECDISCARD. Problem polega na tym, że przekazanie odpowiednio spreparowanych wartości (sektor 512 i liczba sektorów bliska maksymalnej wartości uint64_t) powoduje nieskończoną pętlę wewnątrz funkcji blkdev_issue_secure_erase(), co prowadzi do przeciążenia systemu i blokady.

W jądrze Linuxa naprawiono problem z podwójnym zwolnieniem pamięci podczas odładowywania modułu amdgpu. Problem ten występował, gdy elastyczne punkty końcowe korzystały z DIG-ów dostępnych z nieelastycznych punktów końcowych, co prowadziło do błędów w zarządzaniu pamięcią.

W jądrze Linuxa naprawiono podatność związaną z błędnym użyciem pamięci po jej zwolnieniu w przypadku błędów rejestracji urządzenia platformowego.

W jądrze Linux w module AMD Display (DCN30) wykryto problem z indeksem poza zakresem w funkcji cm3_helper_translate_curve_to_hw_format. Indeks 'i' może przekroczyć liczbę punktów funkcji transferu, co prowadzi do przepełnienia bufora w tablicach kolorów.

W jądrze Linux wykryto podatność w systemie plików ext4. Jeśli domyślna wersja skrótu jest ustawiona na DX_HASH_SIPHASH, ale funkcja casefold nie jest włączona, montowanie systemu plików kończy się niepowodzeniem.

W jądrze Linux w sterowniku xen-netback wykryto podatność use-after-free w funkcji xenvif_flush_hash. Podczas iteracji listy w sekcji krytycznej RCU, wywołanie kfree_rcu może spowodować dostęp do zwolnionej pamięci.

W systemie plików JFS w jądrze Linux wykryto podatność na odczyt poza zakresem w funkcji dbSplit. Problem wynika z tego, że wartość dmt_leafidx może być większa niż liczba liści w drzewie dmap. Dodano sprawdzenie dla dmt_leafidx w funkcji dbFindLeaf, które obejmuje również strony kontrolne.

W jądrze Linux w sterowniku graficznym AMD (amdgpu) występuje podatność polegająca na wyjściu poza zakres indeksu w funkcji cm_helper_translate_curve_to_degamma_hw_format. Indeks 'i' może przekroczyć liczbę punktów funkcji transferu, co prowadzi do przepełnienia bufora.

W jądrze Linux w systemie plików EROFS wykryto podatność na zakleszczenie (deadlock) spowodowaną przez celowo spreparowane obrazy z nakładającymi się klastrami. Problem prowadzi do zawieszenia zadania (task hang) z powodu nieprawidłowego zarządzania stronami (managed folios) i kolejkowania operacji wejścia/wyjścia.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy wstrzykiwania błędu w sterowniku przed zatrzymaniem kolejki. Problem polega na tym, że sterownik nie zamyka poprawnie master ooo w przypadku zgłoszenia błędu pamięci przez rdzeń akceleratora.

W jądrze Linux w systemie plików f2fs nie oczekiwano na zakończenie wszystkich operacji bezpośredniego zapisu przed usunięciem bloków. Może to prowadzić do nadpisania danych w blokach, które zostały ponownie przydzielone innemu i-węzłowi.

W jądrze systemu Linux zidentyfikowano podatność, która została naprawiona. Dotyczy ona funkcji dbNextAG() oraz diAlloc(), gdzie brak odpowiednich sprawdzeń prowadził do przekroczenia granic pamięci.

W jądrze Linuxa naprawiono podatność związaną z dostępem do tablicy SINF poza jej granicami w kodzie dla laptopów Panasonic. Problem występuje, gdy indeksy przekraczają rozmiar tablicy, co może prowadzić do nieprzewidzianych zachowań systemu.

W jądrze systemu Linux zidentyfikowano podatność związana z obsługą błędów w sterowniku CMA, która pozwalała na uzyskanie mapowania większego niż rozmiar bufora. Problem ten został rozwiązany poprzez poprawienie sprawdzania granic w obsłudze błędów.

W jądrze Linux w module AMD Display wykryto problem z użyciem wartości GPIO_ID_UNKNOWN (-1) jako indeksu tablicy. Brak sprawdzenia tej wartości przed użyciem może prowadzić do odczytu lub zapisu poza zakresem pamięci.

W jądrze Linuxa naprawiono podatność związaną z dostępem do tablicy dc->links[] bez uprzedniego sprawdzenia indeksu link_index. Problem ten mógł prowadzić do nadpisania pamięci oraz wycieków zasobów.

W jądrze Linux w dyscyplinie kolejkowania netem wykryto podatność use-after-free w funkcji netem_dequeue. Gdy pakiet jest przekazywany do wewnętrznej dyscypliny i zwracany jest kod __NET_XMIT_STOLEN, nieaktualizowanie licznika qlen może prowadzić do użycia po zwolnieniu.

W jądrze Linuxa wykryto podatność w module fscache, gdzie timer LRU dla ciasteczek nie jest usuwany podczas wyładowywania modułu. Może to prowadzić do użycia po zwolnieniu pamięci (UAF) po wyładowaniu modułu, gdy timer zostanie wywołany w kontekście przerwania programowego.

W jądrze Linux usunięto funkcję test_run z lwt_seg6local_prog_ops, ponieważ operacje BPF związane z lwt_seg6 mogły być wywoływane przez bpf_test_run() bez wcześniejszego wejścia do input_action_end_bpf(). Testy self test dla BPF_PROG_TYPE_LWT_SEG6LOCAL prawdopodobnie nie działały, ponieważ zmienna per-CPU seg6_bpf_srh_states::srh nie była przypisywana w testach.

W jądrze Linuxa w sterowniku misc: fastrpc występuje podwójne zwolnienie bufora 'buf' w ścieżce błędów funkcji fastrpc_req_mmap(). Bufor jest zwalniany w fastrpc_req_munmap_impl() jeśli unmap się powiedzie, ale na końcu następuje bezwarunkowe wywołanie fastrpc_buf_free(), co prowadzi do podwójnego zwolnienia.

W jądrze Linux w module nvmet-tcp wykryto błąd prowadzący do awarii jądra przy niepowodzeniu alokacji poleceń. Gdy alokacja się nie powiedzie, dereferencja wskaźnika NULL w funkcji nvmet_tcp_release_queue_work powoduje crash.

W jądrze Linux w podsystemie perf/aux wykryto problem z serializacją bufora AUX. Mutex mmap_mutex jest niewystarczający do pełnej serializacji, co może prowadzić do wyścigów i niespójności danych.

W sterowniku USB dwc3 dla platform ST w jądrze Linux wykryto problem z licznikiem referencji urządzenia platformowego podczas obsługi błędów w funkcji probe. Funkcja probe nie alokuje żadnych urządzeń platformowych, więc ścieżka błędu 'undo_platform_dev_alloc' jest błędna i zmniejsza licznik referencji dla badanego urządzenia. Może to prowadzić do niezbalansowanych liczników referencji i przedwczesnego zwolnienia zasobów, co może skutkować użyciem po zwolnieniu (use-after-free).

W jądrze Linuxa, w sterowniku SCSI aacraid, wykryto podwójne zwolnienie pamięci podczas niepowodzenia inicjalizacji (probe). Funkcja aac_probe_one() wywołuje funkcje inicjalizujące specyficzne dla sprzętu, które ostatecznie wywołują aac_init_adapter(). Jeśli aac_init_adapter() zawiedzie po przydzieleniu pamięci dla aac_dev::queues, zwalnia pamięć, ale nie czyści tego pola, co prowadzi do podwójnego zwolnienia w ścieżce błędu.

W jądrze Linux w podsystemie nfsd występuje podatność w obsłudze buforowanych otwartych plików w ścieżce kodu nfsd4_open. Problem obejmuje wyścig, w którym nowo utworzony nfsd_file może mieć wyczyszczony bit PENDING, a wskaźnik nf_file jest nadal zerowy, co może prowadzić do awarii. Dodatkowo może wystąpić wyciek pamięci, gdy istniejący wpis w hash ma ważny nf_file. Poprawka wprowadza nową funkcję nfsd_file_acquirei_opened, która przyjmuje opcjonalny wskaźnik pliku.

W jądrze Linux w funkcji dmam_free_coherent występuje błąd kolejności wywołań, który może prowadzić do użycia po zwolnieniu (use-after-free). Najpierw zwalniana jest alokacja DMA, a następnie usuwany wpis devres, co w przypadku równoczesnych operacji może spowodować zwolnienie niewłaściwego wpisu i wywołanie ostrzeżenia WARN_ON.

W jądrze Linux w sterowniku ath12k występuje nieprawidłowy dostęp do pamięci podczas przetwarzania fragmentowanych pakietów. Pierścień monitora i pierścień reinject współdzielą ten sam indeks maski, co prowadzi do nieprawidłowego dostępu, gdy przetwarzany jest pierścień reinject. Poprawka usuwa maskę pierścienia monitora, ponieważ wsparcie monitora nie jest jeszcze włączone.

W jądrze Linuxa zidentyfikowano podatność związaną z nieprawidłowym usuwaniem atrybutów sysfs przed wywołaniem funkcji dezaktywującej. Może to prowadzić do sytuacji, w której funkcje operujące na danych trigger-data mogą być wywoływane po ich zwolnieniu.

W jądrze Linuxa, w module Landlock, wykryto podatność polegającą na utracie informacji o restrykcjach podczas operacji cred_transfer. Gdy struktura cred procesu jest zastępowana, zwykle wywoływany jest hak cred_prepare, ale w szczególnym przypadku (KEYCTL_SESSION_TO_PARENT) używany jest hak cred_transfer. Landlock implementuje tylko cred_prepare, więc KEYCTL_SESSION_TO_PARENT powoduje utratę wszystkich informacji o restrykcjach Landlock. Poprawka dodaje hak cred_transfer, który robi to samo co cred_prepare.

W jądrze Linux w module cifs, podczas ponawiania podzapytania, funkcja smb2_async_writev() ponownie wybiera serwer, co prowadzi do niezgodności liczników in_flight i ostrzeżeń. Poprawka usuwa ponowny wybór serwera w tej funkcji.

W jądrze Linuxa w sterowniku WiFi mt76 funkcja skb_put jest używana zamiast skb_put_zero, co może prowadzić do potencjalnego ponownego użycia niezainicjalizowanych danych.

W jądrze Linux stwierdzono podatność w stosie Bluetooth, gdzie zbyt duże wartości handle w BIG mogą prowadzić do błędnego zwolnienia identyfikatora IDA w hci_conn_cleanup.