Podatności Linux kernel

W jądrze Linuxa w netfilter flowtable funkcja nf_flow_ip4_tunnel_proto() nie sprawdza poprawności pola iph->ihl przed użyciem go do obliczenia rozmiaru nagłówka, co może prowadzić do odczytu poza zakresem przy złośliwych nagłówkach IP. Poprawka dodaje walidację pola ihl oraz używa iph->protocol zamiast stałej IPPROTO_IPIP przy ustawianiu ctx->tun.proto, a także odnosi się do ctx->tun.hdr_size przy aktualizacji ctx->offset.

W jądrze Linux w architekturze s390/mm występuje problem z bitem _PAGE_UNUSED. Bit ten nie jest czyszczony w niektórych ścieżkach ustawiania pte, co może prowadzić do uszkodzenia pamięci gościa.

W jądrze Linux w podsystemie geneve naprawiono podatność polegającą na tym, że funkcja geneve_gro_complete() nie sprawdzała flagi gs->gro_hint, co pozwalało atakującemu na dostarczenie spreparowanego pakietu z opcją hint, prowadząc do odczytu poza granicami bufora (KASAN: slab-out-of-bounds). Poprawka polega na uwzględnieniu flagi gs->gro_hint również w ścieżce complete.

W jądrze Linux w podsystemie geneve naprawiono podatność polegającą na tym, że funkcja geneve_gro_complete() nie walidowała wewnętrznego przesunięcia sieciowego, co mogło prowadzić do odczytu poza granicami bufora. Poprawka dodaje sprawdzenie, czy obliczone przesunięcie nie przekracza zarejestrowanego wewnętrznego nagłówka sieciowego.

W jądrze Linux w sterowniku enetc nie sprawdzana jest liczba fragmentów (BD) potrzebnych dla xdp_frame. Tablica xdp_redirect_arr ma rozmiar ENETC_MAX_SKB_FRAGS, ale liczba fragmentów w xdp_frame może być większa lub równa tej wartości, co prowadzi do odczytu poza granicami tablicy.

W jądrze Linux w protokole SCTP, gdy uwierzytelnianie cookie jest wyłączone, INIT po rozpakowaniu z cookie nie jest ponownie weryfikowany. Może to pozwolić na przetworzenie sfałszowanych danych. Dodano weryfikację INIT po rozpakowaniu oraz sprawdzenie typu fragmentu w cookie.

W jądrze Linux w sterowniku fbnic, funkcja fbnic_tx_lso() wywołuje skb_cow_head(), która może ponownie przydzielić skb, w tym współdzielone informacje. Wskaźnik obliczony przed wywołaniem staje się nieaktualny, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linuxa wykryto podatność use-after-free w module ksmbd (serwer SMB). Problem dotyczy wyścigu między odczytem pola fp->owner.name podczas porównywania właściciela uchwytu trwałego a jego zwolnieniem w ścieżce ponownego otwarcia. Atakujący może wykorzystać ten błąd do uzyskania nieautoryzowanego dostępu lub wywołania awarii systemu.

W jądrze Linux w module netfs, funkcja netfs_create_write_req() pomija buforowanie, jeśli cookie fscache jest wyłączone, ale to może być problematyczne, ponieważ asynchroniczne tworzenie obiektu cache może nie być jeszcze zakończone. Poprawka usuwa sprawdzanie cookie i deleguje to do fscache_begin_write_operation().

W jądrze Linux w module netfs występuje problem z synchronizacją (barriering) podczas przeglądania listy podżądań (subrequest list) w operacji ponawiania. Istnieje możliwość zobaczenia podżądania, które właśnie zostało dodane przez wątek aplikacji.

W jądrze Linux w module GUE występuje podatność polegająca na braku walidacji długości prywatnej opcji REMCSUM. Funkcja guehdr_priv_flags_len() zwraca 0 nawet gdy ustawiona jest flaga GUE_PFLAG_REMCSUM, co pozwala na przepuszczenie nieprawidłowych pakietów i odczyt brakujących pól z kolejnych bajtów.

W jądrze Linux w module netfilter ip6tables występuje problem z obsługą nieprawidłowych nagłówków rozszerzeń IPv6. Dla dopasowań ah, hbh i rt brakuje lub są nieaktualne sprawdzenia deklarowanej długości nagłówka. Poprawka dodaje brakujące sprawdzenie dla ah oraz aktualizuje sprawdzenia dla hbh i rt, a także ustawia hotdrop na true, aby zrzucać nieprawidłowe pakiety.

W jądrze Linux w sterowniku qede występuje błąd off-by-one w konsumpcji deskryptorów BD podczas niepowodzenia budowy skb. Funkcje qede_rx_build_skb() i qede_tpa_rx_build_skb() nie sprawdzają, czy qede_build_skb() zwróciła NULL, co prowadzi do nadmiernego zużycia BD i desynchronizacji pierścienia BD, mogącej skutkować uszkodzeniem liczników referencji DMA i korupcją listy SLUB.

W jądrze Linux w sterowniku liquidio występuje problem z przechowywaniem wskaźników do struktur pci_dev dla funkcji wirtualnych (VF) bez odpowiedniego odniesienia. Może to prowadzić do użycia po zwolnieniu (use-after-free) podczas obsługi żądań FLR.

W jądrze Linux w module IPv4 IGMP występuje wyścig (race condition) między usuwaniem urządzenia a przetwarzaniem zapytań IGMP, co może prowadzić do użycia po zwolnieniu (use-after-free) w funkcji igmp_gq_start_timer().

W jądrze Linux w module IPv6 MLD występuje wyścig (race condition) między usuwaniem urządzenia a przetwarzaniem zapytań MLD, co może prowadzić do użycia po zwolnieniu (use-after-free) w opóźnionej pracy MLD.

W jądrze Linux w module netfilter nft_lookup występuje błąd w obsłudze elementów catchall przy odwróconych wyszukiwaniach. Zmienna 'found' nie jest przeliczana po zastąpieniu 'ext' przez wyszukiwanie catchall, co może prowadzić do błędnego dopasowania lub pominięcia elementu catchall w przypadku zapytań z negacją.

W jądrze Linux w module IPVS występuje problem z zapewnieniem, że wewnętrzne nagłówki w błędach ICMP znajdują się w headroom skb. Po usunięciu zewnętrznych nagłówków za pomocą pskb_pull(), wewnętrzne nagłówki IP mogą nie być dostępne dla funkcji takich jak ipv4_update_pmtu(), icmp_send() i IP_VS_DBG(). Dodano również dodatkowe sprawdzenia długości wewnętrznych nagłówków.

W jądrze Linux w module cifs występuje podatność polegająca na braku walidacji przesunięć łańcuchów w odpowiedziach DFS. Złośliwy serwer może podać przesunięcia wskazujące poza bufor odpowiedzi, co prowadzi do odczytu poza zakresem pamięci podczas przetwarzania nazw ścieżek.

W jądrze Linux w podsystemie SUNRPC wykryto podatność use-after-free w ścieżce połączenia TLS. Nic nie utrzymuje referencji do górnego rpc_clnt podczas opóźnionego connect_worker, co może prowadzić do odwołania do zwolnionej pamięci, gdy połączenie TLS nie powiedzie się (np. błąd mTLS).

W jądrze Linux w podsystemie TIPC wykryto podatność polegającą na tym, że punkt śledzenia (tracepoint) w funkcji tipc_sk_enqueue() zrzucał zawartość kolejki sk_receive_queue, do której dostęp nie był chroniony przez spinlock. Może to prowadzić do odwołania do zwolnionej pamięci (use-after-free) zgłaszanego przez KASAN. Poprawka ogranicza zrzuty tylko do kolejki chronionej spinlockiem.

W jądrze Linux w funkcji ife_decode() nie gwarantuje się, że wewnętrzny nagłówek Ethernet jest dostępny w liniowym obszarze danych, co może prowadzić do awarii przy złośliwych ramkach IFE.

W jądrze Linux dla KVM na architekturze s390 w funkcji try_get_locked_pte() występował mało prawdopodobny wyścig, który mógł wystąpić, gdy wpisy puds lub pmds zostały odmapowane między wywołaniami p?dp_get() i p?d_offset(). Poprawka eliminuje ten wyścig.

W jądrze Linux dla KVM na architekturze arm64 w funkcji vgic_prune_ap_list() występował problem podczas migracji przerwania do innego vCPU. Po ponownym uzyskaniu blokad sprawdzano tylko powinowactwo, ale nie sprawdzano, czy przerwanie nadal należy do tego vCPU. Poprawka dodaje sprawdzenie irq->vcpu == vcpu przed przeniesieniem.

W jądrze Linux dla KVM na architekturze arm64 w vgic_prune_ap_list() występował wyścig między zmianą powinowactwa przerwania a wyłączeniem LPI, co mogło prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na przechwyceniu referencji na przerwanie przed zwolnieniem blokad oraz na niestosowaniu migracji bitu oczekującego.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) mapowanie L1 VNCR do stage-1 hosta nie uwzględniało tylko-do-odczytu stron (PFN). Poprawka buforuje informację o zapisywalności PFN i ogranicza uprawnienia mapowania, co również naprawia wyciek strony.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) przy błędzie strony VNCR nie dokonywano ponownego tłumaczenia adresu. Poprawka unieważnia wpis TLB VNCR i ponownie pobiera tłumaczenie, aby umożliwić mapowanie do zapisu przy drugiej próbie.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) podczas konstruowania mapowania L1 VNCR używano atrybutów pamięci cacheable nawet dla stron niebędących pamięcią. Poprawka odrzuca wszystko, co nie jest normalną pamięcią, aby uniknąć błędów SError.

W jądrze Linuxa w module netfilter nf_nat_sip występuje podatność na użycie nieaktualnego wskaźnika danych po realokacji bufora. Może to prowadzić do uszkodzenia nagłówków pakietów.

W jądrze Linuxa w module netfilter flowtable występuje podatność na użycie trasy z przeciwnego kierunku podczas dodawania nagłówka IPIP. Może to prowadzić do nieprawidłowego obliczenia headroom i ustawienia pól.

W jądrze Linuxa w module netfilter flowtable występuje podatność na awarię podczas transmisji tunelu IPIP z bezpośrednim wysłaniem (direct xmit). Brak dst_entry prowadzi do nieprawidłowego użycia dst i może spowodować awarię.

W jądrze Linux w podsystemie x86/virt/sev cofnięto wcześniejszą poprawkę dotyczącą WBINVD przed ustawieniem MSR_AMD64_SYSCFG_SNP_EN. Przywrócono wywołanie wbinvd_on_all_cpus() przed SNP_INIT_EX, aby spełnić wymagania specyfikacji SNP dotyczące czystych linii cache.

W jądrze Linux w module batman-adv, po wywołaniu pskb_may_pull() przez batadv_get_vid(), bufor skb może zostać ponownie przydzielony. Wskaźnik unicast_packet nie został ponownie przypisany po tej realokacji, co może prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux w module batman-adv, liczba VLAN-ów w TT unicast TVLV jest typu u16 i jest mnożona przez rozmiar struktury batadv_tvlv_tt_vlan_data (8 bajtów). To może spowodować przepełnienie u16, co unieważnia wszystkie dodatkowe sprawdzenia bezpieczeństwa i może prowadzić do odczytu poza zakresem (OOB).

W jądrze Linuxa w podsystemie SUNRPC wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w obsłudze asynchronicznego uzgadniania TLS. Wskaźnik do struktury svc_xprt jest przechowywany bez zwiększenia licznika referencji, co prowadzi do wyścigu, w którym wywołanie zwrotne może zapisywać do już zwolnionej pamięci. Problem występuje na serwerach NFS z włączonym TLS, gdy zamknięcie połączenia nakłada się na dostarczanie odpowiedzi z demona tlshd.

W jądrze Linuxa w module sunrpc wykryto podatność związaną z wyścigiem podczas anulowania uzgadniania TLS. Gdy funkcja wait_for_completion_interruptible_timeout() zwróci timeout lub sygnał, a anulowanie przegra wyścig z zakończeniem uzgadniania, może dojść do podwójnego wywołania procedury uzgadniania lub zerwania połączenia mimo udanego uzgadniania. Problem naprawiono przez oczekiwanie na zakończenie callbacku przed sprawdzeniem flag.

W jądrze Linuxa w podsystemie sunrpc, funkcja svc_release_rqst() wykonuje wywołanie zwrotne w rqstp->rq_procinfo->pc_release. Jeśli wątek roboczy napotka wczesną ścieżkę błędu przed zainstalowaniem prawidłowego rq_procinfo, nieaktualny hak zwalniający może zostać ponownie wywołany na ponownie użytym stanie z poprzedniego RPC, co prowadzi do podwójnego zwolnienia lub użycia po zwolnieniu. Poprawka wzmacnia cykl życia rq_procinfo poprzez czyszczenie go po wywołaniu pc_release, czyszczenie przy wejściu do svc_process() i svc_process_bc().

W jądrze Linux w module SUNRPC funkcja xdr_buf_to_bvec() zapisuje dane do tablicy przed sprawdzeniem, czy indeks jest w zakresie, co może prowadzić do zapisu poza granicami tablicy. Tablica rq_bvec przekazywana przez nfsd_vfs_write() jest alokowana bez zapasu, więc zapis poza zakres może naruszyć sąsiednią pamięć.

W jądrze Linux w module ntfs występuje problem z kolejnością operacji podczas powiększania katalogu głównego indeksu. Większy nagłówek jest publikowany przed zmianą rozmiaru wartości rezydentnej, co może prowadzić do przejściowego stanu uznawanego za uszkodzony, gdy zmiana rozmiaru nie powiedzie się.

W jądrze Linux w module ntfs występuje błąd off-by-one w sprawdzaniu granic podczas dekompresji par mapowań. Ścisłe porównanie większości pozwala na odczyt jednego bajtu poza granicami atrybutu, gdy dane kończą się dokładnie na granicy.

W jądrze Linuxa wykryto podatność w systemie plików NTFS, gdzie funkcje ntfs_attr_find() i ntfs_external_attr_find() nie walidują poprawnie długości pól w atrybutach rezydentnych o zmiennej długości. Specjalnie spreparowany obraz dysku może wykorzystać tę wadę do odczytu poza granicami bufora (slab-out-of-bounds) podczas operacji wyszukiwania nazw plików.

W jądrze Linux w systemie plików NTFS dodano kontrolę granic przed dostępem do wpisów EA (rozszerzonych atrybutów). W funkcjach ntfs_ea_lookup i ntfs_listxattr sprawdzane jest, czy w wpisie EA jest wystarczająco dużo miejsca przed odczytaniem pola next_entry_offset.

W jądrze Linux w systemie plików NTFS zmieniono zachowanie tak, aby nie konwertować atrybutu $DATA o zerowej długości na atrybut nieresydentny. Wcześniej, gdy nie można było powiększyć atrybutu rezydentnego, konwertowano inne atrybuty rezydentne na nieresydentne, ale teraz pomijane są atrybuty $DATA o zerowej długości, ponieważ fsck traktuje takie nieresydentne atrybuty jako uszkodzone.

W jądrze Linux w systemie plików NTFS zaostrzono walidację nagłówka bloku indeksu. Funkcja ntfs_index_block_inconsisent() została zmodyfikowana, aby dokładniej sprawdzać geometrię INDEX_HEADER w blokach INDX, a funkcja ntfs_lookup_inode_by_name() używa tej funkcji do walidacji bloków INDX.

W jądrze Linux w systemie plików NTFS dodano walidację wpisów indeksu podczas ich odczytu. Wpisy indeksu są teraz sprawdzane natychmiast po odczytaniu korzenia indeksu lub bloku indeksu z dysku, co eliminuje powtarzające się sprawdzenia w funkcjach lookup i readdir oraz zmniejsza ryzyko pominięcia kontroli w tych ścieżkach.

W jądrze Linux w systemie plików NTFS wykrywane jest przepełnienie akumulatora LCN w parserze mapowania par. Parser akumuluje względne delty LCN w liczbie całkowitej ze znakiem, a uszkodzony atrybut może spowodować przekroczenie zakresu reprezentowalnych wartości. Dodano sprawdzenie przepełnienia przed zapisaniem kolejnego przebiegu.

W jądrze Linux w systemie plików NTFS dodano walidację rezydentnych wartości $INDEX_ROOT podczas wyszukiwania. Wartości rezydentne $INDEX_ROOT zawierają pola nagłówka indeksu, które są używane po wyszukiwaniu. Dodano walidację pól nagłówka przed zwróceniem atrybutu, wymagając wyrównania do 8 bajtów, sensownego entries_offset, index_length w granicach allocated_size, allocated_size w granicach wartości rezydentnej oraz wystarczającej przestrzeni na nagłówek wpisu indeksu.

W jądrze Linuxa w systemie plików NTFS3 funkcja indx_find_buffer nie miała limitu głębokości rekurencji, co mogło prowadzić do przepełnienia stosu jądra. Poprawka dodaje parametr głębokości i zabezpieczenie przed przekroczeniem limitu.

W jądrze Linux w systemie plików NTFS3 wykryto podatność polegającą na zapisie poza przydzielony bufor podczas przenoszenia wpisów z pełnego katalogu głównego $INDEX_ROOT do nowego bufora indeksu. Atakujący może wykorzystać spreparowany obraz NTFS, aby spowodować kopiowanie danych sterowanych przez atakującego poza przydzieloną pamięć, co prowadzi do uszkodzenia sterty.

W jądrze Linux w systemie plików NTFS3 wykryto podatność umożliwiającą zapis poza zakresem pamięci. Problem wynika z braku walidacji przesunięcia punktu podziału w funkcji indx_insert_into_buffer, co przy specjalnie spreparowanym obrazie NTFS prowadzi do przepełnienia licznika i zapisu poza buforem, powodując awarię jądra.