Podatności Linux kernel

W jądrze Linuxa przed wersją 6.3.3 odkryto problem związany z odczytem poza zakresem w funkcji crc16 w pliku lib/crc16.c, wywoływanej z fs/ext4/super.c. Problem wynika z niewłaściwego sprawdzania offsetu w funkcji ext4_group_desc_csum.

Jądro Linux 6.3 zawiera podatność typu use-after-free w funkcji iopt_unmap_iova_range w pliku drivers/iommu/iommufd/io_pagetable.c.

Jądro systemu Linux przed wersją 6.2.9 zawiera warunek wyścigu oraz wynikające z tego wykorzystanie po zwolnieniu pamięci w pliku emac.c, gdy atakujący fizycznie odłączy urządzenie oparte na emac.

Podatność use-after-free w systemie Performance Events jądra Linux może zostać wykorzystana do lokalnej eskalacji uprawnień. Funkcja perf_group_detach nie sprawdzała stanu attach_state rodzeństwa zdarzeń przed wywołaniem add_event_to_groups(), a remove_on_exec umożliwiał wywołanie list_del_event() przed odłączeniem od grupy, co prowadziło do użycia wiszącego wskaźnika.

W jądrze Linux w sterowniku urządzenia udmabuf występuje podatność polegająca na braku odpowiedniej walidacji danych dostarczanych przez użytkownika w procedurze obsługi błędów, co może prowadzić do odczytu pamięci poza końcem tablicy. Może to pozwolić atakującemu na podniesienie uprawnień i wykonanie dowolnego kodu w kontekście jądra.

W jądrze Linuxa wykryto podatność use-after-free w filtrze indeksu ruchu (tcindex). Funkcja tcindex_delete nie dezaktywuje poprawnie filtrów w przypadku idealnych hashów podczas usuwania struktury, co może prowadzić do podwójnego zwolnienia pamięci. Lokalny atakujący może wykorzystać tę lukę do eskalacji uprawnień do roota.

W jądrze Linux w filtrze indeksu ruchu (tcindex) stwierdzono podatność use-after-free, która umożliwia eskalację uprawnień. Niedoskonały obszar skrótu może być aktualizowany podczas przesyłania pakietów, co prowadzi do use-after-free przy wywołaniu tcf_exts_exec() ze zniszczonym tcf_ext.

W jądrze Linux występuje podatność use-after-free w mechanizmie io_uring podczas operacji IORING_OP_SPLICE. Brak flagi IO_WQ_WORK_FILES powoduje, że operacja nie zwiększa licznika referencji current->nsproxy, co może prowadzić do nieprawidłowego jego zmniejszenia i w konsekwencji do use-after-free.

W jądrze Linux w KVM: nVMX występuje regresja umożliwiająca ataki typu Spectre v2. L2 może przeprowadzić ataki Spectre v2 na L1, ponieważ L1 myśli, że nie potrzebuje retpolines lub IBPB po uruchomieniu L2 z powodu reklamowania eIBRS przez KVM (L0). Atakujący w L2 z możliwością wykonywania kodu może wykonać kod na pośredniej gałęzi na hoście. Zalecane jest uaktualnienie do jądra 6.2 lub zastosowanie odpowiednich backportów.

W jądrze Linux do wersji 6.0.9 w pliku drivers/media/dvb-core/dvbdev.c występuje użycie po zwolnieniu (use-after-free) związane z dynamicznym przydzielaniem fops przez dvb_register_device.

W jądrze Linux zidentyfikowano podatność w funkcji __mtk_ppe_check_skb pliku drivers/net/ethernet/mediatek/mtk_ppe.c, w komponencie Ethernet Handler. Manipulacja prowadzi do użycia po zwolnieniu (use-after-free). Łatka jest dostępna, ale żadna wydana wersja jądra nie była dotknięta tą podatnością.

W jądrze Linux do wersji 4.19.316/5.4.278/5.10.220/5.15.161 wykryto podatność w funkcjach tcp_getsockopt/tcp_setsockopt komponentu TCP Handler. Manipulacja prowadzi do wyścigu (race condition) o wysokiej złożoności i trudnej eksploatacji. Łatki dostępne w nowszych wersjach jądra.

W jądrze Linux do wersji 5.10.162/5.15.85/6.0.15/6.1.1 znaleziono podatność w komponencie libbpf, w funkcji btf_dump_name_dups pliku tools/lib/bpf/btf_dump.c. Manipulacja prowadzi do użycia po zwolnieniu (use-after-free). Problem rozwiązano w wersjach 5.10.163, 5.15.86, 6.0.16, 6.1.2 i 6.2.

Podatność w logice funkcji inode_init_owner() w jądrze Linux (fs/inode.c) umożliwia lokalnym użytkownikom tworzenie plików w systemie plików XFS z niezamierzoną grupą właścicielską oraz z ustawionymi bitami grupowego wykonania i SGID, w scenariuszu, gdy katalog jest SGID i należy do grupy, do której użytkownik nie należy. Może to prowadzić do nadmiernych uprawnień.

Odkryto problem w jądrze Linuksa do wersji 5.18.3 na platformach powerpc 32-bitowych. Występuje przepełnienie bufora w funkcjach ptrace PEEKUSER i POKEUSER (znanych jako PEEKUSR i POKEUSR) podczas dostępu do rejestrów zmiennoprzecinkowych.

W jądrze Linux w funkcji nfcmrvl_nci_unregister_dev() w drivers/nfc/nfcmrvl/main.c występuje błąd use-after-free, który może prowadzić do odczytu lub zapisu po zwolnieniu pamięci, gdy procedura czyszcząca nie jest zsynchronizowana z procedurą pobierania firmware.

W jądrze Linux znaleziono podatność w funkcji pfkey_register w net/key/af_key.c. Pozwala ona lokalnemu, nieuprzywilejowanemu użytkownikowi uzyskać dostęp do pamięci jądra, co prowadzi do awarii systemu lub wycieku wewnętrznych informacji jądra.

W jądrze Linux przed wersją 5.17.3 w pliku fs/io_uring.c występuje użycie po zwolnieniu (use-after-free) spowodowane wyścigiem w timeoutach io_uring. Może to być wywołane przez lokalnego użytkownika bez dostępu do żadnej przestrzeni nazw użytkowników, jednak wyścig może być wykorzystywany tylko sporadycznie.

W jądrze Linux w funkcji tc_new_tfilter występuje use-after-free, który może pozwolić lokalnemu atakującemu na eskalację uprawnień. Wymaga to przestrzeni nazw użytkownika bez uprawnień.

W jądrze Linux znaleziono wadę w sterowniku GPU i915, która pozwala lokalnemu użytkownikowi na uruchomienie złośliwego kodu na GPU. Może to prowadzić do awarii systemu lub eskalacji uprawnień.

W jądrze Linux w systemie plików FUSE znaleziono błąd use-after-free, który może zostać wywołany przez operację write(). Pozwala to lokalnemu użytkownikowi na nieautoryzowany dostęp do danych z systemu plików FUSE, co prowadzi do eskalacji uprawnień.

W funkcji btrfs_rm_device w pliku fs/btrfs/volumes.c jądra Linux występuje błąd polegający na wyłuskaniu pustego wskaźnika (NULL pointer dereference). Wywołanie błędu wymaga uprawnień CAP_SYS_ADMIN. Luka umożliwia lokalnemu atakującemu doprowadzenie do awarii systemu lub wycieku wewnętrznych informacji jądra. Największe zagrożenie dotyczy dostępności systemu.

W jądrze Linux w sterowniku NFC st21nfca (plik drivers/nfc/st21nfca/se.c) funkcja st21nfca_connectivity_event_received zawiera przepełnienia bufora w EVT_TRANSACTION z powodu niezaufanych parametrów długości. Podatność występuje do wersji 5.16.12.

W implementacji IPv6 w jądrze Linux przed wersją 5.13.3, w pliku net/ipv6/output_core.c występuje wyciek informacji z powodu użycia tablicy haszującej, która nie uwzględnia, że atakujący IPv6 mogą wybierać spośród wielu adresów źródłowych.

W jądrze Linux do wersji 5.15.11 istnieje use-after-free w drivers/tee/tee_shm.c w podsystemie TEE. Występuje to z powodu wyścigu w tee_shm_get_from_id podczas próby zwolnienia obiektu pamięci współdzielonej.

W jądrze Linux przed wersją 5.14.6 odkryto problem w funkcji aspeed_lpc_ctrl_mmap w sterowniku Aspeed LPC. Lokalni atakujący mający dostęp do interfejsu sterowania Aspeed LPC mogą nadpisywać pamięć jądra i potencjalnie uzyskać uprawnienia. Problem wynika z porównania wartości, które nie są rozmiarami pamięci.

W jądrze Linux przed wersją 5.14.12, funkcja prealloc_elems_and_freelist w kernel/bpf/stackmap.c pozwala nieuprzywilejowanym użytkownikom na wywołanie przepełnienia liczb całkowitych w eBPF, co prowadzi do zapisu poza zakresem.

W jądrze Linux do wersji 5.13.13 w podsystemie ext4 w pliku fs/ext4/inline.c w funkcji ext4_write_inline_data_end odkryto wyścig (race condition).

W jądrze Linux do wersji 5.13.8 w pliku kernel/bpf/hashtab.c występuje przepełnienie liczby całkowitej i zapis poza granicami, gdy wiele elementów jest umieszczanych w jednym zasobniku. Uwaga: wykorzystanie może być niepraktyczne bez uprawnień CAP_SYS_ADMIN.

Złośliwy lub błędny frontend sieci PV może wymusić na netbacku Linuksa wyłączenie interfejsu i zakończenie wątku jądra związanego z kolejką 0, co prowadzi do użycia po zwolnieniu (use-after-free) podczas niszczenia backendu.

W sterowniku Nosy w jądrze Linux znaleziono błąd, który pozwala na dwukrotne wstawienie urządzenia do listy dwukierunkowej, co prowadzi do użycia po zwolnieniu (use-after-free) po usunięciu jednego z tych urządzeń. Zagrożenie dotyczy poufności, integralności i dostępności systemu. Dotyczy wersji przed 5.12-rc6.

W jądrze Linux przed wersją 5.12.4 w pliku net/bluetooth/hci_event.c występuje użycie po zwolnieniu (use-after-free) podczas niszczenia hci_chan, co prowadzi do zapisu dowolnej wartości.

Jądro Linux przed wersją 5.11.14 ma use-after-free w cipso_v4_genopt w net/ipv4/cipso_ipv4.c, ponieważ liczenie referencji dla definicji DOI w CIPSO i CALIPSO jest nieprawidłowe. Prowadzi to do zapisu dowolnej wartości.

Podatność use-after-free w gniazdach NFC w jądrze Linuksa przed wersją 5.12.4 umożliwia lokalnym atakującym eskalację uprawnień. W typowych konfiguracjach problem może być wykorzystany tylko przez uprzywilejowanego użytkownika z możliwością CAP_NET_RAW.

W jądrze Linux przed wersją 5.12 znaleziono błąd w API KVM. Wartość internal.ndata jest mapowana na indeks tablicy i może być aktualizowana przez proces użytkownika w dowolnym momencie, co może prowadzić do zapisu poza granicami. Największe zagrożenie dotyczy integralności danych i dostępności systemu.

W jądrze Linux w implementacji gniazd SCTP (net/sctp/socket.c) przed wersją 5.12-rc8 występuje wyścig. Jeśli funkcja sctp_destroy_sock zostanie wywołana bez blokady addr_wq_lock, element jest usuwany z listy auto_asconf_splist bez odpowiedniego blokowania. Może to zostać wykorzystane przez atakującego z uprawnieniami usługi sieciowej do eskalacji do roota lub przez nieuprzywilejowanego użytkownika, jeśli dołączony jest BPF_CGROUP_INET_SOCK_CREATE blokujący tworzenie niektórych gniazd SCTP.

W module f2fs jądra Linux (plik fs/f2fs/node.c) przed wersją 5.12.0-rc4 występuje błąd dostępu do pamięci poza zakresem (OOB) z powodu nieprawidłowego sprawdzania granic. Lokalny atakujący może uzyskać dostęp do pamięci poza zakresem, co prowadzi do awarii systemu lub wycieku wewnętrznych informacji jądra.

W jądrze Linux do wersji 5.11.3 struktury danych iSCSI nie mają odpowiednich ograniczeń długości, co pozwala nieuprzywilejowanemu użytkownikowi wysłać wiadomość Netlink o długości do maksymalnej wartości.

W jądrze Linux do wersji 5.11.3 włączono podatność w sterowniku SCSI (drivers/scsi/scsi_transport_iscsi.c). Nieuprzywilejowany użytkownik może tworzyć złośliwe wiadomości Netlink, co negatywnie wpływa na działanie systemu.

W sterowniku jądra dla surowego MIDI (rawmidi) wykryto brak ochrony przed współbieżnym dostępem, co prowadzi do podwójnego zwolnienia pamięci w funkcjach snd_rawmidi_input_params() i snd_rawmidi_output_status() w pliku rawmidi.c. Lokalny atakujący może wykorzystać tę podatność do eskalacji uprawnień.

Jądro Linuxa przed wersją 2.3.18 lub 2.2.13pre15 z opcjami SLIP i PPP umożliwia lokalnym użytkownikom bez uprawnień fałszowanie pakietów IP za pomocą opcji TIOCSETD na urządzeniach tty.

Linux w wersji 2.1.132 i wcześniejszych umożliwia lokalnym użytkownikom spowodowanie odmowy usługi (wyczerpanie zasobów) poprzez odczyt dużego bufora z losowego urządzenia (np. /dev/urandom), co nie może być przerwane do momentu zakończenia odczytu.