Podatności Linux kernel

W jądrze Linux w systemie plików NTFS funkcja ntfs_lookup_inode_by_name() zwraca odwołania MFT odczytane z wpisów indeksu katalogu na dysku, które mogą być niegodne zaufania. Funkcja może zwrócić odwołanie MFT oznaczone jako błąd bez jego walidacji, co prowadzi do błędnej interpretacji przez wywołujących. Poprawka normalizuje wszystkie takie odwołania do ERR_MREF(-EIO) we wszystkich czterech ścieżkach zwracania wyników.

W jądrze Linux w systemie plików NTFS pliki systemowe, takie jak $Bitmap, mogą być zapisywane z przestrzeni użytkownika, co prowadzi do uszkodzenia woluminu i zakleszczenia zapisu zwrotnego. Poprawka oznacza bazowe pliki metadanych jako niezmienne (immutable) podczas odczytu i-węzła, aby VFS odrzucał zapis, mmap, truncate i unlink z błędem -EPERM.

W jądrze Linux w systemie plików NTFS funkcja ntfs_map_runlist_nolock() może napotkać atrybut rezydentny tam, gdzie oczekiwany jest atrybut nierezydentny, co wcześniej wywoływało tylko WARN_ON i prowadziło do odczytu niewłaściwego pola unii. Poprawka zastępuje WARN_ON zwróceniem błędu -EIO, co powoduje odrzucenie spreparowanego obrazu podczas montowania.

W jądrze Linuxa wykryto podatność w funkcji tcp_connect() dotyczącą protokołu TCP i mechanizmu MD5. Podczas nawiązywania połączenia, w jednej z gałęzi kodu, obiekt tcp_md5sig_info oraz klucze tcp_md5sig_key są zwalniane bez zachowania okresu RCU, co prowadzi do wyścigu (race condition) z czytelnikami działającymi w kontekście przerwania (softirq). Skutkiem jest użycie po zwolnieniu (use-after-free) pamięci kluczy MD5.

W jądrze Linux w module xfrm występuje problem podwójnego zwolnienia (double free) w funkcji nat_keepalive_send(). Gdy funkcja pomocnicza IPv4 lub IPv6 zgłosi błąd, pakiet keepalive jest zwalniany, ale jeśli pakiet został już przekazany do stosu sieciowego, może zostać zwolniony ponownie, co prowadzi do niebezpiecznej operacji.

W jądrze Linux w module nvmet-auth występuje podatność na zapis poza zakresem pamięci (heap out-of-bounds write) w funkcji nvmet_execute_auth_receive(). Funkcja ufa długości alokacji AUTH_RECEIVE, sprawdzając tylko, czy jest niezerowa i zgodna z długością transferu. W stanach SUCCESS1 i FAILURE1, krótki bufor może prowadzić do zapisu poza przydzieloną pamięcią.

W jądrze Linux w module nvmet-rdma występuje problem z obsługą danych inline z niezerowym offsetem. Funkcja nvmet_rdma_use_inline_sg() mapuje offset kontrolowany przez hosta, ale zakłada, że dane zaczynają się na pierwszej stronie inline. Przy offsetach większych niż rozmiar strony może wystąpić niedomiar (underflow) długości, prowadzący do odczytu poza zakresem pamięci.

W jądrze Linux w module dm-verity występuje przepełnienie bufora w obliczeniach FEC. Błąd pozwala na zapis poza granicami tablicy lambda w dekoderze RS, co może uszkodzić bufor syndromu. Poprawka naprawia to przepełnienie.

W jądrze Linux w sterowniku scsi: xen: scsiback na ścieżkach błędów przed przesłaniem polecenia występuje podwójne zwolnienie (double-put) se_cmd, którego refcount jest 0, co prowadzi do niedomiaru refcount i wycieku tagu. Poprawka dodaje pomocniczą funkcję zwracającą tylko tag i wysyłającą odpowiedź błędu.

W jądrze Linuxa wykryto podatność w podsystemie SCSI target, dotyczącą analizy bufora poleceń PERSISTENT RESERVE OUT. Funkcje parsujące identyfikator TransportID nie otrzymywały informacji o długości bufora, co umożliwiało odczyt poza jego granicami (out-of-bounds) przez nieprawidłowo sformułowany identyfikator iSCSI. Problem jest osiągalny przez każdy interfejs dostarczający polecenia PR OUT do urządzenia eksportowanego przez iSCSI TPG, w tym przez vhost-scsi.

W jądrze Linux wykryto podatność use-after-free w podsystemie SCSI target, dotyczącą operacji REGISTER AND MOVE w Persistent Reserve Out. Problem wynika z użycia wskaźnika do zmapowanego bufora po jego odmapowaniu, co może prowadzić do odczytu zwolnionej pamięci.

W jądrze Linux w mechanizmie blokad RT występuje podatność use-after-free spowodowana nieprawidłową ochroną RCU w funkcji rt_spin_unlock(). Funkcja ta zwalnia ochronę RCU przed odblokowaniem blokady, co umożliwia scenariusz wyścigu prowadzący do użycia zwolnionej pamięci.

W jądrze Linux w sterowniku net: mana występuje brak walidacji długości pakietu zgłaszanej przez kartę sieciową (NIC) w RX CQE. Długość ta jest przekazywana do przetwarzania skb bez weryfikacji, co może prowadzić do błędów.

W jądrze Linux w sterowniku net: mana występuje brak synchronizacji DMA dla fragmentów stron z puli stron (page pool) w ścieżce odbioru. Gdy bufory RX są alokowane z fragmentów puli stron, nie są one synchronizowane dla CPU przed przekazaniem do stosu sieciowego, co może powodować problemy w konfiguracjach wymagających jawnej synchronizacji DMA.

W jądrze Linux wykryto podatność w sterowniku GVE (Google Virtual Ethernet) dotyczącą uszkodzenia bufora nagłówka przy włączonych funkcjach header-split i HW-GRO. Problem wynika z nieprawidłowego indeksowania buforów nagłówka według pozycji w kolejce zamiast według identyfikatora bufora, co przy przetwarzaniu pakietów poza kolejnością prowadzi do odczytu niewłaściwego nagłówka oraz ponownego użycia bufora, który jest nadal używany przez urządzenie.

W jądrze Linux w podsystemie ESPINTCP występuje podatność związana z częściowym wysyłaniem danych. Użycie sk_msg_free_partial() zapewnia spójność skmsg w każdej iteracji, upraszczając kod i naprawiając błędy w księgowaniu skmsg, gdy nie wysyłamy całej zawartości.

W jądrze Linux w systemie plików orangefs występuje podatność polegająca na przechowywaniu rozmiaru wpisu katalogu w 32-bitowej zmiennej, co może prowadzić do zawinięcia wartości i ominięcia kontroli granic, skutkując odczytem poza zakresem i paniką jądra.

W jądrze Linux w funkcji ip_vs_conn_new() nie są resetowane pełne struktury ip_vs_seq, co może prowadzić do użycia nieinicjalizowanych danych z pamięci podręcznej. Poprawka resetuje oba człony struct ip_vs_seq przed opublikowaniem połączenia, aby zapobiec uszkodzeniu przepływu TCP.

W jądrze Linux w module DRBD występuje podatność polegająca na braku odrzucania odpowiedzi danych z nieprawidłowym rozmiarem ładunku. Złośliwy lub przechwycony peer DRBD może wysłać odpowiedź z ujemną wartością rozmiaru, co prowadzi do kopiowania danych poza stronę bio i uszkodzenia pamięci jądra.

W jądrze Linux w IPVS występują błędy w obliczaniu offsetów transportowych IPv6. Kod aplikacji TCP zakładał nagłówek IPv4, co może powodować problemy z aplikacjami przez IPv6. Poprawiono również offset nagłówka ICMPV6.

W jądrze Linux w IPVS, po wywołaniu skb_ensure_writable(), które może ponownie przydzielić skb->head, nie przeładowywano wskaźnika do nagłówka IP, co może prowadzić do użycia nieaktualnego wskaźnika.

W jądrze Linux w serwerze ksmbd (SMB) operacje FSCTL takie jak SET_SPARSE, SET_ZERO_DATA i SET_COMPRESSION działają na otwartym uchwycie SMB, ale wywołują pomocnicze funkcje VFS z bieżącymi poświadczeniami wątku roboczego ksmbd. To może prowadzić do ponownej walidacji uprawnień inode, własności i polityki LSM niezależnie od maski dostępu uchwytu SMB. Poprawka uruchamia każdą operację z poświadczeniami przechwyconymi w pliku docelowym podczas otwierania uchwytu.

W jądrze Linux w serwerze ksmbd występuje brak walidacji minimalnego rozmiaru PDU dla żądań transformacji. Pakiet z SMB2_TRANSFORM_PROTO_NUM omija sprawdzenie, co może prowadzić do odczytu poza przydzieloną pamięcią i ujawnienia danych nieuwierzytelnionemu klientowi.

W jądrze Linux w podsystemie xfrm występuje podatność polegająca na nieaktualnym wskaźniku skb->prev po tym, jak asynchroniczne krypto przechwyci segment GSO. Gdy ostatni segment jest przechwytywany, wskaźnik ->prev głowy listy nie jest aktualizowany, co prowadzi do zapisu przez zwisający wskaźnik (use-after-free) w validate_xmit_skb_list(). Poprawka polega na ponownym ustawieniu skb->prev na ostatni zachowany segment przed zwróceniem.

W jądrze Linux w kliencie SMB (smb/client) występuje podatność w funkcji fallocate, która może pomijać dziury (holes) w plikach, gdy serwer zwraca zakres przydzielony zaczynający się przed bieżącym offsetem. Prowadzi to do sytuacji, w której późniejszy zapis do pominiętego obszaru może zakończyć się błędem ENOSPC.

W jądrze Linux na architekturze s390 występuje podatność w funkcji csum_partial(), która na maszynach bez wektorów oblicza sumę kontrolną z adresu zerowego zamiast z bufora źródłowego. Powoduje to błędne sumy kontrolne.

W jądrze Linux w serwerze SMB (ksmbd) występuje podatność polegająca na użyciu zwolnionej pamięci (use-after-free) podczas asynchronicznego powiadamiania o przerwaniu oplock. Wskaźnik do struktury ksmbd_conn jest przechowywany w asynchronicznym zadaniu bez odpowiedniego zabezpieczenia referencją, co może prowadzić do dostępu do zwolnionej pamięci.

W jądrze Linux w kliencie SMB funkcja parse_dfs_referrals() nie walidowała wartości PathConsumed w odpowiedzi DFS. Złośliwa odpowiedź z zawyżoną wartością PathConsumed może spowodować, że późniejsze parsowanie ścieżki DFS wyjdzie poza jej koniec.

W jądrze Linux w module AMT (Automatic Multicast Tunneling) wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free). Kilka ścieżek odbierania i wysyłania pakietów zapisuje wskaźnik do nagłówka skb, a następnie wywołuje funkcje, które mogą przenieść dane (np. pskb_may_pull), przez co wskaźnik staje się nieaktualny. Atakujący może to wykorzystać do eskalacji uprawnień lub wycieku informacji.

W jądrze Linuxa w podsystemie SCTP funkcja sctp_auth_chunk_verify() zwraca true bezwarunkowo, gdy chunk->auth_chunk jest NULL, pomijając weryfikację uwierzytelniania. Poprawka sprawdza sctp_auth_recv_cid() w takim przypadku i odrzuca chunk, jeśli uwierzytelnianie jest wymagane.

W jądrze Linuxa wykryto podatność w implementacji MPTCP, polegającą na pozostawieniu nieaktualnego wskaźnika skb->sk do zamykanego podprzepływu (subflow). Czyszczenie listy zaległych pakietów (backlog) odbywało się bez odpowiedniej synchronizacji, co mogło prowadzić do użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux w module SCTP gniazda tunelowania UDP nie były zamykane podczas usuwania przestrzeni nazw sieciowych, co mogło prowadzić do wyścigów i nieprawidłowego stanu. Poprawka zamyka te gniazda w funkcji sctp_ctrlsock_exit() po wyrejestrowaniu tabeli sysctl.

W jądrze Linux w funkcji ceph_handle_caps() wykryto podatność na odczyt poza zakresem przed uwierzytelnieniem. Atakujący lub skompromitowany serwer MDS może ustawić długość snaptrace na 0xFFFFFFFF, co prowadzi do odczytu poza buforem wiadomości i dalszych odczytów poza zakresem.

W jądrze Linux w module libceph długość list pg_temp, pg_upmap i pg_upmap_items nie była ograniczana do CEPH_PG_MAX_SIZE, co mogło prowadzić do zapisu poza stosem. Poprawka odrzuca wpisy dłuższe niż 32 podczas dekodowania.

W jądrze Linux w module libceph podczas dekodowania osdmap może wystąpić przepełnienie mnożenia, co prowadzi do nieprawidłowej kontroli granic i odczytów poza pamięcią. Poprawka używa check_mul_overflow() do wykrywania przepełnienia i odrzucania uszkodzonych wiadomości.

W jądrze Linux w module libceph po aktualizacji autoryzatora bufor auth->authorizer_buf może wskazywać na zwolnioną pamięć, co prowadzi do użycia po zwolnieniu. Poprawka odświeża te wskaźniki po przebudowie autoryzatora.

W jądrze Linux w module libceph typ wiadra CRUSH równy 0 był akceptowany, co mogło prowadzić do indeksowania tablicy wag OSD ujemną wartością. Poprawka odrzuca takie typy podczas dekodowania mapy CRUSH.

W jądrze Linux w module phonet (podsystem PEP), funkcja pep_get_sb() nie uwzględnia, że pskb_may_pull() może przenieść dane skb, i nadal używa starego wskaźnika, co prowadzi do użycia po zwolnieniu (use-after-free). Problem został potwierdzony przez KASAN.

W jądrze Linux w podsystemie net/x25 występuje podatność use-after-free w funkcji x25_kill_by_neigh(). Funkcja przeszukuje globalną listę gniazd X.25, ale po zwolnieniu blokady listy nie zabezpiecza czasu życia gniazda. Równoczesne zamknięcie gniazda może usunąć je z listy i zwolnić pamięć, a następnie funkcja używa zwolnionego obiektu. Poprawka dodaje zabezpieczenie przez socker_hold() i ponowne sprawdzenie połączenia.

W jądrze Linuxa wykryto podatność w mechanizmie GRO (Generic Receive Offload), która pozwala na ponowną agregację pakietów oznaczonych flagą flush. Brak walidacji tej flagi w funkcji skb_gro_receive_list() prowadzi do uszkodzenia łańcucha frag_list, co może skutkować awarią systemu (kernel panic) podczas przetwarzania pakietów w ścieżce transmisji.

W jądrze Linuxa w module ILA (Identifier Locator Addressing) po wywołaniu pskb_may_pull() wskaźnik do nagłówka IPv6 może być nieaktualny, co prowadzi do użycia po zwolnieniu. Poprawka przeładowuje wskaźnik po każdym pskb_may_pull().

W jądrze Linux wykryto podatność w sterowniku MCTP serial, gdzie ramka o zerowej długości omija walidację i powoduje zapis poza granicami bufora. Atakujący z uprawnieniami CAP_NET_ADMIN może doprowadzić do przepełnienia bufora i zapisu poza pamięcią.

W jądrze Linuxa w module openvswitch podczas segmentacji pakietów GSO dla akcji userspace może wystąpić niedomiar długości, prowadzący do nieprawidłowego działania skb_zerocopy(). Poprawka przechowuje maksymalną zachowaną długość i ogranicza konsumentów.

W jądrze Linux w funkcji tipc_sk_create() podczas nieudanego wstawienia nowego gniazda TIPC, wskaźnik sock->sk nie jest zerowany, co prowadzi do użycia po zwolnieniu (use-after-free) w ścieżce accept(). Problem występuje, gdy tablica mieszająca gniazd osiągnie maksymalny rozmiar (około 2 milionów gniazd w przestrzeni nazw sieci).

W jądrze Linuxa w serwerze ksmbd (SMB) występuje podatność polegająca na błędnym rozwiązywaniu ścieżek w funkcji ksmbd_vfs_kern_path_create. Atakujący może wykorzystać składnik '..' do wyjścia poza udostępniony zasób, co prowadzi do eskalacji uprawnień lub nieautoryzowanego dostępu.

W jądrze Linux w funkcji decode_lockers() w libceph wykryto dwie niebezpieczne operacje dekodowania, które pozwalają złośliwemu lub skompromitowanemu serwerowi OSD na wywołanie odczytów poza granicami bufora (slab-out-of-bounds). Brak kontroli granic przed odczytem liczby zamków (num_lockers) oraz typu zamka (type) może prowadzić do nieautoryzowanego odczytu pamięci. Luka została naprawiona przez zastąpienie niebezpiecznych operacji bezpiecznymi wariantami z kontrolą granic.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci (double-free) w funkcji SMB2_close() podczas powtarzania żądania. Jeśli odpowiedź zwróci błąd możliwy do powtórzenia i zwolni bufor odpowiedzi, a następnie inicjalizacja SMB2_close_init() nie powiedzie się przed kolejnym wysłaniem, bufor zostanie zwolniony ponownie.

W jądrze Linux w xfrm iptfs występuje brak propagacji flagi SKBFL_SHARED_FRAG podczas kopiowania fragmentów w funkcji iptfs_skb_add_frags(). Jeśli źródłowy SKB zawiera współdzielone fragmenty, nowy wewnętrzny SKB może być błędnie traktowany jako posiadający prywatne fragmenty, co prowadzi do zapisu do pamięci nadal używanej przez zewnętrzny SKB. Poprawka ustawia flagę SKBFL_SHARED_FRAG w pętli po każdym dodaniu fragmentu.

W jądrze Linuxa w protokole SCTP występuje podatność polegająca na użyciu po zwolnieniu (use-after-free) podczas przetwarzania komunikatów ASCONF. Atakujący może wysłać specjalnie skonstruowany pakiet ASCONF, który usuwa transport używany do przetwarzania, a następnie wykorzystuje zwisający wskaźnik, co prowadzi do naruszenia integralności pamięci i potencjalnego przejęcia kontroli.

W jądrze Linux w SCTP podczas obsługi błędu STALE_COOKIE w stanie COOKIE_ECHOED funkcja sctp_sf_do_5_2_6_stale() odczytuje pole staleness z pierwszej przyczyny błędu zamiast z właściwej przyczyny STALE_COOKIE. Może to prowadzić do odczytu poza zakresem i wycieku niezainicjalizowanej pamięci.