Podatności Linux kernel

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji smc_cdc_rx_handler() dla protokołu SMC-R. Problem wynika z braku utrzymania referencji do gniazda po zwolnieniu blokady conns_lock, co umożliwia współbieżne wywołanie close() i zwolnienie pamięci przed wykonaniem sock_hold().

W podsystemie NVMe/TCP jądra Linuxa, gdy występuje niezgodność sumy kontrolnej danych (digest) w nieostatnim PDU H2C_DATA, funkcja nvmet_tcp_try_recv_ddgst() wywołuje nvmet_req_uninit() bez oznaczania polecenia jako zakończonego. Prowadzi to do podwójnego wywołania nvmet_req_uninit() podczas zamykania kolejki, co skutkuje podwójnym zwolnieniem referencji (double free) i potencjalnym use-after-free (UAF).

W podsystemie NVMe/TCP jądra Linuxa, w funkcji nvmet_tcp_try_recv_ddgst(), wywołanie nvmet_req_uninit() jest wykonywane bezwarunkowo. Jeśli polecenie przyszło przez ścieżkę nvmet_tcp_handle_req_failure(), referencja percpu_ref nie została pobrana, co prowadzi do niedomiaru licznika referencji (refcount underflow) i potencjalnego use-after-free.

Podatność w jądrze Linuxa dotyczy mechanizmu TC_ACT_CONSUMED w funkcji tcf_qevent_handle w pliku net/sched/cls_api.c. Gdy tcf_classify() zwraca TC_ACT_CONSUMED, skb jest przechowywany przez silnik defragmentacji i nie powinien być dalej używany. Brak obsługi tego przypadku prowadzi do użycia po zwolnieniu (UAF) w red_enqueue().

W jądrze Linuxa, w mechanizmie net/handshake, brakowało długotrwałego odwołania do pliku (file reference) podczas przetwarzania żądania uścisku dłoni. Używanie sock_hold() nie chroniło struktury socket przed zniszczeniem przez konsumenta, co mogło prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w funkcji tcp_ao_destroy_sock usunięto wywołanie call_rcu(), co spowodowało brak synchronizacji RCU. W rezultacie podczas nawiązywania połączenia (TCP_SYN_SENT) gniazdo jest widoczne dla innych rdzeni, które mogą odczytać wskaźnik ao_info tuż przed jego zwolnieniem, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w mechanizmie rozgłoszeniowym TIPC (Transparent Inter-Process Communication). Funkcja tipc_get_gap_ack_blks() nie sprawdza, czy rekord bloków ACK z luką mieści się w obszarze danych wiadomości, co pozwala atakującemu na odczyt poza dozwolonym buforem (out-of-bounds read) przez funkcję kmemdup().

W jądrze Linux w module crypto: krb5 występuje użycie po zwolnieniu (use-after-free) podczas korzystania z asynchronicznych implementacji AEAD. Funkcje kryptograficzne ustawiają pusty callback i traktują każdy ujemny wynik jako błąd, zwalniając bufor. Gdy implementacja jest asynchroniczna, zwraca -EINPROGRESS, a bufor jest zwalniany, podczas gdy backend nadal go używa.

W jądrze Linux w podsystemie netfilter flowtable, sprzętowe odciążanie (hardware offload) dla tuneli IPIP nie jest jeszcze obsługiwane. Mimo to, próby odciążania są kolejkowane do workera, a następnie ignorowane, co prowadzi do niepotrzebnego obciążenia. Łatka dodaje wczesne sprawdzanie i rezygnację z odciążania dla tuneli IPIP.

W jądrze Linux w serwerze SMB ksmbd funkcja FSCTL_DUPLICATE_EXTENTS_TO_FILE nie sprawdza uprawnień do zapisu na poziomie udziału ani na poziomie uchwytu, co pozwala klientowi na nadpisywanie danych w pliku docelowym nawet na udziale tylko do odczytu lub z uchwytem z uprawnieniem FILE_WRITE_ATTRIBUTES.

W jądrze Linux w systemie plików ksmbd występuje problem z równoczesnym dostępem do katalogów. Współbieżne żądania QUERY_DIRECTORY dla tego samego uchwytu pliku mogą nadpisać wskaźnik do danych prywatnych na stosie, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w systemie plików ksmbd operacje SET_INFO są wykonywane z bieżącymi poświadczeniami pracownika ksmbd, a nie z poświadczeniami użytkownika, który otworzył uchwyt. Może to prowadzić do ominięcia kontroli dostępu opartych na właścicielu pliku i LSM.

W jądrze Linux w systemie plików ksmbd operacja usuwania przy zamknięciu (delete-on-close) jest wykonywana z poświadczeniami pracownika ksmbd, a nie z poświadczeniami użytkownika, który otworzył uchwyt. Może to prowadzić do ominięcia kontroli dostępu do systemu plików.

W jądrze Linux w systemie plików ksmbd operacje wejścia/wyjścia na alternatywnych strumieniach danych (ADS) są wykonywane z poświadczeniami bieżącego zadania, a nie z poświadczeniami użytkownika, który otworzył uchwyt SMB. Może to prowadzić do ominięcia kontroli dostępu do i-węzłów i polityk LSM.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na zapytanie katalogu. Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_query_directory_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na zapytanie query_info(). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_query_info_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na żądanie SMB2_ioctl(). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_ioctl_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na powiadomienie o zmianie (change notify). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_notify_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na żądanie SMB2_flush(). Funkcja SMB2_flush() utrzymuje księgowość bufora odpowiedzi między próbami odtworzenia. Jeśli odebrano odpowiedź flush nadającą się do odtworzenia, a ponowna próba zawiedzie przed zapisaniem nowej odpowiedzi, flush_exit zwalnia stary wskaźnik odpowiedzi po raz drugi. Poprawka reinicjalizuje resp_buftype i rsp_iov na początku pętli odtwarzania.

W jądrze Linux w mechanizmie devmap broadcast redirect dla BPF wykryto problem z fragmentowanymi ramkami XDP. Klonowanie takich ramek pozostawia flagę XDP_FLAGS_HAS_FRAGS bez prawidłowych metadanych fragmentów, co prowadzi do odczytu poza zakresem podczas zwalniania ramki. Poprawka odrzuca fragmentowane ramki w dev_map_enqueue_clone i dev_map_redirect_clone.

W jądrze Linux wykryto podatność w funkcji nvmet_execute_disc_get_log_page(), która pozwala nieuwierzytelnionemu atakującemu na odczyt poza zakresem zaalokowanej pamięci (out-of-bounds read) podczas przetwarzania żądania Discovery Get Log Page. Brak walidacji przesunięcia (offset) i długości danych umożliwia wyciek wrażliwych danych z pamięci jądra lub wywołanie paniki systemu.

W jądrze Linux w podsystemie NVMe over Fabrics (nvmet-auth) stwierdzono podatność polegającą na braku walidacji granic pól hl i dhvlen w komunikacie DHCHAP_REPLY. Atakujący może wysłać spreparowaną wiadomość z małą długością transferu a dużymi wartościami hl/dhvlen, co prowadzi do odczytu poza stertą.

W jądrze Linux w sterowniku SPI fsl-lpspi naprawiono błąd polegający na tym, że w przypadku niepowodzenia przygotowania DMA dla kanału TX, kanał RX nie był zatrzymywany. Prowadziło to do potencjalnego uszkodzenia pamięci lub błędu use-after-free, ponieważ DMA nadal zapisywał do buforów, które zostały już odmapowane.

W jądrze Linux w komponencie RDMA/rtrs-srv wykryto podatność, w której długość zapisu RDMA-Write nie była ograniczana do rozmiaru bloku (chunk size). Atakujący klient może wysłać spreparowane żądanie READ z zawyżoną długością w deskryptorze, co prowadzi do odczytu pamięci poza mapowanym obszarem bloku.

W jądrze Linux w sterowniku RDMA/siw wykryto podatność polegającą na braku walidacji długości odpowiedzi na żądanie odczytu (RREAD). Atakujący zdalny peer może wysłać segmenty odpowiedzi przekraczające rozmiar bufora docelowego, co prowadzi do zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux w kliencie SMB (CIFS) występuje podatność polegająca na odrzucaniu odpowiedzi z nakładającymi się obszarami danych. Funkcja __smb2_calc_size() czyści data_length, co może sprawić, że nieprawidłowa odpowiedź zostanie uznana za poprawną.

W jądrze Linuxa wykryto podatność w funkcji blk_insert_cloned_request(), która nie przeliczała liczby segmentów integralności (nr_integrity_segments) dla żądań klonowanych. Może to prowadzić do błędu BUG_ON() podczas mapowania segmentów, gdy dolna kolejka ma bardziej restrykcyjne ustawienia segmentacji niż górna.

W jądrze Linux w podsystemie netfs wykryto podatność use-after-free w funkcji netfs_unlock_abandoned_read_pages(). Funkcja uzyskuje dostęp do indeksu folio po wyczyszczeniu flagi NETFS_RREQ_IN_PROGRESS, co może prowadzić do dereferencji zwolnionej pamięci.

W jądrze Linux w sterowniku idpf wykryto błąd inicjalizacji blokady spinlock read_dev_clk_lock w funkcji idpf_ptp_init(). Blokada była inicjalizowana po uruchomieniu wątku pomocniczego PTP, który mógł natychmiast próbować jej użyć, co prowadziło do ostrzeżenia lockdep o rejestracji niestatycznego klucza.

W jądrze Linuxa wykryto podatność w mechanizmie netfs, polegającą na potencjalnym rozrywaniu (tearing) podczas odczytu i zapisu pól ->remote_i_size oraz ->zero_point. Problem wynika z braku odpowiedniej synchronizacji, co może prowadzić do uszkodzenia danych.

W jądrze Linux w module netfilter nft_inner wykryto błąd w ścieżce obsługi błędów, gdzie funkcja local_bh_enable() jest wywoływana przed local_unlock_nested_bh(), co może prowadzić do nieprawidłowego stanu blokad i potencjalnych problemów z synchronizacją.

W jądrze Linuxa w podsystemie ksmbd (SMB3) wykryto dwie powiązane podatności: ponowne użycie listy węzłów fp->node powodujące uszkodzenie list oraz wyścig referencji prowadzący do użycia po zwolnieniu (UAF) podczas czyszczenia uchwytów trwałych przez ksmbd_durable_scavenger().

W jądrze Linux stwierdzono brak blokady wokół inkrementacji licznika tc_count w funkcji smb2_find_smb_sess_tcon_unlocked(). Problem powstał po refaktoryzacji kodu CIFS, która zmieniła blokadę z cifs_tcp_ses_lock na tc_lock, ale nie objęła nią tego konkretnego miejsca.

W jądrze Linux wykryto podatność w mechanizmie IOAM dla IPv6. Funkcja ipv6_hop_ioam() nie odświeża wskaźnika hdr po potencjalnej realokacji bufora danych przez skb_ensure_writable(), co może prowadzić do użycia po zwolnieniu (Use-After-Free).

W sterowniku bcmgenet dla układów Broadcom wykryto podatność powodującą zatrzymanie ruchu RX po aktywacji EEE. Ustawienie bitów RBUF_EEE_EN i RBUF_PM_EN w rejestrze RBUF_ENERGY_CTRL powoduje, że RBUF przestaje przekazywać ramki do DMA, co prowadzi do braku przyrostu licznika rx_packets i potencjalnego błędu stronicowania. Problem występuje na Raspberry Pi 4B i innych platformach z rodziny Broadcom 4908.

W jądrze Linux w sterowniku mlx5e wykryto podatność use-after-free w funkcji mlx5e_tx_reporter_timeout_recover. Problem występuje, gdy funkcja odwołuje się do sq->netdev po tym, jak mlx5e_safe_reopen_channels() zniszczyło i zwolniło kanał (oraz jego SQ). Poprawka zastępuje trzy odwołania sq->netdev przez priv->netdev, które jest bezpieczne, ponieważ priv żyje dłużej niż zniszczenie kanału.

W sterowniku ixgbevf jądra Linux wykryto podatność na użycie po zwolnieniu (use-after-free) w funkcji ixgbevf_clean_rx_irq(). Podczas przetwarzania ramek w trybie VEPA, po zwolnieniu bufora skb, wskaźnik nie jest zerowany, co prowadzi do odwołania do zwolnionej pamięci w kolejnej iteracji pętli.

W jądrze Linuxa w komponencie KVM dla architektury ARM64 wykryto podatność w implementacji emulowanego kontrolera przerwań ITS (Interrupt Translation Service). Funkcja przywracająca wpisy tablicy urządzeń (DTE) nie sprawdzała poprawności liczby bitów EventID, co pozwalało na przywrócenie nieprawidłowej wartości większej niż obsługiwana przez wirtualny ITS.

W jądrze Linuxa w sterowniku RDMA/siw (Soft-iWARP) wykryto podatność polegającą na braku walidacji długości nagłówka MPA w odebranych ramkach FPDU. Złośliwy zdalny peer może wysłać ramkę z polem mpa_len mniejszym niż wymagany nagłówek DDP/RDMAP, co prowadzi do przepełnienia liczb ze znakiem i w konsekwencji do odczytu poza zakresem pamięci (use-after-free).

W jądrze Linux wykryto podatność TOCTOU (time-of-check time-of-use) w implementacji protokołu batman-adv. Podczas generowania lokalnego TVLV dla VLANów, najpierw sprawdzana jest liczba VLANów z wpisami TT, a następnie alokowany jest bufor. Mimo trzymania blokady, liczba wpisów TT w poszczególnych VLANach może wzrosnąć między sprawdzeniem a alokacją, co prowadzi do przepełnienia bufora.

W jądrze Linux w module batman-adv wykryto podatność polegającą na użyciu typu signed short (s16) dla pola last_changeset_len, które nigdy nie powinno przechowywać wartości ujemnych. Przypisanie wartości większej niż 32767 powoduje zawinięcie do ujemnej liczby całkowitej ze znakiem, co prowadzi do błędnego rozszerzenia znaku przy konwersji do s32 w funkcji batadv_send_my_tt_response(). Skutkuje to alokacją pełnego bufora, ale wypełnieniem tylko jego małej części, pozostawiając resztę niezainicjalizowaną.

W jądrze Linuxa w sterowniku ARM FFAs znaleziono podatność polegającą na użyciu po zwolnieniu (use-after-free) w obsłudze powiadomień. Funkcje obsługujące powiadomienia odczytują wskaźnik do funkcji zwrotnej (callback) pod blokadą, ale wywołują ją już po jej zwolnieniu, co pozwala na równoczesne usunięcie i zwolnienie pamięci przez inny wątek.

W jądrze Linux stwierdzono podatność w systemie plików netfs, dotyczącą anulowania żądań odczytu DIO i pojedynczego odczytu. Błąd występuje, gdy przygotowanie nowego podżądania odczytu kończy się niepowodzeniem, a podżądanie zostało już dodane do listy, co może prowadzić do nieprawidłowego zarządzania referencjami i potencjalnego wyścigu.

W jądrze Linuxa wykryto brak odpowiedniego blokowania podczas dodawania nowych podzapytań w funkcjach ponawiania operacji odczytu i zapisu w systemie plików netfs. Luka może prowadzić do wyścigu danych i niestabilności systemu.

W jądrze Linuxa w podsystemie netfs wykryto brak barier pamięci przy bezzamkowym dostępie do listy podzadań (stream->subrequests). Funkcje odczytujące tę listę mogą odczytać niekompletne dane, ponieważ flaga NETFS_SREQ_IN_PROGRESS może nie być jeszcze widoczna. Problem został naprawiony przez dodanie odpowiednich barier (release/acquire) w operacjach na liście.

W jądrze Linuxa wykryto podatność w funkcji netfs_read_to_pagecache(), która nie wstrzymuje generowania nowych podzapytań po niepowodzeniu już wysłanego podzapytania. Problem został rozwiązany poprzez dodanie pauzy w generowaniu nowych podzapytań w przypadku błędu.

W jądrze Linux wykryto podatność w mechanizmie netfs, polegającą na przedwczesnym zwolnieniu strony pomocniczej (sink folio) w funkcji netfs_read_gaps(). Błąd prowadzi do użycia po zwolnieniu (UAF), co może zostać wykorzystane do naruszenia integralności pamięci.

W jądrze Linux wykryto podatność w sterowniku sieciowym cortina (Gemini Ethernet). Statyczny lokalny bufor SKB używany do składania pakietów z fragmentów w funkcji gmac_rx() jest współdzielony między dwoma portami Ethernet, co może prowadzić do wyścigów (race conditions) przy jednoczesnym użyciu obu portów.

W jądrze Linuxa w sterowniku Cortina Ethernet wykryto podatność polegającą na resetowaniu licznika fragmentów (frag_nr) podczas odbierania pakietów w funkcji gmac_rx(). Gdy bufer pierścieniowy zostanie całkowicie opróżniony w trakcie cyklu poll, licznik fragmentów jest zerowany, mimo że pakiet nie został jeszcze w pełni złożony w SKB, co może prowadzić do nieprawidłowego składania pakietów.

W jądrze Linux wykryto podatność w implementacji TLS, polegającą na błędzie off-by-one przy łączeniu rozdzielonych pierścieni sk_msg za pomocą sg_chain(). Błąd powoduje, że wskaźnik łańcucha jest ustawiany na pozycję MAX_SKB_FRAGS zamiast na ostatni wpis, co może prowadzić do nieprawidłowego działania kryptograficznego.