Podatności Linux kernel

W jądrze Linux wykryto podatność w implementacji TLS, gdzie w przypadku gdy end=0 (start!=0) tworzony jest nieprawidłowy łańcuch wskaźników SG (scatterlist), prowadzący do chain-after-chain. Powoduje to przekazanie nielegalnych danych do kryptografii, co może skutkować błędami lub potencjalnym naruszeniem bezpieczeństwa.

W sterowniku iwlwifi (MLD) jądra Linux wykryto podatność, w której wyłączenie agregacji AMSDU dla danego TID powoduje ustawienie wartości 1 jako maksymalnego rozmiaru AMSDU. W funkcji TSO segmentacji brakuje sprawdzenia tej wartości, co prowadzi do obliczenia zerowego rozmiaru segmentu (gso_size=0), a w konsekwencji do wygenerowania ponad 32000 mikro-ramek z pojedynczego pakietu GSO. Powoduje to przeciążenie pierścienia TX, lawinę zdarzeń zakończenia transmisji, uszkodzenie pamięci i użycie po zwolnieniu (use-after-free) w kolejce retransmisji TCP.

W jądrze Linux w sterowniku igc wykryto podatność polegającą na braku ustawienia typu bufora nadawczego dla ramek SMD (Sashiko Mode Data). Funkcja igc_fpe_init_smd_frame() inicjalizuje pola struktury igc_tx_buffer, ale nie ustawia typu bufora, co przy ponownym użyciu buforów może prowadzić do użycia nieprawidłowej ścieżki czyszczenia dla transmisji XDP lub XSK.

W jądrze Linux w sterowniku MANA wykryto podatność TOCTOU (time-of-check time-of-use) polegającą na podwójnym odczycie pola hwc_msg_id z bufora DMA. Pierwszy odczyt służy do walidacji zakresu, a drugi do dalszego przetwarzania, co pozwala złośliwemu urządzeniu na zmianę wartości między tymi odczytami i ominięcie kontroli granic.

W jądrze Linux w komponencie RDMA/rtrs wykryto podatność use-after-free podczas obsługi błędów przy tworzeniu plików ścieżek. W ścieżce błędu funkcji rtrs_srv_create_path_files() może dojść do wywołania kobject_put() przed zniszczeniem folderów sysfs, co prowadzi do zwolnienia pamięci i późniejszego jej użycia.

W jądrze Linux wykryto podatność w mechanizmie BPF skmsg, gdzie funkcja sk_psock_verdict_data_ready() nie sprawdza obecności kontekstu TLS RX, co prowadzi do wyścigu z odbiorem ktls. W rezultacie może dojść do użycia po zwolnieniu (use-after-free) podczas przetwarzania danych.

W jądrze Linux wykryto lukę w implementacji TCP, która umożliwia przewidywanie numerów ISN (Initial Sequence Number) dla połączeń TIME_WAIT. Problem wynika z przechowywania ISN w zmiennej per-CPU, która nie jest czyszczona po odrzuceniu pakietu na różnych ścieżkach (np. kontrola min_ttl, polityka xfrm, niezgodność MD5/AO, filtr eBPF). Następny pakiet SYN przetwarzany na tym samym CPU może otrzymać potencjalnie przewidywalny ISN.

W jądrze Linux w sterowniku sieciowym MANA (Microsoft Azure Network Adapter) brakuje walidacji indeksu rx_req_idx przed użyciem go do dostępu do tablicy reqs[]. W poufnych maszynach wirtualnych (SEV-SNP/TDX) pamięć DMA może być modyfikowana przez sprzęt, co umożliwia atak poza zakresem tablicy.

W jądrze Linux w systemie plików ksmbd wykryto podatność związaną z błędem w ścieżce obsługi błędów podczas ponownego łączenia trwałego (durable reconnect). Po udanym ponownym połączeniu, w przypadku późniejszego błędu, funkcja czyszcząca może zwolnić obiekt pliku bez usunięcia go z tabeli identyfikatorów sesji, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w module netfilter synproxy, gdzie funkcja synproxy_tstamp_adjust() używa nieaktualnego wskaźnika do nagłówka TCP po wywołaniu skb_ensure_writable(). Może to prowadzić do zapisu do zwolnionej pamięci lub wysłania pakietu z nieprawidłową sumą kontrolną.

W jądrze Linux w module HSR (High-availability Seamless Redundancy) wykryto podatność umożliwiającą dostęp poza zakresem (OOB) podczas obsługi ramek nadzorczych. Problem wynika z braku odpowiedniego sprawdzenia długości nagłówka TLV przed jego użyciem.

W jądrze Linux wykryto podatność w funkcjach iptunnel_pmtud_build_icmp() i iptunnel_pmtud_build_icmpv6(), gdzie wskaźniki do nagłówków sieciowych (ip_hdr, ipv6_hdr) były przechowywane przed wywołaniem skb_cow(), które może ponownie alokować bufor skb->head. Może to prowadzić do użycia po zwolnieniu (UAF).

W sterowniku VXLAN jądra Linux wykryto podatność polegającą na ponownym użyciu buforowanego wskaźnika do nagłówka IP (ip_hdr()) po wywołaniu funkcji skb_tunnel_check_pmtu(), która może zmienić wskaźnik skb->head. Prowadzi to do użycia po zwolnieniu (Use-After-Free), co może zostać wykorzystane do naruszenia bezpieczeństwa systemu.

W jądrze Linux wykryto podatność w funkcji iptunnel_pmtud_check_icmp(), która może być wywołana, gdy nagłówek transportowy (transport header) w buforze sieciowym (skb) nie jest ustawiony. Prowadzi to do dostępu poza dozwolony zakres pamięci, ponieważ wartość domyślna (65535) jest interpretowana jako offset. Problem został rozwiązany przez dostęp do nagłówka ICMP na podstawie nagłówka IPv4.

W jądrze Linux wykryto podatność w funkcji ipv6_rpl_srh_decompress() dla protokołu IPv6 RPL. Obliczenie pola hdrlen może spowodować przepełnienie liczby całkowitej bez znaku (__u8), co prowadzi do nadpisania bufora i potencjalnego uszkodzenia nagłówka routingu.

W jądrze Linux wykryto podatność w mechanizmie net/handshake, gdzie funkcja handshake_req_next() usuwa żądanie z listy oczekujących przed pobraniem referencji do pliku gniazda. W oknie czasowym między tym usunięciem a odczytem w handshake_nl_accept_doit() konsument może anulować żądanie i zwolnić strukturę socket, prowadząc do odczytu przez wskaźnik NULL lub użycia zwolnionej pamięci.

W jądrze Linuxa wykryto podatność w mechanizmie handshake sieciowym. Podczas zamykania przestrzeni nazw sieci (net namespace) lista oczekujących żądań handshake nie jest prawidłowo opróżniana z powodu odwróconych argumentów w funkcji list_splice_init(). Dodatkowo występuje wyścig (race condition) między procesem opróżniania a anulowaniem żądań, co może prowadzić do uszkodzenia listy i wycieków pamięci.

W jądrze Linuxa załatano podatność w KVM SEV, która pozwalała na obsługę żądań Port I/O o zerowej długości. Taka sytuacja mogła prowadzić do niedomiaru (underflow) długości podczas konfigurowania obszaru scratch, co potencjalnie umożliwiało nieprawidłowe działanie lub awarię systemu.

W jądrze Linuxa w module KVM dla SEV wykryto podatność polegającą na nieprawidłowym obliczaniu maksymalnej długości obszaru scratch w GHCB. Błąd może prowadzić do przepełnienia bufora podczas przetwarzania żądań PSC, gdy przekazywana jest minimalna długość zamiast pełnej.

W jądrze Linux wykryto podatność w komponencie KVM dla AMD SEV. Podczas przetwarzania żądań zmiany stanu strony (PSC) nie sprawdzano poprawnie indeksów bufora PSC względem rzeczywistego rozmiaru obszaru scratch, co mogło prowadzić do odczytu poza zakresem.

W jądrze Linux wykryto podatność w obsłudze rozszerzeń IPv6. Funkcja ipv6_hop_jumbo() może zmienić wskaźniki skb, co wymaga ponownego obliczenia wskaźnika nh, aby uniknąć błędów.

W jądrze Linux wykryto podatność w funkcji ip6_parse_tlv() dla IPv6, gdzie wskaźnik nh (network header) jest buforowany, ale może zostać unieważniony przez wywołanie pskb_expand_head() w ipv6_dest_hao(). Po obsłudze opcji HAO wskaźnik nie jest odświeżany, co prowadzi do analizy nieaktualnych danych nagłówka.

W jądrze Linuxa w podsystemie ESP (Encapsulating Security Payload) protokołu IPsec wykryto podatność związaną z nieprawidłowym sprawdzaniem długości fragmentów podczas szybkiej ścieżki przetwarzania pakietów. Błąd powoduje, że przy łącznej długości przekraczającej rozmiar strony może dojść do alokacji pojedynczej strony dla bufora docelowego, podczas gdy lista rozproszona (sg) oczekuje większego obszaru, co prowadzi do potencjalnego przepełnienia bufora.

W jądrze Linux w module iscsi-target wykryto dwie luki: nadmierne odczytanie bufora CRC (4 bajty poza przydzieloną pamięcią) oraz podwójne zwolnienie pamięci (double-free) w funkcji iscsit_handle_text_cmd(). Luki występują od początku integracji LIO (commit e48354ce078c).

W jądrze Linux w podsystemie SCSI target dla iSCSI wykryto podatność na przepełnienie bufora sterty. Funkcja iscsi_encode_text_output() nie sprawdza dostępnego miejsca w buforze rsp_buf (8 KB), co pozwala na zapis do 32 KB danych z odpowiedzi "NotUnderstood" dla nieznanych kluczy, powodując przepełnienie o około 24 KB.

W jądrze Linux w podsystemie iSCSI target wykryto podatność na przepełnienie bufora podczas dekodowania BASE64 w funkcji chap_server_compute_hash(). Brak walidacji długości wejścia przed dekodowaniem pozwala na zapis poza przydzieloną pamięcią, co może prowadzić do uszkodzenia danych lub potencjalnego wykonania kodu.

W sterowniku sieciowym Airoha dla jądra Linux wykryto podatność polegającą na odczycie niezainicjalizowanego adresu fragmentu w funkcji airoha_dev_xmit(). Pętla transmisyjna odczytuje dane fragmentu w ostatniej iteracji, gdy indeks pętli jest równy liczbie fragmentów, co prowadzi do dostępu do niezainicjalizowanej pamięci i może wywołać błąd strony. Poprawka zapobiega odczytowi fragmentu w ostatniej iteracji oraz przenosi wskaźnik skb do ostatniego deskryptora, aby opóźnić zwolnienie skb do czasu przetworzenia końcowego deskryptora.

W jądrze Linux stwierdzono podatność w mechanizmie sk_msg, gdzie bit sg.copy nie jest poprawnie synchronizowany podczas transformacji scatterlist. Może to prowadzić do ujawnienia stron pamięci podręcznej plików jako zapisywalnych przez BPF, co umożliwia modyfikację oryginalnej pamięci podręcznej plików.

W jądrze Linux stwierdzono podatność w mechanizmie GCOV, gdzie optymalizacja GCC scala globalne liczniki gałęzi z zmiennymi indukcyjnymi pętli. Przy współbieżnym wykonywaniu na wielu CPU prowadzi to do niespójnych wartości liczników i zapisów poza zakresem pamięci, objawiających się błędem strony podczas przetwarzania IPComp.

W jądrze Linux w systemie plików exfat wykryto podatność use-after-free w funkcji exfat_find_dir_entry(). Bufor jądra (buffer_head) jest zwalniany przed odczytaniem danych z niego w gałęzi TYPE_EXTEND, co może prowadzić do dostępu do już zwolnionej pamięci.

W jądrze Linux wykryto podatność use-after-free w funkcji pnfs_update_layout() w implementacji pNFS. Problem występuje, gdy kod wykonuje gałąź NFS_LAYOUT_RETURN i wywołuje pnfs_put_layout_hdr(lo) przed tracepointem trace_pnfs_update_layout(), który wciąż odwołuje się do zwolnionej struktury 'lo'.

W jądrze Linux w systemie plików 9p wykryto podatność polegającą na błędnym zarządzaniu referencjami w funkcji p9_client_walk(). Gdy wywołanie z parametrem clone ustawionym na false kończy się niepowodzeniem, ścieżka błędu nieprawidłowo zwalnia referencję do starego deskryptora pliku (oldfid), co może prowadzić do użycia po zwolnieniu (use-after-free) lub niedomiaru licznika referencji.

W jądrze Linux w podsystemie NFSD wykryto podatność polegającą na użyciu pamięci po zwolnieniu (use-after-free). Podczas alokacji stanu układu (layout stateid) w nfsd4_alloc_layout_stateid(), jeśli wywołanie nfsd4_layout_setlease() zakończy się niepowodzeniem, struktura stanu jest zwalniana bez usunięcia jej z globalnego rejestru IDR, co pozostawia wiszący wskaźnik. Każdy późniejszy dostęp do tego rejestru (np. przez states_show lub zamykanie klienta) może prowadzić do dereferencji zwolnionej pamięci.

W jądrze Linux wykryto podatność w funkcji dekodowania SECINFO_NO_NAME w serwerze NFSD. Nieprawidłowa inicjalizacja struktury sin_exp przed dekodowaniem może prowadzić do użycia nieaktualnych danych z poprzednich operacji, co skutkuje błędnym wywołaniem exp_put() na niezainicjalizowanym wskaźniku.

W jądrze Linuxa w sterowniku 8250_dw wykryto podatność polegającą na tym, że w przypadku niepowodzenia rejestracji notyfikatora zegara (clk_notifier_register()) port 8250 pozostaje zarejestrowany, a dane sterownika są zwalniane. Prowadzi to do użycia po zwolnieniu (use-after-free) przy próbie dostępu do portu przed ponownym podłączeniem urządzenia.

W jądrze Linux w module xfrm iptfs funkcja iptfs_consume_frags() nie propaguje flagi SKBFL_SHARED_FRAG podczas przenoszenia fragmentów między buforami gniazd. To może prowadzić do nieprawidłowego szyfrowania w miejscu przez ESP. Podobny błąd został naprawiony w CVE-2026-46300 dla skb_try_coalesce().

Podatność w jądrze Linux w sterowniku RDS IB. Podczas nieudanego zestawienia połączenia (rds_ib_setup_qp) wskaźnik i_sends nie jest czyszczony po zwolnieniu pamięci, co może prowadzić do użycia po zwolnieniu (use-after-free) przy kolejnym zamykaniu połączenia.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na błędzie off-by-one w funkcji dlm_match_regions(). Pętla porównująca regiony lokalne i zdalne używa operatora '<=' zamiast '<', co powoduje odczyt danych poza dozwolonym zakresem tablicy qr_regions. Pozostałe pętle w tej samej funkcji poprawnie używają operatora '<'.

W jądrze Linux wykryto podatność w funkcji reqsk_queue_hash_req() stosu TCP. Wywłaszczenie procesu między mod_timer() a refcount_set() może doprowadzić do przedwczesnego wygaśnięcia timera i podwójnego zwolnienia referencji (refcount underflow), co skutkuje użyciem po zwolnieniu (use-after-free).

W sterowniku sieciowym mtk_eth_soc w jądrze Linux wykryto podatność use-after-free. Funkcja mtk_free_dev() wywołuje metadata_dst_free(), która natychmiast zwalnia pamięć metadata_dst, pomijając okres ochronny RCU. W ścieżce odbioru pakietów skb_dst_set_noref() ustawia wskaźnik bez zliczania referencji, co może prowadzić do użycia już zwolnionej pamięci, jeśli jakikolwiek skb nadal przechowuje ten wskaźnik podczas zamykania sterownika.

W jądrze Linuxa w stosie SCTP podczas przetwarzania pakietu COOKIE_ECHO nie sprawdzano poprawności długości buforowanego INIT chunka. Brak walidacji może prowadzić do odczytu poza zakresem i potencjalnego uszkodzenia pamięci.

W jądrze Linuxa w module SIT (Simple Internet Transition) dla IPv6 wykryto podatność polegającą na użyciu nieaktualnego wskaźnika do wewnętrznego nagłówka IPv6 po operacjach GSO (Generic Segmentation Offload). Funkcja ipip6_tunnel_xmit() przechowuje wskaźnik na początku działania, a po wywołaniu iptunnel_handle_offloads() może dojść do przesunięcia bufora skb, co prowadzi do odczytu z już zwolnionej pamięci.

W jądrze Linux wykryto podatność w funkcji __sctp_rcv_asconf_lookup() w stosie SCTP. Nieuwierzytelniony peer może wysłać obcięty pakiet ASCONF, który deklaruje adres IPv6, ale kończy się po nagłówku parametru, co powoduje odczyt niezainicjalizowanych danych z pamięci.

W jądrze Linuxa w funkcji sctp_unpack_cookie() brakowało walidacji długości osadzonego fragmentu INIT oraz listy adresów w ciasteczku SCTP. Niekompletny INIT lub zawyżona długość listy adresów mogą prowadzić do odczytu poza dozwolonym obszarem pamięci.

W jądrze Linuxa w funkcji vti6_tnl_lookup() wykryto błąd polegający na nieprawidłowym dopasowywaniu tuneli IP6_VTI. Podczas wyszukiwania tuneli z symbolami wieloznacznymi (wildcard) brakowało sprawdzenia, czy kandydat rzeczywiście ma adres wildcard, co prowadziło do błędnego dopasowania w przypadku kolizji hash.

W jądrze Linux w sterowniku mvpp2 wykryto podatność polegającą na nieprawidłowym inicjowaniu rozmiaru ramki XDP (frame_sz) wartością PAGE_SIZE zamiast rzeczywistego rozmiaru bufora z puli BM. Powoduje to, że funkcja bpf_xdp_adjust_tail() może rozszerzyć pakiet poza przydzielony bufor, prowadząc do uszkodzenia pamięci.

W jądrze Linux wykryto podatność w sterowniku mvpp2, gdzie bufor RX może zostać zwrócony do puli BM po przekazaniu go do XDP lub skb, co prowadzi do użycia pamięci po zwolnieniu. Problem został rozwiązany przez zmianę kolejności operacji: najpierw uzupełnienie puli BM, a dopiero potem przekazanie bufora do XDP lub skb.

W jądrze Linux w sterowniku RDMA/SRP wykryto podatność polegającą na braku walidacji długości danych sense kopiowanych z odpowiedzi SRP_RSP. Atakujący lub skompromitowany cel SRP w sieci InfiniBand/RoCE może ustawić dużą wartość resp_data_len, co prowadzi do odczytu poza odebranym buforem i potencjalnego błędu strony pamięci.

W jądrze Linux w sterowniku IB/isert wykryto podatność polegającą na braku walidacji dolnej granicy długości pakietu logowania iSER. Zdalny inicjator może wysłać pakiet krótszy niż ISER_HEADERS_LEN (76 bajtów), co prowadzi do niedomiaru (underflow) przy obliczaniu długości ładunku, a następnie do przepełnienia bufora podczas kopiowania danych. Atak nie wymaga uwierzytelnienia i może spowodować awarię węzła docelowego.