Podatności Linux kernel

W jądrze Linux wykryto podatność use-after-free w mechanizmie fragmentacji pakietów IP. Podczas zamykania przestrzeni nazw sieciowych (netns) funkcja fqdir_pre_exit() opróżnia kolejki fragmentów, ale nie resetuje wskaźników q->fragments_tail i q->last_run_head, które nadal wskazują na zwolnione bufory skb. Fragment, który uzyskał kolejkę przed opróżnieniem, może po wznowieniu odwołać się do już zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linuxa w podsystemie AF_RXRPC wykryto podatność polegającą na nieprawidłowym dostępie do bufora SACK w odebranych pakietach UDP. Funkcja rxrpc_input_soft_acks() modyfikuje skbuff i może niepoprawnie odczytać dane w przypadku fragmentacji pakietu, co może prowadzić do błędów analizy.

W jądrze Linux wykryto podatność w podsystemie netfilter, gdzie funkcje takie jak `ip6t_eui64`, `xt_mac` oraz typy zestawów ipset (`bitmap:ip,mac`, `hash:ip,mac`, `hash:mac`) i `nf_log_syslog` uzyskiwały dostęp do nagłówka Ethernet (`eth_hdr(skb)`) bez uprzedniego sprawdzenia, czy ramka jest powiązana z urządzeniem Ethernet, czy nagłówek MAC został ustawiony i czy ma odpowiednią długość. Brak tych walidacji mógł prowadzić do błędów lub potencjalnego naruszenia bezpieczeństwa.

Podatność w jądrze Linux w sterowniku bcmgenet (Broadcom GENET Ethernet) związana z błędem off-by-one w funkcji bcmgenet_put_txcb. Nieprawidłowe cofnięcie wskaźnika może prowadzić do nieprawidłowego czyszczenia bufora transmisji.

W jądrze Linuxa sterownik bcmgenet (Broadcom GENET) ma wadliwą obsługę timeoutu: procedura obsługi timeoutu zatrzymuje wszystkie kolejki transmisyjne, gdy tylko jedna z nich przekroczy limit czasu. Powoduje to liczne warunki wyścigu z kolejkami, które działają poprawnie. Poprawka ogranicza restart tylko do kolejki, która przekroczyła timeout.

W sterowniku hisilicon/sec2 jądra Linux wykryto podatność na użycie po zwolnieniu (use-after-free) podczas transmisji pakietów. Przy dużym obciążeniu systemu sprzęt może zakończyć przetwarzanie pakietu i zwolnić pamięć żądania (req) przed zakończeniem funkcji transmisji, co prowadzi do błędu.

W jądrze Linux w systemie plików GFS2 brakowało blokady wątku logowania w funkcji gfs2_logd(). Funkcje odpowiedzialne za opróżnianie dziennika (gfs2_ail1_start(), gfs2_ail1_wait(), gfs2_ail1_empty()) były wywoływane bez trzymania blokady sd_log_flush_lock, co mogło prowadzić do wyścigu z równoczesnymi transakcjami. Dodano nową funkcję __gfs2_log_flush() oraz odpowiednie blokady w gfs2_logd().

W jądrze Linuxa w module ksmbd wykryto podatność use-after-free związaną z asynchronicznym silnikiem kryptograficznym Qualcomm Crypto Engine (QCE). Funkcja ksmbd_crypt_message() nie obsługuje poprawnie kodu -EINPROGRESS zwracanego przez sprzęt asynchroniczny, co prowadzi do przedwczesnego zwolnienia żądania DMA i dereferencji wyczyszczonej pamięci w callbacku.

W jądrze Linuxa w sterowniku pamięci dla Tegra124 (tegra124-emc) wykryto odwróconą logikę sprawdzania, czy DLL jest włączona w rejestrze EMRS. DLL jest włączona, gdy bit A0 jest niski, ale kod sprawdzał odwrotnie.

W jądrze Linux w systemie plików OCFS2 oraz jego komponencie DLM (Distributed Lock Manager) wykryto podatność polegającą na braku walidacji pola `qr_numregions` w funkcji `dlm_match_regions()`. Atakujący może wysłać spreparowaną wiadomość sieciową DLM_QUERY_REGION z zawyżoną wartością `qr_numregions`, co prowadzi do odczytu poza dozwolonym buforem `qr_regions` (przekroczenie granic pamięci).

W jądrze Linuxa w module ksmbd wykryto podatność use-after-free w funkcji smb2_open podczas ponownego łączenia trwałego deskryptora pliku. Przedwczesne zwolnienie referencji do fp prowadzi do użycia zwolnionej pamięci przy dostępie do właściwości pliku, gdy wystąpi błąd lub scavenger uzyska dostęp.

W jądrze Linux wykryto podatność w funkcji icmpv6_rcv() dla IPv6. Buforowanie adresów źródłowego i docelowego przed wywołaniem pskb_pull() może prowadzić do użycia po zwolnieniu (UAF), ponieważ pskb_pull() może zmienić wskaźnik skb->head.

W jądrze Linux w podsystemie netfilter/conntrack wykryto podatność polegającą na przepełnieniu bufora stosu w funkcji mangle_content_len(). Problem został rozwiązany przez zastąpienie funkcji sprintf() przez scnprintf() oraz zwiększenie rozmiaru bufora.

W jądrze Linux wykryto podatność w module netfilter nfnetlink_osf, polegającą na odczycie poza zakresem podczas dopasowywania opcji TCP. Błąd wynika z nieprzywracania wskaźnika ctx->optp po wczesnym zakończeniu funkcji nf_osf_match_one(), co przy włączonym logowaniu NF_OSF_LOGLEVEL_ALL prowadzi do odczytu śmieciowych danych i błędnego logowania.

W jądrze Linuxa w funkcji tipc_buf_append() występuje podwójne zwolnienie pamięci (double-free) spowodowane przez tipc_msg_validate(), które może realokować bufor. Błąd może prowadzić do uszkodzenia pamięci i potencjalnie do eskalacji uprawnień.

W sterowniku NVMe-over-TCP jądra Linux wykryto podatność polegającą na tym, że funkcja nvmet_tcp_build_pdu_iovec() nie informuje swoich wywołujących o błędzie (np. wykryciu długości PDU poza zakresem). W rezultacie wywołujący, jak nvmet_tcp_handle_h2c_data_pdu(), kontynuują działanie z niezainicjalizowanym iteratorem wiadomości, co może prowadzić do odczytu danych sieciowych do nieprawidłowego bufora.

W jądrze Linux usunięto niebezpieczne użycie funkcji simple_strtoul w module nf_conntrack_sip, zastępując je nową funkcją walidującą porty. Poprawka zapobiega odwoływaniu się do pamięci poza buforem oraz odrzuca zbyt długie lub nieprawidłowe numery portów.

W jądrze Linux wykryto podatność use-after-free w sterowniku rtl8150 dla urządzeń USB Ethernet. Problem występuje, gdy funkcja rtl8150_start_xmit() odczytuje skb->len po wywołaniu usb_submit_urb(), a bufor skb został już zwolniony przez procedurę obsługi przerwania USB. Może to prowadzić do naruszenia pamięci i potencjalnej eskalacji uprawnień.

W jądrze Linux w funkcji osdmap_decode() biblioteki libceph wykryto podatność na dostęp poza zakresem pamięci. Podczas dekodowania mapy OSD, sprawdzenie ceph_decode_need() nie uwzględniało odpowiedniej liczby elementów, co przy spreparowanej wiadomości może prowadzić do odczytu poza przydzielonym buforem.

W jądrze Linux w funkcji crush_decode() biblioteki libceph wykryto podatność umożliwiającą dostęp poza zakresem pamięci. Problem występuje, gdy w mapie CRUSH dwa pola określające algorytm bucketa różnią się między sobą, co prowadzi do nieprawidłowej alokacji pamięci i potencjalnego przepełnienia bufora.

W jądrze Linuxa w module batman-adv (tp_meter) wykryto podatność polegającą na użyciu niezainicjowanych zmiennych przeznaczonych dla nadawcy (sender) w funkcjach batadv_tp_recv_ack() i batadv_tp_stop(). Gdy węzeł pełniący rolę odbiorcy (receiver) otrzyma złośliwy pakiet ACK, kod odczytuje niezainicjowane pola struktury tp_vars, co prowadzi do nieokreślonego zachowania.

W jądrze Linux wykryto podatność w implementacji protokołu SCTP. Podczas obsługi błędu Stale Cookie (sytuacja COOKIE-ECHOED -> COOKIE_WAIT) nie jest czyszczona kolejka wyjściowa, co prowadzi do użycia po zwolnieniu (use-after-free) w schedulerze strumieni. Atakujący może wywołać awarię systemu przez wysłanie spreparowanego pakietu SCTP.

W jądrze Linux w module batman-adv wykryto podatność polegającą na nieprawidłowym obliczaniu długości ładunku podczas składania fragmentów. Błąd pozwala na pominięcie walidacji przez złośliwe łańcuchy fragmentów, co może prowadzić do lokalnej odmowy usługi.

W jądrze Linuxa w sterowniku RDMA/rxe wykryto podatność polegającą na nieprawidłowej konwersji adresu iova na va dla regionów pamięci (MR) o rozmiarze strony różnym od PAGE_SIZE. Błąd powoduje błędne obliczanie wskaźników przy dostępie do pamięci, co może prowadzić do paniki jądra.

W jądrze Linuxa w komponencie KVM/arm64 vgic-its występuje błąd w funkcji vgic_its_invalidate_cache(), która podczas czyszczenia pamięci podręcznej translacji może wielokrotnie zwalniać to samo odniesienie, prowadząc do użycia po zwolnieniu. Problem występuje przy równoczesnym dostępie z różnych kontekstów.

W jądrze Linux w funkcji extract_kvec_to_sg w bibliotece scatterlist wykryto błąd w obliczeniach długości podczas ekstrakcji danych z kvec do listy rozproszonej (sglist). Błąd powoduje, że wpis w sglist może przekraczać rozmiar strony, co jest niezgodne z przeznaczeniem. Podatność została wprowadzona w jądrze v6.3 i dotyczy wersji v6.5+.

W jądrze Linuxa stwierdzono lukę w gniazdach RAW używających protokołu IPPROTO_RAW. Złośliwy pakiet ICMP może ustawić pole protokołu na 255 i dopasować się do takiego gniazda, prowadząc do zmian w pamięci podręcznej FNHE.

W jądrze Linux w module netfilter nft_inner występuje desynchronizacja między offsetem transportowym a protokołem warstwy 4 dla wewnętrznych pakietów IPv6. Błąd powoduje nadpisywanie poprawnego offsetu obliczonego przez ipv6_find_hdr() stałą wartością 40 bajtów, co umożliwia fałszowanie nagłówka transportowego i potencjalne ominięcie zapory sieciowej. Podatność dotyczy stabilnych wersji jądra od 6.2.

W jądrze Linux w podsystemie CIFS/SMB wykryto podatność polegającą na braku walidacji przesunięcia DACL (dacloffset) przed budowaniem wskaźników DACL. Złośliwy serwer może dostarczyć wartość dacloffset bliską U32_MAX, co na 32-bitowych systemach powoduje zawinięcie wskaźnika i ominięcie kontroli granic, prowadząc do potencjalnego odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy funkcji symlink_data(). Problem polega na braku walidacji długości odpowiedzi błędu symlink, co może prowadzić do odczytu poza granicami bufora.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na odczyt poza granicami bufora w funkcji smb2_compound_op(). Problem występuje, gdy serwer wysyła skróconą odpowiedź z dużą długością bufora wyjściowego, co może prowadzić do wycieku pamięci jądra.

W jądrze Linuxa rozwiązano podatność związaną z mptcp, która dotyczy funkcji mptcp_pm_add_timer() wywoływanej jako callback timera w kontekście softirq. Aby uniknąć wyścigów danych, konieczne jest zablokowanie gniazda za pomocą bh_lock_sock().

W jądrze Linux wykryto podatność w sterowniku NVMe/TCP (nvmet-tcp) związaną z wyścigiem między obsługą żądania inicjalizacji połączenia (ICReq) a zamykaniem kolejki. Brak synchronizacji może pozwolić na nadpisanie stanu kolejki, co prowadzi do podwójnego zwolnienia referencji i potencjalnego uszkodzenia pamięci.

W jądrze Linuxa naprawiono podatność związaną z dostępem poza granice pamięci w przetwarzaniu wiadomości autoryzacyjnych. Problem występował, gdy wiadomość typu CEPH_MSG_AUTH_REPLY zawierała dodatnią wartość w polu wyniku, co prowadziło do nieprawidłowego przetwarzania i wysyłania danych poza przydzielony bufor.

W jądrze Linuxa zidentyfikowano podatność w funkcji biovec_phys_mergeable(), która nie sprawdza, czy segmenty bvec pochodzą z różnych dev_pagemaps. To może prowadzić do błędów w zarządzaniu pamięcią, gdy segmenty są fizycznie kontynualne.

W jądrze systemu Linux zidentyfikowano podatność w funkcji rxe_rcv, która nieprawidłowo weryfikuje długość pakietu przed obliczeniem rozmiaru ładunku. Atakujący może wykorzystać to do wywołania błędu przepełnienia, co prowadzi do potencjalnych problemów z bezpieczeństwem.

W jądrze systemu Linux naprawiono potencjalne przepełnienie całkowite w funkcji rxgk_extract_token() podczas sprawdzania długości biletu. Zamiast zaokrąglać wartość do testu w górę, zaokrąglono w dół rozmiar dostępnych danych.

W jądrze systemu Linux naprawiono podatność związaną z ponownym odszyfrowywaniem pakietów RESPONSE. W przypadku tymczasowego błędu podczas przetwarzania pakietu RESPONSE, może on pozostać w stanie częściowego odszyfrowania i zostać ponownie umieszczony w kolejce do ponownego przetworzenia.

W jądrze Linux wykryto podatność w funkcji smb2_open_file() w kliencie SMB. Brak wyzerowania wskaźników @err_iov i @err_buftype przed ponowną próbą wywołania SMB2_open() może prowadzić do użycia po zwolnieniu (UAF) lub podwójnego zwolnienia pamięci, gdy @data nie jest NULL.

W jądrze Linux w podsystemie RDMA/iwcm wykryto podatność prowadzącą do uszkodzenia listy kolejki zadań. Problem wynika z błędnego założenia, że funkcja queue_work() nie doda zadania, jeśli jest już w kolejce, podczas gdy każdy obiekt iwcm_work ma unikalną strukturę work_struct. Powoduje to przetwarzanie wielu wpisów w jednym przebiegu handlera, zwalnianie ich do listy wolnej i ponowne użycie, co prowadzi do korupcji listy.

Atakujący wysyłający pakiety TCP, IL, RUDP lub GRE o długości mniejszej niż rozmiar nagłówka może wywołać panikę jądra.

W jądrze Linuxa występuje podatność w obsłudze nagłówka routingu SRH (Source Routing Header) dla IPv6. Podczas dekompresji i rekompresji SRH, jeśli rekompresowany nagłówek jest większy niż otrzymany, może dojść do zapisu poza zakresem (OOB write) w funkcji ipv6_rthdr_rcv. Problem występuje, gdy brakuje miejsca w headroom, co prowadzi do uszkodzenia pamięci.

W jądrze Linux wykryto podatność w implementacji protokołu RxRPC, gdzie funkcje obsługujące pakiety DATA i RESPONSE nie sprawdzały, czy bufor skb zawiera współdzielone fragmenty stron (np. pochodzące z splice()). W rezultacie deszyfrowanie mogło odbywać się na miejscu na współdzielonych stronach, co prowadziło do potencjalnego naruszenia integralności danych.

W jądrze Linux w sterowniku SCSI qla2xxx wykryto podwójne zwolnienie struktury fcport. Funkcja qla2x00_els_dcmd_sp_free() zwalnia fcport, a następnie ponowne wywołanie kref_put() prowadzi do drugiego zwolnienia, co może skutkować uszkodzeniem pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy nieprawidłowego zarządzania ścieżkami zakończenia wątków jądra, co prowadzi do problemu use-after-free. Problem został zgłoszony podczas testów KUnit, gdzie wystąpiły awarie związane z uszkodzonymi wskaźnikami funkcji zwrotnych RCU.

W jądrze Linuxa naprawiono podatność związaną z porównywaniem MAC w protokole tcp-md5, aby zapobiec atakom czasowym.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy funkcji smb_lazy_parent_lease_break_close(). Wskazany wskaźnik opinfo jest używany po zwolnieniu blokady RCU, co prowadzi do warunków wyścigu i potencjalnego wykorzystania po zwolnieniu pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na przepełnienie bufora w funkcji ioam6_fill_trace_data(). Problem wynika z niewłaściwego przechowywania długości schematu, co prowadzi do pominięcia kontroli dostępnego miejsca w buforze śledzenia.

W jądrze Linux wykryto podatność w implementacji ESP (Encapsulating Security Payload) dla protokołów IPv4/IPv6. Problem polega na tym, że funkcje przetwarzania datagramów UDP nie oznaczały współdzielonych fragmentów stron (pipe pages) flagą SKBFL_SHARED_FRAG, co pozwalało na deszyfrowanie danych w miejscu bez uprzedniego utworzenia prywatnej kopii. Atakujący mógłby wykorzystać to do odczytu lub modyfikacji danych ESP w pakietach UDP pochodzących ze współdzielonych stron.

W jądrze Linuxa zidentyfikowano podatność, która została rozwiązana. Problem dotyczy przekazywania flow_id do funkcji set_rps_cpu(), co może prowadzić do dostępu poza granice oraz awarii systemu.