Podatności Linux kernel

W jądrze Linux wykryto błąd w funkcji tcp_v6_syn_recv_sock(), który powoduje wyścig (race condition). Po wywołaniu tcp_v4_syn_recv_sock() gniazdo potomne jest już widoczne w tablicy ehash TCP, ale wskaźnik pinet6 nadal wskazuje na struktury gniazda nasłuchującego, co może prowadzić do nieprawidłowego działania.

W jądrze Linux wykryto podatność w netconsole, gdzie komunikat przekazywany z podsystemu konsoli nie jest gwarantowanie zakończony znakiem null, co prowadzi do odczytu poza granicami bufora (OOB). Problem został zaobserwowany przez KASAN jako slab-out-of-bounds podczas przetwarzania wiadomości.

W jądrze Linux w funkcji dlm_search_rsb_tree brakuje walidacji długości parametru len, który pochodzi z komunikatów sieciowych. Gdy przekracza DLM_RESNAME_MAXLEN, może prowadzić do zapisu poza dozwolonym obszarem pamięci.

W jądrze Linuxa w implementacji AVX2 dla zestawów pipapo w netfilter wykryto błąd, który powoduje zwracanie niepasujących wpisów podczas wygasania. Problem występuje, gdy funkcje dopasowujące AVX2 przetwarzają ostatnie pole, nie konsumując całego wejścia, co prowadzi do błędnego raportowania kolizji elementów.

W jądrze systemu Linux zidentyfikowano podatność, która polega na braku kopiowania danych pakietu z bufora XDP do struktury skb, co prowadzi do wycieku zawartości pamięci jądra do przestrzeni użytkownika. Dodatkowo, niewłaściwe oznaczanie skb do recyklingu może prowadzić do uszkodzenia stanu puli stron.

W jądrze Linux wykryto podatność w funkcji ip6_err_gen_icmpv6_unreach(), gdzie nieczyszczone pole cb[] w skb2 może prowadzić do błędnej interpretacji danych sterujących. Atakujący może wysłać spreparowany pakiet ICMPv4 z opcją CIPSO, co skutkuje odczytem poza zakresem bufora w icmp6_send().

W jądrze Linux wykryto podatność w funkcji ip4ip6_err() tunelu IPv6-over-IPv4. Niezainicjalizowany obszar cb[] w sklonowanym buforze skb może zostać zinterpretowany jako struktura IPv4, co prowadzi do odczytu danych sterowanych przez atakującego i przepełnienia bufora stosowego.

W jądrze Linux w stosie X.25 wykryto podwójne zwolnienie bufora sieciowego (skb). Gdy funkcja x25_queue_rx_frame nie może zaalokować pamięci, zwalnia skb i zwraca błąd, ale wywołująca ją x25_backlog_rcv również próbuje zwolnić ten sam skb, prowadząc do podwójnego free.

W jądrze Linuxa zidentyfikowano podatność związana z użyciem po zwolnieniu w funkcji __ksmbd_close_fd(). Problem występuje, gdy trwały uchwyt pliku przetrwa rozłączenie sesji, co prowadzi do nieprawidłowego zarządzania blokadami bajtów.

W jądrze Linux wykryto podatność w funkcji br_nd_send() mostu sieciowego, która analizuje opcje sąsiedztwa (ND) z pakietów ICMPv6. Funkcja zakładała, że opcje te znajdują się w liniowej części bufora, jednak w niektórych przypadkach mogą być one nieliniowe, co prowadzi do odczytu danych poza przydzielonym buforem liniowym. Problem został rozwiązany przez linearyzację pakietu przed parsowaniem opcji.

W jądrze Linux wykryto podatność w implementacji MPTCP, prowadzącą do użycia po zwolnieniu (use-after-free) w funkcji __inet_lookup_established. Problem wynika z nieprawidłowej inicjalizacji protokołu TCPv6 dla gniazd potomnych MPTCP, które są alokowane przez kmalloc zamiast dedykowanej pamięci podręcznej z flagą SLAB_TYPESAFE_BY_RCU. Umożliwia to równoczesny dostęp do zwolnionej pamięci podczas wyszukiwania w tablicy ehash, co może prowadzić do naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku stmmac wykryto podatność polegającą na niedomiarze liczby całkowitej w trybie łańcuchowym (chain mode). Funkcja jumbo_frm() oblicza długość jako nopaged_len - bmax, co przy małej części liniowej pakietu i dużym rozmiarze całkowitym prowadzi do zawinięcia wartości i ogromnej liczby iteracji. Skutkuje to mapowaniem dowolnej pamięci jądra do silnika DMA, co umożliwia ujawnienie pamięci jądra i potencjalne uszkodzenie danych.

W jądrze Linuxa w sterowniku USB/IP wykryto podatność polegającą na braku walidacji pola number_of_packets w odpowiedzi RET_SUBMIT. Złośliwy serwer USB/IP może ustawić tę wartość większą niż oryginalna, co prowadzi do zapisu poza przydzieloną pamięcią (heap out-of-bounds write) podczas przetwarzania pakietów ISO.

W jądrze systemu Linux zidentyfikowano podatność, która została rozwiązana poprzez bezpośrednie wywołanie funkcji ->free_folio() w folio_unmap_invalidate(). Problem polegał na tym, że wywołanie filemap_free_folio() bez odpowiedniego zablokowania mapowania mogło prowadzić do błędu use-after-free.

W jądrze Linux w module TLS wykryto podatność use-after-free w ścieżce błędu -EBUSY funkcji tls_do_encryption. Podwójne czyszczenie licznika encrypt_pending i wpisu scatterlist prowadzi do uszkodzenia struktury danych, co umożliwia wywołanie zwrotne na zwolnionej pamięci.

W jądrze systemu Linux zidentyfikowano podatność dotyczącą nieprawidłowego dostępu do folio, gdy i_blkbits różni się od wielkości I/O. Problem ten dotyczy sytuacji, w której IO może być złożone dla mniejszej części folio, co prowadzi do nieprawidłowego zarządzania kontekstem folio.

W jądrze Linux w systemie plików ext4 wykryto podatność prowadzącą do nieskończonej pętli podczas operacji mkdir/mknod. Błąd występuje, gdy mapowanie bloków logicznych na fizyczne nie powiedzie się po wstawieniu nowego rozszerzenia do drzewa rozszerzeń, co powoduje, że zwolniony blok fizyczny jest ponownie używany przez blok xattr, prowadząc do zakleszczenia i blokady wątku na 143 sekundy.

W jądrze systemu Linux zidentyfikowano podatność w funkcji smb_grant_oplock(), która prowadzi do problemów z użyciem po zwolnieniu pamięci oraz dereferencją wskaźnika NULL. Problemy te wynikają z niewłaściwej sekwencji publikacji oplock, co może prowadzić do nieprzewidywalnych zachowań w systemie.

W jądrze Linuxa w podsystemie netfilter naprawiono błąd w obsłudze oczekiwań (expectations) połączeń. Funkcja nfct_help() była wywoływana bez trzymania referencji do głównego wpisu conntrack, co mogło prowadzić do naruszenia bezpieczeństwa pamięci. Poprawka polega na użyciu expect->helper zamiast nfct_help() w ścieżkach ctnetlink i /proc.

W jądrze Linux w sterowniku dvb-net wykryto podatność na odczyt poza zakresem w tablicach nagłówków rozszerzeń ULE. Indeks htype pochodzący z danych sieciowych może przyjąć wartość 255, co prowadzi do odczytu poza tablicą o rozmiarze 255 elementów, a odczytana wartość może zostać wywołana jako wskaźnik funkcji.

W jądrze Linux w module NFSD (NFSv4.0) wykryto podatność na przepełnienie sterty w mechanizmie pamięci podręcznej replay dla operacji LOCK. Stały 112-bajtowy bufor nie uwzględnia zmiennej długości pola właściciela blokady (do 1024 bajtów), co pozwala na zapis poza zakresem.

W jądrze Linux w module netfilter nf_conntrack_h323 funkcja DecodeQ931() nie sprawdza zerowej długości przed odjęciem 1, co prowadzi do zawinięcia wartości i odczytu poza zakresem.

W jądrze Linux wykryto podatność w funkcji smc_tcp_syn_recv_sock() w module SMC. Problem polega na wyścigu między zamykaniem gniazda SMC a obsługą połączenia TCP w kontekście przerwania programowego, co prowadzi do dereferencji wskaźnika NULL lub użycia po zwolnieniu (UAF). Atakujący może wykorzystać tę lukę do wywołania paniki systemu.

W jądrze Linux w systemie plików Btrfs wykryto podatność polegającą na braku wykrywania konfliktów między i-węzłami podczas rejestrowania odwołań do i-węzłów po operacji zmiany nazwy z wymianą. Może to prowadzić do próby usunięcia katalogu zawierającego podwolumin podczas odtwarzania dziennika, co kończy się błędem montowania systemu.

W jądrze Linux w systemie plików btrfs funkcja btrfs_get_or_create_delayed_node() miała błąd kolejności pamięci po przeniesieniu refcount_set do sekcji krytycznej. Może to prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux w bibliotece libceph funkcja decode_pool() nie sprawdzała poprawnie granic podczas dekodowania uszkodzonej mapy OSD. Złośliwie spreparowana mapa może prowadzić do odczytu poza zakresem pamięci.

W jądrze Linux wykryto błąd w sterowniku STMMAC powodujący crash podczas wykonywania akcji XDP_TX w trybie zero copy. Problem wynika z braku sprawdzenia typu pamięci bufora XDP przed jego użyciem, co prowadzi do nieprawidłowych mapowań i awarii systemu.

W sterowniku e1000 jądra Linux wykryto podatność na odczyt poza zakresem (OOB) w funkcji e1000_tbi_should_accept(). Problem występuje, gdy długość ramki zgłoszona przez deskryptor jest zerowa lub większa niż rozmiar bufora RX, co prowadzi do odczytu poza przydzieloną pamięcią i może spowodować awarię systemu.

W jądrze Linux w komponencie svcrdma funkcja svc_rdma_copy_inline_range nie sprawdzała, czy indeks rc_curpage mieści się w przydzielonej tablicy stron. Może to prowadzić do odczytu lub zapisu poza zakresem.

W jądrze Linux w module ksmbd występuje podatność use-after-free podczas współbieżnego odłączania połączenia drzewa. Obiekt tcon jest zwalniany na jednej ścieżce, podczas gdy inna ścieżka nadal go używa.

W jądrze Linux w svcrdma, funkcja svc_rdma_copy_inline_range używa rc_curpage (indeks strony) zamiast rc_pageoff (przesunięcie bajtowe) jako przesunięcia dla memcpy, co powoduje kopiowanie poza bieżącą stronę.

W jądrze Linuxa w systemie plików ksmbd wykryto wyścig danych na polu m_flags w strukturze vfs_cache. Niektóre funkcje odczytują i modyfikują to pole bez odpowiedniego blokowania, co może prowadzić do utraty stanu usuwania przy zamknięciu lub niespójności.

W jądrze Linux w iomap, funkcja iomap_adjust_read_range() zakłada, że pozycja i długość są wyrównane do bloku, co nie zawsze jest prawdą (np. w erofs). Powoduje to pomijanie zbyt wielu bajtów dla zaktualizowanych bloków, co prowadzi do nieprawidłowej pozycji i długości odczytu.

W jądrze Linux w net/handshake, podwójne anulowanie żądania handshake powoduje wyciek gniazda. Gdy drugie anulowanie przychodzi, remove_pending() zwraca false, ale nadal zmniejszany jest licznik referencji gniazda, co prowadzi do niedomiaru.

W jądrze Linuxa występuje podatność wyścigu w systemie plików CIFS, podczas łączenia się z drzewem IPC. Dostęp do pola hostname w strukturze TCP_Server_Info nie jest odpowiednio chroniony, co może prowadzić do jego zwolnienia w wątku cifsd i spowodować użycie po zwolnieniu w funkcji __tree_connect_dfs_target().

W jądrze Linuxa występuje podwójne zwolnienie (double free) wskaźnika xprt_ctxt w usłudze SUNRPC. Gdy żądanie RPC jest odroczone, wskaźnik jest przenoszony do svc_deferred_req, ale przy ponownym odroczeniu nie jest czyszczony, co prowadzi do podwójnego zwolnienia lub dodania do listy wolnych, co może spowodować awarię (oops).

W jądrze Linux wykryto podatność w module CIFS, która może prowadzić do awarii systemu (oops) podczas obsługi przerwania blokady oplock. Problem wynika z wyścigu między zamykaniem plików (deferred close) a przerwaniami dzierżawy, co może skutkować użyciem nieprawidłowego wskaźnika podczas odmontowywania systemu plików.

W jądrze Linux wykryto podatność w module sieciowym SMC (Shared Memory Communications). Funkcja smc_llc_srv_add_link() nie była odpowiednio chroniona, co mogło prowadzić do wyścigu i w rezultacie do paniki systemu (crash) podczas tworzenia drugiego łącza przez serwer.

W jądrze Linux w sterowniku mlx5e dla kart sieciowych Mellanox wykryto podatność prowadzącą do nieprawidłowego dostępu do bufora w trybie XSK dla legacy rq. Problem powoduje podwójne zwolnienie bufora w ścieżce XDP_REDIRECT, co może doprowadzić do awarii systemu (crash).

W jądrze Linux w module scsi: target: iscsit występuje podatność polegająca na tym, że polecenia z wpisów odzyskiwania są zwalniane po zamknięciu sesji, co prowadzi do użycia po zwolnieniu (use-after-free) lub błędu NULL pointer dereference. Poprawka przenosi czyszczenie wpisów odzyskiwania przed zwolnienie sesji.

W jądrze Linux w sterowniku SCSI qla2xxx wykryto problemy po resecie układu (chip reset). Polecenia wysłane do firmware'u po resecie nie są zwalniane, a próby ich obsługi prowadzą do błędów BUG_ON oraz problemów z mapowaniem DMA.

W jądrze Linux w sterowniku SCSI qla2xxx występuje błąd polegający na nieprawidłowym zwalnianiu elementu purex. Funkcja qla2xxx_process_purls_iocb() używa kfree() zamiast qla24xx_free_purex_item(), co może prowadzić do uszkodzenia pamięci, gdy element pochodzi z puli prealokowanej.

W jądrze Linux wykryto podatność powodującą uszkodzenie buforów skb podczas segmentacji list fragmentów. Problem występuje, gdy pakiety przetworzone przez rx-gro-list są przekazywane przez most zarówno do lokalnego wejścia, jak i do urządzenia wyjściowego (tun), co prowadzi do niebezpiecznego zapisu do sklonowanych buforów ze współdzielonymi nagłówkami. Skutkuje to błędami krytycznymi, takimi jak dereferencja pustego wskaźnika.

W jądrze Linux w sterowniku ixgbe wykryto podatność powodującą panikę systemu podczas korzystania z XDP_TX na maszynach z więcej niż 64 procesorami. Problem wynika z nieprawidłowego indeksowania pierścieni XDP TX, które nie uwzględnia ograniczenia do 64 pierścieni (cpu % 64), co prowadzi do odwołania poza zakres tablicy i dereferencji pustego wskaźnika. Dodatkowo, mechanizm blokady (ixgbe_xdp_locking_key) jest niepoprawnie dekrementowany podczas zmiany konfiguracji, co umożliwia wystąpienie błędu.

W jądrze Linuxa w kliencie SMB (cifs) występuje problem z brakującym zliczaniem referencji sesji. Użyto nowego pomocnika cifs_smb_ses_inc_refcount(), aby uzyskać aktywne referencje do sesji i dfs_root_ses, co zapobiega use-after-free.

W jądrze Linux w module nvmet-tcp brakowało sprawdzenia zakresu dla Transfer Tag (ttag), który jest używany jako indeks do tablicy poleceń. Dodano kontrolę granic, aby zapobiec dostępowi poza zakresem.

W jądrze Linux w frameworku kryptograficznym aead występuje problem z obsługą pola cra_reqsize. Użycie cra_reqsize zamiast crypto_aead_set_reqsize() prowadzi do uszkodzenia pamięci i awarii.

W jądrze Linux w systemie plików Btrfs wykryto podatność prowadzącą do podwójnego zwolnienia pamięci (double free) struktury qgroup record. Problem występuje, gdy funkcja add_delayed_ref_head() zgłasza błąd po tym, jak rekord został już dodany do śledzenia przez btrfs_qgroup_trace_extent_nolock(), co powoduje, że zarówno wywołujący, jak i wywoływany próbują zwolnić tę samą pamięć.

W jądrze Linux w funkcji enc_dec_hypercall() zmieniono parametr z liczby stron na rozmiar w bajtach. Poprzednia wersja wymuszała zaokrąglanie w górę, co powodowało błędne oznaczanie stron jako odszyfrowanych podczas migracji na żywo, prowadząc do trwałego uszkodzenia danych.