Podatności Linux kernel

W jądrze Linux w module ksmbd dodano zabezpieczenie, które uniemożliwia korzystanie z konta gościa w trybie multichannel. Jeśli sesja jest powiązana z gościem, serwer zwraca błąd STATUS_NOT_SUPPORTED.

W jądrze Linux w stosie MPTCP występują wyścigi między awarią subflow a tworzeniem nowego subflow. Problem rozwiązano przez dodanie osobnego flagi chronionej blokadą fallback, która zapobiega tworzeniu dodatkowych subflow w określonych stanach gniazda.

W jądrze Linux w sterowniku sieciowym libwx struktura wx_rx_buffer zawiera dwa pola DMA ('dma' i 'page_dma'), ale tylko 'page_dma' jest inicjalizowane. Użycie niezainicjalizowanego 'dma' może prowadzić do błędów DMA lub use-after-free.

W jądrze Linux wykryto podatność w kliencie SMB (cifs) prowadzącą do użycia po zwolnieniu (use-after-free) struktury cinode podczas odłączania systemu plików. Problem występuje w funkcji cifs_oplock_break() z powodu wyścigu, gdy umount zwalnia superblok przed zakończeniem operacji przerwania oplocka.

W jądrze Linux w sterowniku libwx wykryto podwójne zwolnienie strony w funkcji page_pool_put_full_page(), co prowadzi do paniki jądra. Problem występuje, gdy funkcja jest wywoływana w nieodpowiednim momencie, powodując uszkodzenie listy i awarię systemu.

W jądrze Linux wykryto podatność use-after-free w funkcji crypt_message modułu klienta SMB. Problem pojawia się, gdy używane są sprzętowe akceleratory kryptograficzne, które wykonują operacje asynchronicznie. Po usunięciu obsługi asynchronicznej w łatce CVE-2024-50047, bufor żądania jest zwalniany przed zakończeniem operacji kryptograficznej, co prowadzi do awarii jądra.

W jądrze Linux wykryto podatność use-after-free w funkcji rpl_do_srh_inline() w module RPL (Routing Protocol for Low-Power and Lossy Networks). Funkcja pobiera wskaźnik do nagłówka IPv6, a następnie po wywołaniu skb_cow_head() uzyskuje do niego dostęp, co może prowadzić do użycia zwolnionej pamięci. Problem został załatany poprzez zmianę wskaźnika na lokalną strukturę.

W jądrze Linux wykryto błąd w module nf_conntrack, który powoduje awarię systemu podczas usuwania niezainicjalizowanego wpisu z tablicy mieszającej. Problem wynika z wyścigu, w którym potwierdzony wpis (IPS_CONFIRMED) jest usuwany zanim zostanie dodany do tablicy, co prowadzi do dereferencji wskaźnika.

W jądrze Linux w podsystemie TLS wykryto błąd use-after-free podczas odczytu gniazda. Po zmianach w TCP, które agresywniej kompaktują pakiety, TLS może próbować operować na już zwolnionym buforze (skb) podczas sprawdzania stanu deszyfrowania kolejki.

W jądrze Linuxa w sterowniku bnxt_en wykryto podatność polegającą na nieprawidłowym ustawieniu długości dla operacji DMA unmap podczas przesyłania pakietów XDP_REDIRECT. Błąd powoduje ostrzeżenie i potencjalne problemy w systemach z włączonym IOMMU.

W jądrze Linux w NFSD, funkcja nfsd4_spo_must_allow() nie sprawdza, czy żądanie jest komendą v4 compound. Jeśli nie jest, analiza cstate może dać niezdefiniowane wyniki.

W jądrze Linux w sterowniku MHI EP występuje błąd kolejności operacji: wskaźnik odczytu (rd_offset) jest aktualizowany przed zapisaniem bufora. Może to prowadzić do sytuacji wyścigu, w której host widzi zaktualizowany wskaźnik przed pełnym zapisaniem elementu, co grozi uszkodzeniem danych.

W jądrze Linux w podsystemie netfs wykryto błąd podwójnego zwolnienia referencji (double put) żądania. Jeśli żądanie netfs zakończy się podczas pętli pauzy, flaga IN_PROGRESS jest usuwana, ale późniejsza pętla oczekiwania może ponownie zwolnić referencję, prowadząc do nieprawidłowego zachowania.

W jądrze Linux w systemie plików Btrfs wykryto błąd wyścigu między zmianą nazwy pliku a logowaniem katalogu. W wyniku tego błędu, po awarii systemu przed zakończeniem zmiany nazwy, podczas odtwarzania dziennika może dojść do usunięcia pliku, który był przenoszony.

W jądrze Linux w serwerze ksmbd (SMB) funkcja free_transport dla połączeń TCP może być wywoływana z kontekstu smbdirect, co powoduje kernel oops. Dodano operację free_transport w strukturze połączenia oraz oddzielne implementacje dla TCP i smbdirect.

W jądrze Linuxa w sterowniku bnxt_en wykryto podatność polegającą na nieprawidłowym opróżnianiu list przekierowań XDP. Błąd prowadzi do uszkodzenia listy dwukierunkowej, co może skutkować awarią systemu (kernel panic) podczas przetwarzania ruchu XDP_REDIRECT.

W jądrze Linux w podsystemie RDMA/iwcm odkryto podatność use-after-free na obiektach roboczych po zniszczeniu cm_id. Problem pojawia się, gdy ostatnie odwołanie do cm_id jest usuwane w kontekście procedury obsługi zdarzeń, co prowadzi do wycieku pamięci i potencjalnego wykonania kodu.

W jądrze Linuxa wykryto podatność w sterowniku nvme-tcp, gdzie nieprawidłowe zarządzanie zestawem tagów (tag set) podczas konfiguracji drugiej kolejki administracyjnej prowadzi do błędu use-after-free. Problem pojawia się, gdy pierwsze wywołanie nvme_tcp_configure_admin_queue() kończy się sukcesem, a drugie (dla bezpiecznej konkatenacji) zawodzi, co skutkuje brakiem usunięcia zestawu tagów i późniejszym dostępem do zwolnionej pamięci.

W jądrze Linux w module openvswitch wykryto podatność powodującą nieskończoną pętlę podczas parsowania pakietów MPLS. Nieoczekiwany pakiet MPLS może nie zawierać znacznika końca stosu etykiet, co przy dużej liczbie etykiet prowadzi do zawinięcia licznika i zapętlenia, skutkującego zawieszeniem procesora (soft lockup).

W jądrze Linux wykryto podatność w mechanizmie ponawiania zapisu netfs. Błędne resetowanie iteratora podzadania może prowadzić do odczytu poza dozwolonym obszarem pamięci (slab-out-of-bounds), co objawia się błędem KASAN.

W jądrze Linux w sterowniku WWAN t7xx występuje problem w obsłudze NAPI RX poll: po odłączeniu interfejsu sieciowego (dellink) netdev jest zwalniany, ale w trakcie przetwarzania skb w pollingu używany jest nieprawidłowy netdev, co prowadzi do paniki jądra (NULL pointer dereference).

W jądrze Linux w module netfilter nf_set_pipapo_avx2 występuje błąd w inicjalizacji mapy startowej: jeśli pierwsze pole nie pokrywa całej mapy, pozostałe bity nie są zerowane, co powoduje wyciek tych bitów do następnej rundy dopasowania. Poprawka dla implementacji C była niekompletna.

W jądrze Linux, w module sunrpc, wykryto lukę umożliwiającą zdalne wywołanie awarii. Specjalnie spreparowany pakiet może spowodować, że SVC_GARBAGE zostanie zwrócone bez ustawienia wskaźnika rq_accept_statp, co prowadzi do dereferencji NULL i awarii systemu.

W jądrze Linux w podsystemie SCSI target iSCSI wykryto błąd powodujący wyścig czasomierzy NOPIN. Po usunięciu połączenia czasomierz odpowiedzi NOPIN może zostać ponownie uruchomiony, co prowadzi do dereferencji pustego wskaźnika i awarii systemu.

W jądrze Linuxa wykryto podatność w mechanizmie BPF, gdzie funkcja bpf_redirect_peer nie czyści (scrub) przekierowywanych pakietów. Powoduje to, że informacje z jednej przestrzeni nazw sieciowych (netns) mogą być wykorzystane w innej, co prowadzi do błędów w działaniu, np. do odrzucania ruchu IPsec przez Cilium.

W sterowniku Ethernet mtk_eth_soc (Linux kernel) wykryto błąd prowadzący do paniki systemu przy użyciu 4GB+ RAM. Funkcja mtk_poll_rx() nieprawidłowo obsługiwała flagę MTK_RESETTING, co powodowało przetwarzanie błędnego deskryptora SDP i panikę.

W jądrze Linuxa wykryto podatność w funkcjach wyszukiwania gniazd sieciowych, gdzie wskaźnik do struktury inet_timewait_sock może być błędnie traktowany jako zwykłe gniazdo. Użycie funkcji sock_put() zamiast sock_gen_put() dla gniazd w stanie TCP_TIME_WAIT prowadzi do naruszenia pamięci i awarii systemu.

W jądrze Linux, w module 9p/net, wykryto lukę związaną z nieprawidłowym obsługiwaniem ujemnych odpowiedzi na odczyt/zapis. Serwer może odpowiedzieć sukcesem z ujemną liczbą bajtów, co prowadzi do błędów w porównaniach i potencjalnego dereferencji wskaźnika NULL.

W jądrze Linux w podsystemie NVMe target (nvmet) istnieje podatność na użycie po zwolnieniu (UAF) w funkcji nvmet_req_complete(). Implementacja operacji queue_response() może zwolnić żądanie przekazane jako argument, a następnie funkcja percpu_ref_put() może odwoływać się do zwolnionego wskaźnika. Poprawka polega na zapisaniu wskaźnika sq w zmiennej lokalnej przed wywołaniem __nvmet_req_complete(), aby uniknąć dereferencji zwolnionego wskaźnika.

W jądrze Linuxa w module ceph występuje podatność polegająca na podwójnym zwolnieniu pamięci (double-free) podczas nieudanego dekodowania snapów. Może to prowadzić do przypadkowego użycia po zwolnieniu (use-after-free) lub wywołania BUG_ON.

W jądrze Linux w podsystemie ksmbd (serwer SMB) występuje problem z wiszącym wskaźnikiem w funkcji krb_authenticate. Funkcja zwalnia sess->user, ale nie ustawia wskaźnika na NULL. Następnie wywołuje ksmbd_krb5_authenticate, która może nie zainicjalizować sess->user, co prowadzi do dostępu do zwolnionej pamięci w smb2_sess_setup.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w kliencie SMB podczas deszyfrowania przy użyciu wielu kanałów. Po zmianach w kodzie, kanały zaczęły współdzielić klucz kryptograficzny (AEAD TFM) z kanału głównego, co prowadzi do jednoczesnego dostępu z wielu wątków i wyścigu, skutkującego odwołaniem do zwolnionej pamięci.

W jądrze Linux w podsystemie netfilter nfnetlink_queue stwierdzono użycie niezainicjalizowanej zmiennej 'ctx' w funkcji nfqnl_build_packet_message(). Może to prowadzić do błędów alokacji pamięci.

W jądrze Linux w sterowniku RDMA erdma funkcja erdma_accept_newconn() wywołuje erdma_cep_put() na strukturze new_cep, a następnie kontynuuje jej używanie. Prowadzi to do błędu use-after-free (UAF), ponieważ pamięć może zostać zwolniona przed dalszym dostępem.

W jądrze Linux wycofano łatkę CVE-2024-54680, która miała naprawić problem zablokowania timerów TCP po usunięciu modułu CIFS. Okazało się, że łatka nie rozwiązywała problemu, a wręcz wprowadziła nową lukę: wyciek gniazd TCP w stanie FIN_WAIT_1, prowadzący do wyczerpania limitów gniazd osieroconych (tcp_max_orphans).

W jądrze Linuxa, w ksmbd, występuje błąd dereferencji wskaźnika null w funkcji alloc_preauth_hash(). Klient wysyła nieprawidłowe żądanie negocjacji SMB2, ksmbd zwraca błąd, ale klient może następnie wysłać żądanie sesji SMB2, mimo że conn->preauth_info nie zostało przydzielone. Łatka dodaje status połączenia KSMBD_SESS_NEED_SETUP, aby ignorować żądania sesji, jeśli faza negocjacji SMB2 nie została zakończona.

W jądrze Linux w podsystemie netfilter funkcja nf_sk_lookup_slow_v6 nie wykonuje wyszukiwania w tablicy conntrack dla spakietów IPv6 poddanych SNAT, w przeciwieństwie do wersji IPv4. Powoduje to, że reguły xt_socket z opcją --transparent nie działają dla ruchu IPv6 po translacji adresów.

W podsystemie netfs jądra Linux wykryto błąd w funkcji read_collect. Gdy wiele podżądań przekazywało dane do tego samego żądania, nadpisywały one pole prev_donated, powodując uszkodzenie danych i panikę BUG().

W jądrze Linux w mechanizmie netmem brakuje zabezpieczenia przed przesyłaniem (xmit) pakietów, które są nieczytelne dla CPU (unreadable netmem). Przekazanie takiego pakietu do sterownika sieciowego może spowodować wywołanie funkcji DMA na nieprawidłowych adresach.

W jądrze Linux, w module nvme-tcp, wykryto podatność na uszkodzenie pamięci w funkcji nvme_tcp_recv_pdu(). Funkcja nie sprawdza poprawności długości nagłówka, co może pozwolić atakującemu na zapis danych poza przydzielonym obszarem pamięci.

W jądrze Linux w podsystemie CIFS (klient SMB) występuje błąd prowadzący do paniki (oops) z powodu niewyzerowanego wskaźnika server->smbd_conn podczas ponownego połączenia. W funkcji smbd_destroy() wskaźnik nie jest czyszczony po zwolnieniu struktury smbd_connection, co może powodować dezorientację przy próbie ponownego połączenia.

W podsystemie NVMe over Fabrics (nvmet) jądra Linux wykryto błąd prowadzący do awarii podczas wyłączania przestrzeni nazw. Licznik percpu chroniący oczekujące I/O nie był odpowiednio obsługiwany, co powodowało crash przy próbie wyłączenia przestrzeni nazw z aktywnym I/O.

W jądrze Linux w sterowniku RDMA/rxe występuje ostrzeżenie podczas czyszczenia zasobów, gdy przydzielono zbyt wiele zasobów rdma. Obecny limit czasu jest zbyt krótki, aby poprawnie zwolnić wszystkie zasoby, co prowadzi do wyświetlenia ostrzeżenia.

W jądrze Linux w sterowniku RDMA rtrs brakuje wywołania funkcji deinit() podczas odłączania, co powoduje, że procedura rejestracji handlera zdarzeń IB nie jest cofana. Prowadzi to do uszkodzenia listy (list corruption) przy wielokrotnym łączeniu i rozłączaniu.

W jądrze Linux w systemie plików NFSD wykryto podatność polegającą na użyciu pamięci po zwolnieniu (use-after-free). Gdy pobranie acl_default się nie powiedzie, oba wskaźniki acl_access i acl_default są zwalniane, ale acl_access nadal przechowuje wskaźnik do zwolnionej struktury posix_acl, co prowadzi do ostrzeżenia i paniki jądra.

W jądrze Linux stwierdzono podatność w funkcji ndisc_send_skb(), która może być wywoływana bez blokady RTNL lub RCU. Brak odpowiedniej ochrony RCU umożliwia użycie po zwolnieniu (UAF) podczas uzyskiwania dostępu do struktury sieciowej urządzenia.

W jądrze Linuxa w funkcji mld_newpack() brakowało ochrony RCU, co mogło prowadzić do wyścigów danych. Poprawka zastępuje wywołanie sock_alloc_send_skb() przez alloc_skb() z odpowiednim obciążeniem gniazda pod ochroną RCU.

W jądrze Linux, w module ksmbd, wykryto podatność na przepełnienie liczb całkowitych na systemach 32-bitowych. Operacje dodawania w ipc_msg_alloc() mogą prowadzić do przepełnienia i potencjalnego uszkodzenia pamięci.

W jądrze Linuxa w sterowniku PCI dwc ep występuje podatność polegająca na braku zabezpieczenia przed zmianą rozmiaru lub flag BAR w funkcji pci_epc_set_bar(). Pozwala to na ustawienie nowego rozmiaru BAR, który jest mniejszy niż rozmiar określony przez hosta, co może umożliwić odczyt pamięci spoza nowego zakresu.