Podatności Linux kernel

W jądrze Linux w sterowniku i2c amd-mp2, w przypadku niepowodzenia rejestracji adaptera, kontekst I2C jest zwalniany przez devres, ale sterownik PCI nadal może używać wygasłego wskaźnika w callbackach IRQ i sleep. Poprawka wyrejestrowuje callback przed zwróceniem błędu.

W jądrze Linux w sterowniku s390/dasd, w funkcji dasd_release_space(), użycie operatora logicznego AND zamiast OR prowadzi do wywołania funkcji is_ese() nawet gdy wskaźnik funkcji jest NULL, co powoduje dereferencję NULL.

W jądrze Linux w sterowniku i2c imx, występuje wyścig (race) podczas rejestracji slave oraz błąd w obsłudze błędów. Przypisanie wskaźnika slave przed pm_runtime_resume_and_get() może pozostawić go niezerowym po błędzie, a także może wystąpić wyścig z przerwaniem, prowadzący do dereferencji NULL. Poprawka przenosi przypisanie po udanym resume i wewnątrz sekcji krytycznej slave_lock.

W jądrze Linux w funkcji dev_has_sync_state() pole dev->driver jest odczytywane dwukrotnie bez trzymania blokady device_lock(), co może prowadzić do wyścigu podczas równoległego odpinania urządzenia. Poprawka polega na jednokrotnym odczycie z użyciem READ_ONCE(), co synchronizuje się z WRITE_ONCE() w device_set_driver().

W jądrze Linux w sterownikach Hyper-V (vmbus) pole driver_override jest dostępne bez blokady podczas wywołania match() z __driver_attach(), co może prowadzić do użycia po zwolnieniu (UAF). Poprawka wykorzystuje ogólną infrastrukturę driver_override, która zapewnia odpowiednie blokowanie.

W jądrze Linux w sterowniku NTFS wykryto podatność polegającą na obcięciu długości obszaru restartu do typu u16, co pozwala na ominięcie kontroli mieszczenia się danych w stronie systemowej. Specjalnie spreparowany obraz NTFS może doprowadzić do odczytu poza przydzielonym buforem podczas montowania systemu plików.

W jądrze Linux programy BPF LSM mogą obecnie podłączać się do haka xfrm_decode_session(), który może zwracać błąd, ale security_skb_classify_flow() wywołuje go w kontekście void i wywołuje BUG_ON() przy błędzie. Poprawka wyłącza możliwość podłączania BPF do tego haka, aby zapobiec panice systemu.

W jądrze Linux w sterowniku mlx5 dla LAG i MPESW brakowało wywołania complete() w ścieżce błędu, gdy mlx5_lag_get_devcom_comp() zwracało NULL. Proces czekający na zakończenie pracy mógł zablokować się na zawsze. Poprawka kieruje wczesny powrót przez etykietę 'complete', aby zawsze budzić oczekującego.

W jądrze Linux wykryto podatność w podsystemie Bluetooth SCO, powodującą zakleszczenie (deadlock) w funkcji sco_sock_timeout(). Problem wynika z podwójnego przejęcia tego samego zamka (lock_sock) podczas zamykania gniazda, gdy timer działa asynchronicznie. Naprawa polega na przeniesieniu wywołania disable_delayed_work_sync() poza sekcję chronioną zamkiem.

W jądrze Linux w KVM dla architektury ARM64 (arm64) w trybie zagnieżdżonej wirtualizacji (nVHE) funkcja kvm_handle_vncr_abort() zakładała, że błąd -EFAULT z kvm_translate_vncr() zawsze oznacza przerwanie (abort). Jednak możliwe są 'późne' błędy na wyjściu translacji S1, np. GFN poza memslotami. Poprawka przygotowuje zewnętrzne przerwanie przed zwróceniem z kvm_translate_vncr() i usuwa BUG_ON() w ścieżce wstrzykiwania błędów.

W jądrze Linux w netfilter xt_nat, handlery SNAT i DNAT zakładają obecność stanu conntrack dla rodziny IP i mogą wyłuskać pusty wskaźnik, gdy są instancjonowane z nieobsługiwanej rodziny przez nft_compat. Reguła mostkowa (bridge-family) może wywołać wyłuskanie NULL w nf_nat_setup_info(). Poprawka odrzuca nie-IP rodziny w xt_nat_checkentry(), aby nie można było zainstalować nieobsługiwanych celów, pozostawiając NFPROTO_INET dozwolone.

W jądrze Linux w narzędziu intel-speed-select (tools/power/x86) demon używa stałej ścieżki pliku pid w /tmp. Lokalny nieuprzywilejowany użytkownik może wcześniej utworzyć dowiązanie symboliczne w tej ścieżce i spowodować, że demon działający z uprawnieniami roota zapisze do wybranego przez atakującego pliku. Poprawka otwiera plik pid z flagą O_NOFOLLOW i waliduje go przez fstat() przed blokadą/zapisem.

W jądrze Linux wykryto podatność w podsystemie CXL, gdzie stała CXL_HEADERLOG_SIZE była zdefiniowana jako 512 bajtów, podczas gdy rzeczywisty rozmiar rejestru Header Log w strukturze RAS Capability wynosi 64 bajty. Powodowało to odczyt poza mapowaną pamięcią (o 448 bajtów) podczas kopiowania danych, a w przypadku wywołania przez CPER prowadziło do wycieku 448 bajtów pamięci stosu jądra do bufora pierścieniowego zdarzeń trace, skąd użytkownik mógł je odczytać przez tracefs.

W jądrze Linux w sterowniku UFS core, zdarzenia śledzenia (trace events) w drivers/ufs/core/ufs_trace.h używały wskaźnika do struktury hba w TP_printk(), co jest niedozwolone, ponieważ TP_printk() jest wykonywane podczas odczytu pliku trace, co może nastąpić znacznie później, gdy wskaźnik może być już nieaktualny. Poprawka zapisuje nazwę urządzenia w momencie wywołania tracepointu i umieszcza ją w buforze pierścieniowym, eliminując ryzyko wyłuskania zwolnionego wskaźnika.

W jądrze Linux wykryto podatność w podsystemie hwmon (OCC), polegającą na odwróceniu kolejności blokad (lock ordering) między mutexem OCC a wywołaniami sysfs podczas rejestracji i usuwania urządzeń hwmon. Może to prowadzić do zakleszczenia (deadlock) systemu. Problem został znaleziony przez narzędzie analizy statycznej i potwierdzony przez raport lockdep.

W jądrze Linux w sterowniku MMC vub300 wykryto zakleszczenie (deadlock) spowodowane rekurencyjnym przejęciem mutexu cmd_mutex podczas resetowania urządzenia USB po przekroczeniu limitu czasu oczekiwania na odpowiedź. Problem został rozwiązany przez odroczenie resetu do momentu zwolnienia mutexu.

W jądrze Linux w sterowniku DRM dla Rockchip (dw_dp), funkcja dw_dp_remove() próbuje uzyskać dostęp do danych sterownika przez platform_get_drvdata(), co może prowadzić do wyłuskania pustego wskaźnika, jeśli callback bind() nie został wykonany. Poprawka usuwa zbędne wywołanie platform_get_drvdata() i zamiast tego odwołuje się do struktury urządzenia przez platform_device.

W jądrze Linux w sterowniku accel/amdxdna brakowało sprawdzenia na NULL przed użyciem wskaźnika do kanału skrzynki zarządzania. Funkcje czyszczące mogły być wywoływane po zniszczeniu kanału, co prowadziło do dereferencji wskaźnika NULL. Dodano odpowiednie sprawdzenia, aby bezpiecznie zakończyć operację.

W jądrze Linux w systemie plików HFS+ brakowało walidacji rozmiaru węzła drzewa B. Uszkodzony obraz HFS+ z nieprawidłowym rozmiarem węzła mógł prowadzić do odczytu niezainicjalizowanej pamięci podczas montowania. Dodano sprawdzenie zgodności z specyfikacją techniczną.

W jądrze Linux w sterowniku soc: xilinx występował wyścig podczas rejestracji zdarzeń. Struktury robocze były inicjalizowane po rejestracji, co mogło prowadzić do dereferencji wskaźnika NULL, gdy firmware wywoła zdarzenie natychmiast po rejestracji. Poprawka inicjalizuje struktury przed rejestracją.

W jądrze Linux w sterowniku soc: xilinx występował błąd w usuwaniu kanału mailbox rx. Z powodu błędnego warunku kanał nie był zamykany ani zwalniany, co prowadziło do użycia po zwolnieniu (use-after-free). Poprawka sprawdza poprawnie zmienną rx_chan.

W jądrze Linux w sterowniku scsi: hisi_sas brakowało interfejsu slave_destroy, co powodowało ostrzeżenia podczas jednoczesnego resetu łącza i usuwania modułu. Poprawka dodaje ten interfejs, aby zapewnić poprawne usunięcie łącza po zakończeniu prac.

W jądrze Linuxa w sterowniku crypto CCP (AMD) podczas eksportu PDH (Platform Diffie-Hellman) bufor łańcucha certyfikatów o zerowej długości nie był poprawnie obsługiwany. Zamiast potraktować go jako zapytanie o długości blobów, system próbował uzyskać adres fizyczny wskaźnika ZERO_SIZE_PTR, co powodowało BUG_ON() przy włączonej opcji CONFIG_DEBUG_VIRTUAL=y. Błąd prowadzi do paniki jądra (kernel oops) i może być wywołany przez nieuprzywilejowanego użytkownika przez ioctl.

W jądrze Linux w sterowniku crypto: ccp/sev-dev-tsm występował błąd dereferencji wskaźnika NULL, gdy pdev->bus jest NULL. Funkcja dsm_create() sprawdzała warunek, ale później używała wskaźnika bez sprawdzenia, co mogło powodować awarię. Poprawka wcześniej zwraca błąd -ENODEV.

W jądrze Linux w sterowniku media: atomisp: gc2235 występowały błędy w obsłudze ścieżek błędów, prowadzące do użycia po zwolnieniu (UAF) i wycieku pamięci. Poprawka zastępuje wywołania gc2235_remove() w ścieżkach błędów jawnymi etykietami unwind, które zwalniają tylko zainicjalizowane zasoby.

W jądrze Linux w funkcji scmi_power_name_get() w firmware: arm_scmi brakowało walidacji numeru domeny, co mogło prowadzić do odczytu poza zakresem pamięci. Poprawka zwraca "unknown" dla nieprawidłowych domen, podobnie jak w scmi_reset_name_get().

W jądrze Linux w sterowniku pinctrl: spacemit występował błąd w sprawdzaniu NULL w funkcji spacemit_pin_set_config. Sprawdzano zmienną pin zamiast wskaźnika spin, co powodowało odrzucenie prawidłowego pinu 0 i pomijanie konfiguracji PAD. Poprawka sprawdza spin, co przywraca konfigurację i zapobiega dereferencji NULL.

W jądrze Linuxa w sterowniku RDMA/hns występuje problem w trybie bezpośrednim poll CQ. Kolejki CQ utworzone przez ib_alloc_cq() zawsze mają komponent obsługi (comp_handler), który mimo że nie powinien być wywoływany w trybie bezpośrednim, jest wywoływany podczas resetu sterownika, co wyzwala ostrzeżenie WARN_ONCE().

W jądrze Linuxa w funkcji __in6_dev_stats_get() istnieje możliwość wyłuskania pustego wskaźnika (NULL deref). Funkcja dev_get_by_index_rcu() może zwrócić NULL, jeśli oryginalne urządzenie fizyczne zostało wyrejestrowane.

W jądrze Linuxa w sterowniku rapidio/tsi721 występuje problem w funkcji tsi721_db_dpc(). W pętli list_for_each() zmienna 'found' nie jest resetowana na początku każdej iteracji, co może prowadzić do błędnego oznaczenia wszystkich elementów jako znalezionych po pierwszym poprawnym doorbellu, a w przypadku nieznalezienia elementu może dojść do wyłuskania nieprawidłowej pamięci.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na wywołaniu BUG_ON podczas montowania uszkodzonego obrazu systemu plików. Specjalnie spreparowany obraz może doprowadzić do awarii jądra (kernel panic) zamiast zgłoszenia błędu montowania. Problem dotyczy funkcji ocfs2_journal_toggle_dirty, która zamiast zwrócić błąd, powoduje natychmiastowe zatrzymanie systemu.

W jądrze Linuxa w sterowniku EDAC/igen6 występuje problem polegający na braku funkcji release() dla urządzeń kontrolerów pamięci. Podczas wyładowywania sterownika pojawia się ślad wywołań z ostrzeżeniem, że urządzenie nie ma funkcji release().

W jądrze Linuxa w mechanizmie liveupdate występuje problem z brakiem odpowiedniego zliczania referencji dla przychodzących danych FLB. Funkcja liveupdate_flb_get_incoming() nie zwiększa licznika referencji, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas trzymania danych przez podsystem.

W jądrze Linux w sterowniku wlcore występuje problem z zestawem szyfrów, który powoduje, że liczba szyfrów zmniejsza się przy każdym uruchomieniu zbyt starego firmware. Na niektórych układach wl128x prowadzi to do błędów ustawiania kluczy i ciągłych prób odzyskiwania sprzętu.

W jądrze Linux w funkcji cxlctl_get_supported_features() występuje fałszywy alarm wykrywania przepełnienia bufora przez mechanizm Fortify, co prowadzi do paniki jądra. Problem wynika z niezainicjalizowanej zmiennej num_entries.

W jądrze Linux w funkcji setup_xor_mapping() występuje fałszywy alarm wykrywania przepełnienia bufora przez mechanizm Fortify, co prowadzi do paniki jądra. Problem wynika z niezainicjalizowanej zmiennej nr_maps.

W jądrze Linux w systemie plików OCFS2 występuje zapis poza zakresem w funkcji ocfs2_remove_refcount_extent, co może prowadzić do paniki jądra. Problem dotyczy usuwania pliku z drzewem refcount, gdy ostatni liść jest usuwany.

W jądrze Linux w module netfilter synproxy występuje problem z niewyrównanym dostępem do pamięci podczas modyfikacji znacznika czasu. Użycie niebezpiecznych operacji może powodować spadek wydajności lub awarię na architekturach z wymogiem wyrównania.

W jądrze Linux w module netfilter conntrack wycofano infrastrukturę genid dla rozszerzeń ct, ponieważ nie jest już używana. Poprzednia zmiana mogła wyłączać wszystkie rozszerzenia ct dla niepotwierdzonych połączeń, co mogło prowadzić do awarii.

W jądrze Linux w sterowniku wcn36xx występuje odczyt poza zakresem z powodu zbyt krótkiej odpowiedzi firmware na żądanie BA. Brak walidacji długości odpowiedzi może prowadzić do odczytu nieaktualnych danych ze sterty i uszkodzenia stanu sesji BA.

W jądrze Linux w module iommufd brakuje blokady dma_resv przed wywołaniem dma_buf_unpin() w ścieżce zwalniania, co powoduje ostrzeżenie jądra. Problem występuje podczas niszczenia lub odmapowania IOAS.

W jądrze Linux w sterowniku mt76 (mt7996) występuje dereferencja wskaźnika NULL w funkcji mt7996_init_tx_queues(), gdy włączone są opcje MT76_NPU i CONFIG_NET_MEDIATEK_SOC_WED. Problem występuje, gdy wykryty jest układ NPU.

W jądrze Linux w systemie plików Btrfs w funkcji dekompresji LZO występuje podatność na odczyt poza zakresem. Walidacja długości segmentu nie uwzględnia rozmiaru skompresowanych danych, co może prowadzić do błędu null-ptr-deref i awarii systemu.

W jądrze Linux w sterowniku OcteonTX2 AF dla NPU występuje podatność na zapis poza zakresem (slab-out-of-bounds). Problem wynika z nieprawidłowego rozmiaru tablicy entry2cntr_map, co może prowadzić do uszkodzenia pamięci.

W jądrze Linux wykryto podatność w podsystemie ALSA SEQ OSS, polegającą na braku synchronizacji (wyścigu) podczas resetowania stanu kolejki odczytu. Funkcja snd_seq_oss_readq_clear() modyfikuje wskaźniki kolejki bez użycia blokady q->lock, co może kolidować z równoległymi operacjami odczytu lub zapisu, prowadząc do utraty danych, błędnego stanu kolejki lub nieprawidłowego raportowania gotowości.

W jądrze Linux dla architektury MIPS w funkcji maar_res_walk() występuje podatność na zapis poza zakresem. Funkcja nie sprawdza pełności tablicy przed zapisem, co może prowadzić do uszkodzenia pamięci przy dużej liczbie zakresów pamięci.

W jądrze Linux w sterowniku powerpc/perf dla FSL EMB występuje podatność na niedomiar licznika preempt (preempt_count underflow). Funkcja fsl_emb_pmu_del() wywołuje put_cpu_var() bez wcześniejszego get_cpu_var() w pewnych warunkach, co może prowadzić do błędu 'scheduling while atomic'.

W jądrze Linux w sterowniku RDMA HNS występuje podatność na wyciek pamięci (memory leak) związana z zasobami bonding. W przypadku jednoczesnego usuwania i resetowania sterownika, zasoby mogą być przydzielane po ich zwolnieniu, co prowadzi do wycieku pamięci i potencjalnego paniki jądra.

W jądrze Linux w sterowniku mfd cs42l43 występuje podatność na odczyt poza zakresem. Kod nie sprawdza, czy rozmiar firmware jest większy niż nagłówek, co może prowadzić do nieprawidłowego dostępu do pamięci.

W jądrze Linux w sterowniku coresight ete występuje podatność polegająca na braku zapisywania stanu przy wyłączaniu zasilania CPU. Może to prowadzić do błędów działania i ostrzeżeń podczas korzystania z Coresight z ACPI.