Podatności Linux kernel

W jądrze Linuxa w module openvswitch funkcja key_extract() nie sprawdza długości nagłówka Ethernet przed jego użyciem, co może prowadzić do błędu BUG w __skb_pull() dla pakietów przychodzących z urządzeń ARPHRD_NONE, takich jak TUN. Poprawka polega na wywołaniu check_header() przed dostępem do nagłówka Ethernet.

W jądrze Linux wykryto podatność w mechanizmie filtrów sieciowych (net/sched). Problem dotyczy wyścigu (race condition) podczas tworzenia filtrów, który może doprowadzić do użycia po zwolnieniu pamięci (UAF) w klasie cls_u32. Naprawa polega na zawsze pobieraniu blokady rtnl_lock podczas niszczenia klasyfikatorów zablokowanych.

W jądrze Linux w sterowniku bnxt_en wykryto podatność powodującą uszkodzenie danych. Gdy włączone jest EOP (dopełnienie końca ramki) na pierścieniu AGG, może dojść do nakładania się zerowego dopełnienia z danymi następnego segmentu, zwłaszcza przy włączonym Relaxed Ordering (RO). Na starszych układach (P5 i starsze) RO nie jest automatycznie wyłączane, co może prowadzić do nadpisania poprawnych danych.

W jądrze Linux w implementacji TCP Fast Open (TFO) wykryto problem z licznikiem max_qlen podczas migracji gniazda z SO_REUSEPORT. Po migracji licznik qlen nie jest poprawnie przenoszony, co powoduje, że limit liczby oczekujących żądań Fast Open nie jest respektowany i może być przekroczony.

W jądrze Linux w module netfilter nf_flow_table wykryto problem z wyciekiem referencji do dst_entry. Gdy pakiet przechodzący przez hooki flowtable ma już przypisany ref-counted dst, wywołanie skb_dst_set_noref() nadpisuje wskaźnik, powodując wyciek referencji i wyzwalając ostrzeżenia DEBUG_NET_WARN_ON_ONCE.

W kernelu Linuxa wykryto podatność TOCTOU w module net/smc. Funkcja smc_listen_out() sprawdza stan gniazda bez blokady, a następnie dopiero ją przejmuje, co pozwala na wyścig z zamykaniem nasłuchującego gniazda. W wyniku tego może dojść do wycieku pamięci jądra przez niezwolnione referencje do gniazda potomnego.

W sterowniku sieciowym Thunderbolt w jądrze Linux wykryto podatność polegającą na nieprawidłowej kolejności zamykania: najpierw zatrzymywane są pierścienie DMA i zwalniane bufory ramek, a dopiero potem dezaktywowane ścieżki DMA. Powoduje to, że dane w locie nie mają gdzie spłynąć, a bit 'pending' nigdy nie jest czyszczony, co prowadzi do przekroczenia limitu czasu i awarii łącza.

W jądrze Linux w sterowniku s390/ism wykryto podatność use-after-free. Podczas wywołania ism_dev_exit() może być aktywny równolegle handler przerwań, który uzyskuje dostęp do zwolnionych struktur danych, co prowadzi do naruszenia bezpieczeństwa pamięci.

W jądrze Linux w module net/atm wykryto podatność na odczyt poza zakresem (slab-out-of-bounds) w funkcji vcc_setsockopt(). Nieskuteczne sprawdzenie długości optlen pozwala na pominięcie walidacji, co może prowadzić do odczytu poza granicami bufora.

W jądrze Linux w sterowniku watchdog at91sam9_wdt występuje podatność polegająca na tym, że funkcja at91_ping() ponownie uzbraja timer watchdoga z poziomu wywołania zwrotnego. Użycie timer_delete() nie czeka na zakończenie działania wywołania zwrotnego ani nie zapobiega ponownemu uzbrojeniu timera, co może prowadzić do dostępu do zwolnionej pamięci podczas awarii lub usuwania sterownika.

W jądrze Linux w sterowniku net: tap występuje podatność polegająca na tym, że w funkcji tap_get_user_xdp() parsowanie nagłówka virtio-net odbywa się przed przypisaniem skb->dev. Gdy ścieżka vhost TX przekazuje bufor XDP z nagłówkiem GSO virtio-net i protokołem ustawionym na zero, może dojść do wywołania dev_parse_header_protocol() z skb->dev równym NULL, co prowadzi do awarii.

W jądrze Linux w sterowniku Input: evdev występuje podatność polegająca na tym, że indeks typu zdarzenia dostarczany przez użytkownika w ioctl EVIOCGMASK / EVIOCSMASK jest używany do indeksowania tablic w evdev_get_mask_cnt() i evdev_get_mask(). Spekulacyjne wykonanie może pominąć sprawdzenie granic i wykonać odczyty poza zakresem.

W jądrze Linux w sterowniku net: usb: ax88179_178a występuje podatność polegająca na tym, że gdy interfejs ma włączoną funkcję NETIF_F_SG i funkcja skb_linearize() zawiedzie w ax88179_tx_fixup(), funkcja zwraca NULL bez zwalniania skb. Prowadzi to do wycieku pamięci przy każdej ramce TX, której linearyzacja się nie powiedzie (np. pod presją pamięci).

W jądrze Linuxa w sterowniku vt brakuje sprawdzenia uprawnień dla ioctl KDSKBMETA, co pozwala procesowi na zmianę trybu meta klawiatury na konsoli, której nie kontroluje, bez autoryzacji.

W jądrze Linuxa funkcja kbd_keycode() odczytuje wskaźnik port.tty bez odpowiedniego zabezpieczenia referencją, co prowadzi do wyścigu z con_shutdown() i potencjalnego użycia po zwolnieniu.

W jądrze Linux wykryto podatność w funkcji zap_pte_range podczas bezpośredniego odzyskiwania stron tabeli. Błędny adres przekazywany do pte_free_tlb powoduje nieprawidłowe flushowanie TLB (pamięci podręcznej struktur stron), co może prowadzić do użycia zwolnionej pamięci lub awarii systemu. Problem dotyczy głównie architektur, gdzie flush jest zależny od adresu, np. AMD z EFER.TCE lub Intel z INVPCID.

W jądrze Linuxa w podsystemie evdev struktura input_event nie jest w pełni inicjalizowana, co powoduje wyciek niezainicjalizowanych bajtów z pamięci stosu do przestrzeni użytkownika przez padding.

W jądrze Linux wykryto podatność use-after-free (UAF) w mechanizmie vmalloc, wynikającą z wyścigu między operacją zwalniania stron tabel stron a narzędziem ptdump. Problem dotyczy promocji wpisów do ogromnych stron (huge pages), gdzie dolna tabela stron jest zwalniana bez odpowiedniego blokowania, co może prowadzić do dostępu do zwolnionej pamięci. Łata rozwiązuje problem poprzez przejęcie blokady mmap na init_mm podczas operacji vmap oraz w mechanizmie CPA (Change Page Attributes) na x86.

W jądrze Linuxa w IPVS wątek estymatora może kontynuować działanie po wyłączeniu fazy obliczeniowej, co prowadzi do zapisu poza tablicę i potencjalnej awarii.

W jądrze Linuxa w podsystemie packet, funkcja tpacket_snd() odczytuje dev->hard_header_len niezależnie dla alokacji i konstrukcji nagłówka, co przy współbieżnej rekonfiguracji może prowadzić do przepełnienia bufora.

W jądrze Linux w ścieżce transmisji gniazda pakietowego nie jest resetowany nagłówek MAC dla ramek SOCK_RAW związanego z protokołem, SOCK_DGRAM i SOCK_PACKET. W trybie PACKET_QDISC_BYPASS ramka dociera do sterownika z nieustawionym nagłówkiem MAC, co prowadzi do odczytu poza zakresem pamięci.

W jądrze Linux w funkcji packet_set_ring() stan pierścienia RX jest aktualizowany pod blokadą, ale tryb odbioru tpacket jest publikowany po jej zwolnieniu. Może to prowadzić do wyścigu, w którym packet_poll() lub packet_recvmsg() odwołują się do nieaktualnej lub NULL-owej pamięci pierścienia.

W jądrze Linux w podsystemie net/sched zbyt głębokie hierarchie qdisc mogą prowadzić do nadmiernej rekurencji i wyczerpania stosu jądra. Istniejący mechanizm wykrywania pętli nie obejmuje ścieżki tworzenia i szczepienia, co pozwala na rozszerzanie hierarchii.

W jądrze Linux w podsystemie mac802154 worker beacon odczytuje local->beacon_req pod RCU, ale po opuszczeniu sekcji RCU nadal używa sdata i wpan_dev. Może to prowadzić do użycia po zwolnieniu po zakończeniu interfejsu.

W jądrze Linux wykryto podatność w module netfilter ebt_nflog, która prowadzi do użycia po zwolnieniu (use-after-free). Problem wynika z braku utrzymania referencji do modułu logującego NFLOG, co pozwala na wywołanie reguły ebtables po zwolnieniu per-net danych przez nfnetlink_log. Atakujący może wykorzystać tę wadę do naruszenia integralności pamięci jądra.

W jądrze Linux w funkcji fib_nlmsg_size() błędnie szacowano rozmiar przestrzeni dla nexthopów, zakładając, że każdy gateway jest kodowany jako atrybut IPv4 RTA_GATEWAY. Trasy IPv4 mogą jednak zawierać gateway IPv6, który jest zrzucany jako RTA_VIA, co prowadzi do zbyt małej alokacji skb i błędów -EMSGSIZE, a przy włączonym panic_on_warn do paniki jądra.

W jądrze Linux wykryto podatność use-after-free w funkcji fib_nhc_update_mtu() dla IPv4. Problem wynika z braku synchronizacji przeglądania tabeli wyjątków PMTU z aktualizacjami, co może prowadzić do dostępu do zwolnionej pamięci. Atakujący może wykorzystać tę wadę do naruszenia integralności systemu.

W sterowniku UART qcom-geni w jądrze Linux występuje problem z opróżnianiem bufora DMA podczas transmisji, co powoduje zawieszenie UART i nieskończone powtarzanie uszkodzonych ramek TX DMA. Brakuje wywołania zwrotnego flush_buffer w trybie DMA, a ścieżka zatrzymania jest uszkodzona, co prowadzi do zakleszczenia.

W jądrze Linux wykryto podatność w sterowniku szeregowym 8250_of dla układu NXP LPC32xx. UART może zgłaszać przerwanie przekroczenia czasu odbioru (RX timeout) przy pustym buforze FIFO, co nie jest automatycznie czyszczone. Powoduje to burzę przerwań, która na jednordzeniowym ARM926 może zablokować działanie procesora (livelock).

W sterowniku amba-pl011 w jądrze Linux, timery hrtimer RS485 są osadzone w zarządzanym przez devm porcie i mogą się uruchomić po jego zwolnieniu. Obsługa przerwań może uzbroić timer, dlatego należy najpierw zwolnić IRQ, a następnie anulować oba timery.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_get_wpa_ie() odczytuje bajty na stałych offsetach z elementu informacyjnego specyficznego dla dostawcy bez sprawdzania, czy element jest wystarczająco długi, co powoduje odczyt poza zakresem dla krótkiego elementu IE.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja WMM_param_handler() kopiuje element parametrów WMM o stałym rozmiarze z odebranego elementu informacyjnego bez sprawdzania, czy element jest wystarczająco długi, co powoduje odczyt poza zakresem dla krótkiego elementu WMM IE.

W sterowniku staging rtl8723bs w jądrze Linux, procedura uwierzytelniania WEP shared-key używa długości elementu challenge-text kontrolowanej przez atakującego bez sprawdzania jej względem stałego bufora 128-bajtowego chg_txt, co może prowadzić do przepełnienia lub niedopełnienia bufora.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_cfg80211_monitor_if_xmit_entry() usuwa nagłówek radiotap i odczytuje pole kontrolne ramki 802.11 bez sprawdzania, czy pozostał podstawowy nagłówek 802.11, co może prowadzić do odczytów poza zakresem lub niewystarczających danych.

W jądrze Linux w module fastrpc występuje potencjalny wyścig podczas operacji unmap bufora. Bufor jest usuwany z listy dopiero po zakończeniu operacji unmap, co może prowadzić do problemów przy równoczesnym wywołaniu unmap przez wiele wątków. Poprawka przenosi usunięcie z listy przed operacją unmap, a w przypadku niepowodzenia bufor jest ponownie dodawany.

W jądrze Linux w module fastrpc brakuje blokady fl->lock podczas przenoszenia mapowań pamięci po przerwaniu wywołania invoke. Operacje list_del() i list_add_tail() są wykonywane bez tej blokady, co może prowadzić do wyścigu z innymi operacjami na liście mmaps. Poprawka dodaje blokadę wokół przenoszenia.

W jądrze Linux w module DAMON występuje problem z folio, gdy cel migracji jest nieprawidłowy (np. NUMA_NO_NODE). Funkcje damon_pa_migrate() i damos_va_migrate() izolują folio, ale gdy target_nid jest nieprawidłowy, folio nie są zwracane do LRU, co prowadzi do wycieku referencji i pozostawienia stron poza LRU. Poprawka dodaje zwracanie folio na ścieżce nieprawidłowego nid.

W jądrze Linux w sterowniku ALSA usx2y (dla kart dźwiękowych USB US-X2Y) brakuje walidacji offsetu w funkcji mmap dla interfejsu hwdep. Atakujący może podać dowolny offset, co prowadzi do uzyskania dostępu do pamięci jądra poza przydzielonym obszarem, a w skrajnych przypadkach do oopsa systemu.

W jądrze Linux wykryto podatność w sterowniku ALSA FCP, polegającą na zapisie poza zakresem pamięci (OOB write) w funkcji fcp_meter_ctl_get(). Problem wynika z nieprawidłowego ograniczenia rozmiaru mapy poziomów (do 255 zamiast 128), co pozwala na zapis danych poza przydzielony bufor. Atakujący z uprawnieniami CAP_SYS_RAWIO może zainstalować zbyt dużą mapę, a następnie każdy proces z dostępem do /dev/snd/controlC0 może wywołać zapis poza pamięcią.

W jądrze Linux w sterowniku graficznym V3D (drm/v3d) wykryto podatność związaną z brakiem serializacji procedur obsługi limitów czasu (timeout) dla różnych kolejek sprzętowych (BIN, RENDER, TFU, CSD). Ponieważ reset jest globalny, równoczesne obsługiwanie timeoutów w różnych kolejkach może prowadzić do niespójności liczników zadań, co skutkuje zawieszeniem GPU i interfejsu użytkownika.

W jądrze Linux wykryto podatność use-after-free w podsystemie perf, związaną z nieprawidłowym odłączaniem zdarzeń potomnych od grupy. Gdy zdarzenie potomne jest odłączane od grupy (np. podczas hot-unplug CPU), jego wskaźnik group_leader pozostaje wskazujący na starego lidera, który może zostać zwolniony, co prowadzi do dereferencji zwolnionej pamięci podczas wywołania ioctl PERF_IOC_FLAG_GROUP. Problem został zaobserwowany przez fuzzer zdarzeń perf, hotplug CPU i obciążenie systemu.

W jądrze Linux w sterowniku fbdev funkcja bit_cursor() nie sprawdzała poprawności indeksu glifu odczytanego z bufora ekranu, co mogło prowadzić do odczytu poza zakresem pamięci. Problem został zgłoszony przez narzędzie Syzkaller i dotyczy ścieżki zapisu do /dev/vcsa.

W jądrze Linuxa funkcja ring_buffer_subbuf_order_set() zwalnia strony bufora, co jest niedozwolone, gdy zmiana rozmiaru jest wyłączona. Nieczytający konsument może doświadczyć użycia po zwolnieniu (use-after-free) w rb_advance_iter(). Funkcja zwraca teraz -EBUSY, gdy resize_disabled jest ustawione, zgodnie z zachowaniem ring_buffer_resize().

W jądrze Linux wykryto subtelny wyścig (race condition) w implementacji strony huge_zero_folio, który może prowadzić do błędnej identyfikacji strony jako zwykłej strony THP. Problem dotyczy sytuacji, gdy shrinker nadpisuje wskaźnik huge_zero_pfn wartością ~0UL w trakcie równoczesnego dostępu z get_huge_zero_folio(). Skutkiem może być nieprawidłowe dzielenie strony huge zero i inne błędne operacje.

W jądrze Linuxa w funkcji smc_rx_splice() występuje błąd braku równowagi w czasie życia wpisów splice. Funkcja przekazuje strony do splice_to_pipe() przed pobraniem referencji, co może prowadzić do użycia po zwolnieniu (use-after-free) z powodu niedomiaru licznika referencji.

W jądrze Linuxa funkcja in6_dev_get() może wskrzesić obiekt inet6_dev po jego zwolnieniu. Odczytuje dev->ip6_ptr pod RCU, a następnie bezwarunkowo zwiększa licznik referencji. Jeśli teardown urządzenia wyczyści wskaźnik i zwolni ostatnią referencję między tymi operacjami, inkrementacja może wskrzesić obiekt, którego zwolnienie RCU już zostało zaplanowane, prowadząc do użycia po zwolnieniu.

W jądrze Linuxa w module net/dibs występuje problem z podwójnym zwolnieniem i użyciem po zwolnieniu (UAF) w dmb_clientid_arr. Obsługa przerwań może być aktywna po dibs_dev_del() i nadal uzyskiwać dostęp do tablicy. W przypadku błędu w dibs_dev_add() tablica jest zwalniana dwukrotnie.

W jądrze Linuxa w funkcji zerocopy_fill_skb_from_devmem() brakuje zabezpieczenia przed mieszaniem fragmentów net_iov i stron w jednym pakiecie sieciowym (skb). Taka mieszanka może prowadzić do awarii stosu sieciowego.

W jądrze Linuxa w sterowniku ntb_netdev funkcja ntb_netdev_rx_handler() przekazuje odebrany skb do stosu sieciowego przed przydzieleniem jego następcy. Jeśli alokacja się nie powiedzie, bufor nie jest ponownie wysyłany, co stopniowo opróżnia kolejkę RX i może zatrzymać odbiór pakietów.

W jądrze Linuxa w podsystemie netfilter bridge, gdy reguła nftables ustawia strefę ct, szablon conntrack może zostać dołączony do skb przed przetworzeniem przez nf_ct_bridge_pre(). Dla nie-IP typów EtherType funkcja nadpisuje stan conntrack bez zwolnienia referencji do szablonu, co prowadzi do wycieku pamięci.