Podatności Linux kernel

W jądrze Linuxa w podsystemie SCSI libsas występuje zakleszczenie (deadlock) podczas wznawiania pracy kontrolera oraz wyścig związany z budzeniem dysków w sterowniku hisi_sas. Problem pojawił się po zmianie, która pominęła opróżnianie kolejki zdarzeń, co doprowadziło do sytuacji, w której dyski wysyłały I/O do zawieszonego kontrolera i były wyłączane. Poprawka przenosi powiadomienie PHYE_RESUME_TIMEOUT po opróżnieniu kolejki, co eliminuje zakleszczenie i przywraca bezpieczne wznawianie.

W jądrze Linux w sterowniku ath12k wystąpił błąd poza zakresem w funkcji ath12k_mac_dp_peer_cleanup(), gdzie indeksowanie bitmapy free_ml_peer_id_map używało peer_id z ustawionym bitem ATH12K_PEER_ML_ID_VALID (BIT(13)), co prowadziło do zapisu poza pamięcią bitmapy (256 bitów). Powodowało to uszkodzenie pamięci i wyczerpanie identyfikatorów ML peer.

W jądrze Linux w sterowniku hwmon nct6775-core dla chipu NCT6116 użyto błędnej liczby rejestrów temperatury (sześć zamiast trzech), co prowadziło do odczytu poza zakresem (KASAN). Poprawka polega na ustawieniu liczby rejestrów na trzy i usunięciu zbędnej tablicy.

W jądrze Linux w sterowniku hwmon lm90 występuje podatność na odczyt atrybutów sysfs przed zakończeniem rejestracji sterownika, co może prowadzić do wyłuskania wskaźnika NULL (NULL pointer dereference) w funkcji lm90_report_alarms(). Poprawka polega na planowaniu pracy tylko po ustawieniu data->hwmon_dev.

W jądrze Linux w sterowniku hwmon nzxt-smart2 bufor wyjściowy nie był wyrównany do granicy DMA, co na architekturach z niespójną pamięcią podręczną (np. ARM, MIPS) prowadziło do uszkodzenia pamięci podczas mapowania DMA. Poprawka polega na wyrównaniu bufora do ARCH_DMA_MINALIGN.

W jądrze Linux w stosie sieciowym, gdy alokacja wpisu peer (inet_getpeer_v4/v6) zawiedzie, funkcje wysyłające przekierowania ICMP/NDISC wysyłały pakiety bez ograniczeń szybkości, co mogło prowadzić do burzy pakietów. Poprawka polega na zaniechaniu wysyłania przekierowań, gdy peer jest NULL.

W jądrze Linux w sterowniku hwmon nct6775-core dla chipu NCT6116, tablice rejestrów wagowych mają tylko 3 elementy, ale sterownik iteruje do 5 kanałów PWM, co prowadzi do odczytu poza zakresem (KASAN) i nieprawidłowego dostępu do rejestrów sprzętowych. Poprawka rozszerza tablice o zera, aby oznaczyć nieobsługiwane rejestry.

W jądrze Linux w sterowniku forcedeth występuje podatność use-after-free w funkcji nv_remove(), gdzie per-CPU statystyki txrx_stats są zwalniane przed wyrejestrowaniem urządzenia sieciowego, co może prowadzić do dostępu do zwolnionej pamięci. Poprawka przenosi zwolnienie po unregister_netdev().

W jądrze Linux w sterowniku hwmon adt7470, ustawienie auto_update_interval na 0 przez sysfs powoduje zapętlenie wątku aktualizacji, co prowadzi do ciągłego obciążenia CPU i zalewania magistrali I2C. Poprawka podnosi dolny limit interwału do 500 ms.

W jądrze Linux w sterowniku hwmon adt7470 występuje podatność na awarię dzielenia przez zero (TOCTOU) podczas odczytu prędkości wentylatora. Jeśli dane o wentylatorze staną się zerowe między sprawdzeniem poprawności a konwersją, może dojść do awarii systemu z powodu wyścigu z równoczesną aktualizacją buforowanej wartości.

W jądrze Linux w klasyfikatorze cls_u32 brakuje walidacji wartości offshift, co pozwala na przesunięcie poza zakres (shift-out-of-bounds) podczas klasyfikacji pakietów. Nieuprawniony użytkownik może wywołać niezdefiniowane zachowanie przez przestrzenie nazw użytkownika/sieci.

W jądrze Linux wykryto wyciek pamięci w kodzie offloadu tuneli UDP (udp_tunnel_nic). Gdy rejestracja urządzenia sieciowego nie powiedzie się, funkcja udp_tunnel_nic_unregister() wcześnie kończy działanie, nie zwalniając zaalokowanej struktury, co prowadzi do trwałego wycieku pamięci. Poprawka usuwa wczesny powrót i synchronizuje anulowanie oczekującej pracy przed zwolnieniem pamięci.

W jądrze Linux w podsystemie netfs występuje problem z alokacją folio_queue podczas zapisu zwrotnego, co może prowadzić do ostrzeżenia i potencjalnej awarii. Dodano mempool i przekazywanie flag gfp_t, aby obsłużyć błędy alokacji.

W jądrze Linux w Bluetooth ISO występuje podatność use-after-free, gdy połączenie jest odłączane od hcon. Nie wyczyszczenie pola iso_data prowadzi do późniejszego użycia po zwolnieniu pamięci.

W jądrze Linux w Bluetooth L2CAP występuje podatność use-after-free w funkcji l2cap_le_connect_rsp. Kanał jest pobierany bez trzymania referencji, co pozwala na zwolnienie go przez równoczesne rozłączenie, prowadząc do użycia po zwolnieniu.

W jądrze Linux w Bluetooth ISO funkcja iso_sock_getname nie posiada blokady gniazda (lock_sock) podczas dostępu do pola conn, co może prowadzić do wyścigu i potencjalnego użycia po zwolnieniu.

W jądrze Linux w Bluetooth ISO funkcja iso_connect_ind nie posiada blokady gniazda (lock_sock) podczas dostępu do pola conn, co może prowadzić do wyścigu i potencjalnego użycia po zwolnieniu. Dodatkowo pole conn może być NULL, jeśli gniazdo zmieniło stan.

W jądrze Linux w Bluetooth ISO funkcja iso_conn_ready nie trzyma odpowiednio referencji do gniazda (sk) podczas dostępu do pola conn->sk, co może prowadzić do użycia po zwolnieniu w przypadku równoczesnego zamknięcia gniazda.

W jądrze Linux w podsystemie Bluetooth ISO wykryto wyciek referencji do gniazda (sk) po jego zamknięciu. Warunek wczesnego powrotu w funkcji iso_sock_kill() jest zawsze prawdziwy, ponieważ sock_orphan() ustawia flagę SOCK_DEAD, co powoduje, że referencja nigdy nie jest zwalniana, a destruktor gniazda nie jest wywoływany. Dodatkowo referencja wycieka, gdy __iso_sock_close() nie ustawia SOCK_ZAPPED, ponieważ iso_conn_del() nie wywołuje iso_sock_kill() po zapping.

W jądrze Linux w podsystemie Bluetooth ISO wykryto możliwość zakleszczenia (deadlock) w funkcji iso_sock_timeout(), która wywołuje lock_sock, a następnie synchronicznie wyłącza timer, co może prowadzić do zakleszczenia. Ponadto funkcja iso_sock_timeout() może działać równolegle z iso_conn_del(), co prowadzi do użycia po zwolnieniu (UAF) — jeden wątek zwalnia strukturę hcon, a drugi próbuje uzyskać do niej dostęp.

W jądrze Linux w podsystemie Bluetooth ISO wykryto błąd w zliczaniu referencji (refcounting) struktury iso_conn. Wyścig między funkcjami iso_conn_del() i iso_chan_del() może prowadzić do podwójnego zwolnienia (double-put) iso_conn, co skutkuje użyciem po zwolnieniu (UAF). Problem wynika z dodatkowego put w iso_conn_del() dla przypadku, gdy iso_chan_add() nie powiedzie się.

W jądrze Linux w podsystemie Bluetooth ISO wykryto wyścig między operacjami kfree i kref_get_unless_zero na polu hci_conn::iso_data, które jest dostępne i modyfikowane bez synchronizacji (lock lub RCU). Może to prowadzić do użycia po zwolnieniu (UAF) oraz do wyścigów między iso_conn_add() a iso_conn_free().

W jądrze Linux w podsystemie Bluetooth (sterownik btintel) wykryto brak walidacji długości przed dostępem do pola tlv->val[0] w funkcji btintel_diagnostics(). Może to prowadzić do odczytu danych poza odebraną ramką, co skutkuje ujawnieniem informacji lub awarią.

W jądrze Linux w podsystemie Bluetooth (hci_conn) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji abort_conn_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Brakuje trzymania referencji do połączenia.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji hci_connect_big_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Brakuje trzymania referencji do połączenia. Dodatkowo, jeśli hcon jest NULL, funkcja zwraca 0 i nic nie robi, aby zachować poprzednie zachowanie.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji hci_connect_pa_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Brakuje trzymania referencji do połączenia.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność na użycie po zwolnieniu (UAF) w funkcji hci_past_sync(), jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync. Może to prowadzić do przekazania zwolnionych wskaźników do hci_conn_valid(), które mogą zostać ponownie wykorzystane przez kmalloc.

W jądrze Linux w podsystemie octeontx2-af wykryto podatność, która pozwala funkcjom wirtualnym (VF) na nadpisanie specjalnego stanu PKIND w interfejsie CGX. Gdy włączone jest parsowanie HiGig2 lub EDSA, alokacja NIX LF przez VF nie powinna resetować konfiguracji PKIND RX ani domyślnej konfiguracji TX parse ustawionej przez PF. Brakuje odpowiednich funkcji sprawdzających uprawnienia.

W jądrze Linux w sterowniku mpi3mr wykryto potencjalny zakleszczenie w funkcji mpi3mr_fault_uevent_emit(). Funkcja ta działa w kontekście watchdoga i ścieżek resetowania, gdzie I/O hosta może być już zablokowane. Alokacje pamięci z użyciem GFP_KERNEL, zarówno lokalne, jak i wewnątrz kobject_uevent_env(), mogą wywołać odzyskiwanie pamięci, które czeka na zablokowane I/O i prowadzi do zakleszczenia.

W jądrze Linux w sterowniku sieciowym sxgbe wykryto wyciek pamięci: gdy alokacja pierścieni deskryptorów RX nie powiedzie się, funkcja init_dma_desc_rings() zwalnia tylko częściowo przydzielone pierścienie RX i zwraca, pozostawiając wcześniej przydzielone pierścienie TX bez zwolnienia.

W jądrze Linux dla architektury RISC-V wykryto podatność polegającą na wyjściu poza zakres podczas usuwania pamięci (memory hot-remove). Funkcje remove_pud_mapping() i remove_p4d_mapping() uzyskują bazę tabeli podrzędnej z offsetem 0, a następnie dodają indeks dla adresu. Przy składaniu poziomów tabel stron (page-table folding) może to prowadzić do przejścia poza tabelę nadrzędną i przekazania nieprawidłowej strony do __free_pages(), co powoduje BUG w jądrze.

W sterowniku qede jądra Linux wykryto zakleszczenie (deadlock) podczas odzyskiwania po przekroczeniu limitu czasu transmisji (TX timeout) na kartach sieciowych z skonfigurowanymi tunelami VXLAN/GENEVE. Proces odzyskiwania próbuje ponownie zablokować ten sam mutex (qede_lock), co prowadzi do zablokowania całej płaszczyzny sterowania rtnetlink i zawieszenia wielu usług systemowych.

W jądrze Linux w serwerze SMB (ksmbd) wykryto podatność use-after-free w funkcji __close_file_table_ids(). Obiekt ksmbd_file może pozostać aktywny po logicznym zamknięciu, gdy inna sesja posiada tymczasowe odniesienie. Przy finalnym zwolnieniu przez obcą sesję obiekt jest usuwany bez usunięcia go z idr właściciela, co prowadzi do odwołania do zwolnionej pamięci podczas zamykania tabeli plików.

W jądrze Linux w podsystemie iommu/iommufd wykryto podatność use-after-free dotyczącą własności grup IOPF. Grupy IOPF są dodawane do listy oczekujących przed wywołaniem handlera fault, a po zaakceptowaniu są również dodawane do listy dostarczania IOMMUFD bez usunięcia z listy ogólnej. Przy odłączeniu urządzenia lub wymianie HWPT, gdy licznik odniesień spadnie do zera, grupy mogą zostać zwolnione, a późniejszy dostęp do nich prowadzi do UAF.

W jądrze Linux w podsystemie pinctrl dla devicetree wykryto podatność polegającą na zwalnianiu niezainicjalizowanej nazwy urządzenia (dev_name) na ścieżce błędu. Funkcja dt_remember_or_free_map() duplikuje dev_name dla każdego wpisu mapy. Jeśli kstrdup_const() zawiedzie, dt_free_map() zwalnia dev_name we wszystkich wpisach, w tym tych niezainicjalizowanych, co prowadzi do podwójnego zwolnienia (double-free).

W jądrze Linux wykryto podatność w mechanizmie hugetlb, powodującą uszkodzenie listy w funkcji allocate_file_region_entries(). Problem wynika z użycia list_splice() zamiast list_splice_init(), co przy współbieżnym dostępie do współdzielonego mapowania może prowadzić do uszkodzenia pamięci lub paniki systemu.

W jądrze Linux wykryto podatność w KVM/SVM, gdzie przy dezaktywacji AVIC podczas aktywnego L2 nie są aktualizowane przechwyty MSR x2APIC dla L1. Skutkuje to możliwością odczytu stanu APIC hosta, wysyłania dowolnych przerwań i zmiany priorytetu zadań, co może prowadzić do ataku DoS na host.

W jądrze Linux w podsystemie KVM dla architektury s390 w obsłudze PCI wykryto podatność polegającą na braku odrzucenia żądania włączenia przekazywania przerwań, jeśli jest ono już włączone dla danego urządzenia zPCI. Instrukcja MPCIFC nie pozwala na ponowną rejestrację przerwań bez uprzedniego wyrejestrowania. Poprawka dodaje odpowiednie sprawdzenie, co zapobiega nadpisaniu i wyciekowi zasobów przy wielokrotnym wywołaniu ioctl dla tego samego urządzenia.

W jądrze Linux w podsystemie KVM dla architektury s390 w obsłudze PCI wykryto problem z rozliczaniem pamięci dla stron przypiętych i odpiętych. Funkcje account_mem() i unaccount_mem() wywołują get_uid(), które zwiększa licznik referencji struktury user_struct przy każdym wywołaniu, ale nie jest wywoływane free_uid() w celu jego zmniejszenia. Dodatkowo rozliczanie odbywa się względem current->mm, co może być nieprawidłowe, gdy unaccount_mem() jest wywoływane z innego kontekstu procesu niż ten, który pierwotnie przypiął strony. Poprawka przechowuje user_struct i mm_struct procesu przypinającego, a następnie zwalnia te zasoby przy odpinaniu.

W jądrze Linuxa wykryto podatność use-after-free w warstwie dibs, dotyczącą operacji attach/detach/unregister dla węzłów dmb_node w trybie loopback. Problem wynika z wyścigu między wyszukiwaniem węzła w tablicy haszującej a operacją na liczniku referencji, co może prowadzić do użycia zwolnionej pamięci. Poprawka polega na wykonaniu operacji na liczniku referencji i usunięciu z tablicy haszującej w jednej sekcji krytycznej z blokadą zapisu.

W jądrze Linux w module audit wykryto potencjalną podatność use-after-free w funkcji audit_del_rule(). Funkcja ta niszczy e->rule.exe przez audit_remove_mark_rule() przed odłączeniem reguły z list filtrów widocznych dla RCU i oczekiwaniem na okres przejściowy. Równocześni czytelnicy w audit_filter() i audit_filter_rules() nadal dereferencjonują e->rule.exe, podczas gdy znacznik fsnotify może być zwolniony na niezależnej ścieżce życia. Poprawka polega na odłączeniu reguły z list RCU i wywołaniu synchronize_rcu() przed wywołaniem audit_remove_mark_rule() i innych pomocników usuwania reguł.

W jądrze Linux w podsystemie Bluetooth (mgmt) wykryto podatność use-after-free w anulowaniu polecenia pary. Funkcje zwrotne zakończenia parowania i nieudanego uwierzytelnienia wyszukują oczekujące polecenie MGMT_OP_PAIR_DEVICE, przeglądając hdev->mgmt_pending, ale bez utrzymywania zamka mgmt_pending_lock podczas późniejszego użycia i usunięcia. Równoczesne żądanie MGMT_OP_CANCEL_PAIR_DEVICE może usunąć i zwolnić to samo polecenie przed użyciem go przez funkcję zwrotną. Poprawka przenosi własność polecenia przez usunięcie go z listy hdev->mgmt_pending przytrzymując blokadę, a funkcje zwrotne i ścieżka anulowania kończą i zwalniają polecenie bezpośrednio.

W jądrze Linuxa wykryto podatność use-after-free w podsystemie Bluetooth (hci_sync). Funkcja hci_find_adv_instance() zwraca wskaźnik do danych reklamowych, który jest ważny tylko przy trzymanym zamku hdev->lock, ale ścieżki synchronizacji komend HCI używają go bez tego zamku, co może prowadzić do użycia zwolnionej pamięci podczas obsługi zdarzenia zakończenia reklamy.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność polegającą na odczycie danych przed sprawdzeniem, czy ramka zawiera nagłówek transakcji. Funkcje hidp_recv_ctrl_frame() i hidp_recv_intr_frame() czytają skb->data[0] przed sprawdzeniem, czy SDU L2CAP zawiera nagłówek transakcji. Połączony peer HIDP może wysłać pustą ramkę w trybie podstawowym, co prowadzi do użycia niezainicjalizowanego bajtu. Poprawka polega na pobraniu nagłówka transakcji przez skb_pull_data() i odrzuceniu ramek, które go nie zawierają.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność polegającą na braku walidacji ładunku numerowanych raportów. Gdy hidp_get_raw_report() oczekuje na numerowany raport, hidp_process_data() porównuje oczekiwany numer raportu z skb->data[0]. Połączony peer HIDP może odpowiedzieć tylko nagłówkiem transakcji DATA, pozostawiając skb pusty po usunięciu nagłówka. Poprawka wymaga bajtu ładunku przed porównaniem numerowanego ID raportu; raporty nienumerowane nadal akceptują pusty ładunek.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji afs_make_call() w systemie plików AFS. Problem wynika z wyścigu między wysyłaniem asynchronicznych wywołań a ich zniszczeniem, co może prowadzić do odwołania do zwolnionej pamięci. Błąd został zgłoszony przez KASAN podczas testów z losowym wyłączaniem procesorów.

W jądrze Linux w sterowniku ALSA 6fire podczas obsługi błędów w fazie wykrywania urządzenia nie anulowano oczekującego URB przed zwolnieniem zasobów, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na wykonaniu podobnego czyszczenia jak w normalnej fazie rozłączenia.

W jądrze Linux wykryto podatność w podsystemie ALSA sequencer, polegającą na dzieleniu przez zero w funkcji initialize_timer(). Nieuprzywilejowany użytkownik może ustawić rozdzielczość timera na bardzo dużą wartość (np. 2^63), co powoduje przepełnienie iloczynu i dzielenie przez zero, prowadzące do zawieszenia systemu (oops z zablokowanym spinlockiem).

W jądrze Linuxa wykryto podatność w podsystemie ALSA timer. Po zakończeniu operacji zamykania instancji timera flaga SNDRV_TIMER_IFLG_DEAD nie jest usuwana, co przy ponownym otwarciu tej samej instancji prowadzi do podwójnego zwolnienia pamięci (use-after-free). Atakujący z dostępem do /dev/snd/timer i /dev/snd/seq może to wykorzystać do eskalacji uprawnień lub wywołania awarii systemu.

W jądrze Linux w ALSA UMP występuje podwójne zwolnienie pamięci (double free) w snd_ump_attach_legacy_rawmidi(). Po niepowodzeniu snd_rawmidi_new() tablica out_cvts jest zwalniana, ale wskaźnik nie jest zerowany, co prowadzi do ponownego zwolnienia podczas kończenia pracy endpointu.