Podatności Linux kernel

W jądrze Linux w ALSA USB-audio występuje użycie po zwolnieniu (UAF) w funkcji ump_to_endpoint(). Po zarejestrowaniu endpointu UMP, jeśli późniejszy krok tworzenia się nie powiedzie, obiekt snd_usb_midi2_ump jest zwalniany, ale endpoint nadal wskazuje na zwolnioną pamięć, co prowadzi do odczytu z użyciem po zwolnieniu przy otwarciu węzła UMP.

W jądrze Linux w sterowniku ALSA dla USB-audio (RME Digiface) wykryto wyciek informacji ze stosu. Funkcja odczytująca status urządzenia kopiuje niezerowaną pamięć stosu do bufora, gdy urządzenie odpowiada krótszą transmisją, a następnie dane te są udostępniane nieuprzywilejowanym użytkownikom przez /dev/snd/controlC*.

W jądrze Linux w ALSA USB-audio występuje zapis poza zakresem (OOB) w funkcji snd_usbmidi_akai_output(). Gdy urządzenie reklamuje mały rozmiar transferu, obliczona granica pętli staje się ujemna, co prowadzi do zapisu poza buforem URB podczas zapisu do węzła MIDI.

W jądrze Linux w ALSA USB-audio występuje zapis poza zakresem bufora DMA, gdy ustawiony jest flag fill_max. Rozmiar bufora jest obliczany na podstawie oryginalnego rozmiaru pakietu, ale transfer używa większego rozmiaru, co prowadzi do zapisu poza buforem przez kontroler USB.

W jądrze Linux w ALSA USB-audio brakuje ograniczenia rozmiaru ramki w trybie implicit-feedback. Otrzymane rozmiary pakietów synchronizacji nie są ograniczane do maksymalnego rozmiaru ramki, co może prowadzić do przesyłania pakietów przekraczających limity sprzętowe.

W jądrze Linux w funkcji fou_create() występuje podatność use-after-free. Struktura fou jest publikowana przez sk_user_data przed dodaniem portu do listy, a w przypadku błędu jest zwalniana, pozostając dostępną przez sk_user_data, co umożliwia równoczesny odczyt zwolnionej pamięci.

W ksmbd (serwer SMB w jądrze Linux) brakuje odrzucania powtarzających się żądań SMB2 NEGOTIATE. Nieuwierzytelniony klient może wysłać wiele takich żądań, co prowadzi do wycieku pamięci, ponieważ tylko ostatnia alokacja jest zwalniana.

W netfilter ipset występuje problem z aktualizacją komentarzy z poziomu jądra. Podczas zmiany rozmiaru tabeli, kopiowane są wskaźniki do komentarzy, a aktualizacja pakietowa może zwolnić współdzielony komentarz, prowadząc do użycia zwisającego wskaźnika.

W jądrze Linux w funkcji of_pci_range_parser_one() występuje błąd prowadzący do wyłuskania pustego wskaźnika. Gdy węzeł ma zakresy, ale nie ma lokalnych #address-cells, funkcja of_match_bus() zwraca NULL, co powoduje awarię podczas iteracji.

W TIPC (Transparent Inter-Process Communication) występuje podatność use-after-free w funkcji tipc_poll() podczas zrzutu kolejek przez tracepoint. Wywołanie tracepoint bez trzymania blokady pozwala na dostęp do zwolnionych pakietów.

W jądrze Linux w podsystemie mac80211 wykryto podatność use-after-free w funkcji ieee80211_stop_tx_ba_cb(). Po zatrzymaniu sesji BA (Block Ack) struktura tid_tx jest zwalniana przez kfree_rcu(), a następnie odczytywane jest pole tid_tx->ndp bez odpowiedniej ochrony RCU, co może prowadzić do dostępu do zwolnionej pamięci. Problem występuje podczas lokalnego zamykania sesji, np. przy przekroczeniu limitu czasu, rekeyingu PTK, zawieszeniu systemu lub rekonfiguracji sprzętu.

W jądrze Linux w sterowniku mwifiex wykryto podatność polegającą na użyciu długości ramki nadrzędnej A-MSDU zamiast długości podramki podczas parsowania ramek TDLS. Prowadzi to do użycia po zwolnieniu (use-after-free) lub odczytu poza granicami bufora, co może zostać wykorzystane przez zdalnego atakującego.

W binfmt_misc występuje problem z przywracaniem prawa zapisu po usunięciu wpisu. Rejestracja wpisu z flagą MISC_FMT_OPEN_FILE blokuje zapis do interpretera, a usunięcie wpisu nie przywraca dostępu, co powoduje trwały błąd ETXTBSY.

W jądrze Linux w module binfmt_misc występuje niezgodność między funkcjami deny_write_access() i exe_file_allow_write_access() podczas obsługi klonów interpreterów. Może to prowadzić do nieprawidłowego zmniejszania licznika i_writecount, co uniemożliwia zapis do interpretera nawet po usunięciu wpisu.

W jądrze Linux w module binfmt_misc wykryto podatność polegającą na odczycie poza granicami pamięci. Jeśli użytkownik wybierze jako separator pól znak będący jednocześnie znakiem flagi (P, O, C lub F), parser flag nie zatrzyma się na dopełnieniu bufora i będzie czytał dane poza przydzielonym obszarem. Problem jest osiągalny przez nieuprzywilejowanych użytkowników w przestrzeni nazw użytkownika.

W jądrze Linux wykryto podatność w mechanizmie binfmt_misc, gdzie wpis typu 'F' może przypiąć własną instancję, prowadząc do zakleszczenia superbloku i wycieku pamięci. Atakujący może wykorzystać tę wadę do przeprowadzenia ataku DoS (odmowa usługi) oraz trwałego zużywania limitów przestrzeni nazw użytkownika.

W jądrze Linux wykryto podatność w mechanizmie binfmt_misc, która powoduje wyciek referencji do przestrzeni nazw użytkownika podczas nieudanego montowania. W wyniku błędów w obsłudze cyklu życia superbloku, nieuprzywilejowany użytkownik może celowo wywołać błąd montowania i doprowadzić do wyczerpania pamięci przez gromadzenie niezwolnionych przestrzeni nazw.

W jądrze Linux wykryto podatność w mechanizmie dzielenia foliów (huge pages) w module mm/huge_memory. Podczas dzielenia folio, po odblokowaniu i zwolnieniu folii po podziale, kod nadal odwoływał się do struktury mapping (i_mmap_rwsem), co mogło prowadzić do użycia po zwolnieniu (use-after-free). Problem występuje w szczególności podczas obsługi błędów pamięci (memory_failure) dla uszkodzonych ogonów folii shmem.

W jądrze Linux wykryto podatność prowadzącą do użycia po zwolnieniu (UAF) podczas zawieszenia systemu (S3) lub hibernacji (S4). Praca raportowania stron (page_reporting_process) była wykonywana na globalnej kolejce system_wq, która nie jest zamrażana przez mechanizm PM freezer, co powodowało dostęp do usuniętych kolejek virtio i awarię systemu. Poprawka polega na użyciu kolejki system_freezable_wq, która jest zamrażana przed zniszczeniem kolejek przez sterowniki.

W jądrze Linux wykryto podatność use-after-free w module pktgen. Problem dotyczy wyścigu między zmianą nazwy urządzenia sieciowego a usuwaniem wpisu w /proc, co może prowadzić do odwołania do zwolnionej pamięci przez wątek kpktgend.

W jądrze Linux w mechanizmie uprobes występuje błąd prowadzący do dereferencji pustego wskaźnika w funkcji hprobe_expire() podczas forkowania procesu z oczekującym uretprobe. Może to spowodować awarię jądra (oops).

W jądrze Linux w module ublk funkcja ublk_ctrl_add_dev() nie resetuje pól dev_info należących do sterownika, takich jak ->state i ->ublksrv_pid, po skopiowaniu danych z przestrzeni użytkownika. Może to prowadzić do awarii (oops) podczas usuwania urządzenia lub nieprawidłowego działania.

W jądrze Linux w module tracing funkcja trace_module_add_events() ignoruje wartość zwracaną przez __register_event() i zawsze wywołuje __add_event_to_tracers(). Jeśli rejestracja zdarzenia nie powiedzie się, może dojść do użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux w module scsi_debug funkcja resp_report_zones() ma podatność na niedomiar (underflow) w obliczeniach alloc_len, co na 32-bitowych systemach może prowadzić do zapisu poza zakresem (out-of-bounds write) i paniki jądra.

W jądrze Linux w module SCTP funkcja sctp_assoc_add_peer() zwiększa 16-bitowy licznik transport_count, który może się zawinąć do zera po dodaniu 65 536. unikalnych peerów. Może to prowadzić do zapisu poza zakresem w diagnostyce SCTP (sock_diag).

W jądrze Linux wykryto podatność w sterowniku GPIO PCH, gdzie funkcja pch_irq_type() używa zwykłego spinlocka (spinlock_t) w kontekście, w którym wymagany jest surowy spinlock (raw_spinlock_t). Na systemach z PREEMPT_RT zwykły spinlock jest blokadą opartą na rtmutex, co prowadzi do nieprawidłowego wywołania funkcji usypiającej w kontekście atomowym, powodując błąd krytyczny (BUG).

W jądrze Linux w module s390/qeth brakuje sprawdzenia uprawnień CAP_NET_ADMIN dla prywatnych ioctl (SIOCDEVPRIVATE), co pozwala nieuprzywilejowanym użytkownikom na wywoływanie tych komend.

W jądrze Linux w podsystemie s390/zcrypt wykryto możliwość spekulatywnego odczytu pamięci. Wartość domeny, kontrolowana przez użytkownika, jest używana jako indeks tablicy po sprawdzeniu granic, ale bez bariery spekulacji. Dodano wywołanie array_index_nospec(), aby zapobiec spekulatywnemu wykonaniu.

W jądrze Linuxa wykryto podatność use-after-free w module Open vSwitch (openvswitch). Problem występuje podczas dołączania nowego licznika (meter), gdy funkcja attach_meter() może udostępnić go innym procesorom, a następnie zakończyć się niepowodzeniem. W przypadku błędu, wywołujący ovs_meter_cmd_set() zwalnia pamięć licznika bez oczekiwania na zakończenie operacji odczytu przez mechanizm RCU, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linux w module openvswitch wykryto wyciek skb (socket buffer) podczas niepowodzenia aktualizacji klucza przepływu w kontekście connection tracking (ct). Funkcja ovs_ct_execute() zawsze przejmuje lub zwalnia skb w przypadku błędu, ale ovs_flow_key_update() tego nie robi, co prowadzi do wycieku pamięci. Poprawka polega na przerwaniu pętli i umożliwieniu wspólnego obsłużenia błędu, który zwolni skb.

W jądrze Linux naprawiono poważny zakleszczenie AB/BA między frameworkiem Common Clock Framework (CCF) a blokadą adaptera I2C w sterowniku jz4780. Problem występował, gdy klient I2C kontrolujący generator zegara (np. Si5351) zmieniał częstotliwość, a równoległa transakcja na tej samej magistrali wywoływała clk_get_rate() w ścieżce aktywnego transferu, co prowadziło do zawieszenia systemu. Poprawka polega na zbuforowaniu statycznej częstotliwości zegara hosta podczas inicjalizacji (probe) i używaniu tej wartości w funkcji jz4780_i2c_set_speed(), eliminując zależność od wewnętrznych blokad CCF w ścieżce transferu.

W jądrze Linux w sterowniku i2c: imx wykryto problem polegający na tym, że adapter I2C nie był oznaczany jako zawieszony podczas wyłączania zasilania sprzętu. W oknie czasowym między suspend_noirq a wejściem systemu w stan uśpienia oraz między rozpoczęciem wznawiania a resume_noirq, zasoby kontrolera I2C (zegar, pinctrl) mogą być niedostępne. Jeśli kolejka pracy wyzwoli transfer I2C w tym okresie, może dojść do zawieszenia systemu. Poprawka polega na oznaczaniu adaptera jako zawieszonego podczas noirq suspend i blokowaniu nowych transferów do czasu wznowienia.

W jądrze Linux w sterowniku i2c: imx wykryto problem polegający na tym, że hrtimer nie był anulowany przed wyczyszczeniem wskaźnika slave. W funkcji i2c_imx_unreg_slave() wskaźnik slave jest ustawiany na NULL po wyłączeniu przerwań, ale oczekujące przerwanie mogło już uruchomić hrtimer. Jeśli hrtimer wyzwoli się po ustawieniu slave na NULL, może dojść do użycia po zwolnieniu (use-after-free) lub dereferencji wskaźnika NULL. Poprawka polega na anulowaniu hrtimera i oczekiwaniu na jego zakończenie przed wyczyszczeniem wskaźnika slave.

W jądrze Linux w sterowniku ems_usb dla magistrali CAN dodano walidację długości komunikatów CPC. Funkcja ems_usb_read_bulk_callback() przetwarza komunikaty CPC w buforze USB i teraz sprawdza, czy każdy komunikat mieści się w danych URB oraz czy jego typowa część pokrywa pola używane przez procedury obsługi CAN, stanu, błędów i przepełnienia.

W jądrze Linux w sterowniku etas_es58x dla magistrali CAN naprawiono wyciek bufora RX w funkcji es58x_read_bulk_callback() w przypadku niepowodzenia ponownego wysłania URB. Gdy usb_submit_urb() zawiedzie, wywołanie zwrotne odkotwicza URB i zwraca bez zwolnienia bufora przydzielonego przez usb_alloc_coherent(), co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku kvaser_usb_leaf dla magistrali CAN dodano walidację długości otrzymywanych komend w funkcji kvaser_usb_leaf_wait_cmd(). Odrzucane są komendy o niezerowej długości, które nie zawierają stałego nagłówka lub wykraczają poza bieżący element bufora USB, a w ścieżce oczekiwania także komendy przekraczające rozmiar docelowej struktury.

W jądrze Linux w sterowniku peak_usb dla magistrali CAN dodano sprawdzanie zakresu dla indeksu kanału USB. Indeks ctrl_idx pochodzi z danych USB i może przyjmować wartości 0-15, ale tablica usb_if->dev[] ma tylko 2 elementy, co prowadzi do odczytu poza stertą i paniki jądra w kontekście przerwania.

W jądrze Linux w sterowniku peak_usb dla magistrali CAN naprawiono podwójne zwolnienie bufora transferu w funkcji peak_usb_start() w przypadku błędu usb_submit_urb(). Bufor jest zwalniany jawnie przez kfree(buf), a następnie przez usb_free_urb() z powodu flagi URB_FREE_BUFFER, co prowadzi do podwójnego zwolnienia.

W jądrze Linux w sterowniku peak_usb dla magistrali CAN dodano walidację długości rekordów uCAN w funkcji pcan_usb_fd_decode_buf(). Każdy rekord musi zawierać stały nagłówek dla swojego typu, a bajty danych CAN są weryfikowane przed skopiowaniem do skb.

W jądrze Linux w sterowniku graficznym drm/vc4 naprawiono błąd polegający na zapisywaniu w BPOS rozmiaru całego bufora binnera zamiast rozmiaru slotu przepełnienia. To pozwala PTB na zapis list kafelków poza przeznaczony obszar, co prowadzi do uszkodzenia pamięci przez DMA GPU, zawieszeń GPU i awarii systemu.

W jądrze Linux w sterowniku graficznym drm/vc4 dodano zerowanie tablicy danych stanu kafelków (TSDA) przed każdym zadaniem BIN. Wcześniej sloty binnera były ponownie wykorzystywane bez czyszczenia, co mogło prowadzić do działania PTB na nieaktualnych danych i powodować zawieszenia GPU.

W jądrze Linux w sterowniku graficznym drm/panthor dodano odrzucanie sekcji firmware z nadmiernie dużymi danymi. Wcześniej rozmiar danych do skopiowania nie był weryfikowany względem przydzielonego rozmiaru sekcji, co mogło prowadzić do przepełnienia bufora sterty i masowego zerowania pamięci poza zakresem.

W jądrze Linux w sterowniku graficznym drm/panthor dodano walidację rozmiarów struktur interfejsu firmware. Funkcja iface_fw_to_cpu_addr() sprawdzała tylko, czy adres wirtualny MCU wskazuje wewnątrz współdzielonej sekcji, ale nie sprawdzała, czy cała struktura mieści się w sekcji, co mogło prowadzić do odczytów poza zakresem.

W jądrze Linux w sterowniku amdgpu występuje podatność use-after-free w funkcji amdgpu_dpm_get_pp_table(). Funkcja zwraca wskaźnik do tabeli zasilania po zwolnieniu mutexa, a równoczesny zapis do pp_table może zwolnić pamięć podczas kopiowania, prowadząc do użycia po zwolnieniu. Poprawka polega na kopiowaniu danych do bufora dostarczonego przez wywołującego przy trzymanym mutexie.

W jądrze Linux w sterowniku amdgpu (display) występuje podatność dzielenia przez zero w funkcji calculate_mcache_setting, gdy viewport ma zerowe pole. Prowadzi to do paniki jądra i potencjalnego niedomiaru num_mcaches. Poprawka zmienia funkcję na zwracającą bool i dodaje zabezpieczenia, aby odrzucić tryb w przypadku zerowych wartości.

W jądrze Linux w sterowniku amdkfd występuje wyciek bitów QID w funkcji pqm_create_queue(). Gdy alokacja pamięci jądra nie powiedzie się przy pierwszym tworzeniu kolejki, funkcja zwraca wcześnie bez wyczyszczenia bitu QID, co prowadzi do trwałego wycieku slotów kolejki. Poprawka zmienia ścieżkę błędu na goto err_allocate_pqn, aby zawsze wywoływać clear_bit.

W jądrze Linux w sterowniku amdkfd występuje podatność przepełnienia liczby uint32_t podczas wyrównywania rozmiaru bufora EOP. Użytkownik może podać rozmiar 0xFFFFF001, który po zawinięciu daje 0, co omija sprawdzenie rozmiaru i pozwala na akceptację dowolnego BO. Może to prowadzić do zapisu poza bufor i awarii GPU.

W jądrze Linux w sterowniku amdkfd występuje podatność wyścigu w funkcji kfd_criu_checkpoint_events(). Liczenie i przeglądanie zdarzeń nie jest chronione mutexem event_mutex, co może prowadzić do zapisu poza tablicę lub użycia po zwolnieniu. Poprawka polega na trzymaniu mutexa podczas liczenia i przeglądania.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku sprawdzenia kontekstu DX przed obsługą polecenia DX_BIND_QUERY. Użytkownik może wywołać dereferencję wskaźnika NULL, co prowadzi do paniki jądra. Poprawka dodaje wczesne odrzucenie polecenia, gdy brak kontekstu DX.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku walidacji rozmiaru nagłówka polecenia DRAW_PRIMITIVES przed dzieleniem. Mały rozmiar nagłówka powoduje zawinięcie odejmowania, co prowadzi do odczytu poza buforem. Poprawka odrzuca zbyt małe nagłówki.