Podatności Linux kernel

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku sprawdzenia, czy rozmiar nagłówka polecenia DMA jest wystarczający dla sufiksu. Może to prowadzić do niedomiaru wskaźnika sufiksu i nadpisania zweryfikowanych pól wcześniejszego polecenia, co umożliwia atak typu TOCTOU. Poprawka odrzuca polecenie, gdy ciało jest zbyt małe.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na wywołaniu destroy_workqueue(NULL) podczas inicjalizacji vkms, gdy kolejka pracy nie została utworzona. Może to prowadzić do paniki jądra. Poprawka usuwa wczesny powrót i dodaje sprawdzenie NULL przed zniszczeniem kolejki.

W jądrze Linux wykryto podatność w sterowniku USB Type-C UCSI, powodującą wyścig podczas wyrejestrowywania portu. Może to prowadzić do użycia po zwolnieniu (use-after-free) i awarii systemu (NULL pointer dereference). Problem dotyczy synchronizacji zadań partnera z niszczeniem kolejki pracy.

W jądrze Linux w sterowniku drm/xe podczas wykonywania operacji exec IOCTL nie czekano na semafory (fences) jądra dla zewnętrznych obiektów BO, co mogło prowadzić do wyścigu i potencjalnego odczytu/zapisu pamięci podczas jej przenoszenia. Poprawka polega na dodaniu zależności od semaforów jądra dla wszystkich obiektów zablokowanych przez exec.

W jądrze Linux w sterowniku sun4i-ss usunięto niebezpieczny i nieużywany algorytm RNG (sun4i_ss_rng), który zawierał wiele podatności, w tym brak synchronizacji, przepełnienie bufora i nieprawidłowe generowanie losowych bajtów. Kod nie ma znanych użytkowników, więc usunięto go zamiast naprawiać.

W jądrze Linux w sterowniku uvcvideo występuje zakleszczenie, gdy funkcja uvc_status_stop jest wywoływana z pracy async_ctrl.work. Prowadzi to do czekania na zakończenie pracy, która sama czeka na zakończenie, co powoduje zawieszenie systemu.

W jądrze Linux w podsystemie rxrpc funkcja rxrpc_verify_data nie zawsze alokuje bufor rx_dec_buffer, co może prowadzić do wywołania skb_copy_bits z pustym wskaźnikiem i dereferencji NULL. Poprawka zapewnia, że alokacja jest zawsze próbowana, gdy bufor jest NULL.

W jądrze Linux w podsystemie rxrpc funkcja rxrpc_recvmsg() nie zwalnia referencji do już zwolnionego połączenia, gdy używana jest flaga MSG_PEEK, co prowadzi do wycieku pamięci.

W jądrze Linux w podsystemie rxrpc funkcja rxrpc_recvmsg() może wejść w nieskończoną pętlę, ponieważ oczekiwanie nie sprawdza kolejki OOB. Poprawka dodaje sprawdzenie kolejki OOB w pętli oczekiwania.

W jądrze Linuxa wykryto podatność w podsystemie rxrpc, polegającą na nieprawidłowej obsłudze pakietów ACKALL. Sfałszowany pakiet ACKALL może zostać zaakceptowany dla nowego połączenia serwerowego w stanie, w którym nie powinien być przetwarzany, co prowadzi do wyłuskania wskaźnika NULL i awarii systemu.

W jądrze Linuxa w podsystemie rxrpc naprawiono problem z odbiorem pakietu odpowiedzi przed wysłaniem danych. Funkcja rxrpc_receiving_reply() nie sprawdzała, czy wywołanie zostało już wystawione, co mogło prowadzić do błędu w rxrpc_rotate_tx_window(). Dodatkowo zmieniono pętlę do...while na while, aby obsłużyć pustą kolejkę transmisji.

W jądrze Linuxa w podsystemie AFS naprawiono błąd prowadzący do wyłuskania pustego wskaźnika (NULL pointer dereference) w funkcji afs_get_tree(). Gdy ctx->dyn_root nie jest null, pola as->cell i as->volume są null, a funkcja trace_afs_get_tree() je wyłuskuje.

W jądrze Linuxa w podsystemie AFS naprawiono obsługę żądań CB.InitCallBackState3 bez rekordu serwera. Sprawdzane jest, czy rekord serwera został dołączony, a jeśli nie, żądanie jest ignorowane, zgodnie z istniejącym zachowaniem dla innych niepasujących żądań.

W jądrze Linuxa w podsystemie fbcon naprawiono błąd prowadzący do wyłuskania pustego wskaźnika dla konsoli bez vc_data. Funkcja fbcon_new_modelist() zakładała, że konsola z ustawionym trybem ma vc_data, co nie zawsze jest prawdą. Poprawka utrzymuje tryb tylko gdy vc_data istnieje.

W jądrze Linuxa w sterowniku accel/amdxdna naprawiono wyciek pamięci podczas przypinania stron ubuf. Gdy funkcja pin_user_pages_fast() zwraca mniej stron niż żądano, wcześniej przypięte strony nie są zwalniane. Poprawka zwalnia częściowo przypięte strony przed zwróceniem błędu.

W jądrze Linuxa w sterowniku drm/rockchip inno-hdmi naprawiono błąd use-after-free. Struktura wewnętrzna zawierająca enkoder była alokowana przez devm_kzalloc(), a podczas czyszczenia enkodera przez drmm_encoder_alloc_release() dostęp do zwolnionej struktury powodował błąd. Poprawka zmienia alokację na drmm_kzalloc().

W jądrze Linuxa w sterowniku drm/rockchip dw_dp naprawiono błąd use-after-free. Struktura wewnętrzna zawierająca enkoder była alokowana przez devm_kzalloc(), a podczas czyszczenia enkodera przez drmm_encoder_alloc_release() dostęp do zwolnionej struktury powodował błąd. Poprawka zmienia alokację na drmm_kzalloc().

W jądrze Linux w podsystemie drm/gpusvm podczas tworzenia zakresów SVM nie odrzucano regionów pamięci oznaczonych VM_IO lub VM_PFNMAP. Takie regiony nie są obsługiwane przez struktury struct page, co powodowało powtarzające się błędy get_pages() i mogło prowadzić do nieskończonej pętli w obsłudze błędów stron.

W jądrze Linux w sterowniku accel/amdxdna ilość danych zwracanych do przestrzeni użytkownika nie była ograniczana rozmiarem bufora dostarczonego przez aplikację. Jeśli bufor był mniejszy niż rozmiar danych, funkcja zwracała błąd zamiast tylko części danych.

W jądrze Linux w mechanizmie dma-fence tracepointy trace_dma_fence_signaled, trace_dma_fence_wait_end i trace_dma_fence_destroy mogły wyłuskiwać pusty wskaźnik fence->ops po jego zresetowaniu podczas sygnalizowania. Poprawka używa bezpiecznych getterów i przenosi tracepoint sygnału przed wyczyszczeniem ops.

W jądrze Linux w sterowniku drm/radeon funkcja radeon_align_pitch() miała przepełnienie liczby całkowitej ze znakiem podczas zaokrąglania wyrównania i obliczania 'aligned * cpp'. Może to prowadzić do zwrócenia nieprawidłowego pitcha lub utworzenia bufora o zerowym rozmiarze.

W jądrze Linux w sterowniku drm/radeon funkcja radeon_ring_restore() nie zwalniała bufora danych (przydzielonego przez radeon_ring_backup()) w przypadku błędu radeon_ring_lock(). Powodowało to wyciek pamięci przy każdym nieudanym resecie GPU.

W jądrze Linux w sterowniku spi: atcspi200 zasoby DMA są inicjalizowane po rejestracji kontrolera SPI. Podczas odpinania sterownika może wystąpić use-after-free, gdy DMA jest usuwane, a kontroler nadal działa i wyzwala transfery DMA.

W jądrze Linux w systemie plików hfsplus występuje podwójne oznaczanie atrybutu inode jako brudnego, co prowadzi do null-ptr-deref podczas wywołania setxattr, gdy plik atrybutów nie został załadowany podczas montowania.

W jądrze Linux w sterowniku wifi: rtw89 procedury obsługi błędów AER (io_error_detected i io_resume) pobierały wskaźnik zapisany przez pci_set_drvdata() jako net_device, podczas gdy faktycznie był to wskaźnik ieee80211_hw. Powodowało to operacje na niewłaściwych offsetach struktury.

W jądrze Linux w sterowniku wifi: rtw88 procedury obsługi błędów AER (io_error_detected i io_resume) pobierały wskaźnik zapisany przez pci_set_drvdata() jako net_device, podczas gdy faktycznie był to wskaźnik ieee80211_hw. Powodowało to operacje na niewłaściwych offsetach struktury.

W jądrze Linux wykryto podatność w sterowniku WiFi rtw89, powodującą zapętlenie nieskończone podczas skanowania pasma 6 GHz. Błąd typu danych dla indeksu skanowania prowadzi do zawieszenia CPU (soft lockup) i paniki systemu.

W jądrze Linux w sterowniku rtw88 (PCIe) brakuje walidacji rozmiaru danych odbieranych z firmware, co może prowadzić do odczytu poza buforem DMA. Atakujący może wykorzystać tę podatność do ujawnienia danych z pamięci jądra.

W jądrze Linux w sterowniku rtw89 brakuje sprawdzenia zakresu wartości pola mac_id pochodzącego z firmware, co może prowadzić do odczytu poza tablicą. Atakujący może wykorzystać tę podatność do uzyskania informacji z pamięci jądra.

W jądrze Linux w sterowniku ath9k brakuje sprawdzenia zakresu wartości qid pochodzącej z firmware, co może prowadzić do odczytu poza tablicą. Atakujący może wykorzystać tę podatność do uzyskania informacji z pamięci jądra.

W jądrze Linuxa wykryto podatność w sterowniku ath11k dla kart Wi-Fi. Podczas restartu systemu, który nakłada się na proces odzyskiwania po awarii firmware (SSR), może dojść do wyścigu prowadzącego do dereferencji pustego wskaźnika i paniki jądra. Problem dotyczy urządzeń korzystających z interfejsu PCI/MHI.

W jądrze Linux w podsystemie OPP istnieje wyścig między dodawaniem a wyszukiwaniem wpisów, co może prowadzić do uszkodzenia licznika referencji i przedwczesnego zwolnienia pamięci. Atakujący może wykorzystać tę podatność do awarii systemu.

W jądrze Linux w funkcji snp_filter_reserved_mem_regions() występuje błąd off-by-one, który może prowadzić do przepełnienia bufora na stercie. Atakujący może wykorzystać tę podatność do wykonania kodu w jądrze.

W jądrze Linux w funkcji __snp_alloc_firmware_pages() brakuje prawidłowego sprawdzenia błędu alokacji strony, co może prowadzić do dereferencji nieprawidłowego wskaźnika. Atakujący może wykorzystać tę podatność do awarii systemu.

W jądrze Linux w sterowniku atmel-sha204a występuje błąd w logice blokującego i nieblokującego generatora liczb losowych, co powoduje, że nie dostarcza on prawidłowej entropii. Może to prowadzić do osłabienia bezpieczeństwa kryptograficznego.

W jądrze Linuxa funkcje BPF bpf_set_dentry_xattr i bpf_remove_dentry_xattr nie sprawdzały, czy inode jest NULL, co przy ujemnych dentry prowadziło do dereferencji wskaźnika NULL. Dodano sprawdzenie NULL i zwracanie -EINVAL. Usunięto również ostrzeżenia WARN_ON, które mogły powodować DoS przy włączonym panic_on_warn.

W jądrze Linuxa funkcja evm_read_xattrs() nie inicjalizowała bufora, co przy braku skonfigurowanych xattrs prowadziło do odczytu poza pamięcią przez strlen(). Poprawka polega na jawnym zakończeniu bufora, użyciu snprintf() i przekazaniu rzeczywistej długości do simple_read_from_buffer().

W jądrze Linuxa w sterowniku mlx5_ib funkcja mlx5_ib_alloc_transport_domain() przeciekała przydzielony transport domain, gdy mlx5_ib_enable_lb() zwracała błąd. Poprawka dodaje dealokację TD w przypadku błędu, jawny zwrot 0 w gałęzi bez obsługi loopbacku oraz przenosi inicjalizację mutexu lb do mlx5_ib_stage_init_init().

W jądrze Linuxa w sterowniku RDMA/mlx5 funkcja mlx5r_umr_update_xlt() przeciekała bufor XLT i mapowanie DMA, gdy mlx5_odp_populate_xlt() zwracała błąd, a także pozostawiała zablokowany mutex awaryjny. Poprawka polega na wyjściu z pętli, aby wykonać wspólną ścieżkę czyszczenia.

W jądrze Linuxa w sterowniku RDMA/mlx5 funkcja MLX5_IB_METHOD_DEVX_SUBSCRIBE_EVENT() łączyła event_sub z listą przed inicjalizacją pól używanych w ścieżce błędów, co prowadziło do dereferencji NULL i nieprawidłowego czyszczenia XA. Poprawka dodaje funkcję devx_key_in_sub_list() i wywołuje subscribe_event_xa_dealloc() tylko przy ostatnim oczekującym wpisie.

W jądrze Linuxa w funkcji drm_syncobj_find_fence() występuje wyciek pamięci, ponieważ drm_syncobj_find() pobiera referencję do syncobj, ale wczesny zwrot nie zwalnia tej referencji. Poprawka polega na zwolnieniu referencji przed wczesnym zwrotem.

W jądrze Linuxa funkcja dm_poll_bio() przekazywała flagi pollowania bez zmian do klonów, co mogło powodować długie spin-waiting i RCU CPU stall. Poprawka wymusza jednorazowe pollowanie dla docelowych biosów.

W jądrze Linuxa w module tracing funkcje pomocnicze pól syntetycznych używały strcat() do budowania nazw i komend w stałych buforach, co mogło prowadzić do zapisu poza pamięć. Poprawka używa seq_buf i propaguje -E2BIG, gdy przekroczony jest limit MAX_FILTER_STR_VAL.

W jądrze Linuxa w funkcji irdma_copy_user_pgaddrs występuje podatność na zapis poza zakresem. Problem pojawia się, gdy palloc->total_cnt jest równe zero, co powoduje, że pętla może wyjść poza stały rozmiar tablicy pgaddrmem (4 elementy) w przypadku lvl==0. Może to prowadzić do przepełnienia bufora.

W jądrze Linuxa w sterowniku RDMA HNS występuje problem z zalewaniem logów po awarii hns_roce_cmd_mbox(). Gdy sprzęt jest nieprawidłowy, nieograniczone komunikaty błędów mogą spowodować zalew logów i nawet awarię systemu.

W jądrze Linux wykryto podatność use-after-free (UAF) w podsystemie ALSA OSS sequencer. Problem występuje, gdy dane SysEx są przetwarzane, a port sequencera zostaje zamknięty przed wysłaniem zdarzenia, co prowadzi do użycia zwolnionej pamięci. Łatka rozszerza mechanizm refcounting, aby chronić zasoby do czasu wysłania zdarzenia.

W jądrze Linux w podsystemie ALSA SEQ MIDI wykryto podatność na użycie po zwolnieniu (use-after-free) i dereferencję pustego wskaźnika. Problem wynika z braku synchronizacji między ścieżką przetwarzania zdarzeń a zamykaniem wyjścia MIDI, co może prowadzić do awarii systemu.

W jądrze Linuxa w module nvmet-tcp występuje wyciek pamięci w ścieżce błędów. Gdy połączenie jest zamykane podczas alokacji, strona fragmentów (page fragment cache) nie jest opróżniana, co prowadzi do wycieku pamięci przy każdym nieudanym połączeniu.

W jądrze Linuxa w module nvmet-tcp nie jest sprawdzana wartość zwracana przez nvmet_tcp_set_queue_sock(). Jeśli funkcja zawiedzie, wywołania zwrotne gniazda nie są poprawnie ustawione, co prowadzi do wycieku kolejki i gniazda.

W jądrze Linuxa w sterowniku nvme-pci występuje dostęp poza zakresem w funkcji nvme_setup_descriptor_pools. Na jądrze bez NUMA, hctx->numa_node jest równe -1, ale parametr jest zadeklarowany jako 'unsigned', co powoduje, że indeks staje się UINT_MAX i wychodzi poza tablicę, prowadząc do błędu strony.