Podatności Linux kernel

W jądrze Linuxa w module cls_bpf występuje nieograniczona rekurencja w funkcji cls_bpf_offload_cmd, co może prowadzić do przepełnienia stosu. Problem pojawia się, gdy wywołanie tc_setup_cb_replace() zawiedzie, a następnie próba wycofania również zawiedzie, powodując rekurencyjne wywołania.

W jądrze Linuxa w module host1x występuje problem z pamięcią podręczną BO, która nie może być zwolniona. Mapowania w pamięci podręcznej trzymają referencję do obiektu bufora, co uniemożliwia jego zwolnienie, prowadząc do wycieku pamięci.

W jądrze Linux w sterowniku gpu: host1x poprawiono sprawdzanie wartości zwracanej przez iommu_map_sgtable(). Funkcja ta zwraca teraz ssize_t z ujemnymi wartościami w przypadku błędów, a nie size_t z zerem. Ponadto w pin_job() błędnie przypisywano wynik do typu int, co mogło powodować przepełnienia do wartości ujemnych.

W jądrze Linux w podsystemie dax/kmem naprawiono problem z częściowo nieciągłym zasobem podczas usuwania. Gdy dev_dax_kmem_probe() częściowo się powiedzie, ale kolejny zakres nie zostanie zmapowany, dev_dax_kmem_remove() może próbować usunąć nieistniejący zasób, co prowadzi do operacji na wskaźniku NULL.

W jądrze Linux w sterowniku RDMA/rxe naprawiono podatność TOCTOU prowadzącą do przepełnienia sterty w funkcji get_srq_wqe(). Funkcja ta odczytuje num_sge z bufora kolejki współdzielonej, który jest zmapowany do przestrzeni użytkownika, i po walidacji ponownie odczytuje to pole do obliczenia rozmiaru memcpy, co pozwala na modyfikację przez współbieżny wątek i przepełnienie bufora.

W jądrze Linux w sterowniku RDMA/rxe naprawiono problem w ścieżce odbioru dla QP bez SRQ, gdzie pola WQE były odczytywane bezpośrednio z bufora współdzielonego zmapowanego do przestrzeni użytkownika. Umożliwiało to złośliwemu użytkownikowi modyfikację pól podczas przetwarzania, prowadząc do odczytów poza zakresem.

W jądrze Linux w sterownikach md/raid1 i md/raid10 naprawiono zakleszczenie w ścieżce odzyskiwania po błędach odczytu. Ponowne wysyłanie sklonowanego bio może prowadzić do zakleszczenia, gdy macierz jest zawieszona, ponieważ próba uzyskania dodatkowego odniesienia active_io przez percpu_ref_tryget_live() może się zablokować.

W jądrze Linux w sterownikach md/raid1 i md/raid10 naprawiono wykrywanie ścieżki błędów za pomocą md_cloned_bio() zamiast polegania na r1_bio lub r10_bio->read_slot, które mogą być NULL lub -1 po podziale i ponownym wysłaniu nieudanego bio. Poprzednia logika mogła prowadzić do użycia GFP_NOIO zamiast (GFP_NOIO | __GFP_HIGH), co może powodować zakleszczenie przy braku pamięci.

W jądrze Linux w sterownikach md/raid1 i md/raid10 naprawiono rozliczanie bio dla podzielonych sklonowanych bio. Zamiast polegać na r1bio_existed w raid1 lub fladze io_accounting w raid10, użyto md_cloned_bio() do kontroli rozliczania, aby uniknąć podwójnego rozliczania lub jego braku.

W jądrze Linux w sterowniku raid1 naprawiono wyciek nr_pending w ścieżce błędów dla zapisów REQ_ATOMIC z badblockami. W raid1_write_request() każda iteracja pętli zwiększa rdev->nr_pending, ale w przypadku napotkania badblocka kod przeskakuje do err_handle bez zmniejszenia licznika dla bieżącego mirrora, co prowadzi do trwałego wycieku i uniemożliwia usunięcie rdev.

W jądrze Linux wykryto podatność w funkcji BPF_PROG_QUERY, która powoduje zapis poza zakresem (OOB) podczas zapisywania pola 'query.revision' do przestrzeni użytkownika. Problem występuje, gdy użytkownik przekaże mniejszą strukturę bpf_attr (np. 40 bajtów, sprzed dodania pola revision), co prowadzi do zapisu poza przydzielony bufor. Poprawka polega na propagowaniu rozmiaru atrybutu użytkownika do handlerów zapytań cgroup i warunkowym pomijaniu zapisu pola revision, gdy bufor jest zbyt mały.

W jądrze Linux naprawiono podatność typu TOCTOU w funkcji luo_session_retrieve() mechanizmu liveupdate. Rozszerzono zakres blokady rwsem_read tak, aby obejmował również przejęcie mutexu sesji, co zapobiega sytuacji, w której współbieżny wątek zwalnia i usuwa sesję między jej wyszukaniem a zablokowaniem.

W jądrze Linux naprawiono podatność typu use-after-free w funkcjach luo_file_unpreserve_files() i luo_file_finish() mechanizmu liveupdate. Poprawka zmienia kolejność wywołań module_put() i xa_erase(), aby moduł obsługi plików pozostał przypięty podczas wykonywania operacji, co zapobiega użyciu zwolnionej pamięci.

W jądrze Linux naprawiono wyciek pamięci w sterowniku WiFi ath12k, w funkcji ath12k_wifi7_dp_rx_h_verify_tkip_mic(). Gdy walidacja długości nagłówka NWIFI nie powiedzie się, funkcja kończy się błędem, a odpowiedni MSDU nie jest zwalniany, co prowadzi do wycieku pamięci.

W jądrze Linux naprawiono problemy w funkcji ath12k_mac_vdev_create() sterownika WiFi ath12k, które pozostawiały obiekt arvif w niespójnym stanie podczas błędów. Poprawka zmienia przepływ sterowania, aby zapewnić prawidłowe czyszczenie stanu w przypadku niepowodzeń tworzenia vdev.

W sterowniku ath12k dla kart Wi-Fi odkryto podatność prowadzącą do wywołania pustego wskaźnika (NULL deref) podczas operacji na łączach (links) w przypadku nieprawidłowo utworzonego interfejsu. Problem występuje, gdy walidacja kanału w mac80211 nie powiedzie się, a sterownik nie zostanie poprawnie zainicjalizowany, co skutkuje próbą użycia nieistniejących struktur.

W jądrze Linux naprawiono podatność w mechanizmie BTT (Block Translation Table) dla pamięci NVDIMM, związaną z wywłaszczaniem podczas przejmowania pasów (lanes). Dotychczasowy model oparty na spinlocku i liczniku rekurencji per-CPU był nieprawidłowy po wprowadzeniu wywłaszczalności, co mogło prowadzić do cichego uszkodzenia danych. Poprawka zastępuje spinlock dynamicznie alokowaną tablicą mutexów dla każdego pasa.

W jądrze Linux naprawiono podatność w mechanizmie BPF, która pozwalała na obejście gwarancji ekskluzywności map BPF. Mapy ekskluzywne (tworzone przez excl_prog_hash) mogły być umieszczane w mapach zewnętrznych (map-of-maps) i modyfikowane przez niepowiązane programy, co omijało sprawdzanie zgodności programów.

W jądrze Linux naprawiono podatność typu use-after-free w systemie plików bpffs. Poprzednia poprawka przeniosła czyszczenie inode z funkcji free_inode() do destroy_inode(), co usunęło opóźnienie RCU i umożliwiło dostęp do zwolnionej pamięci podczas równoległego chodzenia po ścieżkach w trybie RCU. Poprawka przywraca opóźnione zwalnianie inode i bufora i_link.

W jądrze Linux naprawiono podatność w systemie plików ext2, polegającą na ignorowaniu wartości zwracanej przez funkcję generic_write_sync() w ext2_dio_write_iter(). Poprawka zapewnia propagację błędów synchronizacji, co zapobiega zgłaszaniu sukcesu zapisu, gdy synchronizacja się nie powiodła.

W jądrze Linuxa odkryto podatność w mechanizmie iteratorów bpf_map_elem. Iteratory te wiążą mapę docelową w czasie dołączania, omijając sprawdzanie wyłączności map, co pozwala na dostęp do map przeznaczonych tylko dla jednego programu. Dodatkowo iterator udostępnia wartość mapy jako bufor do zapisu.

W jądrze Linuxa w funkcji configfs_lookup() występuje błąd polegający na pozostawieniu nieaktualnego wskaźnika ->s_dentry w przypadku niepowodzenia alokacji inode. Prowadzi to do użycia po zwolnieniu (use-after-free) podczas kolejnych operacji getdents(2) w katalogu.

W jądrze Linuxa w systemie plików ext4 występuje błąd w mapowaniu bitów oczekiwania i budzenia dla szybkiego zatwierdzania (fast commit) na architekturach 64-bitowych. Funkcje oczekiwania i budzenia używały surowych wartości EXT4_STATE_* zamiast odpowiedniego przesunięcia o 32 bity, co powodowało nieprawidłowe działanie synchronizacji.

W jądrze Linux w sterowniku amdgpu wykryto podatność prowadzącą do zapisu poza przydzielony bufor (slab-out-of-bounds) podczas generowania zrzutu pamięci (coredump) po resecie GPU. Problem wynika z wyścigu między dwiema pętlami przetwarzającymi pierścienie GPU, gdzie liczba pierścieni może się zmienić między zliczaniem a kopiowaniem danych.

W jądrze Linuxa w podsystemie vhost funkcja vhost_get_avail_idx zwraca nieprawidłową wartość, informując o zużyciu wszystkich wpisów zamiast o aktualizacji indeksu. Może to prowadzić do zakleszczenia (livelock) hosta, gdy gość nie robi postępów, ponieważ vhost natychmiast wyłącza powiadomienia i ponawia próby.

W jądrze Linuxa w podsystemie iommu/vt-d występuje błąd powodujący uszkodzenie drzewa RB w ścieżce błędów podczas wykrywania urządzeń. Jeśli urządzenie nie obsługuje ATS, węzeł RB pozostaje wyzerowany, a w przypadku błędu kolejnego kroku, usunięcie węzła interpretuje go jako korzeń drzewa, co prowadzi do jego uszkodzenia.

W jądrze Linux naprawiono podatność w funkcji zap_pages() w BPF, która wymagała trzymania mmap_lock. Poprzednio brak odpowiedniego blokowania mógł prowadzić do problemów z synchronizacją i potencjalnego użycia po zwolnieniu (UAF) podczas operacji na mapach pamięci.

W jądrze Linux naprawiono problem w sterowniku graficznym amdkfd, gdzie po nieudanym zawieszeniu wszystkich kolejek nie przywracano poprawnie dobrych kolejek. Teraz zawsze wykonywane jest przywracanie po zawieszeniu, a usuwanie kolejki jest wykonywane nawet w przypadku błędu.

W jądrze Linux naprawiono podatność use-after-free w mechanizmie rezerwacji pamięci (reserved_mem). Gdy funkcja alloc_reserved_mem_array() zawiedzie, globalny wskaźnik reserved_mem nadal wskazuje na pamięć w sekcji __initdata, co po inicjalizacji może prowadzić do odwołania do zwolnionej pamięci.

W jądrze Linux w systemie plików OCFS2 wykryto podatność use-after-free w iteratorze debugfs locking_state. Iterator kopiuje strukturę ocfs2_lock_res, ale wskaźnik LVB (sb_lvbptr) nadal wskazuje na oryginalny obiekt, który może zostać zwolniony przed odczytem danych, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux naprawiono podatność w systemie plików OCFS2, gdzie funkcja FITRIM akceptowała zakresy krótsze niż rozmiar klastra, co prowadziło do niedomiaru arytmetycznego i potencjalnego przycinania poza żądany zakres. Teraz odrzucane są zakresy krótsze niż rozmiar klastra.

W jądrze Linux w systemie plików OCFS2 wykryto podatność use-after-free w mechanizmie debugfs locking_state. Funkcja debug_lockres_open() nie sprawdza wyniku dlm_grab(), co pozwala na zapisanie wskaźnika do zwolnionej struktury dlm_ctxt, a następnie jej użycie w debug_lockres_release() po usunięciu domeny. Problem prowadzi do naruszenia pamięci (slab-use-after-free) zgłaszanego przez KASAN.

W jądrze Linux naprawiono podatność w module netfilter cttimeout, gdzie zmieniono zarządzanie licznikami odniesień dla zasad limitów czasu. Teraz licznik odniesień jest używany tylko dla wpisów conntrack, co pozwala na natychmiastowe usunięcie zasad z nfnetlink_cttimeout.

W jądrze Linux naprawiono podatność w sterowniku RDMA/irdma, która powodowała odczyt poza zakresem (OOB) podczas rejestracji pamięci CQ. Problem wynikał z nieprawidłowego ustawienia pola cqmr->split, co prowadziło do odczytu poza tablicą dla sprzętu GEN_2 i nowszych.

W jądrze Linux w mechanizmie BPF podczas zwalniania bpf_rb_root nie są czyszczone wskaźniki węzłów drzewa czerwono-czarnego. Jeśli obiekt przetrwa zwolnienie, może zawierać nieaktualne wskaźniki do zwolnionej struktury, co przy ponownym użyciu adresu może prowadzić do błędnego usunięcia z drzewa.

W jądrze Linux w mechanizmie kernfs występuje wyścig w operacjach xattr, gdy wiele superbloków o różnych przestrzeniach nazw współdzieli ten sam węzeł kernfs_node. Operacje xattr nie są odpowiednio serializowane, co może prowadzić do wyścigu w simple_xattr_set().

W jądrze Linux wykryto podatność w systemie kernfs, gdzie nowo tworzony węzeł (kn) nie ma jeszcze zainicjalizowanych wskaźników do rodzica i katalogu głównego w momencie wywołania haka LSM (kernfs_init_security). Prowadzi to do dereferencji pustego wskaźnika i paniki jądra, co można deterministycznie wywołać przy pierwszym utworzeniu katalogu cgroup przez systemd w systemach z SELinux.

W jądrze Linux w sterowniku wifi wcn36xx występuje przepełnienie sterty spowodowane brakiem walidacji długości odpowiedzi HAL z firmware. Odpowiedź większa niż 4096 bajtów może spowodować przepełnienie bufora hal_buf.

W jądrze Linux w sterowniku wifi wcn36xx występuje odczyt poza zakresem (OOB) spowodowany brakiem walidacji pola count sterowanego przez firmware w komunikacie PRINT_REG_INFO. Zbyt duża wartość count może prowadzić do odczytu poza buforem.

W jądrze Linux w ALSA seq funkcja snd_seq_read() kopiuje nagłówek zmiennej długości zdarzenia do przestrzeni użytkownika bez wyczyszczenia wskaźnika data.ext.ptr, co może ujawnić adres jądra komórki rozszerzenia.

W jądrze Linux w mechanizmie BPF brakuje odrzucania programów BPF_LSM_CGROUP oznaczonych jako sleepable podczas ładowania. Może to prowadzić do wywołania funkcji uśpienia w kontekście, gdzie jest to niedozwolone, powodując błąd jądra.

W jądrze Linux w mechanizmie BPF występuje zakleszczenie (deadlock) przy ponownym wejściu z NMI lub tracepoint do blokad LRU. Programy BPF mogą ponownie wejść do blokady już trzymanej na tym samym CPU, powodując AA-deadlock.

W jądrze Linux w mechanizmie mac80211 funkcja ieee80211_s1g_check_tim() przekazuje błędny wskaźnik końca do chodzenia po PVB, co może prowadzić do odczytu poza elementem TIM (out-of-bounds read).

W jądrze Linux w funkcji bpf_task_from_vpid() występuje dereferencja pustego wskaźnika, gdy bieżące zadanie jest w trakcie do_exit() i jego przestrzeń nazw PID jest już wyczyszczona. Programy cgroup_skb działające w softirq mogą wywołać tę funkcję i spowodować błąd jądra.

W jądrze Linux w podsystemie RDMA/nldev występuje problem z synchronizacją dostępu do wskaźnika mr->pd, który może się zmieniać podczas operacji rereg_mr. Poprawka polega na użyciu mr->device zamiast mr->pd->device oraz dodaniu operacji rdma_restrack_sync() w celu bezpiecznego odczytu identyfikatora restrack PD.

W jądrze Linux w sterowniku ASoC dla AMD (acp-sdw-legacy) występuje błąd odczytu poza granicami tablicy w funkcji create_sdw_dailinks(). Pętla iteruje po tablicy soc_dais, która ma dokładnie num_ends elementów, ale jeśli wszystkie są zainicjalizowane, odczyt wykracza poza koniec tablicy, co zgłasza KASAN.

W jądrze Linux w sterowniku ASoC dla AMD (acp-sdw-sof) występuje błąd odczytu poza granicami tablicy w funkcji create_sdw_dailinks(). Pętla iteruje po tablicy sof_dais, która ma dokładnie num_ends elementów, ale jeśli wszystkie są zainicjalizowane, odczyt wykracza poza koniec tablicy.

W jądrze Linux w module firmware_loader występuje zakleszczenie spowodowane rekurencyjnym blokowaniem w funkcji device_cache_fw_images(). Podczas przygotowania do zawieszenia lub hibernacji, fw_pm_notify() wywołuje tę funkcję, która trzyma fw_lock podczas iteracji po urządzeniach. Jeśli alokacja pamięci dla asynchronicznego zadania się nie powiedzie, zadanie jest wykonywane synchronicznie, co prowadzi do ponownego zażądania fw_lock i zakleszczenia.

W jądrze Linux w systemie plików configfs występuje problem z bezpiecznym przechodzeniem po liście ->s_children. Posiadanie zablokowanego katalogu nadrzędnego chroni wpisy przed usunięciem przez inny wątek, ale nie chroni kursorów przed przesuwaniem przez lseek() lub przed zwolnieniem.

W jądrze Linux w podsystemie watchdog występuje problem z rejestracją notyfikatora PM. watchdog_register_device() rejestruje wdd->pm_nb, ale watchdog_unregister_device() go nie usuwa, co pozostawia osadzony blok notyfikatora na łańcuchu PM. Późniejsze powiadomienia o zawieszeniu/wznowieniu mogą wywołać watchdog_pm_notifier() z nieaktualnym wskaźnikiem watchdog_device.