Podatności Linux kernel

W jądrze Linux w podsystemie iommufd występuje problem z kolejnością operacji podczas odłączania od dmabuf. Mutex może być nadal używany przez wywołania zwrotne unieważnienia dmabuf, dlatego nie należy niszczyć zawartości stron przed całkowitym odłączeniem dmabuf.

W jądrze Linux w funkcji is_vm_area_hugepages() występuje błąd polegający na braku sprawdzenia wyniku find_vm_area(), który może zwrócić NULL dla nieprawidłowego adresu. Prowadzi to do dereferencji wskaźnika NULL i awarii jądra.

W jądrze Linux w sterowniku WiFi mt76 (model mt7921) występuje wyciek zasobów w ścieżce błędów funkcji probe. Gdy pcim_iomap_region() lub devm_kmemdup() zawiedzie, kod zwraca bezpośrednio bez sprzątania wcześniej przydzielonych zasobów, takich jak mt76_device i wektory przerwań PCI.

W jądrze Linux w sterowniku WiFi mt76 występuje problem z użyciem po zwolnieniu w funkcji mt76_put_vif_phy_link(). Funkcja zwalnia offchannel mlink za pomocą kfree(), ale rcu_assign_pointer nie czeka na istniejących czytelników RCU, którzy mogą nadal używać wskaźnika. Ścieżka TX może dereferencjonować zwolnioną pamięć.

W jądrze Linux w sterowniku mt7925 funkcja mt7925_tm_query() kopiuje dane z odpowiedzi firmware do bufora bez sprawdzenia jej długości. Jeśli odpowiedź jest krótsza niż oczekiwane 520 bajtów, dochodzi do odczytu poza buforem, a nadmiarowe dane są zwracane do przestrzeni użytkownika. Dodano sprawdzenie długości przed kopiowaniem.

W jądrze Linux w sterowniku mt7996 funkcja mt7996_tx_prepare_skb() może przeciekać tokeny transmisji, jeśli wyszukiwanie link_conf lub link_sta zakończy się niepowodzeniem. Token jest przydzielany przed sprawdzeniem, a w przypadku błędu nie jest zwalniany. Poprawka polega na zwolnieniu tokena w przypadku błędu.

W jądrze Linux w sterowniku mt7996 funkcja mt7996_mac_write_txwi_80211() może wywołać dereferencję wskaźnika NULL, gdy ramka jest wstrzykiwana (np. przez radiotap), ponieważ mac80211 może przekazać info->control.vif = NULL. Dodano sprawdzenie wskaźnika vif przed wywołaniem ieee80211_vif_is_mld().

W jądrze Linux w funkcji __btrfs_run_delayed_refs() systemu plików Btrfs występuje nieprawidłowa dereferencja wskaźnika. Gdy btrfs_select_ref_head() zwraca błąd -EAGAIN, zmienna locked_ref pozostaje wskaźnikiem błędu, a następnie jest używana w spin_lock(), co prowadzi do dereferencji nieprawidłowego adresu. Poprawka resetuje locked_ref do NULL i zwiększa licznik, aby uniknąć zapętlenia.

W jądrze Linux w sterowniku sm501fb występują błędy w kodzie obsługi OF: użycie po zwolnieniu, przepełnienie bufora i wycieki pamięci. Dane EDID nie są zwalniane w przypadku błędu, a przy włączonych CRT i PANEL dane są używane po zwolnieniu i zwalniane dwukrotnie. Dodatkowo string z of_get_property jest kopiowany bez sprawdzania długości. Poprawka używa kstrdup() i zwalnia pamięć przed zwolnieniem info.

W jądrze Linux w systemie plików Btrfs na strefowych dyskach występuje zakleszczenie podczas relokacji danych. Proces relokacji czeka na ticket rezerwacji miejsca, który nigdy nie zostanie spełniony, ponieważ to relokacja ma zwolnić to miejsce. Poprawka wprowadza nowy stan flush, który używa priority_reclaim_data_space() zamiast normalnej ścieżki, aby uniknąć zakleszczenia.

W jądrze Linux w systemie plików Btrfs wykryto podatność powodującą zakleszczenie (deadlock) podczas klonowania extentów inline, gdy system jest zamontowany z opcją flushoncommit. Poprzednia poprawka obejmowała tylko przypadek, gdy offset docelowy wynosi 0, a nie uwzględniała offsetów większych od zera. Problem został zgłoszony przez syzbot i objawia się blokadą procesów na czas ponad 143 sekund.

W jądrze Linuxa w sterowniku ixgbe występuje podatność polegająca na wywoływaniu netif_set_xps_queue() dla kolejek XDP Tx, które nie są widoczne dla netdev. Na systemach z liczbą CPU >= 64 i kartą E610, konfiguracja XDP prowadzi do 64 kolejek XDP, podczas gdy maksymalna liczba par kolejek to 63, co powoduje ostrzeżenie i raport KASAN (slab-out-of-bounds). Poprawka polega na pominięciu konfiguracji XPS dla kolejek XDP Tx.

W jądrze Linux w serwerze NFSD funkcja nfsd4_drop_revoked_stid() nie obsługuje przypadku SC_TYPE_LAYOUT, co powoduje, że gdy klient wysyła FREE_STATEID dla unieważnionego layout stid, stid nie jest usuwany z listy ani zwalniany. Poprawka usuwa layout stid z listy i wywołuje nfs4_put_stid(), aby zwolnić referencję.

W jądrze Linuxa odkryto podatność w mechanizmie BPF dotyczącą recyklingu wartości w mapach. Podczas aktualizacji lub usuwania wpisu, pola specjalne (np. timery, kolejki pracy) były usuwane w kontekście operacji, co mogło być niebezpieczne w kontekście NMI. Wprowadzono nową funkcję anulującą, która wykonuje tylko bezpieczne operacje w kontekście NMI, a pełne usunięcie pozostawia do końcowego czyszczenia.

W jądrze Linux w funkcji vduse_dev_open() występuje wyścig (race condition) między wyszukiwaniem obiektu w IDR a przejęciem blokady urządzenia. Atakujący może wykorzystać okno czasowe, w którym operacja VDUSE_DESTROY_DEV usuwa i zwalnia obiekt, zanim ścieżka otwarcia go zablokuje, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcjach vhost_vdpa_mmap() i vhost_vdpa_fault() indeks kolejki wirtualnej (virtqueue) nie jest poprawnie walidowany przed użyciem w wywołaniu get_vq_notification(). Brak sprawdzenia, czy indeks jest mniejszy niż v->nvqs, pozwala na przekazanie nieprawidłowego indeksu do sterownika, co może prowadzić do dostępu poza zakresem i awarii systemu.

W jądrze Linux w sterowniku virtio:rtc podczas przywracania urządzenia (restore) nie są usuwane stare kolejki wirtualne przed ich ponowną inicjalizacją. Jeśli inicjalizacja nie powiedzie się, może dojść do wyłuskania pustego wskaźnika w vp_del_vq(), co powoduje awarię jądra gościa.

W jądrze Linux w systemie plików ext4, gdy używana jest opcja montowania data=journal, funkcja ext4_journalled_write_end() nieprawidłowo wywołuje ext4_write_inline_data_end() bez sprawdzenia flagi EXT4_STATE_MAY_INLINE_DATA. Może to prowadzić do wywołania BUG_ON w ext4_write_inline_data(), powodując awarię jądra.

W jądrze Linux wykryto podatność w systemie plików ext4 związaną z operacją EXT4_IOC_MOVE_EXT. Walidacja pliku dawcy (donor) była wykonywana zbyt późno, po przejęciu blokad, co przy jednoczesnym zamrożeniu systemu plików mogło prowadzić do zakleszczenia (deadlock). Poprawka przenosi sprawdzenie przynależności pliku dawcy do tego samego superbloku przed jakiekolwiek operacje blokujące.

W jądrze Linux w sterowniku vfio/qat funkcja qat_vf_resume_write() sprawdza pozycję pliku (f_pos) przed przejęciem blokady migf->lock, ale kopiuje dane po przejęciu blokady i ponownym odczycie pozycji. Dwa równoczesne zapisy mogą ominąć sprawdzenie granic i zapisać poza buforem stanu migracji.

W jądrze Linux w mechanizmie BPF, sprawdzanie zgodności cookie dla tablic programów jest niedostateczne. Program bez magazynu cgroup może być uznany za zgodny z dowolnym cookie, co pozwala na pomostowanie łańcucha tail call między programem wejściowym a programem korzystającym z magazynu, co prowadzi do nieprawidłowego dostępu do magazynu lokalnego cgroup.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje błąd polegający na wyłuskaniu wskaźnika NULL w funkcji qca_setup() dla urządzeń niekorzystających z serdev. hu->serdev jest NULL, a funkcja bezwarunkowo wywołuje serdev_device_get_drvdata(hu->serdev), co prowadzi do awarii. Poprawka dodaje sprawdzenie NULL przed wyłuskaniem.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje błąd wyłuskania wskaźnika NULL w funkcji qca_dmp_hdr() dla urządzeń niekorzystających z serdev. hu->serdev jest NULL, a funkcja bezwarunkowo wyłuskuje hu->serdev->dev.driver->name, co prowadzi do awarii. Poprawka dodaje sprawdzenie NULL i używa domyślnej nazwy "hci_ldisc_qca".

W jądrze Linux w podsystemie Bluetooth hci_core występuje podatność use-after-free w funkcji hci_unregister_dev(). Funkcja nie wyłącza timerów cmd_timer i ncmd_timer przed zwolnieniem struktury hci_dev. Jeśli timer wygaśnie podczas usuwania urządzenia, wywołanie zwrotne odwołuje się do zwolnionej pamięci, co prowadzi do użycia po zwolnieniu. Poprawka dodaje wywołania disable_delayed_work_sync() obok istniejących disable_work_sync().

W jądrze Linux w sterowniku Bluetooth btmtk występuje wyciek URB w ścieżce błędu funkcji alloc_mtk_intr_urb. Gdy funkcja btmtk_isopkt_pad() zawiedzie, wcześniej przydzielony URB nie jest zwalniany, co prowadzi do wycieku pamięci. Poprawka dodaje wywołanie usb_free_urb() przed zwróceniem błędu.

W jądrze Linux w podsystemie Bluetooth hci występuje podatność polegająca na nieprawidłowej walidacji długości elementu capabilities w odpowiedzi kontrolera. Funkcja hci_read_codec_capabilities() sprawdza tylko długość payloadu, ale nie uwzględnia bajtu długości, co pozwala na odczyt poza zakresem. Poprawka waliduje pełny rozmiar elementu, włączając bajt długości.

W jądrze Linux w podsystemie RDMA/core występuje błąd w przepływie błędu podczas przenoszenia uchwytów FRMR między kolejkami. Gdy przeniesienie do niepustej kolejki nieaktywnej zawiedzie z powodu braku alokacji strony, uchwyt nie jest obsługiwany i dochodzi do wycieku mkey. Poprawka wprowadza funkcję push_queue_to_queue_locked(), która nie wymaga alokacji i upraszcza obsługę błędów.

W jądrze Linux w podsystemie RDMA/core występuje błąd w ścieżce błędu podczas ustawiania FRMR jako przypiętego. Gdy przeniesienie do puli zawiedzie, uchwyty FRMR nie są niszczone, co prowadzi do wycieku zasobów. Poprawka dodaje niszczenie uchwytów FRMR w przypadku niepowodzenia przeniesienia.

W jądrze Linux w sterowniku RDMA/mlx5 występuje niezdefiniowane przesunięcie bitowe rozmiaru WQE dla kolejki RQ. Funkcja set_rq_size() oblicza rozmiar jako "1 << rq_wqe_shift" na podstawie wartości podanej przez użytkownika, która jest tylko sprawdzana, czy jest większa niż 32, więc przesunięcia o 32 są nadal akceptowane. Przesunięcie o 31 również powoduje przepełnienie liczby całkowitej ze znakiem, co prowadzi do niezdefiniowanego zachowania. Poprawka używa check_shl_overflow() do obliczenia rozmiaru i odrzuca nieprawidłowe wartości.

W jądrze Linux w sterowniku RDMA/mlx5 występuje błąd polegający na zwalnianiu indeksu UAR dostarczonego przez oprogramowanie zamiast indeksu dostarczonego przez sprzęt. Poprawka polega na zwalnianiu indeksu UAR zwróconego przez sprzęt.

W jądrze Linux w sterowniku ASoC codec hdac_hdmi występuje podatność polegająca na braku walidacji wartości enum przed użyciem jej jako indeksu tablicy texts. Funkcja hdac_hdmi_set_pin_port_mux() używa wartości enum do indeksowania tablicy przed wywołaniem snd_soc_dapm_put_enum_double(), która waliduje zakres. Wartość spoza zakresu może spowodować odczyt poza tablicą. Poprawka przenosi wyszukiwanie po walidacji przez funkcję pomocniczą.

W jądrze Linux w sterowniku ASoC dla Meson AIU funkcje zwrotne dla multiplekserów HDMI i wewnętrznego kodeka używają wartości zapisanej przez użytkownika przed sprawdzeniem, czy jest ona prawidłowa dla danej enumeracji. Brak walidacji może prowadzić do nieprawidłowego działania lub potencjalnych błędów.

W jądrze Linux w sterowniku ASoC dla Freescale fsl_audmix funkcje fsl_audmix_put_mix_clk_src() i fsl_audmix_put_out_src() konwertują wartość enumeracji podaną przez użytkownika przed sprawdzeniem, czy mieści się ona w zakresie. Może to prowadzić do nieprawidłowego dostępu do pamięci lub błędów.

W jądrze Linux w sterowniku ASoC dla Tegra210 AHUB funkcja tegra_ahub_put_value_enum() odczytuje e->values[item[0]] przed sprawdzeniem, czy item[0] jest w zakresie. To pozwala na odczyt poza zakresem tablicy values.

W jądrze Linux w parserze topologii ASoC, nazwy PCM i DAI przechowywane w tablicach o stałym rozmiarze nie są sprawdzane pod kątem zakończenia znakiem NUL przed użyciem jako ciągi C. Złośliwy plik topologii może spowodować odczyt poza końcem pola.

W jądrze Linux klasyfikator przepływu cls_flow w trybie mapy pozwala użytkownikowi kontrolować parametry i obserwować wynikowy classid, co umożliwia odzyskanie złożonej wartości wskaźników skb->sk, skb_dst() lub skb_nfct(). Poprawka zastępuje składanie XOR bezpiecznym siphash.

W jądrze Linux wykryto podatność use-after-free w funkcji fib_leaf_notify() dla IPv4. Podczas zrzutu informacji o trasach (fib_info) pod osłoną RCU, funkcje takie jak nsim_fib4_prepare_event() wywołują fib_info_hold() bez sprawdzenia, czy obiekt nadal istnieje, co prowadzi do użycia po zwolnieniu pamięci. Problem został zgłoszony przez syzbot.

W jądrze Linux w funkcji fib_rules_dump() wywoływana jest fib_rule_get() podczas zrzutu RCU, co może prowadzić do problemów z refcount, jeśli reguła jest w stanie umierania. Poprawka używa refcount_inc_not_zero().

W jądrze Linux dla urządzeń sieciowych PFCP nie jest przydzielana pamięć per-CPU dla statystyk, co powoduje, że dev->tstats jest NULL. Przy tworzeniu urządzenia PFCP może dojść do wyłuskania NULL podczas generowania powiadomienia RTM_NEWLINK.

W jądrze Linux w funkcji netif_rxq_cleanup_unlease() kolejność operacji jest odwrócona: najpierw usuwane są mapowania DMA, a potem zatrzymywana kolejka. To może pozwolić urządzeniu na DMA do nieaktualnego adresu. Poprawka zamienia kolejność.

W jądrze Linux wykryto podatność w schedulerze sieciowym HFSC (sch_hfsc). Podczas pojedynczego dequeuing klasa może być dwukrotnie oznaczona jako pasywna, co prowadzi do nieprawidłowego dekrementowania licznika aktywnych klas rodzica. W efekcie rodzic z aktywnymi klasami potomnymi zostaje usunięty z drzewa vttree, a kolejki przestają być obsługiwane (stall).

W jądrze Linuxa w podsystemie TIPCv2 operacje modyfikujące stan sieci (np. zmiana identyfikatora sieci, kluczy, włączanie/wyłączanie nośnika) nie wymagały uprawnień administratora. Lokalny nieuprzywilejowany proces mógł zmieniać stan TIPC. Poprawka dodaje wymóg CAP_NET_ADMIN dla tych operacji.

W jądrze Linuxa w podsystemie TIPC, podczas obsługi wiadomości CONN_ACK, liczba potwierdzonych wiadomości odbierana od peera nie była weryfikowana. Zbyt duża wartość mogła spowodować niedomiar licznika snt_unacked, co prowadziło do trwałego zablokowania transmisji na połączeniu.

W jądrze Linuxa w podsystemie TIPC, podczas przetwarzania ogłoszeń o zakresach usług od zdalnych węzłów, nie sprawdzano, czy dolna granica zakresu nie jest większa od górnej. Takie odwrócone zakresy mogły prowadzić do wycieku pamięci w tabeli powiązań.

W jądrze Linux wykryto podatność w ALSA SEQ, która ujawnia adres pamięci jądra (heap) do przestrzeni użytkownika. Funkcja bounce_error_event() wysyłała zdarzenie SNDRV_SEQ_EVENT_KERNEL_ERROR z surowym wskaźnikiem do wszystkich klientów, w tym do klientów użytkownika, co prowadziło do wycieku adresu przez copy_to_user(). Problem dotyczy ścieżki fixed-length, która nie była objęta wcześniejszą poprawką.

W jądrze Linuxa w podsystemie IOMMU DMA, w ścieżce obsługi PCI P2PDMA, długość DMA bieżącego segmentu była błędnie przypisywana z pierwszego segmentu zamiast z bieżącego. Powodowało to uszkodzenie długości DMA dla list wielosegmentowych.

W jądrze Linux wykryto podatność w sterowniku SPI dla układów Xilinx. Sterownik błędnie określa rozmiar bufora FIFO, nie uwzględniając rejestru przesuwnego, co prowadzi do utraty danych i zapętlenia się sterownika podczas transmisji SPI w trybie przerwań.

W jądrze Linuxa w podsystemie CXL region, funkcja cxl_cancel_auto_attach() używała indeksu cxled->pos do dostępu do tablicy p->targets[], ale indeks ten mógł być ujemną wartością errno, co prowadziło do odczytu poza zakresem.

W jądrze Linux w podsystemie CXL region wykryto podatność polegającą na tym, że w tablicy celów (target array) aktywnego regionu mogą pozostać puste miejsca (wskaźniki NULL) po usunięciu endpoint decoderów. Prowadzi to do dostępu przez wskaźnik NULL (błąd ogólnej ochrony) oraz do błędnego liczenia podłączonych dekoderów, co może skutkować nieprawidłowym działaniem regionu. Poprawka polega na wypełnianiu pierwszego wolnego slotu w tablicy celów podczas automatycznego wykrywania.

W jądrze Linux w podsystemie CXL region zablokowano usuwanie regionu podczas jego tworzenia. Rozszerzono zakres blokady, aby uniemożliwić usunięcie regionu w krytycznym okresie między konstrukcją a dołączeniem celu oraz między rejestracją urządzenia a zarejestrowaniem akcji usuwania. Bez tego użytkownik mógłby wprowadzić jądro w błąd, naruszając założenia dotyczące żywotności regionu.