Podatności Linux kernel

W jądrze Linux w podsystemie CXL region rozwiązano problemy z wyścigami podczas usuwania regionów. Zamiast instalować nowe akcje devres dla każdego regionu, wykorzystano istniejące zdarzenie wyrejestrowania dekodera głównego do usunięcia wszystkich pozostałych regionów. Zastosowano tablicę xarray regionów zamiast listy devres, co eliminuje trzy problemy: wyścigi między użytkownikami usuwającymi ten sam region, wielokrotne akcje usuwania oraz wyścig z devres_release_all().

W jądrze Linux w podsystemie power supply core naprawiono problem z alokacją pamięci dla właściwości supplied_from. Gdy właściwość dts power-supplies zawiera wiele wartości, dostęp do psy->supplied_from[i-1] w funkcji __power_supply_populate_supplied_from może spowodować przekroczenie granic tablicy supplied_from.

W jądrze Linux w podsystemie handshake dodano wymóg uprawnień administratora dla polecenia DONE. Wcześniej polecenie DONE nie miało żadnej kontroli uprawnień, co pozwalało nieuprzywilejowanemu procesowi na wysłanie fałszywego DONE z kodem statusu 0, co mogło spowodować, że jądro uzna ręczne uzgadnianie za zakończone sukcesem, lub z kodem niezerowym, co mogło przerwać prawidłowe uzgadnianie.

W jądrze Linux w module net/sched/sch_dualpi2 występuje podatność prowadząca do dereferencji pustego wskaźnika (null-ptr-deref). Podczas operacji peek, gdy dualpi2 odrzuca pakiety, wywołuje qdisc_tree_reduce_backlog przed przywróceniem licznika qlen, co może błędnie dezaktywować klasę nadrzędną i doprowadzić do awarii systemu.

W jądrze Linux w podsystemie net: mana zainicjalizowano identyfikator kolejki gdma na INVALID_QUEUE_ID. Wcześniej identyfikator pozostawał 0, co mogło prowadzić do usunięcia nieprawidłowej kolejki podczas czyszczenia po nieudanym tworzeniu, co mogło uszkodzić tablicę gc->cq_table[0] i wpłynąć na działanie innej kolejki.

W jądrze Linux wykryto podatność w kodzie watchdoga sieciowego (net/sched/sch_generic.c), związaną z wyścigami w śledzeniu referencji (refcount tracking). Brak synchronizacji między funkcjami netdev_watchdog_up() i dev_watchdog() może prowadzić do uszkodzenia listy i awarii systemu (kernel panic).

W jądrze Linux w sterowniku WWAN t7xx funkcja t7xx_port_ctrl_tx() klonuje każdy fragment skb przed przekazaniem go do ścieżki transmisji. Brak sprawdzenia wyniku skb_clone() prowadzi do dereferencji wskaźnika NULL, gdy klonowanie się nie powiedzie.

W jądrze Linux w module KCM funkcje kcm_attach() i kcm_unattach() podmieniają wskaźniki wywołań zwrotnych (sk_data_ready, sk_write_space) na żywym gnieździe TCP bez użycia WRITE_ONCE(). Może to prowadzić do niespójnych obserwacji tych pól na innych CPU i błędnych wywołań zwrotnych.

W jądrze Linux wykryto podatność w podsystemie ALSA sequencer, związaną z operacją zmiany rozmiaru kolejki FIFO (snd_seq_fifo_resize). Problem polega na tym, że podczas zmiany rozmiaru mogą pozostać nieaktualne komórki (stale cells) w kolejce, co prowadzi do zakleszczenia w funkcji snd_seq_pool_done podczas usuwania starej puli. Atakujący może wywołać tę sytuację poprzez odpowiednie operacje ioctl, powodując blokadę wątku na czas nieokreślony.

W jądrze Linux w module netfilter nf_dup_netdev funkcje nft_dup i nft_fwd zostały zaktualizowane, aby używać pomocniczych funkcji nf_dev_xmit_recursion(). Dodatkowo wyłączono przerwania (BH) podczas transmisji skb, aby zapobiec migracji na inny CPU i niezbalansowanemu dekrementowaniu liczników rekurencji.

W jądrze Linux w module CIFS występuje podatność powodująca dereferencję pustego wskaźnika (NULL pointer dereference) podczas odmontowywania systemu plików CIFS. Problem pojawia się, gdy pliki CIFS są umieszczane w kolejce pracy fileinfo_put_wq podczas odmontowywania, a po zakończeniu odmontowania wywoływana jest funkcja cifsFileInfo_put_final, co prowadzi do błędu krytycznego (BUG).

W jądrze Linuxa w mechanizmie BPF dla danych uprobe_multi brakowało sprawdzenia access_ok przed użyciem __get_user, co mogło prowadzić do nieautoryzowanego dostępu do pamięci użytkownika. Poprawka dodaje odpowiednie sprawdzenie granic.

W jądrze Linux wykryto podatność use-after-free w funkcji udp_bpf_recvmsg() dla mechanizmu sockmap. Problem wynika z braku serializacji dostępu do struktury sk_msg, co przy współbieżnym odczycie może prowadzić do użycia zwolnionej pamięci. Poprawka przywraca blokadę lock_sock() w tej funkcji.

W jądrze Linux wykryto podatność w mechanizmie BPF sockmap, polegającą na przepełnieniu liczby całkowitej w funkcji bpf_msg_pop_data(). Mnożenie start + len wykonywane jest w arytmetyce 32-bitowej, co pozwala na obejście kontroli granic i prowadzi do dostępu poza zakresem listy rozproszonej (scatterlist), skutkując błędem ogólnej ochrony (GPF) i potencjalną awarią systemu.

W jądrze Linuxa w protokole TCP dla IPv6, funkcja ip6_default_advmss() może zwracać wartość IPV6_MAXPLEN (65535), która jest interpretowana jako mss_clamp, pozwalając MSS osiągnąć 65535. Jednak wartość 0xFFFF jest również używana jako magiczna wartość GSO_BY_FRAGS, co może prowadzić do dereferencji wskaźnika NULL podczas segmentacji pakietów TCP.

W jądrze Linuxa w sterowniku RDMA bnxt_re, zmienna dpi jest inicjalizowana tylko dla przypadku BNXT_RE_ALLOC_WC_PAGE, ale jest kopiowana dla wszystkich przypadków. Brak inicjalizacji może prowadzić do użycia niezainicjalizowanej wartości.

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla SRQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_srq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla CQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_cq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, podczas zrzucania informacji o MR za pomocą narzędzia rdma, wyświetlany jest wskaźnik jądra mr_hwq. Nie ma potrzeby ujawniania tej wartości użytkownikowi końcowemu, więc została usunięta.

W jądrze Linuxa w sterowniku RDMA bnxt_re, brakuje sprawdzenia maksymalnej liczby slotów dla SQ. Tryb zmiennej WQE musi być walidowany względem maksymalnej liczby slotów obsługiwanych przez sprzęt (maks. 64K). Dodano sprawdzenie maksymalnej i minimalnej wartości, aby odrzucić wartości większe niż maksymalna i równe zero.

W jądrze Linux w module ksmbd funkcja same_client_has_lease() zwraca wskaźnik opinfo z listy ci->m_op_list po zwolnieniu blokady m_lock bez przejęcia referencji. Może to prowadzić do użycia po zwolnieniu (UAF) podczas równoczesnego zamykania. Dodano przejmowanie referencji i jej zwalnianie po skopiowaniu stanu dzierżawy.

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_aes_decrypt zawierała nieprawidłowe sprawdzenie wskaźnika stainfo, które zwracało _FAIL dla prawidłowego wskaźnika. Odwrócono warunek, aby zwracał _FAIL tylko dla nieprawidłowego wskaźnika.

W jądrze Linux w sterowniku staging nvec funkcja nvec_rx_completed() zawiera błąd użycia po zwolnieniu (UAF). Po wywołaniu nvec_msg_free() kod nadal odczytuje nvec->rx->data[0], co może być już nadpisane przez równoczesne wywołanie nvec_msg_alloc(). Poprawka zapisuje bajt typu wiadomości przed zwolnieniem i używa zapisanej wartości.

W jądrze Linux w podsystemie soundwire funkcja sdw_add_element_group_count zawierała błąd powodujący dostęp poza zakres pamięci w pętli for, gdy i == num. Poprawka dodaje sprawdzenie istniejących wpisów rate/lane przed ich dodaniem, bez zmian funkcjonalnych poza tą poprawką.

W jądrze Linux w podsystemie PCI funkcja pci_get_rom_size może powodować awarię z powodu dostępu poza zakres pamięci ROM lub nieprawidłowego wyrównania adresu struktury danych. Dodano sprawdzanie nagłówka obrazu i adresu struktury danych oraz sprawdzanie wyrównania, aby zapobiec awariom na architekturach x86_64 i arm64.

W jądrze Linuxa w sterowniku mailbox mtk-adsp występuje podatność use-after-free podczas wyłączania urządzenia. Gdy inicjalizacja sterownika audio SOF nie powiedzie się, obiekt snd_sof_dev jest zwalniany, a późne przerwanie może wywołać procedurę obsługi po zwolnieniu kanału, prowadząc do dostępu do zwolnionej pamięci. Naprawa polega na użyciu disable_irq() i IRQF_NO_AUTOEN, aby zapobiec wyzwalaniu przerwań w nieodpowiednim momencie.

W jądrze Linuxa w podsystemie coresight platform występuje problem z licznikiem połączeń, który jest zwiększany przed udaną alokacją pamięci. Jeśli alokacja się nie powiedzie, licznik pozostaje zwiększony, a funkcja sprzątająca może odwoływać się do nieprawidłowych wskaźników, powodując panikę jądra. Poprawka przenosi zwiększenie licznika po wszystkich udanych alokacjach.

W jądrze Linuxa w sterowniku most: video występuje podwójne zwolnienie pamięci (double free) podczas nieudanej rejestracji urządzenia wideo. Funkcja comp_register_videodev() zwalnia video_device, ale ścieżka błędu w __video_register_device() również go zwalnia, co prowadzi do podwójnego zwolnienia. Poprawka używa video_device_release_empty() podczas rejestracji, aby uniknąć podwójnego zwolnienia.

W jądrze Linuxa w sterowniku USB host max3421 występuje podatność przesunięcia poza zakres (shift-out-of-bounds) w funkcji max3421_hub_control(). Niezaufany proces użytkownika może wysłać żądanie USBDEVFS_CONTROL z wartością wValue większą lub równą 32, co powoduje przesunięcie bitowe poza zakres i uszkodzenie port_status, w tym bitów niezmiennych. Poprawka odrzuca żądania z wartością przekraczającą szerokość przesunięcia.

W jądrze Linuxa w sterowniku gpib występuje podwójne zmniejszenie licznika descriptor_busy w funkcji command_ioctl(). Ścieżka błędu wewnątrz pętli zmniejsza licznik i przerywa, ale potem następuje bezwarunkowe zmniejszenie po pętli, co prowadzi do niedomiaru licznika. To ponownie umożliwia use-after-free, które pierwotna poprawka miała zapobiec. Poprawka usuwa wczesne zmniejszenie ze ścieżki błędu.

W jądrze Linuxa w sterowniku iio: magnetometer ak8975 występuje potencjalny wyciek pamięci stosu jądra. Jeśli funkcja i2c_smbus_read_i2c_block_data_or_emulated() zwróci mniej bajtów niż rozmiar bufora, niezainicjalizowane bajty pozostają w buforze i są przekazywane do buforów IIO, co może ujawnić pamięć jądra użytkownikowi. Poprawka dodaje sprawdzenie, czy zwracana wartość jest równa rozmiarowi bufora.

W jądrze Linuxa w sterowniku iio: adc xilinx-ams występuje podatność odczytu poza zakresem w funkcji ams_event_to_channel(). Funkcja może zwrócić wskaźnik poza koniec tablicy dev->channels, gdy nie zostanie znaleziony pasujący scan_index, co prowadzi do nieprawidłowego dostępu do pamięci w ams_handle_event(). Poprawka dodaje sprawdzenie granic i zwraca NULL, gdy kanał nie zostanie znaleziony.

W jądrze Linuxa w sterowniku iio: accel mma8452 występuje problem z obsługą błędów odczytu I2C w funkcji mma8452_read(). Jeśli odczyt I2C się nie powiedzie, ale funkcja mma8452_set_runtime_pm_state() zakończy się sukcesem, funkcja zwraca 0, co powoduje, że wywołujący używa niezainicjalizowanej pamięci stosu. Poprawka dodaje sprawdzenie wartości zwracanej i propaguje błędy do wywołującego.

W jądrze Linuxa w systemie plików NTFS3 występuje podatność odczytu poza zakresem w funkcji run_get_highest_vcn(). Funkcja analizuje bufor mapowania par bez ograniczenia długości, polegając tylko na terminatorze 0x00. Specjalnie spreparowany rekord $LogFile UpdateMappingPairs może spowodować odczyt poza przydzieloną pamięcią, wywołując błąd KASAN podczas montowania. Poprawka dodaje parametr run_buf_size i odrzuca nagłówki, których dane wykraczają poza bufor.

W jądrze Linux w funkcji dma_release_channel() występuje podatność na użycie po zwolnieniu (use-after-free). Sprawdzenie licznika privatecnt odbywa się po wywołaniu dma_chan_put(), które może zwolnić ostatnie odniesienie do urządzenia, jeśli dostawca DMA już nie istnieje, prowadząc do zwolnienia pamięci. Poprawka przenosi wywołanie dma_chan_put() przed sprawdzenie.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z niepełnym zwolnieniem struktury axi_dmac_desc. W ścieżce błędu po wywołaniu axi_dmac_alloc_desc() w axi_dmac_prep_peripheral_dma_vec() nie jest używana funkcja axi_dmac_free_desc(), co prowadzi do wycieku pamięci lub niepełnego zwolnienia.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z zarządzaniem deskryptorami DMA. Użycie dma_alloc_coherent() może powodować remapowanie pamięci (vmalloc) na architekturach takich jak Microblaze lub arm64, co prowadzi do BUG() podczas wywołania dma_free_coherent() z kontekstu softirq. Poprawka wykorzystuje pulę DMA do zarządzania deskryptorami, unikając bezpośredniego wywołania dma_free_coherent() w kontekście przerwania.

W jądrze Linux w systemie plików NTFS3 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej lcn. Gdy poszukiwany VCN nie zostanie znaleziony w runs[0], funkcja run_lookup() zwraca false, co prowadzi do przedwczesnego wyjścia z attr_data_get_block_locked() bez inicjalizacji lcn, wywołując błąd KMSAN. Poprawka przenosi sprawdzenie clen przed sprawdzenie lcn w ni_seek_data_or_hole().

W jądrze Linux w systemie plików NTFS3 (fs/ntfs3) występuje podatność polegająca na przepełnieniu bufora. Podczas montowania brudnego woluminu NTFS, funkcja log_replay() alokuje bufor one_page_buf o rozmiarze strony hosta, a następnie, gdy odnajdzie obszar restartu, może przyjąć większy rozmiar strony z dysku. Jeśli rozmiar strony na dysku jest większy niż początkowo zaalokowany, bufor pozostaje za mały, a późniejszy odczyt log->page_size bajtów do tego bufora powoduje przepełnienie.

W jądrze Linuxa w podsystemie xprtrdma wykryto podatność polegającą na braku równowagi w liczniku referencji (kref) podczas obsługi zdarzenia ADDR_CHANGE. Gdy zdarzenie to pojawi się przed ESTABLISHED, wywoływane jest ep_put bez odpowiadającego ep_get, co prowadzi do niedomiaru licznika i użycia zwolnionej pamięci (use-after-free) podczas rozłączania.

W jądrze Linux w module xprtrdma występuje podatność na wyścig (race condition) podczas inicjalizacji re_id. rpcrdma_create_id() rejestruje ep->re_rn zanim rpcrdma_ep_create() przypisze ep->re_id, co pozwala lokalnemu administratorowi na wywołanie usunięcia urządzenia RDMA w tym oknie, prowadząc do wyłuskania NULL w trace_xprtrdma_device_removal(). Poprawka przypisuje re_id przed publikacją re_rn.

W jądrze Linux w module xprtrdma występuje podatność polegająca na ignorowaniu wyniku funkcji frwr_wp_create() podczas nawiązywania połączenia. Jeśli funkcja zawiedzie, ep->re_write_pad_mr pozostaje NULL, a połączenie jest nadal uznawane za udane, co prowadzi do wyłuskania NULL podczas kodowania listy zapisu. Poprawka sprawdza wartość zwracaną i kończy połączenie z błędem -ENOTCONN.

W jądrze Linux w podsystemie xprtrdma stwierdzono podatność polegającą na braku ograniczenia wartości kredytu odpowiedzi (credit grant) przed jej użyciem. Złośliwy peer może wysłać odpowiedź z nieznanym XID i zawyżonym kredytem, co prowadzi do nadmiernej alokacji i wysyłania Receive WR, przekraczając limit re_max_requests.

W jądrze Linux w podsystemie xprtrdma wykryto podatność, która pozwala zdalnemu przeciwnikowi na wyczerpanie kolejki odebranych pakietów (Receive queue) klienta poprzez wysyłanie ciągłego strumienia nieprawidłowych odpowiedzi (zbyt krótkich lub z nieznaną wersją RPC/RDMA). Każda taka odpowiedź zużywa jeden wpis w kolejce bez jego uzupełnienia, co po opróżnieniu kolejki prowadzi do zatrzymania transportu do czasu ponownego połączenia.

W jądrze Linux w module AppArmor występuje wyścig w mediacji gniazd unixowych, gdy używana jest ścieżka peer_path. Dostęp do ścieżki poza blokadą stanu pozwala na wyścig z funkcją unix_release_sock(), co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w module AppArmor występuje wyciek referencji podczas aktualizacji sk_ctx. Funkcja update_sk_ctx() przenosi referencję plabel, ale wywołujący zawsze ją zwalnia, co prowadzi do podwójnego zwolnienia lub wycieku referencji.

W jądrze Linux w module AppArmor występuje podatność polegająca na sprawdzeniu etykiety przed testem no_new_privs. Funkcja aa_change_profile() buduje etykietę zastępczą, która może zwrócić NULL lub ERR_PTR, ale wynik jest przekazywany do aa_label_is_unconfined_subset() przed sprawdzeniem IS_ERR_OR_NULL(), co może prowadzić do dereferencji nieprawidłowej etykiety.

W jądrze Linux w module AppArmor występuje wyciek zasobów w funkcji aa_label_alloc(). Funkcja alokuje secid przed alokacją lub przejęciem proxy etykiety. Jeśli późniejszy krok proxy zawiedzie, ścieżka błędu zwalnia tylko pamięć etykiety, nie zwalniając zasobów zainicjowanych przez aa_label_init().

W jądrze Linux w module AppArmor występuje podatność polegająca na dereferencji wskaźnika NULL w funkcji unpack_pdb. Jeśli funkcja unpack_dfa zawiedzie, pdb->dfa może być NULL, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w module AppArmor występuje podatność polegająca na nieprawidłowej obsłudze błędu alokacji tabeli ACCEPT2 w funkcji unpack_pdb. Jeśli alokacja zawiedzie, funkcja ustawia komunikat błędu, ale przechodzi do ścieżki sukcesu, zwracając policydb bez wymaganej tabeli.