Podatności Linux kernel

W jądrze Linux w module AppArmor funkcja get_current_exe_path() przecieka referencje do pliku exe i ścieżki, gdy aa_path_name() zwróci błąd. Poprawka kieruje obsługę błędu przez wspólną ścieżkę czyszczenia, aby zawsze zwalniać zasoby.

W jądrze Linux w module AppArmor wykryto błąd polegający na przekazaniu niezainicjalizowanego wskaźnika do funkcji audit_log_untrustedstring(). Błąd został wprowadzony przez commit 4a134723f9f1 i może prowadzić do błędu strony (page fault) podczas operacji na plikach, gdy ścieżka została zastąpiona przez aa_null.dentry. Problem zaobserwowano na jądrze 7.0.2 openSUSE Tumbleweed.

W jądrze Linux w sterowniku MIPI I3C HCI występuje wyścig w funkcji i3c_hci_addr_to_dev(), która przeszukuje listę urządzeń I3C bez odpowiedniego blokowania. Poprawka wprowadza dedykowaną tablicę lookupową i synchronizację przez hci->lock.

W jądrze Linux w mechanizmie regcache, gdy funkcja populate() zwróci błąd, a operacje cache zawierają callback exit(), kod błędu jest nadpisywany wartością zwracaną przez exit(). To ukrywa błąd przed wywołującym regcache_init() i może prowadzić do dereferencji pustego wskaźnika.

W jądrze Linux w sterowniku i915 (drm) funkcja intel_crtc_put_color_blobs() zwalnia referencje do blobów kolorów CRTC, ale nie czyści wskaźników. Może to prowadzić do podwójnego zwolnienia przy ponownym czyszczeniu stanu CRTC.

W jądrze Linux w module xfrm funkcja xfrm_selector_match() może wykonać przesunięcie poza zakres (shift-out-of-bounds) dla selektora AF_UNSPEC z dużym prefixlen. Poprawka dodaje walidację rodzin i długości prefiksów.

W jądrze Linux w sterowniku amdkfd (drm) funkcja kfd_criu_resume_svm() nie usuwa elementów z listy przed zwolnieniem pamięci, co prowadzi do użycia po zwolnieniu i podwójnego zwolnienia. Poprawka dodaje list_del() przed kfree().

W jądrze Linux w sterowniku octeontx2-pf funkcja otx2_free_sq_res() nie zwalnia bufora znaczników czasowych SQ (sq->timestamps), co prowadzi do wycieku pamięci podczas wyłączania interfejsu lub usuwania urządzenia.

W jądrze Linux w module SCTP_DIAG podczas zrzutu endpointów nie jest utrzymywany zamek gniazda, co prowadzi do wyścigu i potencjalnego wycieku niezainicjalizowanej pamięci do przestrzeni użytkownika. Poprawka dodaje odpowiednie blokowanie i serializację.

W jądrze Linux w sterowniku ALSA USB-audio dla platform Qualcomm występuje podatność polegająca na braku walidacji indeksu interfejsu w ścieżce wyłączania strumienia. Żądanie wyłączenia z nieprawidłowym interfejsem może prowadzić do dereferencji wskaźnika NULL lub odczytu/zapisu poza pamięcią, co może spowodować awarię systemu lub uszkodzenie pamięci.

W jądrze Linux w sterowniku ALSA USB-audio dla platform Qualcomm występuje podatność polegająca na nieczyszczeniu flagi 'opened' w przypadku niepowodzenia włączenia strumienia. Gdy walidacja interwału usługi nie powiedzie się, sub-stream pozostaje w stanie zablokowanym, co uniemożliwia jego ponowne użycie.

W jądrze Linuxa wykryto podatność w mechanizmie flow_dissector, który bezwarunkowo odczytuje adresy Ethernet (ETH_ADDRS) z nagłówka pakietu, nawet gdy urządzenie nie ma nagłówka warstwy łącza (np. TUN w trybie L3). Prowadzi to do odczytu niezainicjalizowanej pamięci skb, która może być użyta jako klucz w tabeli rhashtable, co może skutkować nieprzewidywalnym dopasowaniem filtrów TC. Problem został naprawiony przez sprawdzenie typu urządzenia (ARPHRD_ETHER) oraz czy nagłówek MAC został ustawiony.

W jądrze Linux wykryto podatność w sterowniku ALSA USB-audio dotyczącą MIDI 2.0. Podczas błędu konfiguracji, URB (żądania USB) wejściowe MIDI 2.0 nie są zatrzymywane przed zwolnieniem pamięci punktów końcowych, co prowadzi do użycia po zwolnieniu (use-after-free) w funkcji input_urb_complete(). Problem został zaobserwowany jako błąd KASAN.

W jądrze Linux wykryto podatność powodującą wyciek niezainicjalizowanych danych ze stosu do przestrzeni użytkownika w funkcji dgram_recvmsg() dla protokołu IEEE 802.15.4. Problem wynika z niezerowania pola pan_id w strukturze adresu, gdy tryb adresowania to IEEE802154_ADDR_NONE, co prowadzi do ujawnienia zawartości stosu jądra.

W jądrze Linux w module md/raid1 występuje podatność polegająca na wycieku referencji writes_pending i bariery w przypadku niepowodzenia zapisu. Niektóre ścieżki błędów w raid1_write_request() kończą bio bez wywołania md_write_end(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid10 występuje podatność polegająca na wycieku referencji writes_pending w przypadku niepowodzenia żądania zapisu. Niektóre ścieżki błędów w raid10_write_request() kończą bio bez wywołania md_write_end(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid10 występuje podatność polegająca na wycieku referencji writes_pending i bariery w przypadku niepowodzenia operacji discard. Niektóre ścieżki błędów w raid10_handle_discard() kończą bio bez wywołania md_write_end() lub allow_barrier(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid1 występuje podatność polegająca na wycieku struktury r1_bio w przypadku, gdy odczyt z flagą REQ_NOWAIT napotka blokadę podczas ponownej próby. Gdy wait_read_barrier() nie powiedzie się, bio jest kończone, ale wcześniej przydzielony r1_bio nie jest zwalniany.

W jądrze Linux w module netfilter/ipset podczas obsługi rozszerzenia komentarza wywołano kfree_rcu() przed rcu_assign_pointer(), co jest nieprawidłową kolejnością. Poprawiono kolejność, aby rcu_assign_pointer() było wywoływane jako pierwsze.

W jądrze Linux w module netfilter/ipset podczas niszczenia zbioru wywoływano cancel_delayed_work_sync(), podczas gdy gc nieprzerwanie wywołuje queue_delayed_work(), co może uniemożliwić prawidłowe zatrzymanie gc. Poprawiono to.

W jądrze Linux w module nft_meta_bridge występuje wyciek danych ze stosu w NFT_META_BRI_IIFPVID. Poprawka wymaga sprawdzenia niezerowej wartości zwracanej.

W jądrze Linux w sterowniku tpm_crb brakowało sprawdzenia ACPI_COMPANION() przeciwko NULL podczas inicjalizacji. Dodano to sprawdzenie, aby zapobiec problemom, gdy urządzenie nie ma towarzyszącego obiektu ACPI.

W jądrze Linux w mechanizmie alloc_tag występuje use-after-free w /proc/allocinfo po wyładowaniu modułu. Iterator nie jest poprawnie reinitializowany, co prowadzi do odwołań do zwolnionej pamięci modułu.

W jądrze Linux w module net/sched: act_ct występuje wyciek nf_connlabels na dwóch ścieżkach błędów. Funkcja tcf_ct_fill_params() wywołuje nf_connlabels_get(), ale dwa późniejsze miejsca błędów używają zwykłego return zamiast goto err, pomijając oczyszczanie nf_connlabels_put().

W jądrze Linux w BPF występuje błąd indeksu slotu stosu w kontrolach nospec. check_stack_write_fixed_off() oblicza slot bajtowy jako -off - 1, ale pre-check sanitizacji Spectre v4 używa slot_type[i] zamiast tego, co może prowadzić do pominięcia sanitizacji dla niektórych zapisów.

W jądrze Linux w BPF występuje błąd indeksu efektywnej tablicy programów z flagą BPF_F_PREORDER. replace_effective_prog() i purge_effective_progs() lokalizowały slot w tablicy efektywnej poprzez liniowe zliczanie wpisów na liście hlist, co nie zgadza się z układem tablicy, gdy obecny jest program preorder.

W jądrze Linuxa w mechanizmie BPF podczas czyszczenia martwych slotów stosu w połowach 4-bajtowych, gdy górna połowa slotu typu STACK_SPILL jest martwa, a dolna pozostaje żywa, konwersja dolnej połowy do STACK_MISC lub STACK_ZERO czyści metadane spilled_ptr. Jest to bezpieczne tylko dla skalarnych spillów, ale dla spillów wskaźnikowych umożliwia późniejszy 32-bitowy odczyt z żywej połowy, który omija normalną kontrolę i jest traktowany jako zwykły odczyt skalarny. Poprawka pozostawia nie-skalarne sloty spill w tym stanie, co jest konserwatywne dla przycinania i zachowuje istniejącą ścieżkę odrzucania częściowych odczytów ze spillów wskaźnikowych.

W jądrze Linuxa w sterowniku ice występuje wyciek zasobów CTRL VSI podczas resetowania wszystkich VF (funkcji wirtualnych) z włączonymi filtrami FDIR. Funkcja ice_reset_all_vfs() tylko unieważnia CTRL VSI, ale ich nie zwalnia, co prowadzi do wycieku zasobów. Poprawka polega na użyciu ice_vf_ctrl_vsi_release() zamiast ice_vf_ctrl_invalidate_vsi(), co jest zgodne z zachowaniem funkcji ice_reset_vf().

W jądrze Linuxa w sterowniku RTC msc313 występuje błąd prowadzący do wyłuskania pustego wskaźnika (NULL deref) w wspólnym handlerze przerwań podczas inicjalizacji. Funkcja msc313_rtc_probe() wywołuje devm_request_irq() z IRQF_SHARED i przekazuje &pdev->dev jako cookie, ale platform_set_drvdata() jest wywoływane dopiero później. Jeśli inne urządzenie na tej samej linii przerwań wywoła handler w tym oknie, handler wykonuje dev_get_drvdata() na cookie, otrzymuje NULL i dereferencjonuje priv->rtc_base w kontekście przerwania. Poprawka polega na przekazaniu priv jako cookie bezpośrednio, aby handler czytał go z dev_id bez wyszukiwania.

W jądrze Linuxa w mechanizmie BPF funkcje kfunc do wyszukiwania i alokacji conntrack przyjmują wskaźnik opts oraz argument opts__sz. Weryfikator sprawdza tylko zakres pamięci opisany przez opts__sz, ale wrappery bezwarunkowo zapisują opts->error, gdy wewnętrzna funkcja zwróci błąd. Dla nieprawidłowego rozmiaru mniejszego niż koniec pola opts->error, zapis może trafić poza sprawdzany zakres. Poprawka polega na tym, aby nadal zwracać NULL dla nieprawidłowych argumentów, ale raportować błąd przez opts->error tylko wtedy, gdy podany rozmiar obejmuje to pole.

W jądrze Linux wykryto wyścig (race condition) w podsystemie md/raid5 podczas przerywania partii stripe'ów. Problem dotyczy operacji na flagach R5_Overlap, co może prowadzić do zawieszenia procesu (wait_on_bit) w wyniku utraty wybudzenia (wake_up). Poprawka rozszerza strefę chronioną i zmienia kolejność operacji na wskaźniku batch_head, aby zapobiec równoczesnemu dostępowi.

W jądrze Linux wykryto podatność w module netfilter nf_nat, polegającą na użyciu nieprawidłowego wskaźnika nat_net po nieudanej inicjalizacji nf_nat_init(). Problem prowadzi do odczytu poza zakresem pamięci (slab-out-of-bounds), co może zostać wykorzystane przez lokalnego użytkownika do wywołania awarii systemu lub potencjalnie eskalacji uprawnień.

W jądrze Linuxa wykryto podatność w module netfilter (nf_conncount), która powoduje błędne odrzucanie pakietów dla prawidłowych połączeń przy użyciu connlimit w trybie miękkiego limitowania. Problem pojawia się, gdy nowe połączenie ponownie wykorzystuje gniazdo w stanie TIME_WAIT — wpis śledzenia połączenia jest błędnie traktowany jako potwierdzony, co prowadzi do wyzerowania licznika aktywnych połączeń i fałszywego odrzucenia ruchu. Poprawka zastępuje sprawdzenie interfejsu pętli zwrotnej kontrolą stanu połączenia (IPS_ASSURED), co pozwala poprawnie zliczać pakiety konfiguracyjne wczesnych połączeń.

W jądrze Linux w warstwie nft_compat brakuje odrzucania celów nieprzeznaczonych dla mostów w emulacji ebtables. Cele xtables zwracają werdykty niezgodne z ebtables, co może prowadzić do nieprawidłowego działania.

W jądrze Linux w funkcji ge_put_enum_double() w ASoC SDCA brakuje walidacji wartości indeksu przed użyciem. Może to prowadzić do odczytu poza zakresem bufora wartości.

W jądrze Linux w sterowniku DSA sja1105 czas trwania pinu PTP jest zaokrąglany w górę do co najmniej 1 ticka, aby uniknąć dzielenia przez zero w future_base_time().

W jądrze Linux w protokole SCTP występują wycieki pamięci err_chunk w obsłudze INIT. W kilku ścieżkach kodu alokowany chunk nie jest zwalniany, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku DSA mxl862xx występuje użycie po zwolnieniu (use-after-free) portów DSA w funkcji crc_err_work. Praca może zostać wykonana po zwolnieniu portów, co prowadzi do odwołania do zwolnionej pamięci.

W jądrze Linux w podsystemie octeontx2-af naprawiono błędny warunek sprawdzający, czy jakiekolwiek LFs (Logical Functions) zostały przypisane do PF/VF. Poprawka dotyczy walidacji maksymalnej liczby LFs ustawianej przez polecenie devlink.

W jądrze Linuxa w sterowniku mvneta (Marvell Armada 370/XP/38x) występuje podatność powodująca trwałe zablokowanie przerwań per-CPU po wznowieniu z zawieszenia. Jeśli zawieszenie nastąpi w trakcie oczekiwania na zakończenie NAPI, przerwanie nie zostanie ponownie włączone, co prowadzi do całkowitej utraty łączności sieciowej.

W jądrze Linux w podsystemie sungem naprawiono podwójne zwalnianie zasobów podczas obsługi błędu w funkcji gem_init_one(). Wcześniej, gdy register_netdev() zawodził, wywoływano gem_remove_one(), a następnie ponownie zwalniano te same zasoby, co prowadziło do podwójnego zwolnienia.

W jądrze Linux w podsystemie udp_tunnel naprawiono podatność polegającą na podwójnym kolejkowaniu pracy w funkcji udp_tunnel_nic_device_sync, co prowadziło do użycia po zwolnieniu (use-after-free). Poprawka polega na wczesnym powrocie, jeśli flaga work_pending jest już ustawiona.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w mechanizmie TIPC UDP media bearer. Funkcja cleanup_bearer() niszczy pamięć podręczną dst_cache przed synchronizacją z czytelnikami RCU, co może prowadzić do awarii systemu lub ostrzeżeń rcuref. Dodatkowo, zwolnienie struktury ub po synchronize_net() bez wcześniejszego zamknięcia gniazda pozostawia okno na UAF dla współbieżnych odbiorców.

W jądrze Linux w podsystemie ALSA FCP naprawiono podatność polegającą na odwołaniu do pustego wskaźnika podczas wyszukiwania interfejsu. Złośliwe urządzenie USB może dostarczyć interfejs bez deskryptorów punktów końcowych, co prowadzi do naruszenia bezpieczeństwa pamięci.

W jądrze Linux w podsystemie BPF naprawiono podatność polegającą na tym, że dzienniki weryfikatora BPF nie maskowały wartości wskaźników dla niektórych typów pseudo-źródeł, co mogło ujawniać adresy jądra. Poprawka rozszerza maskowanie na wszystkie typy pseudo.

W jądrze Linux w podsystemie BPF naprawiono wyciek pamięci w ścieżce obsługi błędów weryfikatora. Gdy alokacja env->succ zawodzi, pomijane jest zwalnianie env->insn_aux_data, co prowadzi do wycieku pamięci. Poprawka przenosi zwalnianie do etykiety err_free_env.

W jądrze Linux w funkcji seg6_validate_srh() brakuje sprawdzenia minimalnej długości nagłówka SRH przed odczytem pól stałych. Ścieżka BPF SEG6 encap może przekazać zbyt krótki bufor, co prowadzi do odczytu poza granicami.

W jądrze Linux w podsystemie hwmon (pmbus/core) funkcja pmbus_data2reg_vid() zawsze używa kodowania VR11, ignorując skonfigurowany vrm_version. Może to prowadzić do wysyłania błędnych kodów do PMBUS_VOUT_COMMAND, co skutkuje nieprawidłowym napięciem.

W jądrze Linux w sterowniku hwmon adm1275, funkcja i2c_smbus_read_block_data() czyta do 32 bajtów do niezainicjalizowanej tablicy stack bez dodawania terminatora null. Porównanie strncasecmp() może czytać poza zwróconą długością, co prowadzi do odczytu niezainicjalizowanej pamięci stosu.

W jądrze Linux w podsystemie hwmon (pmbus) zdarzenia regulatora są przekazywane do rdzenia regulatora jako połączona maska bitowa. Jeśli wystąpi wiele różnych zdarzeń, maska nie pasuje do żadnego przypadku w regulator_handle_critical(), co pomija wyzwolenie krytycznej ochrony sprzętowej.