Podatności Linux kernel

W jądrze Linux w sterowniku hwmon aspeed-g6-pwm-tach, funkcja aspeed_tach_val_to_rpm() nie sprawdza, czy wartość tachometru jest zerowa przed dzieleniem. Może to prowadzić do dzielenia przez zero i paniki jądra.

W jądrze Linux w IPv6 fib6, podczas wieloczęściowego zrzutu (dump) funkcja inet6_dump_fib() zapisuje pozycję jako indeks w bieżącym łańcuchu hash. Współbieżne wstawienie nowej tabeli może przesunąć wpisy, co prowadzi do błędnego wskaźnika i dereferencji NULL w fib6_walk_continue(), powodując panikę jądra.

W jądrze Linux w sterowniku sfp, funkcja sfp_i2c_mdiobus_destroy() nie zwalnia alokacji mii_bus, co prowadzi do wycieku pamięci przy usuwaniu modułu SFP.

W jądrze Linuxa wykryto podatność w module net/sched sch_teql, polegającą na braku synchronizacji dostępu do listy slaves w teql master. Umożliwia to wyścig (race condition) i użycie po zwolnieniu (UAF) podczas równoczesnych operacji na kolejce, co może prowadzić do naruszenia integralności pamięci.

W jądrze Linux wykryto podatność use-after-free w podsystemie mostków sieciowych (bridge) związaną z protokołem STP. Brak sprawdzenia flagi IFF_UP w funkcji br_topology_change_detection() pozwala na uzbrojenie timera zmiany topologii, gdy most jest administracyjnie wyłączony, co prowadzi do użycia po zwolnieniu pamięci podczas usuwania mostu.

W jądrze Linux w sterowniku graficznym Panthor (drm/panthor) stwierdzono problem z blokowaniem (lock) związanym z obiektami dma_fence. Ponieważ obiekty te mogą być współdzielone z innymi podsystemami i dostępne z kontekstu przerwań sprzętowych, konieczne jest używanie wariantu bezpiecznego dla przerwań (IRQ-safe) przy przejmowaniu blokady.

W jądrze Linux w sterowniku Panthor (drm/panthor) wykryto potencjalne wyłuskanie nieprawidłowego wskaźnika w funkcji group_process_tiler_oom(). Jeśli zmienna heaps jest wskaźnikiem błędu (ERR_PTR), wywołanie panthor_heap_pool_put() może wyłuskać nieprawidłowy adres.

W jądrze Linux w sterowniku Panthor (drm/panthor) wykryto wyciek pamięci (leak) w sytuacji, gdy grupa jest usuwana przed obsłużeniem tiler OOM. Odniesienie do grupy jest powiązane z oczekującą pracą tiler_oom_work, więc należy je zwolnić, jeśli anulowanie było skuteczne.

W jądrze Linux w mechanizmie fprobe (tracing/fprobe) wykryto podatność na wyłuskanie wskaźnika NULL w funkcji fprobe_fgraph_entry(). Podczas dwóch przebiegów listy fprobe (jeden do obliczenia rozmiaru, drugi do wypełnienia) może pojawić się nowy fprobe, co prowadzi do zapisu poza zarezerwowaną pamięcią i awarii.

W jądrze Linux w sterowniku irqchip/ts4800 wykryto brak czyszczenia łańcuchowego handlera przerwań podczas usuwania sterownika. Po usunięciu sterownika pozostaje wiszący handler, który może być wywołany po wystąpieniu przerwania, prowadząc do dostępu do zwolnionej pamięci i awarii systemu.

W jądrze Linux w podsystemie SCTP wykryto wyścig (race) w funkcji sctp_free_addr_wq() dotyczący timera addr_wq_timer. Użycie timer_delete() nie gwarantuje zakończenia aktualnie działającego handlera timera, co może prowadzić do użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux w serwerze ksmbd wykryto podatność polegającą na niedostatecznym sprawdzaniu rozmiaru DACL przed parsowaniem wpisów ACE. Ze względu na niedomiar (underflow) w obliczeniach, złośliwy klient może ominąć ograniczenie liczby ACE i spowodować nadmierne alokacje pamięci.

W jądrze Linux w sterowniku xen/pvcalls brakuje walidacji identyfikatora żądania (req_id) pochodzącego od backendu przed użyciem go jako indeksu tablicy rsp[]. Złośliwy lub błędny backend może ustawić req_id poza zakresem, co prowadzi do zapisu poza pamięcią. Dodatkowo typ int dla req_id nie obejmuje wartości u32, co umożliwia indeksowanie ujemne.

W jądrze Linux funkcja vfs_tmpfile() nie sprawdza, czy identyfikatory fsuid i fsgid wywołującego są odwzorowane w systemie plików. Na zamontowanym systemie z mapowaniem ID (idmapped mount), które nie obejmuje wywołującego, nowy plik tymczasowy (O_TMPFILE) jest tworzony z właścicielem (uid_t)-1, co jest nieprawidłowe. Inne ścieżki tworzenia plików już to sprawdzają.

W jądrze Linux w funkcji afs_extract_vl_addrs() kody błędów są ustawiane tylko w pierwszej iteracji pętli. W kolejnych iteracjach nie są aktualizowane, co może prowadzić do błędnego raportowania błędów.

W jądrze Linux w systemie plików AFS flaga AS_RELEASE_ALWAYS jest ustawiana dla dowiązań symbolicznych i punktów montowania, które używają afs_dir_aops bez funkcji release_folio. Powoduje to wywołanie try_to_free_buffers() z pustymi buforami, co prowadzi do dereferencji wskaźnika.

W jądrze Linux w systemie plików AFS licznik net->cells_outstanding jest zwiększany przed sprawdzeniem błędu funkcji idr_alloc_cyclic(). W przypadku błędu licznik pozostaje zwiększony, co prowadzi do nieprawidłowego stanu.

W jądrze Linux w systemie plików AFS inicjalizacja work_struct lock_work tylko raz w funkcji init obiektu slab jest niewystarczająca. Powoduje to ostrzeżenia DEBUG_OBJECTS i potencjalne problemy przy ponownym użyciu. Poprawka wymaga ponownej inicjalizacji po alokacji inode oraz flush przed zwolnieniem.

W jądrze Linux w systemie plików AFS parsery wiadomości usługi callback nie przekazują poprawnie kodu -EAGAIN. Funkcja afs_extract_data() zwraca -EAGAIN, ale jest on niepoprawnie zamieniany na 0, co może prowadzić do błędnego przetwarzania.

W jądrze Linux w systemie plików AFS funkcja afs_break_some_callbacks() nie sprawdza, czy afs_lookup_volume_rcu() zwróciła NULL (np. gdy wolumin jest nieznany). Może to prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux w systemie plików AFS brakuje blokad wokół modyfikacji net->cells_dyn_ino. Poprawka wymaga użycia wyłącznej blokady net->cells_lock oraz przeniesienia usuwania komórki z net->cells_dyn_ino do afs_destroy_cell_work(), ponieważ afs_cell_destroy() działa w kontekście RCU.

W jądrze Linux w systemie plików AFS funkcja afs_insert_volume_into_cell() ustawia flagę AFS_VOLUME_RM_TREE na nowym woluminie zamiast na zastępowanym. Powoduje to podwójne usunięcie starego woluminu z drzewa i brak usunięcia nowego.

W jądrze Linux w funkcji iomap podczas operacji atomowego zapisu bezpośredniego, gdy funkcja bio_iov_iter_get_pages() lub pomocnicza funkcja bounce zbuduje krótki bio, sprawdzenie rozmiaru REQ_ATOMIC odrzuca go przed wysłaniem. Stary kod błędu tylko zwalniał referencję do bio, pozostawiając strony już do niego dołączone niezwolnione. Poprawka zwalnia lub odbija strony przed przejściem do ścieżki out_put_bio.

W jądrze Linux w systemie plików Minix funkcja minix_check_superblock() używa minix_blocks_needed() do weryfikacji liczby bloków bitmap. Obliczenia wykonywane są w arytmetyce unsigned int, co może spowodować przepełnienie, gdy s_ninodes lub s_zones jest bliskie UINT_MAX. Prowadzi to do zaakceptowania zerowej liczby bloków bitmap, a następnie do dereferencji s_imap[0] lub s_zmap[0] w minix_fill_super(), co powoduje panikę jądra.

W jądrze Linux w module cachefiles, w ścieżce błędu nomem_d_alloc w funkcji cachefiles_get_directory(), występuje podwójne zwolnienie blokady (double unlock). Funkcja start_creating() w przypadku błędu -ENOMEM już zwalnia blokadę rodzica, a ścieżka błędu wywołuje inode_unlock() ponownie, co psuje stan rwsem.

W jądrze Linux w funkcji iomap, podczas przycinania rozmiaru io_size do granicy EOF, może wystąpić niedomiar (underflow) w obliczeniach, gdy end_pos jest mniejsze niż ioend->io_offset. Powoduje to zawinięcie wartości io_size do ogromnej liczby, co może prowadzić do błędów w obsłudze zapisu i uszkodzenia danych.

W jądrze Linux w module netfs, zapis writethrough nie ustawiał flagi NETFS_RREQ_OFFLOAD_COLLECTION na żądaniu, co powodowało, że kolekcja była przetwarzana tylko na końcu, a asynchroniczne zapisy O_SYNC mogły nie być w ogóle kolekcjonowane. Poprawka ustawia tę flagę.

W jądrze Linux w module netfs, obsługa błędów w pętli writeback_iter() jest niepoprawna. W przypadku wystąpienia błędu, writeback_iter() musi być wywołane ponownie z ustawionym błędem, aby oczyścić stan iteracji, a bieżący folio musi być odblokowany i ponownie oznaczony jako brudny.

W jądrze Linux w module netfs, podczas iteracji zapisu zwrotnego, gdy wystąpi błąd ENOMEM, stan bieżącego folio jest niepoprawny. Folio musi być ponownie oznaczone jako brudne i odblokowane przed wywołaniem końcowego writeback_iter().

W jądrze Linux w sterowniku DRM xe, funkcja xe_pt_zap_ptes_entry() wywołuje container_of(*child) przed sprawdzeniem, czy wskaźnik child nie jest NULL, co prowadzi do dereferencji pustego wskaźnika i awarii. Poprawka przenosi wywołanie container_of() po sprawdzeniu NULL, aby funkcja zwracała wcześnie zamiast kontynuować z nieprawidłowym wskaźnikiem.

W jądrze Linux w sterowniku DRM xe, w ścieżce błędu w hw_engine_init() występuje podwójne zwolnienie obiektu BO zarządzanego przez devm. Obiekt BO utworzony przez xe_managed_bo_create_pin_map() ma zarejestrowaną akcję czyszczącą devm, a jawna funkcja xe_bo_unpin_map_no_vm() powoduje podwójne zwolnienie podczas wycofywania devm. Poprawka usuwa jawne zwolnienie.

W jądrze Linux w sterowniku drm/xe/pf stwierdzono, że przetwarzanie komunikatów FAST_REQ lub EVENT przez PF (Physical Function) może naruszyć protokół VF/PF ABI i wywołać asercję po stronie PF. Poprawka polega na tym, aby PF nie obsługiwał tych typów komunikatów.

W jądrze Linux w sterowniku drm/xe występuje podatność na dereferencję wskaźnika NULL w funkcji bo_meminfo(). Gdy obiekt bufora (BO) jest purgowany, jego zasób ttm.resource jest ustawiany na NULL, ale obiekt pozostaje na liście klienta. Zapytanie o statystyki pamięci w tym czasie prowadzi do odwołania do NULL.

W jądrze Linux w sterowniku drm/xe/pt występuje problem z nieprawidłowym dostępem do kursora dla purgowanych obiektów BO. Funkcje xe_pt_hugepte_possible() i xe_pt_scan_64K() nie sprawdzały, czy BO jest purgowany, co prowadziło do ostrzeżeń i potencjalnie nieprawidłowego działania.

W jądrze Linux w mechanizmie uprobes dla architektury x86 występuje błąd polegający na użyciu niewłaściwego mm_struct w funkcji __in_uprobe_trampoline. W ścieżce wyrejestrowania używano current->mm zamiast mm_struct procesu śledzonego, co jest nieprawidłowe w kontekście tracera.

W jądrze Linux w module cifs występuje brak zwolnienia kredytów (credits) w ścieżce błędu w funkcji cifs_issue_read(). Może to prowadzić do nadpisania wartości kredytów podczas ponawiania podżądania, co zakłóca zarządzanie zasobami.

W jądrze Linux w systemie plików NTFS wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w funkcji zapisu bloków $MFT. Problem wynika z odwoływania się do wskaźnika elementu listy przebiegów (runlist) po zwolnieniu blokady, podczas gdy równoczesne rozszerzanie alokacji $MFT może zwolnić pamięć tej listy. Może to prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W jądrze Linux w systemie plików NTFS wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w funkcji ntfs_attr_fallocate(). Problem wynika z odwoływania się do wskaźnika elementu listy runlist po zwolnieniu blokady, co może prowadzić do dostępu do zwolnionej pamięci. Atakujący może wykorzystać tę wadę do wywołania awarii systemu lub potencjalnie do eskalacji uprawnień.

W jądrze Linux w module HID-BPF występuje podatność w funkcji hid_bpf_get_data() polegająca na nieprawidłowym sprawdzeniu zakresu. Ze względu na operacje na liczbach bez znaku, bardzo duży rozmiar może spowodować zawinięcie sumy i ominięcie sprawdzenia, co pozwala na zwrócenie wskaźnika poza bufor.

W jądrze Linux w module netfilter xt_u32 brakuje walidacji liczników przesunięć bitowych dostarczanych przez reguły. Złośliwa reguła może podać wartość przesunięcia 32 lub większą, co prowadzi do niezdefiniowanego przesunięcia poza zakres podczas oceny pakietu. Dodano walidację operandów XT_U32_LEFTSH i XT_U32_RIGHTSH w funkcji u32_mt_checkentry(), aby odrzucać nieprawidłowe reguły przed ich użyciem.

W jądrze Linux w module netfilter xt_rateest występuje problem z obcinaniem wartości do 32 bitów w funkcji xt_rateest_mt(). Na łączach szybszych niż około 34 Gbps, gdzie szybkość bajtów może przekroczyć 2^32-1, porównanie staje się nieprawidłowe. Poprawka zmienia typ zmiennych lokalnych na u64.

W jądrze Linux w module netfilter xt_connmark (rewizja 2) brakuje walidacji parametrów przesunięcia. Wartość shift_bits równa 32 lub większa powoduje niezdefiniowane przesunięcie, a nieprawidłowe shift_dir są akceptowane i domyślnie traktowane jako przesunięcie w lewo. Poprawka odrzuca nieprawidłowe parametry w connmark_tg_check(), aby błędy były wykrywane podczas instalacji reguły.

W jądrze Linux w sterowniku platform/x86: bitland-mifs-wmi występuje problem z wyłuskaniem wskaźnika NULL podczas zawieszania i wznawiania systemu. Sterownik rejestruje dwa urządzenia WMI: kontrolne i zdarzeń. Podczas fazy probe, urządzenie zdarzeń kończy działanie wcześniej, pozostawiając data->pp_dev jako NULL. Operacje PM są wywoływane dla obu urządzeń, co prowadzi do wyłuskania NULL w funkcji bitland_mifs_wmi_suspend(). Poprawka dodaje sprawdzenie poprawności data->pp_dev w funkcjach suspend i resume.

W jądrze Linux w module net/mlx5 (LAG) występuje błąd off-by-one w funkcji mlx5_lag_create_single_fdb() podczas wycofywania zmian po błędzie. Pętla czyszcząca zaczyna się od indeksu i, co może operować na niezainicjalizowanym stanie lub podwójnie usuwać regułę. Poprawka zmienia początek pętli na i - 1, aby cofać tylko pomyślnie zainstalowane wpisy.

W jądrze Linux w sterowniku mlx5e (TC) występuje podatność powodująca awarię jądra (kernel crash) podczas usuwania przepływów peer w konfiguracji LAG. Problem pojawia się, gdy funkcja mlx5_lag_get_dev_seq() zwraca błąd, co prowadzi do nieprawidłowego dostępu do pamięci. Poprawka polega na pominięciu przetwarzania peer, gdy wyszukiwanie sekwencji LAG nie powiedzie się.

W sterowniku mlx5e dla kart sieciowych Mellanox wykryto podatność polegającą na alokacji bufora o zerowym rozmiarze dla statystyk HV VHCA. Bufor jest alokowany przed inicjalizacją kanałów, gdy liczba kanałów wynosi zero, co prowadzi do uzyskania wskaźnika ZERO_SIZE_PTR zamiast NULL. Po otwarciu kanałów i włączeniu raportowania przez hiperwizor, operacja memset na tym wskaźniku powoduje błąd strony (fault) pod adresem 0x10.

W sterowniku mlx5e dla kart sieciowych Mellanox wykryto wyścig (race condition) podczas rejestracji agenta statystyk HV VHCA. Asynchroniczna ścieżka kontrolna może zostać uruchomiona przed inicjalizacją struktury work i wskaźnika agenta, co prowadzi do wywołania wskaźnika NULL lub uszkodzenia struktury danych jądra.

W jądrze Linux wykryto podatność w sterownikach sieciowych Microchip (sparx5, lan969x) dotyczącą współdzielonego bloku Super VCAP. Instancje VCAP nie są niezależne, ale były blokowane osobno, co powodowało wyścigi podczas równoczesnego dostępu. Atakujący może wykorzystać debugfs do odczytu reguł poza rtnl, co prowadzi do uszkodzenia danych w sprzętowych wpisach.

W jądrze Linux w module net/sched: act_pedit występuje podatność typu TOCTOU prowadząca do zapisu poza zakresem na stercie (heap OOB write) podczas offloadu TC. Wyścig między pomiarem rozmiaru bufora flow_rule a jego wypełnieniem może pozwolić atakującemu z CAP_NET_ADMIN na zapis kontrolowanej treści poza przydzielony obszar pamięci.

W jądrze Linuxa wykryto podatność w module Bluetooth 6lowpan, gdzie funkcja lowpan_enable_set() planuje pracę na kolejce systemowej bez śledzenia jej, co pozwala na wyścig podczas wyłączania modułu. Praca może wykonać się po zamknięciu zasobów, prowadząc do użycia po zwolnieniu (use-after-free).