Podatności Linux kernel

W jądrze Linuxa wykryto podatność w module Bluetooth 6LoWPAN, polegającą na użyciu po zwolnieniu (use-after-free) obiektu L2CAP. Problem wynika z braku utrzymania referencji do połączenia L2CAP podczas operacji zapisu do debugfs, co umożliwia równoczesne zerwanie połączenia i dostęp do zwolnionej pamięci.

W jądrze Linux w podsystemie Bluetooth (MGMT) występuje podatność use-after-free podczas dodawania monitora reklam (adv monitor). Błąd w zarządzaniu własnością obiektu monitora między ścieżką dodawania MSFT a zakończeniem komendy zarządzania może prowadzić do użycia zwolnionej pamięci, co objawia się raportem KASAN.

W jądrze Linux w podsystemie Bluetooth ISO występuje podatność związana z nieprawidłowym obsługiwaniem pakietów ISO_END/CONT. Błędna obsługa może prowadzić do wycieku pamięci conn->rx_skb, paniki jądra na skb_put lub akceptacji zbyt krótkich pakietów ISO_END.

W jądrze Linuxa wykryto podatność w podsystemie Bluetooth L2CAP, powodującą wyciek identyfikatorów (ident) dla komend, które nie mają odpowiedzi. W szczególności pakiety L2CAP_LE_CREDITS wysyłane wielokrotnie wyczerpują zakres identyfikatorów 1-255, co prowadzi do wysyłania pakietów z nieprawidłowym identyfikatorem 0 i trwałego zablokowania kanału LE CoC.

W jądrze Linux w sterowniku accel/amdxdna występuje podatność prowadząca do zakleszczenia (deadlock) podczas wznawiania pracy po uśpieniu (PM resume) w funkcji hwctx_sync_debug_bo(). Funkcja wywołuje callback sprzętowy trzymając lock xdna->dev_lock, co może prowadzić do zakleszczenia, gdy urządzenie jest zawieszone.

W jądrze Linux w sterowniku accel/amdxdna występuje podatność typu use-after-free związana z wyścigiem w dostępie do VMA. Funkcje aie2_populate_range() i amdxdna_umap_release() uzyskują dostęp do zapisanego wskaźnika VMA, który mógł zostać już zwolniony, co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w module net/tls występuje problem w funkcji tls_sw_read_sock(), który powoduje zablokowanie kolejnych rekordów danych przez puste rekordy aplikacyjne TLS. Puste rekordy (dozwolone w TLS 1.3) nie są konsumowane, co prowadzi do nieskończonego zapętlenia i blokady połączenia.

W jądrze Linux w module accel/amdxdna występuje wyścig (race condition) w funkcji amdxdna_umap_release(), który może prowadzić do użycia po zwolnieniu (use-after-free) podczas równoległego wywoływania aie2_populate_range().

W jądrze Linux w sterowniku graficznym v3d występuje brak walidacji uchwytu bufora pośredniego w funkcji v3d_get_cpu_indirect_csd_params(), co może prowadzić do dereferencji wskaźnika NULL podczas wykonywania zadania CSD.

W jądrze Linux w module net/sched cake występuje problem z obsługą ujemnych wartości narzutu (overhead), które mogą powodować zawinięcie długości pakietu do dużej wartości, co zaburza rozliczanie przepustowości.

W jądrze Linux wykryto podatność w podsystemie perf dla procesorów AMD. Podczas przełączania trybu SVM (wirtualizacji) na procesorach z PerfMonV2, funkcja amd_pmu_enable_all() nieprawidłowo włącza funkcję Branch Sampling (BRS), nawet gdy jest ona niedostępna sprzętowo, co prowadzi do błędu #GP (General Protection Fault) i może spowodować awarię systemu.

W jądrze Linux w sterowniku GPIO mvebu występuje wyciek pamięci podczas odpinania (unbind) z powodu niezwolnienia generycznych chipów przez funkcję mvebu_gpio_remove_irq_domain().

W jądrze Linux w module IPv4 IGMP występują potencjalne wycieki pamięci w funkcjach igmp_mod_timer() i igmp_stop_timer() z powodu nieprawidłowego zmniejszania licznika referencji, co prowadzi do niezwolnienia struktury grupy multicast.

W jądrze Linux w module dm era występuje błąd polegający na braku obsługi przypadku, gdy funkcja metadata_open() zwraca NULL. Funkcja era_ctr() sprawdza tylko IS_ERR(md), a ponieważ IS_ERR(NULL) zwraca fałsz, NULL jest traktowany jako poprawny wynik, co prowadzi do dereferencji wskaźnika NULL podczas dostępu do metadanych.

W jądrze Linux w kliencie CIFS/SMB wykryto podatność powodującą ostrzeżenie o zajętej dentycji (busy dentry) podczas odmontowywania systemu plików po operacjach zapisu bezpośredniego (DIO). Problem wynika z opóźnionego zwalniania referencji do dentycji przez kolejki prac, co może prowadzić do nieprawidłowego odmontowania. Poprawka dodaje licznik oczekujących żądań per-superblock i czeka na jego wyzerowanie przed odmontowaniem.

W jądrze Linuxa w funkcji regulator_lock_two() porównywany jest kod błędu z -EDEADLOCK zamiast -EDEADLK. Na architekturach MIPS, SPARC i PowerPC wartości te się różnią, co powoduje, że przy rzeczywistym odblokowaniu i ponowieniu próby kod trafia do WARN_ON i zwraca z tylko jednym zablokowanym regulatorem. W praktyce błąd występuje tylko na MIPS, ponieważ regulator core nie jest tam budowany ani używany.

W jądrze Linuxa w sterowniku DRM fb-helper synchronizacja wyjścia fbdev z vblankiem odbywa się tylko dla aktywnego CRTC. Poprzednio wybierano pierwszy CRTC, co powodowało ostrzeżenia o przekroczeniu czasu oczekiwania na vblank, gdy wyjście fbdev nie było na CRTC 0. Poprawka wybiera pierwszy aktywny CRTC i obsługuje zarówno sterowniki atomowe, jak i nieatomowe.

W jądrze Linuxa w sterowniku octeontx2-af obsługa mbox dla VF z wyłączonymi flagami promiscuous i all_multi powoduje usunięcie reguł MCAM dla PF. Dzieje się tak, ponieważ funkcje włączające/wyłączające te reguły działają tylko na PF, nawet gdy żądanie pochodzi z VF. Poprawka dodaje sprawdzenie is_vf() w ścieżkach wyłączania, aby VF nie mógł przypadkowo wyczyścić reguł PF.

W jądrze Linuxa w sterowniku drm/xe funkcja xe_vm_madvise_ioctl() przydziela tablicę VMA w get_vmas(). W przypadku błędu w ścieżce walidacji L2 flush dla PAT madvise, tablica nie jest zwalniana, co prowadzi do wycieku pamięci przy każdym nieudanym wywołaniu ioctl. Poprawka kieruje do free_vmas zamiast bezpośrednio do madv_fini.

W jądrze Linuxa w kliencie SMB funkcja smb2_ioctl_query_info() sprawdza granice odpowiedzi PASSTHRU_FSCTL przed skopiowaniem jej do przestrzeni użytkownika. Dodawanie OutputOffset i qi.input_buffer_length może spowodować przepełnienie w arytmetyce 32-bitowej, co pozwala złośliwemu serwerowi ominąć sprawdzenie i odczytać dane poza buforem odpowiedzi. Poprawka używa size_add() do bezpiecznego dodawania.

W jądrze Linuxa w funkcji trace_remote_alloc_buffer() w przypadku błędu alokacji strony, desc->nr_cpus nie jest jeszcze zwiększane dla bieżącego CPU, co powoduje, że częściowo przydzielony rb_desc nie zostanie zwolniony w trace_remote_free_buffer(). Poprawka zwiększa desc->nr_cpus natychmiast po pierwszej udanej alokacji dla bieżącego CPU.

W jądrze Linuxa w sterowniku mlxsw funkcja mlxsw_sp_port_lag_join() nie zwalnia referencji do LAG, gdy mlxsw_sp_port_lag_index_get() zawiedzie. Inne ścieżki błędów przechodzą do etykiety czyszczącej, która wywołuje mlxsw_sp_lag_put(), ale ta ścieżka zwraca błąd bez zwolnienia. Poprawka zastępuje 'return err' skokiem do etykiety czyszczącej.

W jądrze Linuxa w sterowniku mlxsw funkcja mlxsw_sp_vrs_lpm_tree_replace() w pętli wycofywania błędów nie aktualizuje wskaźnika vr, co powoduje, że pętla operuje na tym samym VR, nie wycofując wcześniejszych zamian. To prowadzi do wycieku referencji do new_tree. Poprawka ponownie inicjalizuje vr wewnątrz pętli z zaktualizowanym indeksem.

W jądrze Linuxa w sterowniku vduse występuje wyścig między vduse_dev_msg_sync a vduse_dev_read_iter, który może prowadzić do podwójnego usunięcia z listy i awarii. Poprawka zapewnia, że vduse_msg jest na liście send_list lub recv_list poza sekcją krytyczną msg_lock.

W jądrze Linuxa w sterowniku VDUSE mapowanie stron odbicia do przestrzeni użytkownika może ujawnić informacje z jądra, ponieważ strony nie są wyrównane do strony. Poprawka przydziela strony odbicia z flagą __GFP_ZERO, aby uniknąć wycieku informacji.

W jądrze Linux w funkcji sof_ipc4_bytes_put() występuje podatność TOCTOU, gdzie rozmiar kopiowania jest pobierany ze starego bufora zamiast z nowych danych. Może to prowadzić do ucięcia poprawnych danych lub skopiowania nieaktualnych bajtów.

W jądrze Linux brakuje walidacji rozmiaru ładunku powiadomienia MODULE_NOTIFICATION przed odczytem danych bajtów/kanałów w obsłudze aktualizacji sterowania.

W jądrze Linux w funkcji sof_ipc3_control_update() obliczenie expected_size używa wartości num_elems dostarczonej przez oprogramowanie układowe, co może spowodować przepełnienie na platformach 32-bitowych. Może to prowadzić do porównania rozmiarów z niezgodnymi wartościami i potencjalnie do dostępu poza zakresem.

W jądrze Linux w funkcjach sof_ipc3_bytes_put() i sof_ipc3_bytes_get() występują podatności TOCTOU i błędne sprawdzanie granic. W bytes_put rozmiar kopiowania jest pobierany ze starego bufora, a w bytes_get nie uwzględnia się przesunięcia flex array.

W jądrze Linux w funkcji sof_parse_token_sets() brakuje walidacji rozmiaru tablicy vendor przed jej odczytem. Złośliwa topologia z obciętym ogonem może spowodować odczyt poza zakresem. Dodatkowo porównanie rozmiaru z wartością ujemną może przejść z powodu promocji do typu unsigned.

W jądrze Linux w funkcji qrtr_endpoint_post() występuje przepełnienie 32-bitowej liczby całkowitej w obliczeniach ALIGN(size, 4), co może prowadzić do zapisu poza zakresem i awarii jądra na platformach 32-bitowych.

W jądrze Linux w funkcji check_tp() nie odrzuca się klas ruchu ATM powyżej ATM_ANYCLASS, co może prowadzić do odczytu poza zakresem podczas odczytu /proc/net/atm/pvc.

W jądrze Linux dla architektury LoongArch w KVM brakuje walidacji indeksu irqchip w routingu irqfd, co może prowadzić do odczytu poza zakresem tablicy chip.

W jądrze Linux w architekturze LoongArch funkcja kvm_vcpu_ioctl_interrupt() nie sprawdzała poprawności numeru przerwania (IRQ) przekazywanego z przestrzeni użytkownika. Dodano walidację, aby zapobiec potencjalnym problemom.

W jądrze Linux dla KVM na architekturze s390 w funkcji _gaccess_shadow_fault() brakowało wywołania radix_tree_preload(), co mogło uniemożliwić postęp operacji. Dodano brakujące wywołanie oraz podzielono funkcję na dwie części w celu uproszczenia blokowania.

W jądrze Linux dla KVM na architekturze s390 funkcja kvm_s390_get_cmma_bits() używała vmalloc() do alokacji bufora wyjściowego, który nie jest zerowany. W pewnych warunkach niezerowane bajty mogły zostać skopiowane do przestrzeni użytkownika, ujawniając stare dane jądra. Poprawka zmienia alokację na vzalloc(), aby bufor był wyzerowany.

W jądrze Linux dla KVM na architekturze s390 w funkcji kvm_s390_gisc_register() występował wyciek referencji GISC podczas niepowodzenia włączenia AIF. Po rejestracji GISC, jeśli późniejsze kroki zawiodły, nie wywoływano kvm_s390_gisc_unregister(). Poprawka dodaje brakujące wywołanie w ścieżce obsługi błędów.

W jądrze Linux dla KVM nVMX przeniesiono sprawdzenie spójności vTPR vs. próg TPR do normalnych kontroli. Wcześniej sprawdzenie było wykonywane późno, co mogło prowadzić do uruchomienia L1 z nieprawidłowym CR3. Poprawka upraszcza dostęp do vTPR i pomija sprawdzenie w niektórych przypadkach.

W jądrze Linux dla KVM SEV zablokowano migrację/mirroring wewnątrz hosta dla maszyn wirtualnych SNP, ponieważ funkcja nie jest w pełni zaimplementowana. Brakuje przenoszenia stanu specyficznego dla SNP, co może prowadzić do nieprawidłowego działania. Poprawka odrzuca źródłowe maszyny SNP w migracji/mirroringu.

W jądrze Linux dla KVM TDX dodano odrzucanie równoczesnej zmiany liczby wpisów CPUID podczas inicjalizacji. Wcześniej użytkownik mógł zmienić cpuid.nent między odczytem a kopiowaniem, co mogło prowadzić do odczytu poza zakresem. Poprawka wymaga, aby skopiowana liczba zgadzała się z wartością używaną do alokacji.

W jądrze Linux w KVM x86 występuje błąd polegający na tym, że wewnętrzne żądanie obsługi oczekującego PV EOI nie jest ignorowane, jeśli vCPU wyłączył PV EOI po jego zgłoszeniu. Może to doprowadzić do awarii jądra (kernel BUG) w funkcji kvm_lapic_sync_from_vapic.

W jądrze Linux w KVM x86 występuje podatność polegająca na tym, że wskaźnik irqfd->producer nie jest zerowany, gdy aktualizacja IRTE dla bypassu nie powiedzie się. Pozostawienie wiszącego wskaźnika może prowadzić do użycia po zwolnieniu (use-after-free), jeśli irqfd jest osiągalny przez routing KVM, a producent jest zwalniany osobno.

W jądrze Linux w KVM funkcja kvm_io_bus_get_dev() zwraca urządzenie dopasowane tylko po adresie, co może powodować problemy z czasem życia obiektu, jeśli urządzenie nie jest oczekiwanego typu. Poprawka przenosi odpowiedzialność za trzymanie blokady srcu na wywołującego, aby uniknąć użycia po zwolnieniu.

W jądrze Linux w KVM arm64 występuje problem z rozliczaniem długoterminowych pinów pamięci dla chronionych gości (pKVM). Poprawka przenosi obciążenie z bieżącego procesu na mm struktury kvm, aby uniknąć błędów podczas teardown.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) występuje fałszywe ostrzeżenie WARN przy zapisie do rejestru ZCR_EL2 przez gościa w kontekście zagnieżdżonym. Poprawka usuwa to ostrzeżenie, które mogło powodować panikę hipernadzorcy.

W jądrze Linux w sterowniku fbdev metronomefb występuje potencjalny wyciek pamięci w funkcji metronomefb_probe(). Pamięć przydzielona dla pagerefs w fb_deferred_io_init() nie jest zwalniana na ścieżce błędu. Poprawka dodaje wywołanie fb_deferred_io_cleanup().

W jądrze Linux w sterowniku fbdev broadsheetfb występuje potencjalny wyciek pamięci w funkcji broadsheetfb_probe(). Pamięć przydzielona dla pagerefs w fb_deferred_io_init() nie jest zwalniana na ścieżce błędu. Poprawka dodaje wywołanie fb_deferred_io_cleanup().

W jądrze Linux w sterowniku fbdev hecubafb występuje potencjalny wyciek pamięci w funkcji hecubafb_probe(). Pamięć przydzielona dla pagerefs w fb_deferred_io_init() nie jest zwalniana na ścieżce błędu. Poprawka polega na wywołaniu fb_deferred_io_cleanup().

W jądrze Linux w sterowniku fbdev efifb występuje wyciek pamięci w funkcji efifb_probe(). Od czasu commita 73ce73c30ba9, ciąg zwracany przez fb_get_options() powinien być zwolniony przez wywołującego, ale nie jest zwalniany w efifb_probe(). Poprawka polega na zwolnieniu tego ciągu po konfiguracji.

W jądrze Linux w sterowniku fbdev radeon występuje potencjalny wyciek pamięci w funkcji radeonfb_pci_register(). Funkcja przydziela pamięć dla modelist (poprzez radeon_check_modes() i fb_add_videomode()), która jest dodawana do info->modelist, ale nie jest zwalniana na późniejszych ścieżkach błędu. Poprawka polega na wywołaniu fb_destroy_modelist().