Podatności Linux kernel

W jądrze Linux w sterowniku fbdev i740fb występuje potencjalny wyciek pamięci w funkcji i740fb_probe(). Pamięć przydzielona w fb_videomode_to_modelist() dla modelist nie jest zwalniana na ścieżkach błędu. Poprawka polega na wywołaniu fb_destroy_modelist().

W jądrze Linux w sterowniku fbdev s3fb występuje potencjalny wyciek pamięci w funkcji s3_pci_probe(). Pamięć przydzielona dla modelist za pomocą fb_videomode_to_modelist() nie jest zwalniana na późniejszych ścieżkach błędu. Poprawka polega na wywołaniu fb_destroy_modelist().

W jądrze Linux w sterowniku fbdev uvesafb występuje potencjalny wyciek pamięci w funkcji uvesafb_probe(). Z powodu nieprawidłowej etykiety goto, pamięć przydzielona dla modedb i modelist w uvesafb_vbe_init() nie jest zwalniana na niektórych ścieżkach błędu. Poprawka polega na zaktualizowaniu etykiety goto.

W jądrze Linux w sterowniku fbdev tdfxfb występuje potencjalny wyciek pamięci w funkcji tdfxfb_probe(). Pamięć przydzielona dla modelist za pomocą fb_videomode_to_modelist() (gdy CONFIG_FB_3DFX_I2C jest zdefiniowane) nie jest zwalniana na późniejszych ścieżkach błędu. Poprawka polega na wywołaniu fb_destroy_modelist().

W jądrze Linux w sterowniku fbdev carminefb występuje potencjalny wyciek pamięci w funkcji alloc_carmine_fb(). Pamięć przydzielona dla modelist w fb_videomode_to_modelist() nie jest zwalniana na późniejszej ścieżce błędu. Poprawka polega na wywołaniu fb_destroy_modelist().

W jądrze Linux w sterowniku fbdev vesafb występuje wyciek pamięci w funkcji vesafb_probe(). Od czasu commita 73ce73c30ba9, ciąg zwracany przez fb_get_options() powinien być zwolniony przez wywołującego, ale nie jest zwalniany w vesafb_probe(). Poprawka polega na zwolnieniu tego ciągu po konfiguracji.

W jądrze Linux w sterowniku fbdev nvidia występuje potencjalny wyciek pamięci w funkcji nvidiafb_probe(). Pamięć przydzielona dla modelist w nvidia_set_fbinfo() nie jest zwalniana na późniejszych ścieżkach błędu. Poprawka polega na wywołaniu fb_destroy_modelist().

W sterowniku tridentfb w jądrze Linux wykryto potencjalny wyciek pamięci w funkcji trident_pci_probe(). Pamięć przydzielona dla listy modeli za pomocą fb_videomode_to_modelist() nie jest zwalniana w ścieżkach błędów. Problem rozwiązano przez wywołanie fb_destroy_modelist().

W jądrze Linux w ASoC SOF topology wykryto wyciek pamięci w funkcji snd_sof_load_topology. Gdy nazwa pliku topologii zawiera "dummy" i tplg_cnt wynosi 0, funkcja zwraca -EINVAL bez zwalniania pamięci przydzielonej przez kcalloc() dla tplg_files. Poprawka polega na ustawieniu ret = -EINVAL i przejściu do etykiety out, która obsługuje kfree(tplg_files).

W jądrze Linux w ASoC SOF ipc3-control wykryto przepełnienie sterty w funkcjach bytes_ext put/get. Bufor ipc_control_data jest przydzielany jako kzalloc(max_size), ale sprawdzenia granic porównywały długości danych użytkownika bezpośrednio z max_size, ignorując offset cdata->data. Umożliwiało to zapis do sizeof(struct sof_ipc_ctrl_data) bajtów poza końcem bufora sterty z nieuprzywilejowanego przestrzeni użytkownika przez interfejs ALSA TLV kcontrol, oraz nadmierny odczyt sąsiednich danych sterty. Poprawka odejmuje sizeof(*cdata) od max_size w wszystkich sprawdzeniach granic.

W jądrze Linux w ASoC SOF ipc3-control wykryto brak walidacji rozmiaru w funkcji snd_sof_update_control. Liczba elementów cdata->num_elems dostarczona przez oprogramowanie układowe jest sprawdzana tylko względem local_cdata->data->size, ale nie względem rzeczywistego rozmiaru alokacji. Jeśli local_cdata->data->size był wcześniej ustawiony na niespójną wartość, memcpy mógł zapisać poza przydzielony bufor. Poprawka dodaje sprawdzenie granic, aby upewnić się, że num_elems mieści się w dostępnym miejscu w alokacji ipc_control_data.

W jądrze Linux w ASoC mediatek mt8192 wykryto brak sprawdzenia wyniku funkcji pm_runtime_get_sync() podczas probe. Jeśli przywrócenie działania w czasie rzeczywistym (runtime resume) nie powiedzie się, probe kontynuuje działanie bez pewności, że urządzenie jest dostępne, a licznik użycia PM może pozostać zwiększony. Ponadto ścieżka błędu regmap_reinit_cache() zwraca przed zwolnieniem tymczasowego odniesienia PM i przed wyczyszczeniem flagi pm_runtime_bypass_reg_ctl. Poprawka używa pm_runtime_resume_and_get() i czyści flagę po zwolnieniu odniesienia PM.

W jądrze Linux w ASoC mediatek mt8192 wykryto brak zwalniania zarezerwowanej pamięci podczas czyszczenia. Funkcja probe wywołuje of_reserved_mem_device_init() i w przypadku braku zarezerwowanego regionu pamięci korzysta z prealokowanych buforów. Jednak gdy przypisanie zarezerwowanej pamięci się powiedzie, sterownik nigdy jej nie zwalnia. Poprawka rejestruje akcję czyszczenia devm po udanym przypisaniu, aby pamięć była zwalniana przy niepowodzeniu probe i odwiązaniu sterownika.

W jądrze Linux w ASoC mediatek mt8183 wykryto brak zwalniania zarezerwowanej pamięci podczas czyszczenia. Funkcja probe może przypisać zarezerwowaną pamięć za pomocą of_reserved_mem_device_init(), ale przypisanie nigdy nie jest zwalniane przy usuwaniu sterownika lub późniejszych niepowodzeniach probe. Poprawka rejestruje akcję czyszczenia devm, aby przypisanie było zwalniane spójnie, zgodnie z nowszymi sterownikami Mediatek AFE.

W jądrze Linux w ASoC qcom q6apm wykryto dereferencję wskaźnika NULL w funkcji graph_callback. Gdy q6apm_free_fragments() jest wywoływana, zwalnia rx_data.buf/tx_data.buf i ustawia je na NULL pod graph->lock. Późna odpowiedź DSP buffer-done może ścigać się z tym: graph_callback() przechodzi przez strażnika !graph->ar_graph (jeszcze nie NULL), przejmuje blokadę, ale potem dereferencjonuje wskaźnik buf, który jest już NULL, co powoduje awarię. Poprawka dodaje sprawdzenie NULL dla buf w sekcji chronionej mutexem w obu procedurach obsługi write-done i read-done.

W jądrze Linux w netfilter xt_cluster wykryto błąd polegający na traktowaniu szablonów conntrack jako w pełni zainicjalizowanych w dopasowaniu hash. xt_cluster_mt() traktuje każdy nie-NULL wynik nf_ct_get() jako w pełni zainicjalizowany conntrack i przekazuje go do xt_cluster_hash(). Szablony mają status IPS_TEMPLATE, ale nie mają jeszcze prawidłowej krotki do hashowania, co może wywołać WARN_ON() w xt_cluster_hash() na wyzerowanym polu l3num. Poprawka odrzuca szablony conntrack przed hashowaniem.

W jądrze Linux w netfilter nf_queue wykryto problem z przypinaniem urządzenia mostka, gdy NFQUEUE trzyma fałszywy dst. Fałszywy rtable br_netfilter jest osadzony w struct net_bridge i dołączany do mostkowanych pakietów za pomocą skb_dst_set_noref(). Jeśli taki pakiet jest kolejkowany do NFQUEUE, __nf_queue() ulepsza ten fałszywy dst za pomocą skb_dst_force(). Poprawka polega na przypinaniu urządzenia mostka tylko podczas gdy pakiet znajduje się w NFQUEUE, rejestrując urządzenie mostka w nf_queue_entry i utrzymując referencję do urządzenia przez czas życia kolejki.

W jądrze Linuxa w module netfilter nft_fib występuje podatność na dereferencję wskaźnika NULL podczas użycia wyrażenia fib w łańcuchu egress netdev. Walidacja nieprawidłowo akceptuje hook egress, co prowadzi do awarii systemu.

W jądrze Linuxa w module netfilter nf_conntrack_sip brakuje walidacji skb_dst() przed jego użyciem. W przypadku braku informacji o routingu (np. w tc ingress lub openvswitch) może dojść do awarii.

W jądrze Linuxa w module netfilter nft_set_pipapo występuje podatność na wyciek uszkodzonego klonu do przyszłej transakcji. Błąd alokacji pamięci może prowadzić do zapisów poza zakresem podczas kolejnych operacji.

W jądrze Linuxa w module netfilter nf_conntrack_reasm występuje podatność na nieprawidłowe przesunięcie wskaźnika mac_header po defragmentacji IPv6. Może to prowadzić do błędnego raportowania obecności nagłówka MAC.

W jądrze Linuxa w module netfilter nf_conncount wykryto podatność polegającą na błędnym porównywaniu stref conntrack w logice deduplikacji krotek. Błędne przekazywanie maski bitowej kierunku strefy jako argumentu kierunku powoduje, że różne strefy mogą być traktowane jako równe, co prowadzi do nieprawidłowego zliczania połączeń i omijania limitów connlimit.

W jądrze Linuxa w module gpu: host1x występuje wyciek referencji do urządzenia w ścieżce błędu funkcji host1x_device_parse_dt(). Obiekt jest zwalniany bezpośrednio przez kfree, zamiast przez put_device(), co prowadzi do wycieku.

W jądrze Linux w podsystemie GPU buddy wykryto problem z wyrównaniem pamięci w funkcji try_harder. Gdy kandydat nie był wyrównany do min_block_size, zwracany zakres mógł mieć nieprawidłowy offset. Poprawka wyrównuje kandydatów w dół do min_block_size, zamiast odrzucać żądanie, co zapewnia poprawne działanie.

W jądrze Linux w module SELinux brakowało sprawdzania uprawnień związanych z połączeniem (connect) przy użyciu TCP Fast Open. Poprawka dodaje wywołanie selinux_socket_connect() w haku socket_sendmsg() gdy używany jest MSG_FASTOPEN.

W jądrze Linux w module SELinux funkcja selinux_sctp_bind_connect() dereferencjonowała sk->sk_socket, co mogło prowadzić do problemów, gdy hak był wywoływany ze ścieżki softirq ASCONF. Poprawka refaktoryzuje kod, aby używać bezpośrednio struct sock * i unikać dereferencji sk_socket.

W jądrze Linux w sterowniku uleds wykryto potencjalne odczytanie poza bufor (buffer overread) spowodowane brakiem gwarancji null-terminacji ciągu nazwy od użytkownika. Poprawka używa strnchr() i sprawdza poprawność zakończenia ciągu.

W jądrze Linux w sterowniku sm501 wykryto wyciek referencji (reference leak) podczas nieudanej rejestracji urządzenia. Poprawka dodaje wywołanie platform_device_put() przed zwróceniem błędu.

W jądrze Linux w kodzie startowym x86 wykryto problem z walidacją parametru console=uart8250, gdzie nieprawidłowa prędkość transmisji (baud rate) mogła prowadzić do zawieszenia systemu podczas wczesnego startu z powodu dzielenia przez zero. Poprawka dodaje fallback do DEFAULT_BAUD gdy prędkość jest 0.

W jądrze Linux w podsystemie perf/x86/amd/brs wykryto wyciek adresów jądra do przestrzeni użytkownika. Mimo żądania PERF_SAMPLE_BRANCH_USER, rekordy gałęzi mogą zawierać adresy z jądra. Poprawka rozszerza filtr oprogramowania, aby odrzucać rekordy z adresem źródłowym w jądrze.

W jądrze Linux w podsystemie s390/perf_cpum_cf brakowało bariery spekulacji (array_index_nospec) przy użyciu zmiennej ev jako indeksu tablicy. Poprawka dodaje wywołanie array_index_nospec() aby zapobiec spekulatywnemu wykonaniu.

W jądrze Linux w batman-adv wykryto problem use-after-free spowodowany potencjalną realokacją bufora przez pskb_may_pull() w batadv_interface_rx(). Poprawka ponownie przypisuje wskaźnik do nagłówka ethernet po realokacji.

W jądrze Linux w module batman-adv, po wywołaniu pskb_may_pull() przez batadv_bla_is_backbone_gw(), bufor skb może zostać ponownie przydzielony. Wskaźnik adresu bramy (gw address) nie został ponownie przypisany po tej realokacji, co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w module batman-adv, funkcja batadv_interface_tx() zakłada, że dostępnych jest co najmniej ETH_HLEN bajtów, ale nie sprawdza tego samodzielnie. Lokalny użytkownik z dostępem do eBPF TC hook może przyciąć pakiet i przekierować go do interfejsu batadv, co może prowadzić do odczytu poza dostępnym buforem.

W jądrze Linux w module batman-adv, funkcja batadv_send_tt_request() sprawdza warunek 'ret == true' zamiast 'ret == false' po nieudanej alokacji bufora wysyłki. To powoduje, że informacja o żądaniu TT nie jest usuwana, co może prowadzić do burzy żądań (request storm).

W jądrze Linux w module batman-adv, funkcja batadv_frag_send_packet() nie obsługuje poprawnie błędów podczas wstępnego sprawdzania pustego ładunku lub zerowego rozmiaru fragmentu. W takich przypadkach skb nie jest zwalniane, co prowadzi do wycieku pamięci.

W jądrze Linux w module batman-adv, podczas rejestracji interfejsu mesh, jeśli inny odbiorca notyfikacji NETDEV_REGISTER zawetuje rejestrację, obiekt batadv_meshif_vlan nie jest usuwany, ponieważ .dellink nie jest wywoływany. Prowadzi to do wycieku pamięci.

W jądrze Linux w module batman-adv, podczas fragmentacji, jeśli linearyzacja skb z listą frag_list nie powiedzie się, referencja do primary_if nie jest zwalniana, co prowadzi do wycieku referencji.

W jądrze Linux w module batman-adv, podczas sprawdzania dostępności danych dla pola num_dests w strukturze batadv_tvlv_mcast_tracker, użyto offsetof() zamiast offsetofend(), co zawsze zwraca 0. To powoduje, że sprawdzenie zawsze przechodzi, nawet gdy dostępnych jest tylko 0 lub 1 bajt, co prowadzi do odczytu poza zakresem (OOB).

W jądrze Linux w module jbd2, funkcja jbd2_journal_initialize_fast_commit() sprawdza pojemność dziennika, ale z powodu niedomiaru (underflow) na liczbach bez znaku, sprawdzenie może zostać ominięte. To prowadzi do uszkodzenia j_last, j_fc_first i j_free, co skutkuje przerwaniem działania dziennika.

W jądrze Linuxa w podsystemie nvdimm/btt, areny przydzielane przez funkcje discover_arenas() lub create_arenas() nie są zwalniane na niektórych ścieżkach błędów w btt_init(). Powoduje to wyciek pamięci, gdy inicjalizacja BTT zakończy się niepowodzeniem. Poprawka polega na wywołaniu free_arenas() z odpowiednich ścieżek błędów.

W jądrze Linuxa w podsystemie nvdimm/btt, pamięć przydzielana przez funkcje btt_freelist_init(), btt_rtt_init() i btt_maplocks_init() nie jest zwalniana na niektórych ścieżkach błędów w discover_arenas(). Powoduje to wyciek pamięci, gdy wykrywanie aren zakończy się niepowodzeniem. Poprawka dodaje brakujące wywołania kfree() przed zwróceniem błędu.

W jądrze Linuxa w podsystemie lockd, gdy funkcja nlm_do_fopen() zakończy się niepowodzeniem, nowo przydzielony obiekt nlm_file nie jest zwalniany, ponieważ ścieżka błędu prowadzi do out_unlock zamiast out_free. Klient może wielokrotnie wywoływać błędy nlm_do_fopen(), powodując wyciek pamięci. Poprawka kieruje ścieżkę błędu przez out_free, aby wywołać kfree().

W jądrze Linux w module lockd występuje wyciek referencji do pliku nlm_file, gdy buforowane wywołanie nlm_do_fopen() kończy się niepowodzeniem. Ścieżka buforowana w nlm_lookup_file() zawsze dociera do etykiety 'found', nawet przy błędzie, co prowadzi do niezwolnienia referencji i uniemożliwia późniejsze usunięcie pliku.

W jądrze Linux w module remoteproc dla platform Qualcomm występuje wyciek pamięci, gdy dodanie niestandardowych segmentów dump nie powiedzie się. Alokowana nazwa minidump_region nie jest zwalniana, jeśli operacja zakończy się błędem przed dodaniem regionu do listy.

W jądrze Linux w architekturze MIPS DEC występuje podatność, gdzie w konfiguracjach 64-bitowych wywołanie funkcji firmware prom_printf() z wątku jądra innego niż początkowy może używać wskaźnika stosu w segmencie XKPHYS (64-bitowym). Powoduje to nieprawidłowe działanie 32-bitowych operacji ALU w kodzie firmware, co prowadzi do zawieszenia systemu. Problem dotyczy tylko punktu wejścia prom_printf(), inne punkty wejścia są bezpieczne.

W jądrze Linux w sterowniku cpcap-battery brakuje wywołania nvmem_device_put(), co powoduje trwały wyciek referencji do urządzenia nvmem. Wyciek występuje na ścieżkach sukcesu i błędu odczytu w funkcji cpcap_battery_detect_battery_type().

W jądrze Linux w module hugetlb występuje niezgodność między obciążeniem i zwolnieniem rezerwacji cgroup. Pojedynczy wskaźnik h_cg jest nadpisywany, co prowadzi do użycia niewłaściwego cgroup przy zwalnianiu, powodując niedomiar licznika page_counter.

W jądrze Linux w module memory_hotplug występuje błąd polegający na przekazaniu NULL zamiast altmap w ścieżce błędów. Gdy arch_add_memory() się powiedzie, a create_memory_block_devices() zawiedzie, arch_remove_memory() jest wywoływane z NULL altmap, co prowadzi do uszkodzenia pamięci.

W jądrze Linux w systemie plików NTFS wykryto wyciek pamięci podczas nieudanego montowania. Funkcja ntfs_fill_super() nie zwalniała wszystkich zasobów przydzielonych dla woluminu, takich jak mapa NLS, etykieta woluminu i strona bitów pustych, co prowadziło do gromadzenia się pamięci przy każdym nieudanym montowaniu.