Podatności Linux kernel

W jądrze Linux w systemie plików NTFS scentralizowano walidację nagłówka $INDEX_ROOT. Dodano dedykowaną funkcję pomocniczą do dokładniejszej walidacji $INDEX_ROOT i używana jest ona zarówno dla katalogów, jak i nazwanych indeksów. Dzięki temu sprawdzenia rozmiaru i geometrii nagłówka są spójne w obu ścieżkach odczytu.

W jądrze Linux naprawiono zakleszczenie ABBA w systemie plików NTFS, które występowało podczas zapisu zwrotnego rekordów MFT. Problem pojawił się po zmianie sposobu wyszukiwania rekordów bazowych i mógł powodować zawieszenie systemu podczas testów xfstests generic/113. Poprawka eliminuje blokady extent_lock i mrec_lock w ścieżce zapisu folio MFT, co usuwa konflikt kolejności blokad.

W jądrze Linux w systemie plików NTFS uniknięto alokacji na stercie dla stanu readahead wolnych klastrów. Funkcja get_nr_free_clusters() alokowała tymczasowy stan file_ra_state przed opublikowaniem liczby wolnych klastrów, a jeśli alokacja się nie powiodła, wątek roboczy kończył działanie bez ustawienia flagi i obudzenia oczekujących, co mogło prowadzić do blokady. Teraz stan jest przechowywany na stosie i przekazywany przez adres, eliminując ścieżkę błędu alokacji.

W jądrze Linuxa w systemie plików NTFS walidator atrybutów nie odrzucał rekordów nieresydentnych dla atrybutów przeznaczonych wyłącznie do przechowywania rezydentnego. Może to prowadzić do nieprawidłowego odczytu danych i potencjalnych błędów. Poprawka rozszerza istniejącą kontrolę na wszystkie typy atrybutów rezydentnych.

W jądrze Linuxa w systemie plików NTFS3 funkcja DeleteIndexEntryAllocation nie sprawdzała długości operacji memmove, co mogło prowadzić do odczytu poza bufor. Poprawka dodaje odpowiednie zabezpieczenia, w tym odrzucanie zerowej długości.

W jądrze Linux w systemie plików NTFS3 (fs/ntfs3) podczas odtwarzania dziennika (log_replay) w fazie analizy funkcja copy_lcns nie sprawdzała, czy indeksy zapisu do tablicy page_lcns[] mieszczą się w jej granicach. Specjalnie spreparowany rekord dziennika (LRH) mógł spowodować zapis poza przydzieloną pamięcią (slab-out-of-bounds), co prowadzi do naruszenia bezpieczeństwa pamięci.

W jądrze Linuxa w systemie plików NTFS3 funkcja UpdateResidentValue nie sprawdzała poprawności przesunięcia atrybutu, co mogło prowadzić do niedomiaru rozmiaru danych i odczytu poza przydzielony bufor. Poprawka dodaje walidację na źródle.

W jądrze Linux w sterowniku ntfs3 odkryto podatność umożliwiającą zapętlenie się w nieskończoność podczas montowania spreparowanego obrazu dysku NTFS. Atakujący może wywołać zawieszenie wątku montowania i doprowadzić do paniki systemu (soft-lockup). Problem wynika z braku ograniczenia liczby iteracji w funkcji check_rstbl() podczas przeglądania listy wolnych wpisów RESTART_TABLE.

W jądrze Linuxa w systemie plików NTFS funkcja ntfs_rename może powodować zakleszczenie (deadlock) z powodu nieprawidłowej kolejności blokowania mrec_lock. Poprawka zmienia kolejność blokowania, aby uniknąć zakleszczenia.

W jądrze Linuxa w systemie plików NTFS aktualizacja listy atrybutów podczas wygaszania superbloku może prowadzić do samozakleszczenia. Poprawka dodaje sprawdzenie, czy superblok jest aktywny, i zwraca błąd, jeśli nie jest.

W jądrze Linux w systemie plików NTFS występuje problem samozakleszczenia podczas usuwania i-węzła. Aktualizacja listy atrybutów może zwolnić ostatnie odwołanie do tymczasowego i-węzła atrybutu, co prowadzi do wywołania ntfs_drop_big_inode() dla i-węzła bazowego z wnętrza ścieżki zapisu zwrotnego. Jeśli i-węzeł bazowy jest odlinkowany, funkcja czeka na zakończenie zapisu folio, które wykonuje ten sam pracownik, co powoduje nieskończone czekanie.

W jądrze Linux w systemie plików NTFS funkcja ntfs_non_resident_attr_insert_range() przydziela pamięć dla hole_rl przed mapowaniem całej listy przebiegów. Jeśli mapowanie się nie powiedzie, ścieżka błędu zwalnia blokadę, ale nie zwalnia pamięci hole_rl, co prowadzi do wycieku pamięci. Poprawka dodaje zwolnienie hole_rl przed zwróceniem z tej ścieżki błędu.

W jądrze Linux wykryto podatność w mechanizmie Landlock, umożliwiającą obejście ograniczenia LANDLOCK_SCOPE_SIGNAL przez ścieżkę asynchronicznego dostarczania sygnału SIGIO. Proces w piaskownicy może wysłać sygnał (np. SIGKILL) do całej grupy procesów, w tym do procesów spoza domeny, które miały być chronione. Problem wynika z nieprawidłowego rejestrowania domeny Landlock dla celów będących grupami procesów.

W jądrze Linux w podsystemie zasilania (charger-manager) funkcja is_full_charged() wywołuje power_supply_get_by_name() i jeśli warunek napięcia jest spełniony, zwraca true bez zwalniania referencji, co powoduje wyciek refcount. Poprawka ustawia flagę i przeskakuje do etykiety out, gdzie referencja jest poprawnie zwalniana.

W jądrze Linux dla architektury MIPS występuje krytyczny błąd zarządzania pamięcią w schedulerze. Gdy włączony jest CONFIG_CPUMASK_OFFSTACK, cpumask_var_t jest wskaźnikiem, więc sizeof(new_mask) zwraca rozmiar wskaźnika, co powoduje, że copy_from_user() nadpisuje wskaźnik maski. Dodatkowo kopiowanie odbywa się przed alokacją maski. Poprawka alokuje maskę najpierw i używa cpumask_size() do obsługi masek o zmiennym rozmiarze.

W jądrze Linux w podsystemie mm/huge_memory funkcja change_non_present_huge_pmd() przepisuje wpis PMD swap dla prywatnego urządzenia, nie przenosząc bitu pmd_swp_uffd_wp. Poprawka dodaje przeniesienie tego bitu, aby zachować oznaczenie UFFD_WP, podobnie jak robi to change_softleaf_pte() i copy_huge_pmd().

W jądrze Linux dla architektury RISC-V w funkcji populate_cache_leaves występuje wyciek referencji do węzła. Pętla while zwalnia referencję do prev w każdej iteracji, ale jeśli pętla kończy się naturalnie z np == NULL, ostatni ważny węzeł w prev nie jest zwalniany. Poprawka zmienia końcowe of_node_put(np) na of_node_put(prev).

W jądrze Linux wykryto podatność w mechanizmie DAMON, gdzie w przypadku nieudanego zatwierdzenia kontekstu (commit) identyfikatory PID celów nie są poprawnie zwalniane, co prowadzi do wycieku pamięci. Problem występuje, gdy operacja zatwierdzania nie powiedzie się po częściowym skopiowaniu PID-ów, a kontekst docelowy nie ma odpowiedniego wywołania zwrotnego do ich zwolnienia.

W jądrze Linux w module mm/damon/sysfs-schemes znaleziono błąd w funkcji access_pattern_add_dirs(), gdzie w ścieżkach obsługi błędów referencje do katalogów są zwalniane w niewłaściwej kolejności. Może to prowadzić do dereferencji niezainicjalizowanej pamięci lub wycieku pamięci. Błąd został naprawiony.

W jądrze Linux w module mm/damon/sysfs-schemes znaleziono błąd w funkcji damon_sysfs_scheme_add_dirs(), gdzie w ścieżce błędu po nieudanym ustawieniu katalogu tried_regions, zamiast katalogu stats zwalniany jest katalog tried_regions. Prowadzi to do wycieku obiektu katalogu stats oraz potencjalnej dereferencji niezainicjalizowanej pamięci.

W jądrze Linux wykryto podatność w funkcji make_uffd_wp_huge_pte() w pliku fs/proc/task_mmu. Funkcja ta nie używała huge_ptep_modify_prot_start() przed modyfikacją wpisu HugeTLB PTE, co powodowało wyścig (race condition) i utratę aktualizacji bitów Dirty/Accessed przez sprzęt. Poprawka polega na dodaniu brakującego wywołania, aby zapewnić spójność wpisu.

W jądrze Linux wykryto podatność polegającą na zakleszczeniu (self-deadlock) w mechanizmie PAGEMAP_SCAN dla mapowań hugetlb. Wywołanie ioctl z opcją PM_SCAN_WP_MATCHING na obszarze hugetlb z nieobsadzonymi stronami powoduje trwałe zawieszenie wątku, którego nie można przerwać. Problem wynika z próby ponownego zablokowania tej samej blokady VMA (read->write) podczas obsługi dziur w zakresie.

W jądrze Linux w pliku fs/proc/task_mmu znaleziono przestarzałe ostrzeżenie w funkcji pagemap_pmd_range_thp(), które wyzwalało się, gdy wpis PMD nie był wpisem migracyjnym. Po dodaniu wpisów device-private na poziomie PMD ostrzeżenie stało się fałszywe. Usunięto to ostrzeżenie.

W jądrze Linux w module mm/mm_init znaleziono błąd dotyczący niezainicjalizowanych stron strukturalnych dla ZONE_DEVICE. Gdy pamięć DAX jest dodawana na gorąco do nieobsadzonego podsekcji wczesnej sekcji, funkcja section_activate() używa niezoptymalizowanej mapy pamięci, ale compound_nr_pages() zakłada optymalizację i inicjalizuje tylko zmniejszoną liczbę stron. Pozostałe strony pozostają niezainicjalizowane, co może prowadzić do nieoczekiwanego zachowania lub awarii.

W jądrze Linux w module mtd: slram znaleziono błąd w funkcji register_device(), gdzie wpis jest dodawany do globalnej listy przed pełną inicjalizacją. Jeśli późniejsza alokacja, memremap() lub mtd_device_register() zawiedzie, częściowo zainicjalizowany wpis pozostaje na liście, co może prowadzić do dereferencji lub zwolnienia nieprawidłowego stanu podczas późniejszego czyszczenia.

W jądrze Linux w module 9p znaleziono błąd w funkcji v9fs_dec_count(), która bezwarunkowo wywołuje drop_nlink() na zwykłych plikach, nawet gdy nlink jest już zero. W trybie bez cache (cacheless) klient ponownie pobiera metadane z serwera, co prowadzi do wyścigu i ostrzeżenia WARN_ON. Poprawka pomija aktualizację nlink w trybie cacheless.

W jądrze Linux w module kho znaleziono błąd polegający na tym, że rozmiar scratch nie jest zawsze wyrównywany do CMA_MIN_ALIGNMENT_BYTES. Przy użyciu stałych rozmiarów z linii poleceń, niezaokrąglony rozmiar może prowadzić do zwolnienia tylko częściowo scratchowego pageblocka. Poprawka zaokrągla rozmiar w obu przypadkach.

W jądrze Linux w sterowniku vmu-flash dla pamięci MTD występuje błąd prowadzący do dostępu do niezainicjalizowanych danych podczas alokacji struktur memcard. Poprawka polega na użyciu funkcji kzalloc zamiast kmalloc, aby wyzerować pamięć przed użyciem.

W jądrze Linux w sterowniku pl353 dla pamięci rawnand występuje problem z alokacją zasobów podczas inicjalizacji (probe). Funkcja devm_ioremap jest wywoływana z urządzeniem nadrzędnym zamiast bieżącym, co powoduje, że obszar rejestrów nie jest zwalniany podczas usuwania modułu.

W jądrze Linux w module net/9p wykryto podatność powodującą nieskończoną pętlę w funkcji p9_client_rpc podczas obsługi sygnału krytycznego (np. SIGKILL). Problem występuje, gdy wywołanie P9_TFLUSH jest wykonywane na transporcie bez połączenia (np. fd przez potoki bez serwera 9p), a sygnał krytyczny przerywa oczekiwanie. Błąd polega na czyszczeniu flagi TIF_SIGPENDING przed ponownym sprawdzeniem, co prowadzi do ponownego uśpienia zadania i blokady systemu.

W jądrze Linux w sterowniku rawnand występuje błąd w warunku w funkcji 'nand_select_target()'. Warunek nie sprawdza poprawnie zakresu wartości 'cs', która powinna być w zakresie [0:nanddev_ntargets[.

W jądrze Linux w systemie plików OCFS2 występuje błąd w funkcji ocfs2_move_extent, który może powodować przenoszenie danych do zajętych klastrów. Podczas skanowania grupy bloków, jeśli nie znaleziono wolnego obszaru, wartość phys_cpos pozostaje niezmieniona, co może prowadzić do nadpisania danych należących do innego i-węzła.

W jądrze Linux w systemie plików OCFS2 występuje błąd w funkcji ocfs2_assure_trans_credits, który może prowadzić do dereferencji wskaźnika NULL, gdy dziennik (journal) zostanie przerwany podczas operacji DIO. Funkcja nie sprawdza, czy uchwyt transakcji jest przerwany, zanim odczyta pozostałe kredyty.

W jądrze Linux w systemie plików OCFS2 występuje błąd w funkcji ocfs2_sum_rightmost_rec, który może prowadzić do naruszenia granic tablicy (UBSAN) przy uszkodzonych danych na dysku. Funkcja nie sprawdza poprawności wartości l_next_free_rec przed użyciem jej do indeksowania tablicy l_recs.

W jądrze Linux w systemie plików OCFS2 występuje błąd w funkcji ocfs2_checkpoint_inode, który może prowadzić do dereferencji wskaźnika NULL podczas odmontowywania systemu plików. Po zwolnieniu dziennika (journal) i ustawieniu osb->journal na NULL, funkcja próbuje go użyć.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na akceptowaniu nieprawidłowych wartości i_mode w dinodach. Brak walidacji typu pliku POSIX może prowadzić do przetworzenia sfałszowanych metadanych, co skutkuje nieprawidłowym zachowaniem systemu. Łata dodaje kontrolę strukturalną odrzucającą dinody z niekanonicznym typem i_mode.

W jądrze Linux w systemie plików OCFS2 występuje problem z akceptacją nie-inline dinodów z niezerowym rozmiarem i zerową liczbą klastrów. Takie struktury są nieprawidłowe, ale nie są odrzucane w niektórych ścieżkach, co może prowadzić do błędów podczas operacji na plikach lub katalogach.

W jądrze Linux w funkcji dfh_get_param_size() brakuje walidacji rozmiaru parametru po inkrementacji, co może zwrócić rozmiar większy niż region funkcji. Złośliwe urządzenie FPGA może wykorzystać to do wywołania memcpy_fromio() z rozmiarem przekraczającym zmapowany obszar.

W jądrze Linux w sterowniku thunderbolt sieci (tbnet) brakuje ograniczenia liczby ramek (frame_count) do maksymalnej liczby fragmentów skb, co może prowadzić do zapisu poza tablicę frags[] i uszkodzenia pamięci. Złośliwy peer może wysłać pakiet z wieloma małymi ramkami, powodując przepełnienie.

W jądrze Linux w sterowniku FPGA Microchip SPI funkcja mpf_ops_parse_header() odczytuje jeden bajt przed początkiem bufora, gdy header_size wynosi zero. Może to prowadzić do odczytu poza zakresem pamięci.

W jądrze Linux w sterowniku SPI-NOR (mtd) występuje problem z odblokowywaniem pierwszych bloków pamięci flash. Gdy użytkownik próbuje odblokować tylko zablokowane bloki, operacja kończy się niepowodzeniem z powodu błędnego obliczenia lock_len.

W jądrze Linux dla architektury OpenRISC występuje problem z synchronizacją jump_label w systemach SMP. Nieprawidłowe unieważnianie pamięci podręcznej instrukcji na zdalnych rdzeniach może powodować, że statyczne klucze pozostają w starym stanie po aktualizacji.

W jądrze Linux w sterowniku irqchip/crossbar funkcja crossbar_domain_free() używa wyzerowanego wskaźnika hwirq jako indeksu, co powoduje, że nie zwalnia prawidłowego wpisu i utrzymuje połączenie z przerwaniem źródłowym. Może to prowadzić do błędów w mapowaniu przerwań.

W jądrze Linux w sterowniku TPM SPI (tpm_tis_spi) funkcja wait_for_tmp_stat() używa wait_event_interruptible_timeout(), co może wywołać ostrzeżenie przy włączonym CONFIG_DEBUG_ATOMIC_SLEEP. Poprawka używa wait_woken() i sprawdza warunek tylko podczas działania zadania.

W jądrze Linux w sterowniku TPM (tpm2-sessions) funkcja tpm_buf_append_salt() wywołuje asynchroniczne operacje KPP bez ustawienia callbacku i natychmiast zwalnia żądanie, co może prowadzić do użycia po zwolnieniu. Problem występuje automatycznie podczas odpytywania entropii.

W jądrze Linux w funkcji rpc_sysfs_xprt_switch_add_xprt_store() struktura xprt_create_args jest alokowana na stosie bez inicjalizacji, co może prowadzić do paniki jądra, wycieku informacji lub nieprzewidywalnego zachowania z powodu niezainicjalizowanych pól.

W jądrze Linux w sterowniku DMA Tegra (dmaengine) błędnie obliczany jest rozmiar burst, co może powodować zawieszenie transferu DMA, gdy długość transferu nie jest wielokrotnością maksymalnego rozmiaru burst. Poprawka zmniejsza rozmiar burst do największej potęgi dwójki dzielącej długość transferu.

W jądrze Linux w sterowniku dw-edma rejestry DONE_INT_MASK i ABORT_INT_MASK są współdzielone przez wszystkie kanały DMA, a ich modyfikacja wymaga sekwencji odczyt-modyfikacja-zapis, która nie jest atomowa. Może to prowadzić do wyścigów przy równoczesnych wywołaniach dw_edma_v0_core_start(). Dodano spinlock, aby serializować dostęp do tych rejestrów.

W jądrze Linux w sterowniku dw-edma-pcie funkcja dw_edma_pcie_probe() traktuje driver_data z identyfikatora PCI jako szablon dla układu kontrolera i kopiuje go bezwarunkowo. Urządzenie podłączone dynamicznie przez sysfs może pasować do sterownika bez tych danych, co prowadzi do wyłuskania wskaźnika NULL.

W jądrze Linux w sterowniku rz-dmac przerwanie jest żądane przed pełną inicjalizacją, co może prowadzić do nieprawidłowego dostępu do pamięci, ponieważ procedura obsługi przerwań może uzyskać dostęp do niezainicjalizowanych danych. Poprawka przenosi żądanie przerwań po zakończeniu konfiguracji i używa dmam_alloc_coherent().