Podatności Linux kernel

W jądrze Linux w sterowniku intel/tpmi funkcja mem_write() nie zwalniała tymczasowej tablicy zwracanej przez parse_int_array_user() na wszystkich ścieżkach wyjścia. Poprawka używa mechanizmu cleanup.h do automatycznego zwalniania pamięci.

W jądrze Linux w sterowniku dell-laptop funkcja dell_init() nie czyści wszystkich zasobów w przypadku błędu podczas rejestracji diod LED lub podświetlenia. Poprawka dodaje brakujące wywołania czyszczące przed zakończeniem z błędem.

W jądrze Linux w sterowniku ISST po wznowieniu sterowanie SST-PP jest przywracane tylko dla domeny zasilania 0, mimo że wartości są zapisywane dla wszystkich domen. Poprawka używa pd_info->sst_base zamiast power_domain_info->sst_base.

W jądrze Linux w sterowniku i2c-imx ścieżka atomowa (polling) odrzuca blokowy odczyt SMBus z liczbą bajtów 0 jako -EPROTO, ale nie wysyła NACK+STOP, co powoduje zablokowanie magistrali I2C. Poprawka obsługuje liczbę 0 jako poprawny pusty odczyt i zwalnia magistralę.

W jądrze Linux w sterowniku i2c-imx ścieżka przerwaniowa odrzuca blokowy odczyt SMBus z liczbą bajtów 0 jako -EPROTO, ale nie wysyła NACK+STOP, co powoduje zablokowanie magistrali I2C. Poprawka akceptuje count=0 i wysyła NACK oraz STOP.

W jądrze Linux w sterowniku i2c-mlxbf funkcja mlxbf_i2c_init_resource() zwalnia tmp_res przed odczytaniem tmp_res->io, co prowadzi do użycia po zwolnieniu. Poprawka zapisuje kod błędu przed zwolnieniem.

W jądrze Linux w sterowniku xen/gntdev występuje problem z obsługą błędów w funkcji ioctl. Gdy kopiowanie wyniku do przestrzeni użytkownika nie powiedzie się, nie jest zwalniane odniesienie do mapowania, co prowadzi do wycieku pamięci i pozostawienia wpisu na liście. Dodatkowo indeks mapowania może być zmieniany, więc musi być pobierany po zakończeniu gntdev_add_map().

W jądrze Linux w module xfrm_interface brakuje wymogu CAP_NET_ADMIN w przestrzeni nazw sieciowych interfejsu podczas zmiany parametrów (changelink). Osoba z uprawnieniami tylko w jednej przestrzeni nazw może modyfikować interfejs w innej przestrzeni nazw, co narusza izolację.

W jądrze Linuxa odkryto podatność w sterownikach urządzeń znakowych TPM. Ze względu na pozostawione flagi FMODE_PREAD i FMODE_PWRITE, operacje odczytu/zapisu z przesunięciem (pread/pwrite) mogły prowadzić do odczytu poza zakresem pamięci sterty oraz zapisu zer poza zakresem. Problem rozwiązano przez wywołanie nonseekable_open(), co powoduje odrzucanie operacji pozycyjnych z błędem -ESPIPE.

W jądrze Linuxa wykryto podatność w sterowniku SPI dla układów i.MX (spi-imx). Gdy sterownik wybiera tryb DMA, ale nie może przygotować deskryptora DMA, następuje przełączenie na tryb PIO bez cofnięcia konfiguracji DMA, co prowadzi do uszkodzenia przesyłanych danych. Problem występuje m.in. na płytach i.MX8MP z TPM Infineon SLB9670, gdzie dane są przesunięte i urządzenie nie działa poprawnie.

W jądrze Linux w sterowniku spi-uniphier występuje problem z kolejnością inicjalizacji: funkcja devm_request_irq() jest wywoływana przed inicjalizacją kompletacji (completion) używanej przez procedurę obsługi przerwań. Może to prowadzić do wywołania complete() na niezainicjalizowanej kompletacji, co powoduje niezdefiniowane zachowanie (obserwowane przez KASAN).

W jądrze Linux w module NFS występuje problem z naliczaniem niestabilnych zapisów: funkcje nfs_folio_mark_unstable() i nfs_folio_clear_commit() obciążają liczniki NR_WRITEBACK/WB_WRITEBACK rozmiarem folio, a nie rozmiarem żądania. Gdy folio jest dzielone na wiele żądań, każde żądanie obciąża cały rozmiar folio, co prowadzi do zawyżenia liczników i może wymusić twarde ograniczenie zapisu dla wszystkich procesów.

W jądrze Linux w sterowniku nvme-apple na układzie Apple A11 występuje problem z tagami poleceń: tagi oczekujących poleceń muszą być unikalne w kolejkach admin i IO, w przeciwnym razie firmware ulega awarii z błędem "duplicate tag error". Brakuje obejścia dla A11, które istnieje dla M1.

W jądrze Linuxa w funkcji nvmet_sq_create() występuje wyciek referencji. Funkcja pobiera referencję na strukturę ctrl, ale w przypadku błędu w nvmet_check_sqid() zwraca błąd bez zwolnienia referencji. Poprawka polega na przeskoczeniu do etykiety 'ctrl_put', która wykonuje odpowiednie zwolnienie.

W jądrze Linuxa funkcja netdev_nl_napi_fill_one() raportuje PID wątku NAPI w globalnej przestrzeni nazw PID, zamiast w przestrzeni nazw PID wywołującego. Ponieważ polecenie NETDEV_CMD_NAPI_GET nie wymaga uprawnień administratora i działa w przestrzeniach nazw sieciowych, wywołujący w podrzędnej przestrzeni nazw PID widzi globalny PID, który powinien być 0. Poprawka tłumaczy PID na przestrzeń nazw wywołującego.

W jądrze Linuxa w module CAN ISO-TP występuje problem z synchronizacją RCU w funkcji isotp_release(). Gdy NETDEV_UNREGISTER jest wywoływany jako pierwszy, funkcja pomija synchronizację, co może prowadzić do anulowania timera podczas wykonywania isotp_rcv() i ponownego jego uzbrojenia, powodując użycie po zwolnieniu. Poprawka polega na zawsze wywoływaniu synchronize_rcu() przed anulowaniem timerów.

W jądrze Linux wykryto podatność use-after-free w module CAN ISO-TP (can/isotp). Problem występuje podczas równoczesnego wyrejestrowywania interfejsu sieciowego (NETDEV_UNREGISTER) i zamykania gniazda (isotp_release), co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linuxa w podsystemie CAN ISO-TP naprawiono podatność polegającą na braku synchronizacji stanów maszyny stanów transmisji (TX). Różne konteksty (sendmsg, ścieżka odbioru, timery) mogły działać na nieaktualnym stanie, co prowadziło do uszkodzenia niezwiązanych transferów. Poprawka polega na objęciu pełnego cyklu życia zgłoszenia TX blokadą so->rx_lock.

W jądrze Linuxa wykryto podatność w module CAN BCM (Broadcast Manager) prowadzącą do użycia po zwolnieniu (UAF) w timerze hrtimer. Problem wynika z pominięcia sprawdzenia flagi RX_NO_AUTOTIMER w szybkiej ścieżce odbioru pakietów, co pozwala na ponowne uzbrojenie timera po zaplanowaniu zwolnienia pamięci przez call_rcu(). Naprawa polega na przeniesieniu anulowania timerów i zwalniania pamięci do dedykowanej kolejki pracy (workqueue) oraz na utrzymaniu referencji do gniazda do czasu zakończenia tych operacji.

W jądrze Linux w module CAN BCM występuje wyścig (race condition) między odczytem pól bo->ifindex i bo->bound bez blokady a ich modyfikacją pod blokadą. Może to prowadzić do sytuacji, w której gniazdo powiązane z konkretnym interfejsem CAN zacznie też pasować do interfejsu 'dowolny'. Dodatkowo, funkcja bcm_rx_setup() może zwracać sukces, gdy urządzenie zniknie w trakcie, zamiast zgłosić błąd -ENODEV.

W jądrze Linux wykryto podatność w module CAN BCM (Broadcast Manager) polegającą na braku synchronizacji przy aktualizacji wartości timerów i filtrów. Jednoczesny dostęp do tych danych z wątków obsługujących ruch CAN może prowadzić do wyścigu, co skutkuje nieprawidłowym działaniem lub potencjalną eskalacją uprawnień.

W jądrze Linux w module CAN BCM brakuje poprawnych operacji listy RCU. Funkcje bcm_rx_setup() i bcm_tx_setup() nie używają list_add_rcu(), co może prowadzić do nieprawidłowej inicjalizacji struktury bcm_op podczas przeglądania listy przez bcm_proc_show(). Ponadto bcm_release() usuwa operacje bez list_del_rcu(), co może powodować problemy z synchronizacją.

W jądrze Linux w module CAN BCM rozszerzono użycie blokady bcm_tx_lock dla aktualizacji danych i timerów. Nowe dane ramek są najpierw walidowane w osobnym buforze, a dopiero potem kopiowane pod blokadą, co zapobiega obserwacji częściowo zaktualizowanych ramek. Dodano również obsługę błędów dla memcpy_from_msg() oraz przeniesiono aktualizacje timerów pod blokadę, eliminując rozdarcie odczytu 64-bitowych wartości na platformach 32-bitowych.

W jądrze Linux wykryto wyścig danych w module CAN BCM (Broadcast Manager) podczas jednoczesnego przetwarzania ramek CAN przez różne procesory. Problem dotyczy aktualizacji statystyk RX/TX, co mogło prowadzić do niespójnych danych w procfs. Poprawka wprowadza operacje atomowe i synchronizację w krytycznych sekcjach.

W jądrze Linux w module CAN BCM występuje wyścig danych na polach rx_stamp i rx_ifindex w funkcji bcm_rx_handler(). Dla operacji RX subskrybowanych na wszystkich interfejsach, funkcja może być wykonywana równolegle na różnych CPU, co prowadzi do niespójnych zapisów, w tym rozdarcia 64-bitowego znacznika czasu na platformach 32-bitowych. Poprawka umieszcza przypisanie tych pól w tej samej sekcji blokady, co porównanie zawartości.

W jądrze Linux w module CAN BCM występuje problem z nieaktualnymi operacjami RX/TX po usunięciu urządzenia. Dla RX, aktualizacja RX_SETUP mogła pominąć ponowną rejestrację filtra, gdy urządzenie zostało usunięte, co powodowało, że filtr nie był aktywny. Dla TX, funkcja bcm_notify() nie obsługiwała tx_ops, co prowadziło do niekończącego się ponawiania timera i możliwości wstrzykiwania ramek do później używanego ifindex.

W jądrze Linux w module CAN BCM dodano śledzenie pojedynczego interfejsu źródłowego dla operacji ANYDEV z limitem czasu lub ograniczeniem prędkości. Wcześniej, gdy ramki pasowały z różnych interfejsów, mogło dochodzić do wyścigów i uszkodzenia danych. Teraz pierwszy interfejs, który dostarczy pasującą ramkę, jest zapamiętywany, a ramki z innych interfejsów są odrzucane.

W jądrze Linux w module CAN BCM brakuje walidacji długości ramki w funkcji bcm_rx_setup() dla odpowiedzi RTR. Funkcja bcm_tx_setup() sprawdza długość ramki, ale bcm_rx_setup() tego nie robi, co może prowadzić do nieprawidłowych danych.

W jądrze Linux w module CAN BCM brakuje odpowiedniego zliczania referencji urządzenia podczas usuwania filtra CAN. Funkcje bcm_release(), bcm_delete_rx_op() i bcm_notifier() polegały na ponownym wyszukiwaniu urządzenia po ifindex, co mogło zawieść przy równoczesnym wyrejestrowaniu urządzenia, pozostawiając nieaktualny filtr. Poprawka dodaje trzymanie referencji na op->rx_reg_dev od momentu rejestracji filtra do jego wyrejestrowania.

W jądrze Linuxa odkryto podatność w mechanizmie io_uring/bpf-ops, która pozwala na ponowną rejestrację już związanego zestawu operacji BPF. Atakujący z uprawnieniami CAP_BPF i CAP_PERFMON może doprowadzić do użycia po zwolnieniu (use-after-free) w kontekście io_uring, co może skutkować eskalacją uprawnień lub awarią systemu.

W jądrze Linuxa weryfikator BPF nie resetuje granic rejestru przed zawężeniem zakresu wartości zwracanej przez hook LSM, co może prowadzić do rozbieżności między weryfikacją a rzeczywistym wykonaniem. Atakujący może wykorzystać tę lukę do obejścia zabezpieczeń pamięci BPF.

W jądrze Linuxa podczas procesu fork() pole bpf_storage w strukturze zadania może nie zostać zainicjalizowane przed pewnymi ścieżkami błędu, co prowadzi do użycia niezainicjalizowanego wskaźnika. Może to powodować zawieszenie systemu lub użycie po zwolnieniu (UAF).

W jądrze Linuxa w sterowniku sieciowym sparx5, jeśli alokacja kolejki pracy zakończy się niepowodzeniem, rejestracja notyfikatora blokującego nie jest cofnięta, co prowadzi do wycieku zasobów. Może to skutkować niestabilnością systemu lub awarią.

W jądrze Linux w module dm thin metadata wykryto podatność polegającą na niespójności metadanych podczas awarii zatwierdzania (commit) operacji rezerwacji lub zwalniania migawki metadanych. Modyfikacje pola held_root w superbloku są zapisywane bezpośrednio w buforze, a w przypadku niepowodzenia transakcji trafiają na dysk, powodując uszkodzenie metadanych.

W jądrze Linuxa w module dm-era występuje błąd poza zakresem pamięci przy niezerowym sektorze startowym. Obliczenia bloku zapisu nie uwzględniają offsetu, co może prowadzić do odczytu poza przydzieloną pamięcią (wykrywane przez KASAN).

W jądrze Linuxa w module dm-ioctl występuje możliwość przepełnienia bufora w funkcji list_version_get_info. Kod zapisuje 16 bajtów do bufora o rozmiarze 12 bajtów, co może prowadzić do przepełnienia bufora.

W jądrze Linuxa w module dm-log występuje przepełnienie zmiennej bitset_size na maszynach 32-bitowych. Zaokrąglenie region_count do wielokrotności BITS_PER_LONG może spowodować zawinięcie do zera, co prowadzi do nieprawidłowej alokacji pamięci.

W jądrze Linuxa w module dm-pcache parser opcji nie sprawdza, czy każda opcja ma wartość, co może prowadzić do dereferencji wskaźnika NULL. Nieprawidłowo skonfigurowana tabela może spowodować awarię systemu.

W jądrze Linuxa w module dm występuje wyciek klucza sesji (thread keyring) wywołującego przez plik urządzenia tabeli. Powoduje to, że klucz woluminu LUKS pozostaje w pamięci po operacji luksSuspend, co może umożliwić jego odzyskanie.

W jądrze Linux w funkcji dm_early_create występuje błąd polegający na próbie zwolnienia już użytej tabeli, gdy funkcja dm_resume zakończy się niepowodzeniem. Tabela została już zainicjowana przez dm_swap_table, a kod próbuje ją ponownie zniszczyć, co może prowadzić do nieprawidłowego działania. Poprawka pomija wywołanie dm_table_destroy w tym przypadku.

W jądrze Linux w module dm-integrity występuje błąd powodujący wyciek niezainicjalizowanej pamięci jądra. Gdy rozmiar hasha jest mniejszy niż rozmiar krotki urządzenia, dm-integrity powinno wyzerować pozostałe miejsce, ale z powodu błędu zerowanie nie działa. Poprawka naprawia ten problem.

W jądrze Linux w module dm-integrity występuje błąd, który może prowadzić do zakleszczenia. Gdy funkcja dm_integrity_check_limits zakończy się niepowodzeniem, kod wychodzi z DM_MAPIO_KILL, ale zakres jest już zablokowany i nie jest odblokowywany. Poprawka przenosi sprawdzenie limitów wcześniej, aby uniknąć wycieku zasobów.

W jądrze Linux w module dm-integrity występuje błąd polegający na podwójnym zwiększaniu zmiennej hash_offset. Zmienna jest już zwiększana w pętli, a kod zwiększa ją ponownie, co prowadzi do nieprawidłowego działania. Poprawka usuwa dodatkowe zwiększenie.

W jądrze Linux w module dm-verity występuje możliwość wyłuskania wskaźnika NULL w funkcji dm_verity_loadpin_is_bdev_trusted, gdy urządzenie nie ma tabeli. Poprawka naprawia ten problem.

W jądrze Linux w module dm-verity licznik błędów nie był atomowy, co może prowadzić do wyścigów. Z tego powodu wywołanie dm_audit_log_target("max-corrupted-errors") może zostać pominięte. Poprawka czyni licznik atomowym.

W jądrze Linux funkcja dma_fence_dedup_array() zwraca 1, gdy wywołana z liczbą 0, co jest niezgodne z dokumentacją i może prowadzić do wyłuskania niezainicjalizowanego wskaźnika w amdgpu_userq_wait_*(). Poprawka sprawia, że funkcja zwraca 0 dla pustej tablicy.

W jądrze Linux w module dma-buf/dma-fence występuje potencjalne wyłuskanie wskaźnika NULL z powodu nieprawidłowej kolejności operacji na platformach o słabym modelu pamięci. Poprawka zastępuje sprawdzanie bitu signaled-bit synchronizacją na wskaźniku ops.

W jądrze Linux w module accel/amdxdna występuje błąd use-after-free w funkcji amdxdna_gem_dmabuf_mmap(). Gdy vm_insert_pages() zawiedzie, ścieżka błędu wywołuje close, który zwalnia obiekt GEM, a następnie kod ponownie go zwalnia, co prowadzi do dostępu do zwolnionej pamięci. Poprawka polega na bezpośrednim powrocie z close_vma.

W jądrze Linux w sterowniku accel/amdxdna funkcja amdxdna_cmd_submit() wywołuje wskaźnik cmd_submit bez sprawdzenia, czy jest zdefiniowany. Dla urządzeń AIE4 (aie4_vf_ops) ten wskaźnik jest pusty, co prowadzi do wywołania przez ioctl AMDXDNA_EXEC_CMD pustego wskaźnika funkcji i awarii jądra (oops). Poprawka polega na odrzuceniu zgłoszenia z kodem -EOPNOTSUPP, gdy urządzenie nie udostępnia operacji cmd_submit.

W jądrze Linux w sterowniku accel/amdxdna funkcja amdxdna_drm_submit_execbuf() przekazuje uchwyt BO polecenia bez sprawdzenia, czy jest prawidłowy. Gdy uchwyt jest AMDXDNA_INVALID_BO_HANDLE (0), polecenie jest wysyłane z pustym wskaźnikiem cmd_bo, co prowadzi do wyłuskania pustego wskaźnika w wątku DRM schedulera i awarii jądra. Poprawka odrzuca nieprawidłowy uchwyt dla zgłoszeń użytkownika.