Podatności Linux kernel

W jądrze Linux w sterowniku accel/amdxdna funkcja amdxdna_drm_sync_bo_ioctl() przy operacji SYNC_DIRECT_FROM_DEVICE przekazuje do amdxdna_hwctx_sync_debug_bo() wskaźnik client z obiektu BO, zamiast wskaźnika z pliku ioctl. To powoduje użycie niewłaściwego klienta jako przestrzeni nazw dla debug_bo_hdl i właściciela xarray kontekstu sprzętowego, co może prowadzić do błędów synchronizacji. Poprawka przekazuje filp->driver_priv.

W jądrze Linux w sterowniku accel/ivpu funkcja fw_log_from_bo() nie sprawdza, czy rozmiar logu jest co najmniej równy rozmiarowi nagłówka. Gdy log ma mniejszy rozmiar, fw_log_print_buffer() oblicza data_size z niedomiarem (underflow), co prowadzi do odczytu poza mały obszar danych BO. Rozmiar 0 powoduje również zapętlenie. Poprawka odrzuca logi o rozmiarze mniejszym niż nagłówek.

W jądrze Linux w sterowniku scsi: hpsa na ścieżce resetu IOACCEL2 występuje wyciek mapowania DMA. Gdy phys_disk->in_reset jest ustawione, funkcja zwraca bez zwalniania zasobów nabytych dla polecenia. Poprawka dodaje brakujące czyszczenie: odmapowanie łańcucha SG, odmapowanie polecenia SCSI i zmniejszenie licznika oczekujących poleceń.

W jądrze Linux w sterowniku scsi: lpfc w funkcji lpfc_sli4_driver_resource_setup() występuje wyciek pamięci. Pamięć przydzielona dla mboxq za pomocą mempool_alloc() nie jest zwalniana w niektórych ścieżkach błędów wczesnego wyjścia. Poprawka przenosi wywołanie mempool_free() wcześniej, po ostatnim użyciu.

W jądrze Linux w sterowniku scsi: xen: scsiback na ścieżce błędu przesyłania TMR występuje wyciek tagu polecenia. Gdy target_submit_tmr() zwraca błąd, skok do etykiety err wysyła odpowiedź, ale nie zwalnia tagu. Poprawka używa pomocniczej funkcji zwracającej tylko tag.

W jądrze Linux w sterowniku SCSI elx efct wykryto wyciek referencji w funkcji efct_hw_io_abort(). Gdy alokacja znacznika żądania nie powiedzie się, ścieżka błędu zwraca -ENOSPC bez zwolnienia referencji uzyskanej wcześniej przez kref_get_unless_zero(), co prowadzi do trwałego wycieku referencji na obiekcie io_to_abort. Dodatkowo flaga abort_in_progress pozostaje ustawiona na true, co blokuje przyszłe próby przerwania tego samego I/O.

W jądrze Linux w sterowniku SCSI elx efct wykryto wyciek I/O w funkcji efct_dispatch_fcp_cmd(). Funkcja alokuje efct_io przed wysłaniem niechcianego polecenia FCP, ale jeśli polecenie ma nieobsługiwany dodatkowy CDB, zwraca -EIO bez zwolnienia zaalokowanego I/O.

W jądrze Linux w podsystemie resctrl wykryto podatność use-after-free podczas odmontowywania systemu plików. Konkurencyjny czytelnik pliku zdarzeń monitorowania może uzyskać dostęp do już zwolnionej pamięci, ponieważ flaga RDT_DELETED nie jest ustawiana dla domyślnej grupy zasobów. Poprawka ustawia tę flagę bezwarunkowo i zapobiega ponownemu montowaniu, gdy istnieją oczekujący czytelnicy.

W jądrze Linux w sterowniku Input ims-pcu wykryto podatność use-after-free i podwójnego zwolnienia w funkcji ims_pcu_disconnect(). Funkcja polega na klasie interfejsu do rozróżnienia interfejsu sterowania od interfejsu danych, co może zostać wykorzystane przez złośliwe urządzenie do przedwczesnego czyszczenia i potencjalnego use-after-free lub podwójnego zwolnienia.

W jądrze Linux w sterowniku Input ims-pcu brakuje walidacji typu punktu końcowego interfejsu sterowania. Sterownik zakłada, że pierwszy punkt końcowy jest punktem końcowym przerwań IN, bez weryfikacji. Złośliwe urządzenie może dostarczyć inny typ punktu końcowego, co może prowadzić do ostrzeżeń jądra lub niezdefiniowanego zachowania.

W jądrze Linux w sterowniku Input ims-pcu wykryto wyciek pamięci w funkcji aktualizacji asynchronicznej. Obiekt firmware nie był zwalniany, jeśli walidacja nie powiodła się. Poprawka używa __free(firmware), aby zapewnić zwolnienie firmware.

W jądrze Linux w sterowniku Input ims-pcu wykryto odczyt poza zakresem w funkcji ims_pcu_irq() podczas logowania debug. Logowanie debug bezwarunkowo wypisuje dane z pcu->urb_in_buf, ale jeśli przerwanie dotyczy pcu->urb_ctrl, dane znajdują się w pcu->urb_ctrl_buf. Jeśli actual_length dla kontrolnego URB przekracza pcu->max_in_size, prowadzi to do odczytu poza zakresem.

W jądrze Linux w sterowniku Input ims-pcu wykryto wyścig w funkcji zwrotnej sysfs reset_device. Funkcja ims_pcu_reset_device() wywołuje ims_pcu_execute_command() bez uzyskania pcu->cmd_mutex, co może prowadzić do wyścigów danych i uszkodzenia współdzielonego bufora poleceń, jeśli jest wywoływana równocześnie z innymi poleceniami.

W jądrze Linux w sterowniku Input ims-pcu wykryto podatność typu confusion w parsowaniu deskryptora unii CDC. Sterownik ufa bMasterInterface0 z deskryptora unii CDC bez weryfikacji, czy odpowiada on interfejsowi, który jest sondowany. Może to prowadzić do nadpisania danych prywatnych innego interfejsu.

W sterowniku vub300 dla kart MMC wykryto podatność use-after-free podczas nieudanego dodawania hosta. Błąd wynika z pominięcia mechanizmu zarządzania czasem życia (kref) w ścieżce błędów po uruchomieniu timera nieaktywności, co może prowadzić do użycia zwolnionej pamięci.

W sterowniku mlx5e dla kart sieciowych Mellanox wykryto podatność use-after-free w obsłudze MACsec. Usunięcie RX SC (Receive Secure Channel) zwalniało obiekt metadata_dst bez uwzględnienia licznika referencji, co mogło prowadzić do użycia zwolnionej pamięci przez równoległy proces odbierania pakietów. Dodatkowo, publikacja elementu w tablicy xarray przed inicjalizacją metadata_dst mogła ujawnić niepełne dane.

W jądrze Linux wykryto podatność use-after-free w funkcji user_event_mm_dup() dotyczącej mechanizmu user_events. Problem pojawia się podczas fork(), gdy lista enablerów jest przeglądana bez blokady, a równocześnie inny wątek usuwa enabler, co prowadzi do użycia zwolnionej pamięci. Atakujący nieuprzywilejowany może wywołać ten błąd, co skutkuje awarią systemu lub potencjalną eskalacją uprawnień.

W jądrze Linux w sterowniku libertas_tf występuje podatność use-after-free w funkcji lbtf_free_adapter(). Funkcja ta wywołuje timer_delete() zamiast timer_delete_sync(), co nie czeka na zakończenie wywołania zwrotnego timera, które może odwoływać się do już zwolnionej pamięci podczas usuwania urządzenia.

W jądrze Linux w mechanizmie posix-cpu-timers występuje błąd mnożenia w funkcji update_rlimit_cpu(). Na 32-bitowych jądrach mnożenie wartości limitu CPU przez NSEC_PER_SEC jest wykonywane w 32-bitowym typie, co prowadzi do obcięcia wartości dla limitów >= 5 sekund i błędnego zaprogramowania timera procesora.

W jądrze Linux w mechanizmie hotplug CPU występuje błąd w funkcji cpuhp_invoke_callback(), który powoduje ukrycie oryginalnego błędu podczas wycofywania wcześniejszych wywołań zwrotnych. Zmienna ret jest ponownie używana do przechowywania wyniku wycofania, co może maskować pierwotny błąd.

W jądrze Linux w mechanizmie hotplug CPU występuje podatność przepełnienia bufora w funkcji states_show(). Funkcja ta zapisuje nazwy stanów hotplug do bufora sysfs za pomocą sprintf(), co może zapisać poza koniec bufora PAGE_SIZE przy dużej liczbie zarejestrowanych stanów.

W jądrze Linux w sterowniku GPIO dla Tegra wykryto podatność polegającą na wywoływaniu funkcji pinctrl do ustawiania kierunku GPIO, mimo że sterownik GPIO programuje rejestry kierunku bezpośrednio. To zbędne wywołanie wchodzi do rdzenia pinctrl i może spać w kontekście atomowym, gdy użytkownicy współdzielący GPIO trzymają spinlock. Problem został potwierdzony przez narzędzie analizy statycznej i ręczny przegląd kodu.

W jądrze Linux w sterowniku GPIO dla MT7621 pola współdzielone dla banku, takie jak 'rising' i 'falling', są modyfikowane za pomocą nieatomowych operacji odczyt-zmiana-zapis. Przy równoczesnym wywołaniu dla różnych przerwań na tym samym banku może dojść do nadpisania konfiguracji. Dodano blokadę 'gpio_generic_lock_irqsave' w celu ochrony tych pól.

W jądrze Linux w sterowniku SIT (IPv6-in-IPv4) funkcja ipip6_changelink() nie sprawdzała uprawnień CAP_NET_ADMIN w przestrzeni nazw sieci tunelu. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale bez uprawnień w przestrzeni nazw tunelu, mogła modyfikować tunel. Dodano sprawdzenie rtnl_dev_link_net_capable() na początku funkcji.

W jądrze Linux w sterowniku TI ICSSG funkcja icssg_ndo_get_stats64() wywołuje emac_get_stat_by_name() bez sprawdzenia, czy blok statystyk PA jest obecny. Gdy wskaźnik pa_stats jest NULL, generowane są tysiące wpisów w logach oraz dochodzi do uszkodzenia liczników rx_errors, rx_dropped i tx_dropped. Dodano odpowiednie zabezpieczenie.

W jądrze Linux w sterowniku WWAN T7xx funkcja t7xx_cldma_late_init() tworzy pulę DMA przed inicjalizacją pierścieni TX i RX. Jeśli inicjalizacja pierścieni nie powiedzie się, pula DMA nie jest zwalniana, co prowadzi do wycieku pamięci. Dodano zniszczenie puli DMA na ścieżce błędu.

W jądrze Linux w sterowniku ixp4xx_hss funkcja ixp4xx_hss_probe() alokuje dwa urządzenia sieciowe HDLC, ale rejestruje jedno, a usuwa drugie. Prowadzi to do wycieku pamięci i nieprawidłowego usuwania. Poprawka polega na alokacji tylko jednego urządzenia i przypisaniu go do port->netdev.

W jądrze Linux w module act_ct funkcja tcf_ct_handle_fragments() nie zapisuje i nie przywraca bufora sterującego skb->cb podczas defragmentacji. Powoduje to utratę metadanych qdisc, takich jak pkt_segs, i może wywołać ostrzeżenie WARN_ON_ONCE(). Dodano zapis i przywracanie tc_skb_cb.

W jądrze Linux w sterowniku ENA funkcja create_queues_with_size_backoff() tworzy kolejki XDP TX przed konfiguracją zwykłych kolejek TX. Jeśli konfiguracja zwykłych kolejek nie powiedzie się, kolejki XDP TX nie są usuwane, co prowadzi do wycieku zasobów. Dodano jawne niszczenie kolejek XDP TX w dwóch brakujących punktach błędu.

W jądrze Linux w sterowniku IP6VTI funkcja vti6_changelink() nie sprawdzała uprawnień CAP_NET_ADMIN w przestrzeni nazw sieci tunelu. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale bez uprawnień w przestrzeni nazw tunelu, mogła modyfikować tunel. Dodano sprawdzenie rtnl_dev_link_net_capable() na początku funkcji.

W jądrze Linux w sterowniku IPVTI funkcja vti_changelink() nie sprawdzała uprawnień CAP_NET_ADMIN w przestrzeni nazw sieci tunelu. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale bez uprawnień w przestrzeni nazw tunelu, mogła modyfikować tunel. Dodano sprawdzenie rtnl_dev_link_net_capable() na początku funkcji.

W jądrze Linux w sterowniku IPIP funkcja ipip_changelink() nie sprawdzała uprawnień CAP_NET_ADMIN w przestrzeni nazw sieci tunelu. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale bez uprawnień w przestrzeni nazw tunelu, mogła modyfikować tunel. Dodano sprawdzenie rtnl_dev_link_net_capable() na początku funkcji.

W jądrze Linuxa w sterowniku ip6_gre stwierdzono podatność polegającą na braku wymogu CAP_NET_ADMIN w przestrzeni nazw sieci tunelu podczas operacji changelink. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale bez uprawnień w przestrzeni nazw tunelu, może modyfikować tunel działający w innej przestrzeni nazw.

W jądrze Linuxa w sterowniku ip6_tunnel stwierdzono podatność polegającą na braku wymogu CAP_NET_ADMIN w przestrzeni nazw sieci tunelu podczas operacji changelink. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale bez uprawnień w przestrzeni nazw tunelu, może modyfikować tunel działający w innej przestrzeni nazw.

W jądrze Linuxa w sterowniku octeontx2-af stwierdzono wyciek pamięci w funkcji nix_setup_bpids(). Jeśli alokacja tablic mapowania BPID za pomocą devm_kcalloc() nie powiedzie się, funkcja zwraca błąd bez zwolnienia wcześniej przydzielonej bitmapy BPID.

W jądrze Linuxa odkryto podatność w legacy interfejsie netlink dla standardu IEEE 802.15.4. Operacje zrzutu (dump) list kluczy LLSEC w rodzinie IEEE802154_NL nie miały ustawionego wymaganego uprawnienia administracyjnego, co pozwalało każdemu lokalnemu użytkownikowi na odczyt surowych 16-bajtowych kluczy AES-128 z tabeli kluczy jądra. Problem dotyczy tylko starszego (legacy) API, podczas gdy nowoczesna rodzina nl802154 jest poprawnie zabezpieczona.

W jądrze Linuxa w sterowniku ca8210 (IEEE 802.15.4) stwierdzono wyciek pamięci w funkcji ca8210_spi_transfer(). Przy niepowodzeniu wywołania spi_async() nie jest wywoływany callback kończący, co prowadzi do utraty przydzielonego bufora cas_ctl. W warunkach ciągłego przeciążenia magistrali SPI każda iteracja ponawiania powoduje wyciek około 600 bajtów.

W jądrze Linuxa w sterowniku ca8210 (IEEE 802.15.4) stwierdzono podatność polegającą na obcinaniu wskaźnika podczas przesyłania przez kfifo na systemach 64-bitowych. Funkcje ca8210_test_int_driver_write() i ca8210_test_int_user_read() przekazują wskaźnik do bufora przez kfifo, ale używają stałej liczby 4 bajtów, co na 64-bitach powoduje zapis tylko 4 z 8 bajtów wskaźnika. Odczytywane są 4 bajty do 8-bajtowej zmiennej, pozostawiając górne 4 bajty niezainicjalizowane, co prowadzi do dereferencji losowego adresu i awarii systemu.

W jądrze Linuxa w sterowniku octeontx2-af (cn10k) stwierdzono podatność polegającą na braku walidacji pola base_pcifunc w funkcji rvu_mbox_handler_lmtst_tbl_setup(). Umożliwia to funkcji VF odczytanie adresu fizycznego LMTLINE innej funkcji, jeśli base_pcifunc wskazuje na funkcję spoza jej własnej przestrzeni PF. Poprawka odrzuca żądanie z błędem -EPERM, gdy base_pcifunc nie jest prawidłową funkcją w obrębie własnego PF.

W jądrze Linux na architekturze LoongArch wykryto podatność związaną z utratą śledzenia brudnych stron (dirty pages) w funkcjach pte_wrprotect() i pmd_wrprotect(). Gdy sprzętowy chodzik po tablicach stron (PTW) jest włączony, może ustawić bit _PAGE_DIRTY bez ustawiania bitu _PAGE_MODIFIED, co prowadzi do utraty informacji o modyfikacji strony podczas operacji copy-on-write (fork). W rezultacie strona może zostać uznana za czystą i zwolniona bez zapisu, co powoduje uszkodzenie danych.

W jądrze Linux w podsystemie IPMI występuje podatność polegająca na zmniejszeniu licznika referencji użytkownika podczas dostarczania zdarzeń. W przypadku niepowodzenia dostarczenia, ścieżka wycofania nadmiernie dekrementuje licznik referencji, co może prowadzić do użycia po zwolnieniu lub ostrzeżenia refcount_t.

W jądrze Linux w podsystemie IPMI występuje podatność polegająca na wycieku referencji w funkcji i_ipmi_request(). Gdy wywołujący dostarcza wiadomość supplied_recv, a później wystąpi błąd, ścieżka czyszczenia nie zwalnia referencji, co prowadzi do trwałego wycieku.

W jądrze Linux w sterowniku bnx2x występuje podatność polegająca na potencjalnym wycieku pamięci w funkcji bnx2x_alloc_mem_bp(). Jeśli alokacja fp[i].tpa_info nie powiedzie się, ścieżka błędu nie zwalnia wcześniej zaalokowanej struktury bnx2x_fastpath, ponieważ nie jest ona jeszcze powiązana ze strukturą bp.

W jądrze Linux w sterowniku liquidio występuje podatność polegająca na wycieku zasobów BAR, gdy funkcja cn23xx_get_pf_num() nie powiedzie się. Funkcja zwraca bez odmapowania żadnego z BAR-ów, co prowadzi do wycieku zasobów.

W jądrze Linux w sterowniku lan743x występuje podatność polegająca na użyciu niezainicjalizowanego spinlocka eth_syslock przed jego inicjalizacją. Funkcja lan743x_hardware_init() wywołuje pci11x1x_strap_get_status(), która używa spinlocka, ale jest on inicjalizowany dopiero po odczycie statusu strap.

W jądrze Linux w schedulerze sieciowym sch_multiq występuje podatność polegająca na bezpośrednim wywołaniu dequeue zamiast użycia peek i qdisc_dequeue_peeked. Gdy dziecko nie jest work-conserving, bezpośrednie wywołanie dequeue może prowadzić do desynchronizacji qlen/backlog i potencjalnego paniki jądra.

W jądrze Linux w schedulerze sieciowym sch_taprio występuje podatność polegająca na bezpośrednim wywołaniu dequeue zamiast użycia peek i qdisc_dequeue_peeked. Gdy dziecko nie jest work-conserving, bezpośrednie wywołanie dequeue może prowadzić do desynchronizacji qlen/backlog i potencjalnego paniki jądra.

W jądrze Linux w funkcji capable_wrt_mount() występuje podatność polegająca na braku odrzucania odłączonych montowań. Jeśli montowanie zostanie odłączone między sprawdzeniami, funkcja może dereferencjonować NULL, co prowadzi do paniki jądra.

W jądrze Linux w sterowniku mlx5 HWS występuje wyciek pamięci podczas nieudanej konfiguracji celu zmiany rozmiaru macierzy. Gdy funkcja mlx5hws_matcher_resize_set_target() zawiedzie, zastępcza macierz nie jest nigdzie dołączana i pozostaje niezwolniona. Poprawka polega na zniszczeniu zastępczej macierzy przed powrotem ze ścieżki błędu.

Dysk SSD PNY CS900 1TB (kontroler Phison PS3111-S11, bez DRAM) znika z magistrali po wejściu w tryb uśpienia inicjowany przez urządzenie. Przy domyślnej polityce med_power_with_dipm łącze przestaje działać i nie wraca do stanu aktywnego, co wymusza przejście systemu plików w tryb tylko do odczytu. Dodano quirk NOLPM, aby wyłączyć zarządzanie energią łącza dla tego konkretnego dysku.