Podatności Linux kernel

W jądrze Linux w podsystemie libata-core występuje podatność polegająca na nieprawidłowej walidacji liczby deskryptorów zakresów równoległego pozycjonowania (concurrent positioning ranges). Urządzenie może zgłosić liczbę większą niż faktyczny rozmiar dziennika, co prowadzi do przepełnienia bufora odczytu (do 7704 bajtów poza 512-bajtowym obszarem) oraz przepełnienia bufora odpowiedzi VPD B9h przy liczbie powyżej 62. Poprawka ogranicza liczbę podczas wykrywania urządzenia i odrzuca nieprawidłowe wartości.

W jądrze Linux w sterowniku iosm dla modemów WWAN wykryto podatność polegającą na braku walidacji przesunięć i długości dostarczanych przez modem w dekoderze MUX downlink. Atakujący modem może spowodować odczyt poza granicami bufora (out-of-bounds read) oraz zapętlenie się dekodera, co prowadzi do awarii systemu lub wycieku danych.

W jądrze Linux dla architektury RISC-V występuje błąd w trampolinie rethook, który powoduje awarię podczas odczytu słowa ze stosu w kretprobe. Rejestr sp nie jest zapisywany w struct pt_regs, co prowadzi do nieprawidłowego adresu i paniki jądra. Poprawka zapisuje oryginalny sp wraz z innymi rejestrami, używając a0 jako rejestru tymczasowego.

W jądrze Linux w module kompakcji pamięci (mm/compaction) funkcja compaction_free() nie obsługuje poprawnie przypadku niepowodzenia free_pages_prepare(). Strony, które nie przeszły przygotowania, nie powinny być dodawane z powrotem do listy cc->freepages, ponieważ mogą być oznaczone jako PageHWPoison lub free_page_is_bad(), co może prowadzić do uszkodzenia danych.

W jądrze Linux w podsystemie irqchip/irq-riscv-imsic-early występuje wyciek pamięci fwnode podczas nieudanej konfiguracji stanu IMSIC. Funkcja imsic_early_acpi_init() alokuje węzeł firmware przed konfiguracją, a w przypadku błędu nie zwalnia go. Poprawka dodaje wspólną ścieżkę czyszczenia, aby zwolnić fwnode i wyczyścić globalny wskaźnik.

W jądrze Linux w sterowniku s390/monwriter brakuje sprawdzenia, czy długość danych w ponownie używanym buforze nie została zmieniona. Złośliwy użytkownik mógłby zmienić długość, co prowadzi do zapisu poza granicami bufora jądra i uszkodzenia pamięci. Domyślnie urządzenie misc monwriter ma uprawnienia tylko dla roota, więc praktyczne ryzyko jest niskie.

W jądrze Linux w podsystemie mac802154 usuwanie interfejsów odbywa się bez użycia RCU, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas asynchronicznego zakończenia transmisji. Poprawka zmienia list_del() na list_del_rcu(), aby zapewnić bezpieczne usuwanie w kontekście RCU.

W jądrze Linux w sterowniku octeontx2-pf występuje wyciek pamięci wskaźników SQB podczas nieudanej inicjalizacji. Funkcja otx2_init_hw_resources() nie zwalnia tablic sqb_ptrs w przypadku błędu, co prowadzi do wycieku pamięci. Poprawka używa otx2_free_sq_res() do prawidłowego zwolnienia zasobów.

W jądrze Linux w funkcji llc_ui_autobind() występuje wyciek referencji SAP. Po udanym autobindzie nie jest zwalniana referencja wywołującego, co prowadzi do wyczerpania dynamicznych wartości SAP i błędów -EUSERS przy kolejnych autobindach. Poprawka usuwa referencję po udanym autobindzie, zgodnie z modelem llc_ui_bind().

W jądrze Linux w podsystemie IPVS funkcja set_sctp_state() nieprawidłowo oblicza offset dla pakietów IPv6 SCTP z nagłówkami rozszerzeń, co prowadzi do błędnego stanu maszyny stanowej. Poprawka używa przetworzonego offsetu transportowego przekazanego z ip_vs_set_state(), aby poprawnie odczytać nagłówek SCTP.

W jądrze Linux w funkcji macsec_encrypt() odczytywany jest niezainicjalizowany nagłówek MAC, co prowadzi do odczytu poza granicami pamięci (12-bajtowy over-read) i wycieku danych na zewnątrz. Poprawka używa skb_eth_hdr() zamiast eth_hdr(), aby poprawnie uzyskać nagłówek L2.

W jądrze Linux w sterowniku dibs loopback funkcja move_data() nie sprawdza, czy offset i rozmiar nie przekraczają długości bufora DMB, co może prowadzić do zapisu poza granicami pamięci. Poprawka dodaje jawne sprawdzenie granic przed memcpy, zwracając -EINVAL dla nieprawidłowych żądań.

W jądrze Linux w sterowniku net: macb występuje wyciek pamięci dla wysyłanych pakietów (SKB), które nie zostały oznaczone jako zakończone. Funkcja macb_free_consistent() nie zwalnia tych pakietów, co prowadzi do wycieku pamięci. Poprawka dodaje zwalnianie tych pakietów podczas zamykania interfejsu.

W jądrze Linux wykryto podatność w funkcji cpuhp_smt_enable(), która powoduje ostrzeżenie o NULL kobject podczas wywoływania sysfs_create_group(). Problem występuje na architekturze arm64 przy starcie z parametrem maxcpus większym niż liczba fizycznie obecnych procesorów, gdy procesory oznaczone jako 'present' nie zostały jeszcze zarejestrowane. Naprawa polega na sprawdzaniu flagi ACPI_MADT_ENABLED przed ustawieniem CPU jako present oraz na właściwym zarządzaniu maską present w acpi_map_cpu() i acpi_unmap_cpu().

W jądrze Linux w module resctrl występuje podwójne zwolnienie identyfikatora RMID dla pseudo-zablokowanej grupy. Podczas odmontowania funkcja rmdir_all_sub() bezwarunkowo zwalnia wszystkie RMID, co prowadzi do podwójnego dodania tego samego RMID do listy wolnych.

W jądrze Linux dla architektury RISC-V występuje podatność na dereferencję wskaźnika NULL w funkcji machine_kexec_prepare(). Wskaźnik image->segment[i].buf może być NULL i jest kopiowany bez sprawdzenia, co może prowadzić do awarii systemu.

W jądrze Linux w module tracing/osnoise brakuje wywołania synchronize_rcu() podczas wyrejestrowywania. Może to prowadzić do użycia po zwolnieniu, gdy czytelnicy RCU nadal przeglądają listę instancji.

W jądrze Linux dla architektury s390 w funkcji memtop_get_page_count() brakuje wywołania array_index_nospec(), co pozwala na spekulacyjne wykonanie z kontrolowaną przez użytkownika wartością 'level' używaną do odczytu z tablicy.

W jądrze Linux w module cgroup/cpuset występuje błąd dzielenia przez zero podczas ponownego wiązania polityki pamięci (mempolicy) z flagą MPOL_F_RELATIVE_NODES w odpowiedzi na zdarzenie hotplug CPU. Problem wynika z użycia cs->mems_allowed zamiast cs->effective_mems.

W jądrze Linux w module pmdomain dla i.MX93 występuje problem współdzielenia bitów sterujących zegarem i resetem między domenami DSI i CSI. Może to prowadzić do nieprawidłowego zachowania, gdy jedna domena wyłącza współdzielone zasoby, a druga jest nadal aktywna.

W jądrze Linux w module pmdomain dla MediaTek występuje możliwość dereferencji wskaźnika NULL podczas czyszczenia lub sprawdzania stanu domen zasilania typu HW_VOTER. Funkcje są wywoływane bez sprawdzenia typu domeny, co może prowadzić do awarii systemu.

W jądrze Linux w module pmdomain dla i.MX8MP występuje problem z sekwencją włączania zasilania VC8000E. Zgodnie z erratą, konieczne jest wyłączenie zegara przed włączeniem zasilania i włączenie go po, aby uniknąć zawieszenia handshake.

W jądrze Linux w sterowniku mlx5 występuje wyciek pamięci przy wielokrotnym przydzielaniu i zwalnianiu mkeys z hintami TPH. Po usunięciu wpisu z idx_xa nie zwalniano struktury mlx5_st_idx_data, co prowadzi do narastania wycieku.

W sterowniku rt2x00 w jądrze Linux, funkcja rt2x00lib_probe_dev() używa pełnej ścieżki usuwania dla wszystkich błędów podczas inicjalizacji, nawet gdy nie zainicjalizowano jeszcze struktur pracy (work). Może to prowadzić do nieprawidłowego działania i zgłoszeń DEBUG_OBJECTS.

W jądrze Linux w funkcji ieee80211_register_hw() występuje wyciek pamięci, gdy kopiowanie struktur pasm (kmemdup) nie powiedzie się. Ścieżka błędu pomija inicjalizację rate control, co prowadzi do wycieku local->rate_ctrl.

W sterowniku brcmfmac w jądrze Linux występuje przepełnienie sterty przy przetwarzaniu krótkich ramek uwierzytelniających. Długość ramki może być mniejsza niż nagłówek zarządzania, co powoduje zawinięcie arytmetyki i kopiowanie ogromnej ilości danych poza bufor.

W jądrze Linux w sterowniku Bluetooth btrtl występuje podatność na nieprawidłowe sprawdzanie granic poprawek firmware. Zbyt krótka poprawka może spowodować niedomiar arytmetyczny i prowadzić do nadmiernego odczytu/zapisu podczas inicjalizacji Bluetooth.

W jądrze Linux w sterowniku memstick ms_block występuje podatność na zapis poza tablicę, gdy karta zgłasza zbyt dużą liczbę bloków. Może to prowadzić do uszkodzenia struktury danych i potencjalnie do wykonania kodu.

W jądrze Linux w sterowniku reset sunxi występuje wyciek zasobów, gdy ioremap() nie powiedzie się. Region pamięci uzyskany przez request_mem_region() nie jest zwalniany.

W jądrze Linux w sterowniku powerpc/spufs występuje dostęp poza zakres w spufs_mem_mmap_access(). Offset jest sprawdzany względem vm_end zamiast rozmiaru lokalnego sklepu, co pozwala na odczyt/zapis poza buforem.

W jądrze Linux w funkcji mask_user_address() występuje błędne sprawdzenie nazwy konfiguracji: zamiast CONFIG_PPC_E500 użyto CONFIG_E500. Powoduje to, że na sprzęcie E500 nie jest używana funkcja mask_user_address_isel(). Poprawka zmienia sprawdzenie na właściwą nazwę.

W jądrze Linux w podsystemie cfg80211 występuje podatność polegająca na braku walidacji typu i rozmiaru elementu EHT MLE przed odczytem identyfikatora MLD. Złośliwy punkt dostępowy może wysłać krótki element EHT MLE w beaconie MBSSID, co prowadzi do odczytu poza granicami bufora przez funkcję ieee80211_mle_get_mld_id(). Poprawka dodaje walidację przed odczytem.

W jądrze Linux w funkcji ieee80211_mle_common_size() występuje problem z walidacją długości wspólnych informacji w elementach MLE. Dla typów Reconfiguration i Priority Access nie jest poprawnie sprawdzana długość, co może prowadzić do nieprawidłowego odczytu. Poprawka uwzględnia długość dla Reconfiguration i waliduje długość dla wszystkich znanych typów MLE.

W jądrze Linux w podsystemie mac80211 występuje podatność polegająca na braku walidacji układu ramek rozszerzonych przed ich przetworzeniem. Nieobsługiwane podtypy ramek rozszerzonych mogą dotrzeć do kodu przetwarzającego standardowe nagłówki, co może prowadzić do nieprawidłowego odczytu. Poprawka dodaje walidację i odpowiednie ścieżki przetwarzania dla ramek S1G beacon.

W jądrze Linuxa w sterowniku mwifiex wykryto podatność powodującą trwałe zawieszenie skanowania sieci Wi-Fi po wielokrotnych roamingu. Problem wynika z nieprawidłowego ustawienia stanu oszczędzania energii (ps_state) podczas przetwarzania odpowiedzi na polecenie asocjacji, co prowadzi do braku potwierdzenia uśpienia i blokady kolejnych skanowań.

W jądrze Linux w podsystemie MTD (virt-concat) występuje wyciek pamięci: funkcja mtd_virt_concat_create_join() przy każdej rejestracji MTD tworzy nową nazwę, a gdy nazwa już istnieje, nie zwalnia nowo przydzielonego stringa. Poprawka dodaje zwolnienie tymczasowej nazwy przed kontynuacją.

W jądrze Linux w sterowniku mchp23k256 dla MTD występuje problem z wyborem danych pojemności układu: sterownik używa of_device_get_match_data(), co przy dopasowaniu przez SPI id table prowadzi do użycia domyślnych danych zamiast właściwych. Poprawka zmienia na spi_get_device_match_data(), aby używać danych z tabeli SPI, gdy brak danych OF.

W jądrze Linux w sterowniku NAND lpc32xx_slc występuje problem z obsługą limitu czasu DMA: funkcja lpc32xx_xmit_dma() ignoruje wynik wait_for_completion_timeout(), co powoduje, że przekroczony czas transferu DMA jest raportowany jako sukces. Poprawka zwraca błąd -ETIMEDOUT i kończy kanał DMA przed zwolnieniem scatterlist.

W jądrze Linux w sterowniku sdhci-esdhc-imx występuje problem w funkcji esdhc_change_pinstate(): sprawdza ona na początku obecność pins_100mhz i pins_200mhz i zwraca błąd, jeśli któregoś brakuje, co uniemożliwia przywrócenie domyślnego stanu pinów. Poprawka przenosi sprawdzenia do odpowiednich przypadków switch.

W jądrze Linux w sterowniku sdhci-esdhc-imx występuje problem z nieobsłużonym przerwaniem podczas zawieszenia systemu: przerwanie usdhc nie jest wyłączane podczas zawieszenia, gdy device_may_wakeup() zwraca false, co prowadzi do ostrzeżenia "nobody cared". Poprawka wyłącza przerwanie usdhc bezwarunkowo podczas zawieszenia i włącza je podczas wznowienia.

W jądrze Linux w sterowniku sdhci-esdhc-imx dla MMC zamieniono wywołanie pm_runtime_get_sync() na pm_runtime_resume_and_get() w funkcji suspend. Nowa funkcja automatycznie zwalnia licznik użycia w przypadku błędu, co upraszcza obsługę błędów. Jeśli wywołanie się nie powiedzie, urządzenie pozostaje bez zegara, a dostęp do rejestrów sprzętowych mógłby spowodować panikę jądra, dlatego błąd jest natychmiast zwracany.

W jądrze Linux w podsystemie BPF weryfikator odrzuca zmienne offsety dla wskaźników PTR_TO_TP_BUFFER i PTR_TO_BUF, ale akceptuje stały ujemny offset powstały w wyniku arytmetyki wskaźników. Problem wynika z przeniesienia stałych offsetów do reg->var_off, podczas gdy __check_buffer_access() sprawdza tylko offset instrukcji. Dla zapisywalnych surowych tracepointów dostęp z ujemnym offsetem może zawinąć obliczony koniec dostępu, umożliwiając programowi ominięcie walidacji.

W jądrze Linux w funkcji fwnode_init() nie inicjalizowano wszystkich pól struktury fwnode_handle. Jeśli węzeł firmware jest alokowany na stosie lub na stercie bez zerowania, wskaźnik secondary może zawierać niezainicjalizowaną pamięć, co może prowadzić do jego wyłuskania. Poprawka ustawia fwnode->secondary na NULL oraz inicjalizuje pozostałe pola struktury.

W jądrze Linux wykryto podatność w systemie plików f2fs, która może prowadzić do zakleszczenia (deadlock) w funkcji f2fs_balance_fs() podczas niemal całkowitego zapełnienia przestrzeni dyskowej. Problem objawia się blokowaniem procesów zapisujących dane oraz wątków roboczych zapisu zwrotnego (writeback) na ponad 120 sekund, co wskazuje na poważne zawieszenie systemu.

W jądrze Linux w systemie plików f2fs wykryto potencjalny zakleszczenie w ścieżce gc_merge funkcji f2fs_balance_fs(). Gdy system jest zamontowany z opcją gc_merge, może wystąpić zakleszczenie między wątkiem zapisu, wątkiem garbage collectora a procesem truncate. Poprawka polega na wywołaniu funkcji f2fs_submit_merged_write() i f2fs_submit_all_merged_ipu_writes() w ścieżce GC_MERGE, aby zatwierdzić buforowane zapisy, podobnie jak w ścieżce NOGC_MERGE.

W jądrze Linux w module binder występuje podatność polegająca na odczycie wyzerowanego pola rozmiaru kontekstu LSM po jego zwolnieniu. Powoduje to zawyżenie końcowego offsetu bufora scatter-gather, co umożliwia kopiowanie danych na obszar zajmowany przez secctx.

W jądrze Linux w sterowniku ueagle-atm (USB ATM) występuje podatność polegająca na braku oczekiwania na zakończenie asynchronicznego ładowania firmware'u w funkcji .disconnect(). Może to prowadzić do wyścigu (race condition) podczas odłączania urządzenia, co w niektórych przypadkach powoduje błędy w kernfs i awarie systemu.

W jądrze Linux w mechanizmie liveupdate (luo) brakuje walidacji typu sesji przed wykonaniem operacji ioctl. Niektóre operacje, takie jak PRESERVE_FD, są przeznaczone tylko dla sesji wychodzących, a RETRIEVE_FD i FINISH tylko dla sesji przychodzących. Wywołanie nieprawidłowego ioctl na sesji może spowodować uruchomienie handlerów w nieoczekiwanym kontekście, co prowadzi do błędów i ostrzeżeń WARN(). Poprawka dodaje walidację typu sesji przed dispatchowaniem handlera.

W jądrze Linux w podsystemie KVM dla s390 w obsłudze PCI wykryto błąd: gdy gość rejestruje przerwania bez bitu podsumowania, powiązany wpis GAITE zapisuje nieprawidłową wartość (adres fizyczny zamiast zera) w lokalizacji AISB gościa. Poprawka zapewnia zapisanie zera w tym miejscu.

W jądrze Linux w podsystemie s390/zcrypt wykryto podatność na odczyt poza buforem w funkcji cca_cipher2protkey. Pola długości w strukturach tokenów CCA są kontrolowane przez użytkownika i nie były odpowiednio walidowane, co może prowadzić do odczytu poza granicami bufora lub niedopełnienia bufora, skutkując awarią jądra lub wyciekiem pamięci.