Podatności Linux kernel

W jądrze Linux w podsystemie s390/zcrypt wykryto brak walidacji długości w żądaniach kluczy szyfrujących AES CCA. Funkcja cca_cipher2protkey() pobiera długość kopiowania z pola długości w tokenie klucza, co może prowadzić do odczytu poza bufor, jeśli długość tokena przekracza dostępne miejsce w bloku parametrów CPRB.

W jądrze Linux w podsystemie s390/zcrypt wykryto brak walidacji długości w żądaniach kluczy prywatnych ECC CCA. Funkcja cca_ecc2protkey() pobiera długość kopiowania z pola długości w tokenie klucza, co może prowadzić do odczytu poza bufor, jeśli długość tokena przekracza dostępne miejsce w bloku parametrów CPRB.

W jądrze Linux w systemie plików Btrfs wykryto podatność polegającą na wycieku pamięci podczas wstawiania zduplikowanego węzła relokacji. Funkcja __add_reloc_root() alokuje węzeł mapowania, ale jeśli wstawienie napotka istniejący wpis, nowy węzeł nie jest zwalniany, co prowadzi do wycieku pamięci. Poprawka polega na zwolnieniu nowego węzła przed zwróceniem błędu -EEXIST.

W jądrze Linux w sterowniku ata: sata_dwc_460ex wykryto podatność polegającą na nieskończonej pętli podczas skanowania bitów tagów NCQ. Gdy tag_mask ma tylko wysokie bity ustawione, pętla przesuwa maskę w lewo aż do przepełnienia do zera, co prowadzi do nieskończonej pętli w kontekście przerwania twardego z trzymanym spinlockiem. Poprawka zastępuje ręczne skanowanie funkcją __ffs().

W jądrze Linux w systemie plików overlayfs wykryto podatność związaną z nieprawidłowym sprawdzaniem uprawnień dostępu do pliku źródłowego podczas operacji copy_file_range. Operacja kopiowania między dwoma overlayfs jest wykonywana z użyciem poświadczeń montującego systemu docelowego, a nie źródłowego, co może prowadzić do nieautoryzowanego dostępu do plików lub odmowy dostępu. Poprawka dodaje jawne sprawdzenie dostępu do odczytu pliku źródłowego z użyciem poświadczeń montującego źródłowego overlayfs.

W jądrze Linux w sterowniku drm/amdkfd wykryto podatność polegającą na braku ograniczenia rozmiaru kopii stosu kontrolnego CRIU do rozmiaru bufora. Funkcja kopiuje dane na podstawie wartości sprzętowej cp_hqd_cntl_stack_size, która może być większa niż przydzielony obszar, co prowadzi do odczytu poza buforem i wycieku danych jądra do przestrzeni użytkownika. Poprawka ogranicza kopię do rozmiaru bufora.

W jądrze Linux w sterowniku drm/vmwgfx wykryto podatność polegającą na braku walidacji pola array_size w strukturze vmw_surface_metadata. Pole to pochodzi z przestrzeni użytkownika i powinno być sprawdzane pod kątem limitów zależnych od dostępnego modelu shaderów (Shader Model).

W jądrze Linux w sterowniku drm/vc4 funkcja vc4_gem_object_mmap() odrzuca zapisywalne mapowanie zweryfikowanego shader BO, ale pozostawia ustawiony bit VM_MAYWRITE. Użytkownik może zmapować BO jako tylko do odczytu, a następnie zmienić na zapisywalne za pomocą mprotect().

W jądrze Linux w funkcji ffa_partition_info_get() w podsystemie arm_ffa, przekazanie wartości NULL jako argumentu uuid_str prowadzi do dereferencji wskaźnika NULL w uuid_parse(), co powoduje panikę jądra. Dodano zabezpieczenie przed wartością NULL, które zwraca -ENODEV zamiast awarii.

W jądrze Linux w sterowniku hwmon gigabyte_waterforce, wywołanie hid_hw_stop() nie zatrzymuje operacji wejścia/wyjścia urządzenia, co prowadzi do wyścigu między hid_input_report() a kodem po hid_device_io_start() w funkcji probe. Jeśli probe zakończy się niepowodzeniem, może wystąpić podatność use-after-free.

W jądrze Linux w systemie plików btrfs, podczas dzielenia extent map, nowe mapy dziedziczą flagę EXTENT_FLAG_LOGGING, która nie jest później czyszczona. Może to prowadzić do ostrzeżenia WARN_ON i użycia po zwolnieniu (use-after-free) podczas zwalniania mapy.

W jądrze Linuxa wykryto podatność w mechanizmie TC (Traffic Control), gdzie przekierowanie pakietów (TC_ACT_REDIRECT) z łańcuchów filtrów qdisc było cicho ignorowane, co powodowało, że pakiety nie były przekierowywane, a w niektórych przypadkach prowadziło do awarii systemu (NULL pointer dereference) podczas wywołania bpf_redirect(). Problem dotyczy filtrów TC podpiętych do qdisc, które zwracają TC_ACT_REDIRECT (np. przez eBPF).

W jądrze Linux w sterowniku sieciowym txgbe, funkcja txgbe_read_eeprom_hostif() zawsze kopiuje round_up(length, 4) bajtów do bufora wywołującego, który jest alokowany z dokładnie 'length' bajtami. Niepodzielna przez 4 długość powoduje zapis poza zakresem (heap overflow).

W jądrze Linux w sterowniku WiFi mt76 (mt7925), funkcja mt76_connac_get_he_phy_cap może teoretycznie zwrócić NULL, a wskaźnik cap jest dereferencjonowany bez sprawdzenia, co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux w mechanizmie SMP, gdy włączone jest debugowanie blokady CSD, wiele procesorów może jednocześnie przygotowywać ten sam CSD dla CPU docelowego, co prowadzi do nieatomowej operacji read-modify-write na fladze CSD_FLAG_LOCK. Może to spowodować dodanie tego samego węzła llist do kolejki, prowadząc do zakleszczenia lub miękkiego zawieszenia (soft-lockup).

W jądrze Linux w sterowniku DRM Imagination (powervr) występuje podatność polegająca na błędnym sprawdzaniu dostępnego miejsca w buforze CCCB dla sparowanych zadań fragmentowych. Powoduje to zapis niepełnej sekwencji komend, ostrzeżenia jądra i potencjalne przekroczenia limitu czasu zadań.

W jądrze Linux w podsystemie DRM/AMD Display odkryto podatność, w której alokacja struktury `dc` za pomocą `kzalloc()` może przekroczyć limit 4 MiB ciągłej alokacji pamięci, powodując ostrzeżenie i zwrócenie NULL. Prowadzi to do niepowodzenia inicjalizacji sterownika amdgpu i braku możliwości korzystania z wyświetlacza. Poprawka polega na użyciu `kvzalloc()` zamiast `kzalloc()`, co umożliwia alokację nieciągłą.

W jądrze Linux w architekturze LoongArch występuje błąd w funkcji wyszukiwania linii poleceń kexec. W ścieżce kexec_load(2) wskaźnik z przestrzeni użytkownika jest rzutowany na wskaźnik jądra i używany w strncmp(), co powoduje nieprawidłowe odwołanie do pamięci. Poprawka kopiuje prefiks segmentu do bufora na stosie za pomocą copy_from_user() przed porównaniem.

W jądrze Linux w sterowniku szeregowym 8250_mid występuje błąd polegający na wywołaniu funkcji przez wskaźnik NULL na platformach Denverton (DNV), Ice Lake Xeon D (ICX-D/CDF) i Snowridge (SNR). Poprzednia poprawka zastąpiła funkcje setup i exit wskaźnikami NULL, a miejsca wywołań nie sprawdzają ich przed użyciem, co prowadzi do dereferencji wskaźnika NULL i oops.

W jądrze Linux w bibliotece libceph występuje błąd w funkcji handle_get_version_reply(), która używa msg->front_alloc_len jako granicy dekodowania odpowiedzi MON_GET_VERSION_REPLY. Ponieważ jest to rozmiar bufora, a nie faktycznie odebranych bajtów, skrócona odpowiedź może spowodować odczyt nieinicjalizowanej pamięci z pozostałości po poprzednich wiadomościach.

W jądrze Linux w sterowniku VXLAN występuje brak wymogu CAP_NET_ADMIN w przestrzeni nazw sieciowych urządzenia podczas operacji changelink. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale nie w przestrzeni podkładu (underlay), może zmienić konfigurację tunelu VXLAN, co może prowadzić do nieautoryzowanych zmian.

W jądrze Linux w sterowniku graficznym amdgpu dla generacji gfx8 usunięto zbędne wywołanie BUG_ON(), które powodowało awarię jądra w niepotrzebnych przypadkach. Poprawka po prostu usuwa to wywołanie.

W jądrze Linux w sterowniku DisplayPort MST występuje błąd w funkcji drm_dp_mst_topology_queue_probe(), gdzie równoczesne zerwanie topologii MST (np. podczas odłączania monitora) powoduje wywołanie drm_WARN_ON() i potencjalne awarie kompozytora. Poprawka zastępuje to ostrzeżenie łagodnym wcześniejszym powrotem, eliminując fałszywe ostrzeżenia i awarie.

W jądrze Linuxa wykryto podatność use-after-free w KVM x86/mmu podczas przeładowania modułu dostawcy. Funkcja mmu_destroy_caches() niszczy pamięć podręczną, ale nie zeruje wskaźników, co prowadzi do użycia zwolnionej pamięci przy ponownym ładowaniu modułu.

W jądrze Linux w podsystemie gpu: host1x występuje podatność use-after-free w funkcji host1x_bo_clear_cached_mappings. Funkcja __host1x_bo_unpin() zwalnia ostatnie odniesienie do mapowania i je usuwa, przez co późniejsze odwołanie do mapowania jest nieprawidłowe. Poprawka polega na użyciu lokalnej zmiennej cache, która przeżywa mapowanie.

W jądrze Linux w podsystemie IB/mad występuje podatność, która pozwala na przetwarzanie niechcianych odpowiedzi RMPP przed ich dopasowaniem do oczekującego żądania. Może to prowadzić do alokacji lub rozszerzenia stanu RMPP dla odpowiedzi, które nie odpowiadają żadnemu wysłanemu żądaniu. Poprawka wymaga, aby dla odpowiedzi RMPP DATA obsługiwanych przez jądro, przed wejściem do ponownego składania RMPP, istniało dopasowanie przez ib_find_send_mad().

W jądrze Linux w podsystemie mtd: virt_concat występuje podatność use-after-free w funkcji mtd_virt_concat_destroy_joins(). Funkcja mtd_concat_destroy() zwalnia item->concat, a następnie wywołanie mtd_virt_concat_put_mtd_devices(item->concat) prowadzi do użycia po zwolnieniu. Poprawka przenosi wywołanie mtd_virt_concat_put_mtd_devices() przed mtd_concat_destroy().

W jądrze Linux w podsystemie mtd: virt_concat występuje podatność use-after-free w funkcji mtd_virt_concat_destroy(). Funkcja mtd_concat_destroy() zwalnia item->concat, a następnie wywołanie mtd_virt_concat_put_mtd_devices(item->concat) prowadzi do użycia po zwolnieniu. Poprawka przenosi wywołanie mtd_virt_concat_put_mtd_devices() przed mtd_concat_destroy().

W jądrze Linux w podsystemie btrfs występuje podatność polegająca na wycieku referencji do korzenia (root leak) w funkcji merge_reloc_roots(). Jeśli dla korzenia występuje nieoczekiwany reloc_root, skok do etykiety out nie zwalnia referencji uzyskanej dla korzenia, co prowadzi do wycieku pamięci. Poprawka dodaje brakujące wywołanie btrfs_put_root().

W jądrze Linux w podsystemie sched_ext występuje problem z ostrzeżeniem w funkcji put_prev_task_scx() dotyczącym wymuszonego bezczynności przez core-sched. Gdy wątek z niższą klasą schedulera jest wymuszony do bezczynności przez core scheduling, ostrzeżenie jest generowane mimo, że nie jest to błąd. Poprawka ogranicza ostrzeżenie do przypadków, gdy sched_cpu_cookie_match() zwraca true, co oznacza, że core scheduling nie wymusił bezczynności.

W jądrze Linux wykryto podatność w module XFRM, która pozwala na odczyt poza stosem (stack-out-of-bounds) w funkcji xfrm_state_find(). Problem dotyczy szablonów IPTFS w politykach wychodzących (outbound), które nie zostały objęte wcześniejszą poprawką dla trybu tunel/BEET. Atakujący z lokalnym dostępem może wywołać awarię systemu (panic) przez wysłanie pakietu ICMP.

W jądrze Linux w sterowniku RDMA/irdma odkryto podatność umożliwiającą użytkownikowi wywołanie operacji rereg_mr na specjalnych regionach pamięci (używanych do tworzenia QP/CQ/SRQ), które nie mają prawidłowego klucza mkey. Prowadzi to do wysłania rzeczywistego polecenia CQP z wyzerowanym mkey, co może powodować nieprawidłowe działanie.

W jądrze Linux w sterowniku RDMA/irdma występuje podatność na wywołanie przez użytkownika dereferencji pustego wskaźnika podczas tworzenia kolejki par QP. Jeśli użytkownik poda wartość zero w polu user_wqe_bufs, to pole iwqp->iwpbl nie jest inicjalizowane, a później jest bezwarunkowo dereferencjonowane, co prowadzi do błędu. Poprawka polega na bezwarunkowym wywołaniu funkcji irdma_get_pbl i zakończeniu działania w przypadku błędu.

W jądrze Linux w sterowniku RDMA/siw funkcja siw_create_qp() wywołuje siw_qp_add() przed zakończeniem inicjalizacji kolejki QP, przez co inne komponenty mogą uzyskać dostęp do nie w pełni zainicjalizowanej kolejki. Poprawka przenosi wywołanie siw_qp_add() na koniec funkcji, po pełnej inicjalizacji QP.

W jądrze Linux wykryto podatność w podsystemie MTD, prowadzącą do podwójnego zwolnienia pamięci (double free) i ostrzeżenia WARN_ON w funkcji add_mtd_device() podczas obsługi błędów. Problem występuje, gdy rejestracja urządzenia lub dodanie NVMEM nie powiedzie się, a wywołujący również zwalniają strukturę mtd_info, co powoduje podwójne zwolnienie. Dodatkowo, wywołanie zwrotne release_mtd_partition() wyzwala WARN_ON, ponieważ węzeł partycji jest nadal na liście partycji rodzica.

W jądrze Linux wykryto podatność w podsystemie XFRM/IPsec. Po nieudanej konfiguracji stanu IPTFS, wskaźnik do funkcji trybu (mode_cbs) pozostaje w martwym stanie, co po zwolnieniu modułu prowadzi do wywołania przez odroczone zadanie GC (xfrm_state_gc_task) zwisającego wskaźnika i paniki jądra.

W jądrze Linux wykryto podatność w podsystemie cfg80211, gdzie praca sched_scan_res_wk może być wykonywana po wyrejestrowaniu urządzenia, prowadząc do użycia po zwolnieniu pamięci (use-after-free). Problem dotyczy braku anulowania tej pracy podczas wyrejestrowania wiphy.

W jądrze Linux w sterowniku wifi ipw2100 występuje potencjalny wyciek pamięci w funkcji ipw2100_pci_init_one(). Pamięć przydzielona przez ipw2100_alloc_device() nie jest zwalniana w niektórych ścieżkach błędów. Poprawka zamienia bezpośrednie zwroty na skoki do ścieżki obsługi błędów, a w przypadku błędu pci_enable_device() obsługuje błąd bezpośrednio.

W jądrze Linux w podsystemie wifi cfg80211 występuje wyciek pamięci w funkcji cfg80211_wext_siwscan(). Jeśli test długości SSID nie powiedzie się, obiekt 'creq' nie jest zwalniany. Poprawka wykorzystuje istniejącą ścieżkę obsługi błędów do zwolnienia pamięci.

W jądrze Linux w sterowniku wifi mac80211_hwsim występuje podatność na atak DoS polegająca na braku ograniczenia długości danych otrzymywanych z virtio przed wywołaniem skb_put(). Złośliwy backend może zgłosić długość większą niż dostępny bufor, co prowadzi do paniki jądra (skb_over_panic). Poprawka ogranicza długość do dostępnego miejsca w buforze.

W jądrze Linux w sterowniku wifi libertas występuje wyciek pamięci w funkcji helper_firmware_cb(). Po pomyślnym asynchronicznym załadowaniu firmware'u jednofazowego obraz nie jest zwalniany, co prowadzi do wycieku pamięci w ścieżce pobierania firmware przez USB. Poprawka dodaje wywołanie release_firmware() po zakończeniu lbs_fw_loaded().

W jądrze Linux w podsystemie wifi mac80211 występuje problem z synchronizacją przy usuwaniu łącza MLO. Funkcja sta_remove_link() zwalnia bufor percpu statystyk RX natychmiast, podczas gdy kontener łącza jest zwalniany dopiero po RCU. Może to prowadzić do użycia po zwolnieniu (use-after-free) w ścieżce szybkiego odczytu. Poprawka przenosi zwolnienie bufora percpu do wywołania zwrotnego RCU.

W jądrze Linux wykryto zakleszczenie (deadlock) w podsystemie cfg80211 związanym z Wi-Fi. Problem pojawia się, gdy zamykane jest gniazdo netlink posiadające sesję PMSR (PMSR - Passive Measurement of Signal Report), a jednocześnie interfejs sieciowy jest wyłączany. Naprawa polega na zamianie zwykłego worka na wiphy_work, co eliminuje blokowanie się wątków.

W jądrze Linux w podsystemie nl80211 występuje wyciek pamięci podczas parsowania beaconów, gdy dane RNR są odrzucane z powodu niezgodności liczby wpisów RNR i MBSSID. Alokacja RNR nie jest zwalniana przed zwróceniem błędu.

W jądrze Linux w podsystemie cfg80211 brakuje walidacji zakresu wartości preamble w żądaniach PMSR FTM. Wartości spoza dozwolonego zakresu są akceptowane i używane w teście bitu zdolności, co może prowadzić do nieprawidłowego działania.

W jądrze Linux w podsystemie mac80211 występuje problem z wywołaniem ieee80211_free_txskb() podczas trzymania zamka z wyłączonymi przerwaniami, co może prowadzić do ostrzeżenia jądra i potencjalnych problemów z synchronizacją.

W jądrze Linux w podsystemie cfg80211 występuje problem z pracą autodisconnect, która może być kolejkowana po anulowaniu, co prowadzi do potencjalnego użycia po zwolnieniu lub wyścigu podczas wyrejestrowywania urządzenia.

W jądrze Linux w sterowniku brcmfmac występuje problem z niezainicjalizowanym polem datawork podczas ścieżki błędu w brcmf_sdio_probe(), co może prowadzić do nieprawidłowego anulowania pracy i zgłoszeń DEBUG_OBJECTS.

W jądrze Linux w podsystemie cfg80211 występuje odczyt poza zakresem (slab-out-of-bounds) podczas sprawdzania dziedziczenia elementów, gdy element rozszerzenia ma zerową długość. Może to być wywołane przez spreparowaną ramkę od AP.

W jądrze Linux w sterowniku arm_ffa występują zapisy poza zakresem w funkcji ffa_setup_and_transmit(), szczególnie dla wersji FFA < 1.2, gdzie pole reserved ma offset 24, a rozmiar zwracany to 16 bajtów. Brakuje również sprawdzenia rozmiaru dla składników.