Podatności Linux kernel

W jądrze Linux wykryto problem z bezpieczeństwem w podsystemie IOMMU AMD, dotyczący niebezpiecznego blokowania w kontekście przerwań sprzętowych podczas alokacji domen. Błąd powoduje ostrzeżenia Lockdep o potencjalnym zakleszczeniu, co może prowadzić do niestabilności systemu.

W jądrze Linux w sterowniku ALSA hda cs35l41 występuje podatność polegająca na wycieku pamięci i potencjalnym dostępie do nieprawidłowego wskaźnika podczas obsługi obiektu ACPI mute. Funkcja cs35l41_get_acpi_mute_state() nie zwalnia obiektu ACPI po użyciu oraz zakłada, że zwrócony obiekt jest buforem z co najmniej jednym bajtem, co może prowadzić do wycieku pamięci lub dostępu do nieprawidłowego wskaźnika przy złośliwej odpowiedzi firmware.

W jądrze Linux w podsystemie arm_mpam występuje podatność na dereferencję wskaźnika NULL podczas niszczenia konfiguracji komponentu. Funkcja __destroy_component_cfg() dodaje każdy obiekt mbwu_state do listy śmieci MPAM, ale mbwu_state jest przydzielany tylko dla RIS z monitorami MBWU, więc niektóre RIS mogą mieć wskaźnik NULL, co prowadzi do dereferencji NULL w makrze add_to_garbage().

W sterowniku ueagle-atm dla modemów USB ADSL w jądrze Linuxa wykryto podatność polegającą na niezgodności kryteriów rozróżniania urządzeń przed i po załadowaniu firmware w funkcjach probe i disconnect. Specjalnie spreparowane urządzenie USB może wykorzystać tę rozbieżność, prowadząc do odczytu poza przydzielonym buforem (slab-out-of-bounds) i potencjalnie do awarii systemu lub eskalacji uprawnień.

W jądrze Linux w ovpn, funkcja ovpn_peer_release_p2p() może zwolnić referencję do nowego peera P2P zamiast tego związanego z niszczonym socketem UDP. Prowadzi to do użycia po zwolnieniu (use-after-free) w ścieżkach czyszczenia peera i socketu.

W jądrze Linux w ovpn, funkcja unlock_ovpn() używa llist_for_each_entry() do iteracji po liście release_list, ale po zwolnieniu peera wewnątrz pętli, odczytuje peer->release_entry.next po jego zwolnieniu, co prowadzi do użycia po zwolnieniu.

W jądrze Linux w hwmon occ, parser odpowiedzi poll używa statycznej pojemności tablicy jako granicy parsowania zamiast data_length, co pozwala na odczyt poza bieżącą odpowiedzią przy skróconych danych.

W jądrze Linux w sterowniku Bluetooth btusb, funkcja btusb_recv_event_realtek() odczytuje kod subeventu Realtek z data[2] bez sprawdzenia, czy zdarzenie ma wystarczającą długość. Krótkie zdarzenia mogą być błędnie sklasyfikowane jako coredump.

W jądrze Linux w net/packet, funkcja packet_set_ring() może ponownie zarejestrować hook fanout po wyrejestrowaniu urządzenia, jeśli po->ifindex == -1 nie jest traktowane jako unieważnione wiązanie. Prowadzi to do ponownego dodania hooka po wyrejestrowaniu urządzenia.

W jądrze Linux w BPF, pomocnicze funkcje bpf_redirect*() i skb_do_redirect() zakładają istnienie bpf_net_context, ale w niektórych ścieżkach qdisc nie jest on ustanowiony, co prowadzi do dereferencji NULL.

W jądrze Linux w bonding, gdy IPv6 jest wyłączone (ipv6.disable=1), devconf_all nie jest inicjalizowany, ale bond_send_validate() nadal wywołuje bond_ns_send_all(), co prowadzi do dereferencji NULL w ip6_pol_route().

W jądrze Linux wykryto podatność w podsystemie RDS (Reliable Datagram Sockets). Funkcja wyszukująca gniazdo docelowe nie uwzględnia przestrzeni nazw sieciowych, co pozwala na dostarczenie wiadomości do gniazda w innej przestrzeni nazw. Może to prowadzić do użycia po zwolnieniu (use-after-free) podczas zamykania przestrzeni nazw, co grozi awarią systemu lub potencjalnym wykonaniem kodu.

W jądrze Linux w rxrpc, funkcja rxrpc_wake_up_io_thread() sprawdza local->io_thread, ale potem ponownie wczytuje wskaźnik dla wake_up_process(). Ponieważ wskaźnik jest czyszczony przez WRITE_ONCE(), drugi odczyt może zwrócić NULL, co prowadzi do wyścigu.

W jądrze Linux w sterowniku dpaa2-switch występuje wyciek referencji do urządzenia punktu końcowego MAC podczas rozłączania. Funkcja fsl_mc_get_endpoint() zwraca urządzenie z referencją, która nie jest zwalniana w ścieżce rozłączania, co prowadzi do wycieku pamięci przy każdym udanym połączeniu.

W jądrze Linux w sterowniku sieciowym airoha występuje potencjalne użycie po zwolnieniu (use-after-free) w funkcji airoha_ppe_deinit(). Funkcja ta podmienia wskaźnik NPU na NULL bez oczekiwania na zakończenie czytelników RCU, co może prowadzić do dostępu do zwolnionej pamięci.

W jądrze Linux w sterowniku dpaa2-eth występuje wyciek referencji do urządzenia punktu końcowego MAC podczas rozłączania. Funkcja fsl_mc_get_endpoint() zwraca urządzenie z referencją, która nie jest zwalniana w ścieżce rozłączania, co prowadzi do wycieku pamięci przy każdym udanym połączeniu.

W jądrze Linux w sterowniku sieciowym airoha występuje błąd kierunku DMA dla bufora skrzynki NPU. Funkcja airoha_npu_send_msg() zawsze mapuje bufor z kierunkiem DMA_TO_DEVICE, ale niektórzy wywołujący oczekują, że NPU zapisze dane odpowiedzi do tego samego bufora. Na architekturach bez spójności pamięci podręcznej może to prowadzić do odczytu nieaktualnych danych.

W jądrze Linux w sterowniku iommu/amd wykryto podatność polegającą na błędnym sprawdzaniu flagi need_sync w funkcji iommu_completion_wait(). W scenariuszu wieloprocesorowym funkcja mogła zwrócić się przedwcześnie, nie czekając na faktyczne zakończenie wszystkich wcześniej zakolejkowanych komend, co prowadziło do naruszenia kontraktu synchronizacji.

W jądrze Linux w sterowniku nfp brakuje sprawdzenia wyniku alokacji mutexu zasobu. Funkcja nfp_cpp_resource_find() może zwrócić sukces, nawet jeśli alokacja mutexu się nie powiedzie, co prowadzi do wyłuskania wskaźnika NULL podczas próby zablokowania mutexu.

W jądrze Linux w sterowniku wanxl występuje potencjalne wyłuskanie wskaźnika NULL podczas wczesnych błędów inicjalizacji. Funkcja wanxl_pci_init_one() zapisuje kartę w danych sterownika przed zamapowaniem BAR, a w przypadku błędu funkcja wanxl_pci_remove_one() wywołuje wanxl_reset(), która dereferencjonuje wskaźnik card->plx, który może być jeszcze NULL.

W jądrze Linuxa w sterowniku mwifiex wykryto podatność polegającą na braku walidacji długości danych zdarzenia dostarczanych przez firmware. Może to prowadzić do odczytu poza buforem (slab-out-of-bounds) lub przepełnienia liczby całkowitej podczas obsługi zdarzeń asocjacji stacji w trybie AP.

W jądrze Linux w sterowniku iommu/amd parser linii poleceń ivrs_acpihid nie sprawdza pojemności tablicy early_acpihid_map przed dodaniem wpisu, co może prowadzić do zapisu poza granicami tablicy przy podaniu więcej niż czterech wpisów.

W jądrze Linux w sterowniku iommu/intel funkcja dmar_latency_disable() ma błąd polegający na zerowaniu całej tablicy latency_statistic zamiast pojedynczego wpisu, co przy typie większym niż 0 prowadzi do zapisu poza granicami tablicy i uszkodzenia sąsiedniej pamięci.

W jądrze Linux wykryto podatność w podsystemie TIPC dotyczącą listy replikacji UDP (replicast). Aktualizacje listy nie były serializowane, co mogło prowadzić do uszkodzenia listy i awarii systemu (kernel panic). Problem dotyczy wyścigu między dodawaniem wpisów z przerwania programowego a usuwaniem ich w procesie czyszczenia nośnika.

W jądrze Linuxa wykryto podatność w module RDS, która powoduje dereferencję pustego wskaźnika (NULL) w funkcji __ipv6_chk_addr_and_flags() podczas próby powiązania gniazda RDS z adresem IPv6, gdy IPv6 jest wyłączone parametrem 'ipv6.disable=1'. Dzieje się tak, ponieważ lista inet6_addr_lst nie jest inicjalizowana, gdy IPv6 jest wyłączone. Problem może prowadzić do awarii systemu (crash).

W jądrze Linuxa w sterowniku txgbe wykryto wyciek pamięci filtrów FDIR (Perfect FDIR filters) podczas usuwania interfejsu sieciowego. Filtry dodane, gdy interfejs jest wyłączony, nie są zwalniane, ponieważ funkcja txgbe_fdir_filter_exit() nie jest wywoływana, gdy urządzenie nie jest włączone. Problem prowadzi do wycieku pamięci.

W jądrze Linuxa w protokole SCTP wykryto podatność polegającą na nieprawidłowym sprawdzaniu pojemności listy auth_chunk_list w funkcji sctp_auth_ep_add_chunkid. Limit ustawiony na 20 wpisów jest większy niż rzeczywista pojemność docelowej struktury (16 wpisów), co może prowadzić do przepełnienia bufora podczas kopiowania w sctp_association_init().

W jądrze Linuxa w sterowniku pds_core wykryto zakleszczenie (deadlock) między wątkiem resetu a funkcją usuwania urządzenia. Funkcja pci_reset_function() blokuje device_lock, a pdsc_remove() jest wywoływana z już zablokowanym device_lock, co prowadzi do zakleszczenia, gdy wątek resetu jest aktywny. Poprawka używa pci_try_reset_function(), która nie blokuje.

W jądrze Linuxa w sterowniku pds_core wykryto podatność use-after-free związaną z kolejką pracy (workqueue) podczas usuwania urządzenia. Kolejka pracy jest niszczona przed wywołaniem pdsc_teardown(), co pozwala na dodawanie pracy do zniszczonej kolejki, prowadząc do użycia po zwolnieniu. Poprawka przenosi zniszczenie kolejki po pdsc_teardown() i porządkuje kolejność zwalniania zasobów.

W jądrze Linuxa w sterowniku pds_core wykryto wyścig (race condition) podczas dodawania i usuwania urządzeń pomocniczych (auxiliary devices). Dwie ścieżki (reset VF i handler devlink) mogą jednocześnie modyfikować ten sam slot, co prowadzi do wycieku pamięci lub dereferencji pustego wskaźnika. Poprawka polega na sprawdzaniu i aktualizacji slotu pod ochroną config_lock.

W jądrze Linuxa w akceleratorze ethosu wykryto błędy w obliczaniu rozmiaru elementu podczas walidacji strumienia poleceń. Dla formatu NHWC brakuje uwzględnienia rozmiaru elementu, a dla OFM używane są inne bity precyzji niż dla IFM/IFM2, co prowadzi do zbyt małego obliczonego rozmiaru. Może to skutkować nieprawidłową walidacją i potencjalnie przepełnieniem bufora.

W jądrze Linuxa wykryto podatność w protokole SCTP. Funkcja sctp_process_strreset_inreq() nie sprawdza, czy liczba strumieni w żądaniu RESET_IN_REQUEST od peera nie spowoduje przepełnienia przy generowaniu odpowiedzi RESET_OUT_REQUEST. Na interfejsach z MTU większym niż 65535 bajtów (np. loopback z IPv6 jumbograms) może to prowadzić do przepełnienia zmiennej __u16, alokacji zbyt małego bufora i awarii jądra (kernel BUG).

W jądrze Linuxa w module mctp i3c wykryto wyciek zasobów podczas nieudanej rejestracji sterownika. Jeśli rejestracja sterownika I3C nie powiedzie się, notyfikator i obiekty mctp_i3c_bus nie są usuwane, co prowadzi do wycieku pamięci i pozostawienia notyfikatora wskazującego na moduł, który nie został załadowany. Poprawka dodaje sprzątanie w ścieżce błędu.

W jądrze Linux w podsystemie TIPC funkcja __tipc_nl_compat_dumpit może wejść w nieskończoną pętlę, gdy wywołanie zwrotne dumpit zwróci ujemną wartość errno. Pętla while(len) nigdy się nie kończy, co prowadzi do niezwolnienia mutexu genl_mutex i zagłodzenia innych zadań oczekujących w stanie D.

W jądrze Linux w podsystemie CIFS występuje wyciek obiektu cifsFileInfo, gdy alokacja kmalloc w ścieżkach odroczonego zamykania nie powiedzie się. Po anulowaniu odroczonej pracy, jeśli alokacja pamięci się nie powiedzie, pętla przerywa się, ale odwołanie do cifsFileInfo i otwarty uchwyt serwera nie są zwalniane.

W jądrze Linux w sterowniku WiFi mt76 (model mt7925) funkcja mt7925_sta_set_decap_offload() może wyłuskać wskaźnik NULL, gdy stacja MLO nie ma link STA dla każdego poprawnego linku vif. Prowadzi to do dereferencji NULL podczas ustawiania lub czyszczenia flagi MT_WCID_FLAG_HDR_TRANS.

W jądrze Linux w sterowniku WiFi mt76 (model mt7915) funkcje mt7915_mcu_bss_he_tlv() i mt7915_mcu_sta_bfer_tlv() mogą wyłuskać wskaźnik NULL, gdy funkcja mt76_connac_get_he_phy_cap() zwróci NULL. Prowadzi to do dereferencji NULL podczas dodawania TLV.

W jądrze Linux w sterowniku WiFi mt76 (podsystem connac) funkcja mt76_connac_mcu_uni_bss_he_tlv() może wyłuskać wskaźnik NULL, gdy funkcja mt76_connac_get_he_phy_cap() zwróci NULL. Brak sprawdzenia wskaźnika cap przed dereferencją.

W jądrze Linux w sterowniku WiFi mt76 (model mt7996) funkcja mt76_connac_get_he_phy_cap() może teoretycznie zwrócić NULL, a kod nie sprawdza wskaźnika cap przed jego dereferencją, co może prowadzić do awarii.

W jądrze Linux w sterowniku WiFi mt76 (model mt7925) podczas odtwarzania po resecie funkcja mt7925_vif_connect_iter() może przekazać NULL jako bss_conf do mt76_connac_mcu_uni_add_dev(), co prowadzi do awarii systemu. Dzieje się tak, gdy bitmapa sterownika zawiera link, którego bss_conf już zniknął.

W jądrze Linux w sterowniku WiFi mt76 (model mt7996) funkcja mt7996_mcu_sta_bfer_eht() może wyłuskać wskaźnik NULL, gdy funkcja mt76_connac_get_eht_phy_cap() zwróci NULL. Brak sprawdzenia wskaźnika cap przed dereferencją.

W jądrze Linux w sterowniku drm/xe dla kart graficznych Intel wystąpiła podatność polegająca na braku zabezpieczeń drm_dev podczas odłączania buforów CCS read/write. W niektórych scenariuszach bufory są zwalniane po odwiązaniu urządzenia, co prowadzi do dereferencji wskaźnika NULL i awarii systemu.

W jądrze Linux w sterowniku WiFi brcmfmac występuje ostrzeżenie (trace warning) podczas wywołania brcmf_cfg80211_set_pmk() w trybie 802.1X-SHA256, ponieważ nie ustawiono odpowiednio flagi use_fwsup na BRCMF_PROFILE_FWSUP_1X.

W jądrze Linuxa w sterownikach drm/vc4 hvs i v3d funkcje unbind używają dev_get_drvdata(master), co prowadzi do wyłuskania pustego wskaźnika, gdy vc4-drm jest usuwany przed zależnymi sterownikami. Poprawka polega na użyciu wskaźnika danych przekazanego do funkcji unbind zamiast dev_get_drvdata(master).

W jądrze Linuxa w podsystemie HSR (High-availability Seamless Redundancy) podczas wyrejestrowywania urządzenia podrzędnego (slave) nie są usuwane zsynchronizowane identyfikatory VLAN, co prowadzi do wycieku pamięci. Poprawka dodaje wywołanie vlan_vids_del_by_dev() w funkcji hsr_del_port().

W jądrze Linuxa w sterowniku vmxnet3 funkcja vmxnet3_get_hdr_len() wywołuje BUG_ON dla pakietów Geneve, gdy deskryptor wskazuje na wewnętrzny nagłówek zamiast zewnętrznego. Poprawka sprawdza flagę VMXNET3_RCD_HDR_INNER_SHIFT i bezpiecznie zwraca 0, zamiast wywoływać BUG_ON.

W jądrze Linux w sterowniku DRM/XE dla procesorów graficznych Intel odkryto wyciek pamięci w funkcji xe_vm_create(). Podczas błędu alokacji obiektu rezerwacji, zasoby inicjalizowane przez xe_svm_init() nie są zwalniane, co prowadzi do wycieku pamięci zarówno w trybie fault-mode, jak i non-fault-mode.

W jądrze Linuxa w podsystemie TIPC walidacja MTU dla mediów i bearerów nie sprawdza górnego limitu, co pozwala na ustawienie wartości powyżej U16_MAX, prowadząc do obcięcia i dzielenia przez zero. Poprawka odrzuca wartości MTU powyżej U16_MAX.

W jądrze Linuxa w podsystemie GRE wystąpiła regresja w trybie LLTX dla tuneli z SEQ/CSUM, gdzie flaga dev->lltx jest ustawiana po wczesnych returnach, co powoduje utratę lockless TX i ryzyko zakleszczenia. Poprawka przenosi ustawienie dev->lltx przed wczesne returny.

W jądrze Linuxa dla architektury LoongArch w JIT BPF wyniki operacji ALU32 div/mod ze znakiem są rozszerzane znakowo, co pozostawia górne 32 bity ustawione, niezgodnie z modelem weryfikatora. Poprawka dodaje zerowe rozszerzenie wyniku po operacji dzielenia/modulo.