Podatności Linux kernel

W jądrze Linuxa w podsystemie QRTR tworzenie gniazd nie jest ograniczone do początkowej przestrzeni nazw sieciowych, co pozwala nieuprzywilejowanym procesom w innych przestrzeniach nazw na wysyłanie datagramów QRTR do gniazd w innych przestrzeniach, łamiąc izolację. Poprawka ogranicza rodzinę gniazd do początkowej przestrzeni nazw.

W jądrze Linux w sterowniku mlx5 wykryto przepełnienie bufora podczas odczytu rejestru MCIA, gdy urządzenie obsługuje odczyt 32 słów (128 bajtów), a struktura danych przewiduje tylko 12 słów. Może to prowadzić do odczytu poza buforem i paniki jądra, szczególnie przy włączonej ochronie FORTIFY_SOURCE.

W jądrze Linux w sterowniku ice występuje wyciek pamięci podczas alokacji pierścienia znaczników czasowych (tstamp_ring) dla nie-PF typów VSI. Funkcja ice_is_txtime_ena() nie sprawdza typu VSI, co prowadzi do błędnej alokacji i wycieku pamięci przy każdym resecie PCI.

W jądrze Linux w sterowniku idpf wykryto podatność powodującą awarię (crash) podczas inicjalizacji, gdy alokacja pamięci dla vports, netdevs i buforów vport_config nie powiedzie się. Problem polega na tym, że adapter->max_vports jest ustawiany przed pomyślną alokacją, co prowadzi do wyłuskania pustego wskaźnika (NULL pointer dereference) podczas resetu urządzenia lub usuwania modułu (rmmod).

W jądrze Linux w module RDS TCP występuje wyścig (race condition) podczas zamykania sieci netns. Sysctl jest wyrejestrowywany po zamknięciu gniazda nasłuchującego, co może prowadzić do użycia po zwolnieniu (use-after-free) w funkcji rds_tcp_skbuf_handler().

W jądrze Linux w protokole TIPC występuje przepełnienie liczby całkowitej w funkcjach tipc_recvmsg() i tipc_recvstream(). Użycie min_t(int, ...) zamiast min_t(size_t, ...) może prowadzić do ujemnej długości kopiowania, co wywołuje panikę jądra.

W jądrze Linux w module drop_monitor występuje wyciek informacji w atrybucie NET_DM_ATTR_PAYLOAD. Niezainicjowane bajty dopełnienia (padding) są wysyłane do przestrzeni użytkownika w komunikatach netlink, co może ujawnić dane z pamięci jądra.

W jądrze Linux w module drop_monitor występuje błąd w obliczeniach rozmiaru dla atrybutów 64-bitowych. Niedoszacowanie rozmiaru bufora SKB może prowadzić do paniki jądra (skb_over_panic) podczas dodawania atrybutów.

W jądrze Linux w module drop_monitor aktualizacje statystyk u64_stats są wykonywane po ponownym włączeniu przerwań, co na architekturach 32-bitowych może prowadzić do uszkodzenia danych lub stanu sekwencji. Poprawka przenosi aktualizacje przed wyłączeniem przerwań.

W jądrze Linux dla architektury LoongArch w funkcji bpf_jit_free() występuje wyciek pamięci, ponieważ nie zwalnia ona tablicy offsetów kontekstu JIT (jit_data->ctx.offset). Może to prowadzić do wyczerpania pamięci przy wielokrotnym ładowaniu programów BPF.

W jądrze Linux wykryto podatność use-after-free w funkcji tcp_bpf_sendmsg() w mechanizmie BPF sockmap. Problem wynika z niebezpiecznego porównania wskaźnika msg_tx z psock->cork po ponownym uzyskaniu zamka gniazda, co przy współbieżnym wysyłaniu danych z dwóch wątków może prowadzić do podwójnego zwolnienia pamięci (stale cork).

W jądrze Linux wykryto podatność use-after-free w mechanizmie tracingu (śledzenia). Problem dotyczy zwalniania prywatnych danych wyzwalaczy (trigger private data) po przeniesieniu synchronizacji do osobnego wątku, co pozwala współbieżnemu handlerowi tracepoint na dostęp do już zwolnionej pamięci. Poprawka przywraca synchronizację dla histogramów i dodaje opcjonalny callback dla wyzwalaczy enable.

W jądrze Linux w sterowniku drm/rockchip: analogix_dp brakuje sprawdzenia błędu dla funkcji platform_get_resource(). Może to prowadzić do wyłuskania pustego wskaźnika, gdy zasób pamięci nie jest dostępny.

W jądrze Linux w sterowniku graficznym drm/imagination (powervr) wykryto podatność polegającą na nieprawidłowym zliczaniu zależności między sparowanymi zadaniami geometrii i fragmentów w funkcji prepare_job(). To prowadzi do niedoszacowania zajętości kolejki CCCB, co może skutkować ostrzeżeniami jądra i potencjalnymi przekroczeniami limitu czasu zadań.

W jądrze Linux w sterowniku drm/bridge: cdns-dsi użyto przestarzałego makra UNIVERSAL_DEV_PM_OPS(), które wywołuje te same funkcje dla zarządzania energią w czasie pracy i podczas uśpienia systemu. Powoduje to podwójne wyłączenie zegarów DSI i generowanie ostrzeżeń.

W jądrze Linux w parserach odpowiedzi bocznych DPCD/I2C w drm/dp/mst występują odczyty poza zakresem (OOB). Funkcje drm_dp_sideband_parse_remote_dpcd_read() i drm_dp_sideband_parse_remote_i2c_read_ack() nie sprawdzają, czy idx + num_bytes <= raw->curlen, co może prowadzić do odczytu poza buforem.

W jądrze Linux w funkcji drm_dp_sideband_append_payload() w drm/dp/mst występują trzy błędy przepełnienia bufora: niedomiar curchunk_len przy msg_len=0, przepełnienie bufora chunk[48] oraz przepełnienie bufora msg[256]. Błędy są osiągalne przez każde urządzenie MST, które może wysyłać sfałszowane odpowiedzi sideband.

W jądrze Linux w podsystemie DRM DP MST wykryto podatność na odczyt poza zakresem w parserach odpowiedzi sideband. Trzy funkcje parsujące odczytują 16-bitowe pola bez wcześniejszego sprawdzenia granic, co może prowadzić do odczytu danych poza buforem.

W jądrze Linux w sterowniku amdgpu wykryto przepełnienie bufora w ścieżce sysfs cleaner shader. Alokowany jest bufor 64-bajtowy, ale wypełniany jest większą ilością danych, co może prowadzić do błędu strony w jądrze.

W jądrze Linux w sterowniku amdgpu brakuje sprawdzenia wyniku funkcji amdgpu_vm_bo_find() w ścieżce GET_MAPPING_INFO. Może to prowadzić do dereferencji wskaźnika NULL, gdy bufor nie jest zmapowany.

W jądrze Linux w sterowniku xe wykryto przepełnienie bufora w alokacji listy rejestrów sterowanych. Rozmiar alokacji jest obliczany na podstawie tylko maski DSS geometrii, podczas gdy pętla wypełniająca używa sumy masek geometrii i compute, co prowadzi do zapisu poza przydzielony bufor.

W jądrze Linux w sterowniku amdgpu wykryto problemy w obsłudze nadpisywania stanu pstate kontekstu, w tym potencjalne użycie po zwolnieniu i dereferencję wskaźnika NULL podczas inicjalizacji kontekstu. Ponadto, zakończenie kontekstu może nadpisać konfigurację ustawioną przez sysfs.

W jądrze Linux w sterowniku amdgpu brakuje walidacji minimalnego rozmiaru dla chunków CP_GFX_SHADOW w funkcji amdgpu_cs_pass1(). Może to prowadzić do dereferencji wskaźnika NULL, gdy użytkownik prześle chunk o zerowej długości.

W jądrze Linux w sterowniku nouveau wykryto odwróconą kolejność czyszczenia błędów w funkcjach ucopy. Może to prowadzić do dereferencji wskaźnika ERR_PTR, co powoduje awarię jądra, lub do wycieku pamięci.

W jądrze Linux w podsystemie sysfb wykryto możliwość obcięcia wyniku podczas obliczania widocznego rozmiaru bufora ramki. Użycie 32-bitowej arytmetyki może prowadzić do przepełnienia, jeśli wartości wysokości i kroku są duże.

W jądrze Linux w sterowniku i915 wykryto brak zabezpieczenia Spectre dla kontrolowanego przez użytkownika slotu równoległego przesyłania. Może to umożliwić ataki typu Spectre.

W jądrze Linux w sterowniku xe wykryto, że błędy niemigrowalne wymagające devmem niepoprawnie skaczą do etykiety 'out', co powoduje zwrócenie błędnego kodu błędu. Poprawka polega na zwróceniu -EACCES.

W jądrze Linux w sterowniku drm/xe/rtp stwierdzono naruszenie bezpieczeństwa polegające na bezwarunkowym dodawaniu rejestrów OA do listy dozwolonych. Poprawka ustawia bit RING_FORCE_TO_NONPRIV_DENY w slotach OA, aby zapobiec domyślnemu whitelistowaniu tych rejestrów po resecie.

W jądrze Linux w sterowniku drm/xe występuje podatność use-after-free dotycząca importowanych obiektów dma-buf. Obiekt BO może odwoływać się do obiektu rezerwacji eksportera, który może zostać zwolniony, zanim importer przejmie referencję, co prowadzi do awarii systemu.

W jądrze Linux w sterowniku drm/xe/vm występuje podatność polegająca na użyciu wartości -1 jako indeksu tablicy podczas prefetchowania BO VMA z opcją CONSULT_MEM_ADVISE_PREF_LOC, co prowadzi do odczytu poza zakresem pamięci. Poprawka rozwiązuje problem, bezpośrednio określając preferowaną lokalizację dla BO VMA.

W jądrze Linux w sterowniku drm/xe/pt występuje podatność polegająca na braku resetowania zmiennej current_op w funkcji xe_pt_update_ops_init(). Podczas ponownych prób w pętli może dojść do zapisu poza zakresem tablicy, co prowadzi do uszkodzenia pamięci i awarii (UAF). Poprawka resetuje current_op oraz powiązane flagi.

W jądrze Linux w sterowniku graficznym drm/imagination (powervr) występuje podwójne wywołanie funkcji drm_sched_entity_fini(), co prowadzi do naruszenia licznika referencji i potencjalnego użycia po zwolnieniu (use-after-free). Problem pojawia się podczas niszczenia kontekstu, gdy funkcja drm_sched_entity_fini() jest wywoływana zarówno w ścieżce pvr_queue_kill, jak i pvr_queue_destroy.

W jądrze Linux w sterowniku drm/imagination występuje podatność w funkcji pvr_set_uobj_array(), gdzie błędnie zamieniono kroki dla wskaźników użytkownika i jądra podczas kopiowania tablicy obiektów. Prowadzi to do odczytu/zapisu pod niewłaściwymi adresami oraz nieprawidłowego czyszczenia paddingu.

W jądrze Linux w sterowniku DRM Imagination (powervr) występuje podatność polegająca na błędnym sprawdzaniu wyniku funkcji pvr_vm_context_lookup() za pomocą IS_ERR(). Funkcja ta zwraca NULL lub wskaźnik, a nie kod błędu, co prowadzi do dereferencji NULL i paniki jądra (oops) podczas wywołania ioctl DRM_IOCTL_PVR_CREATE_CONTEXT z nieprawidłowym uchwytem kontekstu VM.

W jądrze Linux w sterowniku drm/imagination występuje podatność polegająca na braku synchronizacji między operacjami find i map w drm gpuvm. Podczas operacji map/unmap może trwać operacja find, co prowadzi do dereferencji wskaźnika NULL. Poprawka polega na przejęciu zamka vm_ctx->lock przed mapowaniem pamięci.

W jądrze Linux w sterowniku drm/amdkfd występuje podatność w funkcji allocate_event_notification_slot, gdzie nie sprawdzano górnej granicy dla identyfikatora zdarzenia. Może to prowadzić do alokacji slotu poza dozwolonym zakresem, co może skutkować błędami lub potencjalnym naruszeniem bezpieczeństwa.

W jądrze Linux w sterowniku drm/amdkfd występuje podatność polegająca na braku sprawdzania zakresu wartości typu kolejki i rozmiaru mqd podczas przywracania CRIU. Może to prowadzić do nieprawidłowego działania lub potencjalnego naruszenia bezpieczeństwa. Poprawka dodaje odpowiednie sprawdzenia.

W jądrze Linux w sterowniku drm/amdkfd występuje podatność polegająca na 32-bitowym przepełnieniu przy obliczaniu rozmiaru obszaru CWSR. Przy dużych wartościach ctx_save_restore_area_size i debug_memory_size pomnożonych przez liczbę XCC, iloczyn może się zawinąć, co prowadzi do zbyt małego obszaru CWSR, który później jest nadpisywany przez firmware. Poprawka promuje total_cwsr_size do typu u64 i używa funkcji check_add_overflow()/check_mul_overflow().

W jądrze Linux w sterowniku drm/amd/display występuje wyciek referencji do prev_sink w funkcji detect_link_and_local_sink. W ścieżce limitu czasu trybu DP alt mode funkcja zwraca false bez zwolnienia prev_sink, podczas gdy wszystkie inne ścieżki zwrotu poprawnie wywołują dc_sink_release(prev_sink).

W jądrze Linux w sterowniku drm/virtio występuje podatność polegająca na odczycie poza zakresem bufora w funkcji virtio_get_edid_block(). Funkcja waliduje tylko offset względem pola resp->size, ale nie względem tablicy resp->edid o stałym rozmiarze. Złośliwy backend virtio-gpu może podać duży rozmiar i wysoką liczbę bloków, co prowadzi do odczytu poza tablicą i wycieku informacji z pamięci jądra.

W jądrze Linux w sterowniku drm/i915/vrr brakuje walidacji minimalnej i maksymalnej częstotliwości odświeżania (vfreq) dostarczanej przez EDID. W najgorszym przypadku zerowa wartość min_vfreq może prowadzić do dzielenia przez zero w funkcji intel_vrr_compute_vmax().

W jądrze Linux w sterowniku drm/i915/hdcp występuje podatność polegająca na sprawdzaniu granic tablicy data->streams[] po faktycznym przepełnieniu bufora. Poprawka przenosi sprawdzenie przed zapis, zapobiegając nadpisaniu pamięci.

W jądrze Linux w sterowniku drm/amdgpu/sdma7.0 zamieniono makro BUG_ON() na WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Wcześniej użycie BUG_ON() powodowało natychmiastowe zatrzymanie systemu.

W jądrze Linux w sterowniku drm/amdgpu/sdma6.0 zamieniono makro BUG_ON() na WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Wcześniej użycie BUG_ON() powodowało natychmiastowe zatrzymanie systemu.

W jądrze Linux w sterowniku drm/amdgpu/sdma5.2 zamieniono makro BUG_ON() na WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Wcześniej użycie BUG_ON() powodowało natychmiastowe zatrzymanie systemu.

W jądrze Linux w sterowniku drm/amdgpu/sdma5.0 zamieniono makro BUG_ON() na WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Wcześniej użycie BUG_ON() powodowało natychmiastowe zatrzymanie systemu.

W jądrze Linux w sterowniku drm/i915 funkcja active_instance może zwrócić wskaźnik do node->base, gdy node jest NULL z powodu braku pamięci podczas alokacji GFP_ATOMIC. Poprawka zmienia funkcję tak, aby zwracała NULL w przypadku błędu.

W jądrze Linux w sterowniku drm/i915/bios brakowało sprawdzenia zakresu dla pola panel_type2 w bloku danych LFP. Dodano pomocnicze funkcje do sprawdzania zakresu, co poprawia poprawność wyboru typu panelu.

W jądrze Linux w sterowniku drm/amdgpu/gfx11 zastąpiono makro BUG_ON() funkcją WARN_ON(), aby uniknąć awarii jądra w określonych przypadkach.

W jądrze Linux w sterowniku drm/amdgpu występował problem z czasem życia wskaźnika vm w funkcji amdgpu_vm_get_task_info_pasid(). Wskaźnik był używany po zwolnieniu blokady, co mogło prowadzić do użycia po zwolnieniu (use-after-unlock). Poprawka polega na usunięciu funkcji amdgpu_vm_get_vm_from_pasid() i wstawieniu kodu bezpośrednio, aby blokada była trzymana podczas użycia.