Podatności Linux kernel

W jądrze Linux w sterowniku drm/i915/gem występował wyciek pamięci tablicy siblings[] w przypadku błędu podczas przetwarzania rozszerzeń po pomyślnym utworzeniu kontekstu z rozszerzeniem BALANCE/PARALLEL_SUBMIT. Poprawka naprawia ten wyciek.

W jądrze Linux w sterowniku drm/i915/gem występował błąd prowadzący do wyłuskania pustego wskaźnika (NULL deref) podczas ustawiania slotu silnika na I915_ENGINE_CLASS_INVALID i próby zastosowania parametru I915_CONTEXT_PARAM_SSEU do tego samego slotu. Poprawka to naprawia.

W jądrze Linux w sterowniku drm/i915/gt występował błąd wyłuskania pustego wskaźnika (NULL deref) podczas niepowodzenia alokacji sched_engine w funkcji execlists_create_virtual(). Poprawka unika użycia intel_context_put() przed intel_context_init(), co zapobiega wyłuskaniu.

W jądrze Linux w sterowniku drm/i915/mst pętla obsługi przerwań ESI w funkcji intel_dp_check_mst_status() nie miała górnego limitu, co mogło prowadzić do zapętlenia na potencjalnie zablokowanych urządzeniach. Dodano górny limit 32 prób.

W jądrze Linux w sterowniku drm/gpusvm występował wyciek mapowań urządzenia w przypadku błędu podczas pobierania stron. Poprawka polega na wcześniejszym opublikowaniu dpagemap, aby ścieżka błędu mogła poprawnie usunąć mapowania.

W jądrze Linux w funkcji ttm_pool_backup modułu DRM/TTM nie uwzględniano stron NULL oraz stron będących uchwytami kopii zapasowych. Powodowało to przekazanie nieprawidłowych wskaźników do set_pages_array_wb() i prowadziło do błędu ogólnej ochrony (oops) podczas operacji wycofywania pamięci.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_acpi_vfct_bios() pobierała tabelę VFCT za pomocą acpi_get_table(), ale nigdy jej nie zwalniała, co powodowało wyciek mapowania. Poprawka dodaje wywołanie acpi_put_table() na wszystkich ścieżkach wyjścia.

W jądrze Linux w sterowniku amdgpu występuje błąd polegający na tym, że podczas resetu GPU nie są finalizowane wszystkie oczekujące fence'y dla kolejek, które nie są w stanie MAPPED. Prowadzi to do zawieszenia procesów czekających na sygnał fence'a, co może zablokować system.

W jądrze Linux w sterowniku amd/display występuje błąd polegający na tym, że po zwolnieniu obiektu new_stream nie jest ustawiany wskaźnik na NULL. W przypadku późniejszego błędu może dojść do podwójnego zwolnienia i użycia po zwolnieniu (use-after-free).

W jądrze Linux w sterowniku amd/display dla układów DCE8 występuje błąd polegający na tym, że przy przypisywaniu enkodera strumienia dla drugiego strumienia DisplayPort MST może zostać wybrany enkoder analogowy, który nie obsługuje funkcji DP. Prowadzi to do wywołania pustych wskaźników funkcji i awarii systemu.

W jądrze Linux w sterowniku amdgpu występuje błąd polegający na tym, że funkcja amdgpu_bo_create_reserved nieprawidłowo zwiększa licznik pin_count przy każdym wywołaniu, nawet gdy obiekt BO już istnieje. Prowadzi to do wycieku pamięci, ponieważ pin_count nigdy nie spada do zera.

W jądrze Linux w sterowniku vc4 występuje błąd polegający na tym, że podczas zamykania sterownika timer pamięci podręcznej BO może zostać ponownie uruchomiony przez pracę, co prowadzi do użycia po zwolnieniu lub wycieku zasobów.

W jądrze Linux w sterowniku gpusvm występuje błąd polegający na tym, że w przypadku błędu alokacji pamięci w funkcji drm_gpusvm_range_evict nie jest zwalniane odniesienie do MM, co prowadzi do wycieku referencji.

W jądrze Linux w sterowniku airspy występuje błąd polegający na tym, że w przypadku błędu start_streaming() nie są zwracane bufory do frameworka vb2, co prowadzi do wycieku buforów i ostrzeżeń WARN_ON.

W jądrze Linux w sterowniku amlogic-c3 występuje błąd polegający na tym, że brak walidacji liczby stref (zones_num) w konfiguracji AE i AWB może prowadzić do odczytu/zapisu poza zakresem bufora zone_weight.

W jądrze Linux w sterowniku cedrus występuje błąd polegający na tym, że nieprawidłowe indeksy w listach referencyjnych H.264 mogą prowadzić do odczytu poza zakresem tablicy DPB. Poprawka pomija takie wpisy.

W jądrze Linux w sterowniku chips-media wave5 występuje błąd polegający na tym, że bufor może zostać zwrócony do przestrzeni użytkownika przed usunięciem go z kolejki gotowości, co prowadzi do zapętlenia listy i uszkodzenia wskaźników.

W jądrze Linux w sterowniku cx231xx naprawiono problem z czasem życia zasobów zarządzanych przez devres. Zasoby były powiązane z urządzeniem USB zamiast z interfejsem, co mogło prowadzić do wycieków pamięci przy odłączaniu sterownika bez fizycznego odłączenia urządzenia.

W jądrze Linux w sterowniku cx23885 dodano sprawdzenie wyniku funkcji pci_ioremap_bar() w cx23885_dev_setup(). W przypadku niepowodzenia ioremap dla BAR0, zwalniana jest przydzielona wcześniej pamięć PCI, zmniejszany licznik urządzeń i zwracany błąd -ENODEV.

W jądrze Linux w sterowniku i2c alvium naprawiono krytyczny problem z dostępem do wskaźnika w alvium_ctrl_init. Funkcja tworzyła kilka kontrolek i używała zwracanego wskaźnika bez sprawdzenia, co mogło prowadzić do zapisu przez wskaźnik NULL. Poprawka dodaje sprawdzanie wskaźników przed dodaniem flag.

W jądrze Linux w sterowniku mali-c55 naprawiono możliwość dereferencji ERR_PTR w enable_streams. Funkcja media_pad_remote_pad_unique() może zwracać ERR_PTR w przypadku błędu, a wartość była przypisywana bez sprawdzenia, co mogło prowadzić do dereferencji błędu. Dodano sprawdzanie IS_ERR() przed dereferencją oraz ustawienie remote_src na NULL w przypadku błędu.

W jądrze Linux w sterowniku meson vdec naprawiono wyciek pamięci w ścieżce błędu funkcji vdec_open. Wcześniej, gdy vdec_init_ctrls() zawiodła, pomijano zwolnienie kontekstu m2m, co powodowało wyciek zasobów. Dodano etykietę err_m2m_ctx_release, która wywołuje v4l2_m2m_ctx_release() przed zwolnieniem urządzenia m2m.

W jądrze Linuxa w sterowniku msi2500 (układ MSI2500 do odbioru SDR) wykryto podatność polegającą na wycieku buforów kolejki vb2 w przypadku błędu w funkcji start_streaming(). Pięć ścieżek błędów nie zwracało buforów do frameworka vb2, co powodowało ostrzeżenie WARN_ON i wyciek pamięci. Poprawka konsoliduje obsługę błędów, zapewniając zwrócenie wszystkich buforów i prawidłowy kod błędu.

W jądrze Linux w sterowniku nuvoton npcm-video naprawiono wycieki pamięci w funkcjach probe i remove. Struktura npcm_video nie była zwalniana w ścieżkach błędów ani w npcm_video_remove(), a także nie zwalniano powiązania z zarezerwowaną pamięcią, gdy npcm_video_setup_video() zawiodła.

W jądrze Linux w sterowniku nxp imx8-isi dodano brakujące wywołania v4l2_subdev_cleanup() w funkcjach czyszczących crossbar i pipe. Funkcje inicjalizujące alokowały stan aktywny subdev, ale nie były zwalniane, co powodowało wyciek pamięci przy każdym rmmod.

W jądrze Linux w sterowniku nxp imx8-isi naprawiono potencjalne problemy z dostępem poza zakres. Maksymalny współczynnik skalowania w dół obsługiwany przez ISI może wynosić do 16. Dodano ograniczenie minimalnej wartości przed zastosowaniem ustawienia do sprzętu, aby zapobiec braku reakcji procesu.

W jądrze Linux w sterowniku pci dm1105 naprawiono wyciek pamięci poprzez zniszczenie przydzielonej kolejki pracy (workqueue) w funkcji remove(). Wcześniej nie zwalniano zasobów kolejki, co powodowało wyciek pamięci.

W jądrze Linux w sterowniku pwc (kamera USB) występuje wyciek bufora podczas błędu w start_streaming(). Gdy pierwszy URB zostanie wysłany, jego procedura obsługi może przenieść bufor do fill_buf, a ścieżka błędu nie zwalnia tego bufora, co prowadzi do ostrzeżenia WARN_ON i wycieku pamięci.

W jądrze Linux w sterowniku pwc (kamera USB) występuje wyciek buforów podczas błędu w start_streaming(). Gdy start_streaming() zwraca błąd bez zwrócenia buforów przez vb2_buffer_done(), dochodzi do ostrzeżenia WARN_ON i wycieku buforów.

W jądrze Linux w sterowniku radio-si476x występuje wyciek referencji do urządzenia nadrzędnego podczas błędu w probe(). Jeśli rejestracja V4L2 się powiedzie, ale późniejsze kroki zawiodą, v4l2_device nie jest wyrejestrowywany, co prowadzi do wycieku.

W jądrze Linux w sterowniku rtl2832 (tuner DVB-T) występuje use-after-free podczas usuwania urządzenia. Opóźniona praca może być ponownie zaplanowana po anulowaniu, co prowadzi do użycia po zwolnieniu pamięci.

W jądrze Linux w sterowniku rtl2832_sdr wykryto podatność polegającą na wycieku buforów kolejki vb2 podczas błędów w start_streaming(). Jeśli funkcja zwróci błąd bez zwrócenia buforów, dochodzi do ostrzeżenia WARN_ON i wycieku pamięci. Problem dotyczy wielu ścieżek błędów, m.in. inicjalizacji podmodułów, alokacji buforów i URB.

W jądrze Linux w sterowniku saa7134 (karta TV) występuje możliwy wyciek pamięci w saa7134_video_init1. Brak sprawdzenia wartości zwracanej przez saa7134_pgtable_alloc() oraz niezwolnienie pamięci w przypadku błędu vb2_queue_init() prowadzi do wycieków i potencjalnego użycia niezainicjalizowanych zasobów DMA.

W jądrze Linux w sterowniku stm32-dcmipp (kamera) występuje wyciek buforów podczas błędu w start_streaming(). Gdy start_streaming() zwraca błąd bez zwrócenia buforów, dochodzi do ostrzeżenia WARN_ON i wycieku buforów.

W jądrze Linux w sterowniku stm32 dcmi (kamera) występuje wyciek notyfikatora podczas błędu w probe(). Jeśli rejestracja notyfikatora się powiedzie, ale późniejsze kroki zawiodą, notyfikator nie jest wyrejestrowywany, co prowadzi do wycieku.

W jądrze Linux w sterowniku sun4i-csi (kamera) występuje wyciek buforów podczas błędu w start_streaming(). Gdy start_streaming() zwraca błąd bez zwrócenia buforów, dochodzi do ostrzeżenia WARN_ON i wycieku buforów.

W jądrze Linux w sterowniku ti vpe występuje błąd w kodzie błędu dla devm_kzalloc(). Użycie PTR_ERR_OR_ZERO() zwraca 0 dla wskaźnika NULL, co maskuje błąd alokacji pamięci.

W jądrze Linux w sterowniku VPE (Video Processing Engine) dla platform TI wystąpił problem: gdy brakuje zasobu vpe_top, funkcja vpe_probe() zwraca błąd -ENODEV po pomyślnej rejestracji urządzenia v4l2. Ponieważ błędy podczas inicjalizacji nie wywołują funkcji usuwającej sterownik, urządzenie v4l2 pozostaje zarejestrowane, co prowadzi do wycieku zasobów.

W jądrze Linux w mechanizmie kontroli V4L2 (v4l2-ctrls) brakuje walidacji aktywnych liczników referencji L0/L1 dla parametrów slice HEVC. Wspólna ścieżka walidacji nie sprawdza tych wartości przed ich użyciem przez kod specyficzny dla sterownika, co może prowadzić do nieprawidłowego działania.

W jądrze Linux w funkcji v4l2_async_register_subdev_sensor() występuje problem z nadpisywaniem właściciela subdev. Makro v4l2_async_register_subdev() rozwija się do __v4l2_async_register_subdev(sd, THIS_MODULE), ale ponieważ jest wywoływane wewnątrz v4l2-fwnode.c, THIS_MODULE odnosi się do modułu v4l2-fwnode, a nie do modułu sterownika sensora. Gdy v4l2-fwnode jest wbudowane, THIS_MODULE ma wartość NULL, co nadpisuje właściciela sensora wartością NULL.

W jądrze Linux w sterowniku vivid brakuje sprawdzenia vb2_is_busy() przy przełączaniu możliwości (caps). Funkcje vivid_update_format_cap/out() mogą być wywoływane, gdy kolejka przechwytywania/wyjścia nie jest zajęta, ale dla kontrolek wybierających możliwości CROP/COMPOSE/SCALE to sprawdzenie nie jest wykonywane. Może to prowadzić do nieoczekiwanych wyników, gdy format jest zmieniany między REQBUFS a STREAMON.

W jądrze Linux w sterowniku vivid występują błędy w funkcji vivid_init() dotyczące czyszczenia zasobów. Gdy platform_device_register() zawiedzie, struktura device w vivid_pdev jest już zainicjalizowana, ale ścieżka błędu nie zwalnia referencji do urządzenia, co prowadzi do wycieku referencji. Dodatkowo etykieta unreg_driver błędnie wywołuje platform_driver_register() zamiast platform_driver_unregister(), co psuje czyszczenie, gdy tworzenie workqueue zawiedzie po pomyślnej rejestracji sterownika.

W jądrze Linuxa wykryto podatność w podsystemie ALSA sequencer. Problem polega na tym, że funkcja usuwająca kolejkę (queue_delete) nie zamyka ponownie otwartego timera, co prowadzi do użycia po zwolnieniu (use-after-free). Atakujący z dostępem do /dev/snd/seq może wykorzystać tę wadę do naruszenia integralności pamięci jądra.

W jądrze Linux w podsystemie ALSA timer występuje problem z opróżnianiem (drain) callbacków niewolników (slaves) przed ich odłączeniem przez mastera. Gdy instancja mastera jest zamykana, remove_slave_links() czyści pole ->timer każdego niewolnika, a następnie zamykanie niewolnika pomija opróżnianie callbacku, co może prowadzić do użycia po zwolnieniu, jeśli callback niewolnika jest nadal aktywny.

W jądrze Linux w podsystemie ALSA timer występuje problem z ponownym wejściem do callbacku instancji, który jest nadal uruchomiony. Ioctl TRIGGER dla timera userspace (utimer) wywołuje snd_timer_interrupt() bez serializacji, więc dwa wątki mogą uruchomić snd_timer_interrupt() na tym samym timerze jednocześnie. Bit SNDRV_TIMER_IFLG_CALLBACK nie może reprezentować dwóch równoczesnych callbacków, co prowadzi do użycia po zwolnieniu.

W jądrze Linux w sterowniku wifi ath6kl występuje problem z dostępem poza zakres (OOB) spowodowany rozmiarem okna ADDBA dostarczanym przez firmware. Funkcja aggr_recv_addba_req_evt() loguje komunikat debugowania, gdy win_sz jest poza zakresem, ale nie zwraca błędu. Następnie nieprawidłowy win_sz jest używany do obliczenia rozmiaru alokacji, co prowadzi do alokacji o zerowym rozmiarze lub przepełnienia, a następnie do dostępu poza zakres.

W jądrze Linux w sterowniku wifi ath6kl występuje problem użycia po zwolnieniu w funkcji aggr_reset_state(). Funkcja używa timer_delete() (niesynchronicznego) dla timera agregacji przed usunięciem stanu TID i przed zwolnieniem struktury przez wywołujących, takich jak aggr_module_destroy(). Jeśli callback timera jest wykonywany w tym czasie, może uzyskać dostęp do zwolnionej pamięci.

W jądrze Linux w sterowniku mwifiex występuje podatność na odwołanie do wskaźnika NULL. Gdy punkt dostępowy (AP) reklamuje element HT Capabilities, ale nie zawiera elementu HT Operation, sterownik podczas konfiguracji połączenia TDLS próbuje odczytać nieistniejący wskaźnik bcn_ht_oper, co prowadzi do awarii systemu.

W jądrze Linux w sterowniku wilc1000 występuje podatność na odczyt poza zakresem (OOB) podczas przetwarzania odpowiedzi na skojarzenie (association response). Sterownik nie sprawdza, czy długość ramki jest wystarczająca do pomieszczenia nagłówka, co może prowadzić do odczytu poza buforem lub zawinięcia długości.

W jądrze Linux w sterowniku mt76 (podsystem mt7615) występuje podatność na odwołanie do wskaźnika NULL. Zdarzenie TXRX_NOTIFY jest obsługiwane na wszystkich magistralach, ale funkcja czyszcząca kolejki DMA jest zaimplementowana tylko dla magistrali mmio, co na magistralach USB i SDIO prowadzi do wywołania NULL.