Podatności Linux kernel

W jądrze Linux w sterowniku mt76 (podsystem mt7921) występuje podatność na odwołanie do wskaźnika NULL. Zdarzenie TXRX_NOTIFY jest obsługiwane na wszystkich magistralach, ale funkcja czyszcząca kolejki DMA jest zaimplementowana tylko dla magistrali mmio, co na magistralach USB i SDIO prowadzi do wywołania NULL.

W jądrze Linux w sterowniku mt76 (podsystem mt7925) występuje podatność na odwołanie do wskaźnika NULL. Zdarzenie TXRX_NOTIFY jest obsługiwane na wszystkich magistralach, ale funkcja czyszcząca kolejki DMA jest zaimplementowana tylko dla magistrali mmio, co na magistrali USB prowadzi do wywołania NULL.

W jądrze Linux w sterowniku brcmfmac występuje podwójne zwolnienie pamięci DMA. Funkcja zwalniająca bufory scratch nie zeruje wskaźników po zwolnieniu, co przy wielokrotnym wywołaniu (np. podczas resetu i usuwania) prowadzi do ponownego zwolnienia tej samej alokacji.

W jądrze Linux wykryto podatność w sterowniku WiFi ath12k, powodującą wyłuskanie wskaźnika NULL podczas odłączania sterownika. Problem dotyczy dwóch tablic mieszających (rhash), które są niszczone bez sprawdzenia, czy zostały zainicjalizowane. Błąd występuje, gdy inicjalizacja urządzenia nie powiedzie się, np. w środowisku wirtualnym z powodu problemów z adresowaniem MSI.

W jądrze Linux w sterowniku staging rtl8723bs występuje podatność na odczyt poza zakresem (OOB) w funkcji rtw_get_wps_ie(). Funkcja przetwarza dane IE z ramek sieciowych bez walidacji, czy nagłówek i dane mieszczą się w buforze, co może prowadzić do odczytu poza pamięcią.

W jądrze Linux wykryto podatność use-after-free w podsystemie Bluetooth (hci_sync). Problem wynika z braku synchronizacji dostępu do listy UUID między pracą asynchroniczną a operacjami add_uuid/remove_uuid, co może prowadzić do odczytu zwolnionej pamięci.

W jądrze Linuxa wykryto podatność use-after-free w podsystemie Bluetooth RFCOMM. Funkcja rfcomm_tty_set_termios() odwołuje się do sesji bez trzymania odpowiedniego zamka, co pozwala wątkowi krfcommd na zwolnienie sesji w trakcie jej używania, prowadząc do naruszenia pamięci.

W jądrze Linux wykryto podatność w funkcji transfer_args_to_stack() w pliku fs/exec.c, dotyczącą zawijania licznika pętli typu unsigned long. Gdy wartość bprm->p spadnie poniżej PAGE_SIZE, warunek pętli staje się zawsze prawdziwy, co prowadzi do odczytu poza tablicą i kopiowania danych z nieprawidłowego adresu pamięci do stosu procesu. Problem dotyczy tylko konfiguracji bez MMU (CONFIG_MMU=n) i może powodować awarię systemu.

W jądrze Linux w mechanizmie binfmt_misc występuje podatność, w której flaga have_execfd jest ustawiana przed otwarciem interpretera. Jeśli otwarcie interpretera zakończy się niepowodzeniem, flaga pozostaje ustawiona, co prowadzi do dereferencji wskaźnika NULL w funkcji begin_new_exec() i awarii systemu.

W jądrze Linux w architekturze LoongArch występuje błąd kolejności inicjalizacji: funkcja jump_label_init() jest wywoływana po parse_early_param(), co powoduje, że modyfikacje static keys w handlerach parametrów startowych nie działają poprawnie. W rezultacie, gdy włączone jest profilowanie alokacji pamięci i wyłączone parametrem startowym, jądro nie może się uruchomić. Poprawka przenosi wywołanie jump_label_init() przed parse_early_param().

W jądrze Linux w podsystemie CD-ROM występuje podatność na odczyt poza stosem w funkcji CDROMVOLCTRL. Podczas przetwarzania żądania, bufor na stosie o rozmiarze 32 bajtów jest odczytywany poza jego granicę, gdy urządzenie zwraca deskryptor bloku. Poprawka zmniejsza wartość cgc->buflen o tyle, o ile przesuwany jest wskaźnik bufora, aby transfer MODE SELECT obejmował tylko zamierzony zestaw parametrów.

W jądrze Linux w oprogramowaniu układowym Stratix10 Service Layer występują błędy prowadzące do wycieków pamięci i uszkodzenia listy. Poprawka dodaje zwolnienie pamięci na ścieżce błędu, zmienia alokację z devm_kzalloc() na kzalloc() z jawnym kfree() oraz usuwa błędne wywołanie list_del(), które psuło głowę listy.

W jądrze Linux w sterowniku comedi_parport występuje problem z przedwczesnym przerwaniem, które może prowadzić do błędu ogólnej ochrony. Poprawka zmienia kolejność inicjalizacji w funkcji parport_attach(), aby rejestry sprzętowe były inicjalizowane przed żądaniem przerwania, oraz dodaje test w procedurze obsługi przerwania, aby upewnić się, że urządzenie comedi jest w pełni podłączone.

W jądrze Linux w sterowniku MEI podczas czyszczenia magistrali występuje problem z dostępem do struktury mei_device bez odpowiedniego zamka, co może prowadzić do wyścigu i użycia po zwolnieniu (use-after-free). Poprawka polega na zabezpieczeniu operacji czyszczenia kolejek i przeglądania ostrzeżeń za pomocą zamka urządzenia oraz przeniesieniu przeglądania przed zwolnieniem referencji.

W jądrze Linux w sterowniku Intel TH występuje wyciek referencji do urządzenia wyjściowego MSC. Funkcja intel_th_output_open() pobiera referencję, która nie jest zwalniana w ścieżce zamykania pliku, co prowadzi do wycieku pamięci przy każdym otwarciu wyjścia MSC. Poprawka przenosi zwolnienie referencji do intel_th_msc_release().

W jądrze Linux w sterowniku NSM (misc) funkcja nsm_dev_ioctl() może odblokować mutex, który nie został wcześniej zablokowany, gdy kopiowanie danych z przestrzeni użytkownika nie powiedzie się przed przejęciem zamka. Prowadzi to do ostrzeżenia o braku równowagi odblokowania. Poprawka polega na natychmiastowym powrocie w przypadku błędu przed zamkiem.

W jądrze Linux w sterowniku NSM (misc) brakuje przypisania właściciela do operacji na plikach, co powoduje, że otwarcie /dev/nsm nie zwiększa licznika referencji modułu. Jeśli sterownik jest modułem, otwarty deskryptor pliku może przetrwać usunięcie modułu, prowadząc do wywołania kodu z niezaładowanego modułu. Poprawka ustawia właściciela na THIS_MODULE.

W jądrze Linux w mechanizmie tracing (śledzenia) występuje problem z opóźnieniem zwalniania modułu dla wyzwalacza 'enable_event'. Licznik referencji modułu jest zwalniany natychmiast, podczas gdy dane wyzwalacza mogą być nadal używane po okresie RCU, co może prowadzić do użycia po zwolnieniu. Poprawka przenosi zwolnienie referencji modułu do opóźnionego wywołania zwrotnego.

W jądrze Linux w mechanizmie tracing (śledzenia) funkcja mmiotrace read() może wyłuskać wskaźnik NULL, gdy hiter->dev nie zostanie znaleziony (np. brak urządzenia PCI). Poprawka dodaje sprawdzenie hiter->dev przed wyłuskaniem.

W jądrze Linux w mechanizmie tracing (śledzenia) występuje wyciek zasobów przy zamykaniu pliku trace_pipe dla mmiotrace. Funkcja mmio_pipe_open() alokuje zasoby, ale nie są one zwalniane przy zamknięciu, ponieważ nie ustawiono odpowiedniego wywołania zwrotnego pipe_close. Poprawka ustawia .pipe_close na mmio_close.

W jądrze Linux w mechanizmie tracing (śledzenia) występuje kolizja w unii struktury trace_event_call między wskaźnikiem modułu a licznikiem referencji dla zdarzeń dynamicznych. Gdy licznik referencji jest niezerowy, pole module jest interpretowane jako wskaźnik, co prowadzi do wyłuskania nieprawidłowego wskaźnika podczas filtrowania zdarzeń. Poprawka sprawdza flagę TRACE_EVENT_FL_DYNAMIC przed użyciem pola module.

W jądrze Linuxa wykryto podatność w podsystemie ublk, gdzie oczekiwanie na zakończenie poprzedniego cyklu odzyskiwania (ub->completion) zamiast na faktyczną gotowość urządzenia (ublk_dev_ready()) może prowadzić do zakleszczenia. Jeśli serwer ublk wyśle END_USER_RECOVERY bez udanego START_USER_RECOVERY, urządzenie może zostać oznaczone jako LIVE, a kolejka requeue nie zostanie ponownie uruchomiona, co powoduje zawieszenie żądań (np. flush_rq) i blokadę operacji fsync oraz teardown.

W jądrze Linux dla architektury ARM64 funkcja huge_ptep_get() może otrzymać niezaładresowany adres wirtualny, co prowadzi do błędnego określenia liczby ciągłych wpisów PTE i potencjalnego wyjścia poza tablicę PTE, powodując panikę jądra. Poprawka wyrównuje wskaźnik pmdp do podstawy bloku contpmd przed porównaniem.

W jądrze Linux wykryto podatność use-after-free w funkcji mptcp_pm_userspace_get_local_id() dla MPTCP. Wpis adresu jest wyszukiwany pod spinlockiem, ale jego identyfikator jest odczytywany po zwolnieniu blokady, co pozwala na równoczesne usunięcie wpisu i dostęp do zwolnionej pamięci. Problem został potwierdzony przez raport KASAN.

W jądrze Linuxa w funkcji afs_edit_dir_remove() występuje błąd polegający na użyciu afs_dir_find_block() zamiast afs_dir_get_block() do pobrania bloku 0. Może to prowadzić do przełączenia strony, na której znajduje się blok, co może powodować nieprawidłowe działanie.

W jądrze Linux w systemie plików Btrfs wykryto podatność związaną z kompresją danych dla inodów relokacji danych. Podczas relokacji danych, gdy inode relokacji jest zapisywany pod presją pamięci, kompresja może spowodować utworzenie wbudowanego (inline) extentu, co prowadzi do błędu w funkcji get_new_location() i awarii systemu.

W jądrze Linuxa funkcja vma_can_userfault() nie odrzucała rejestracji VMA typu shadow stack oraz VM_SPECIAL, co pozwalało na rejestrację specjalnych obszarów pamięci przez userfaultfd. Poprawka dodaje odrzucanie VM_SHADOW_STACK i VM_SPECIAL, z wyjątkiem VMA hugetlb.

W jądrze Linuxa funkcja damon_set_regions() nie walidowała zakresów, co pozwalało na ustawienie pustych regionów monitorowania. Może to prowadzić do ostrzeżeń WARN_ONCE() oraz dzielenia przez zero w damon_merge_two_regions(). Poprawka dodaje walidację zakresów.

W jądrze Linuxa funkcja damon_set_regions() nie sprawdzała, czy zakresy wejściowe są posortowane i nie nakładają się, co mogło prowadzić do nieoczekiwanego zachowania DAMON, w tym tworzenia regionów o ujemnym rozmiarze i dzielenia przez zero. Poprawka przywraca walidację założeń.

W jądrze Linux wykryto podatność w mechanizmie obsługi wpisów PMD dla pamięci prywatnej urządzeń (device-private). Błąd powoduje, że podczas skanowania stron (rmap walk) wpisy te nie są poprawnie obsługiwane, co może prowadzić do błędnej interpretacji wpisu jako wpisu migracyjnego, a w konsekwencji do uszkodzenia pamięci. Dodatkowo istnieje ryzyko wyścigu z podziałem PMD, co pogłębia problem.

W jądrze Linuxa w protokole SCTP występuje podatność use-after-free w sysctl auth_enable podczas zamykania przestrzeni nazw sieciowych. Rejestracja sysctl była wykonywana przed utworzeniem gniazda kontrolnego, co pozwalało na dostęp do nieistniejącego obiektu. Poprawka przenosi rejestrację sysctl do sctp_ctrlsock_init() i odpowiednio porządkuje wyrejestrowanie.

W jądrze Linux w module libceph podczas wyboru lokalnego odczytu może wystąpić dereferencja wskaźnika NULL, gdy brakuje nazwy typu CRUSH. Poprawka pomija takie uszkodzone węzły nadrzędne, chyba że dostępne są zarówno nazwa węzła, jak i nazwa typu.

W jądrze Linux w module libceph monmap z zerową liczbą monitorów był traktowany jako poprawny, co mogło prowadzić do awarii klienta. Poprawka odrzuca takie monmapy podczas dekodowania.

W jądrze Linux w module libceph pliki debugfs były usuwane po zakończeniu klienta monitora, co mogło prowadzić do użycia po zwolnieniu. Poprawka usuwa pliki debugfs przed zatrzymaniem klientów OSD i monitora.

W jądrze Linux w module AMT opóźnione prace mogły uzyskać dostęp do zwolnionej struktury amt_dev po usunięciu urządzenia. Poprawka używa disable_delayed_work_sync() w amt_dev_stop(), aby zapobiec ponownemu planowaniu prac.

W jądrze Linux w module binfmt_elf_fdpic występuje podatność polegająca na tym, że przy przetwarzaniu nagłówków programu obsługiwany jest tylko pierwszy wpis PT_INTERP, ale z powodu błędu w logice pętli, jeśli binaria zawierają więcej niż jeden taki wpis, to nadpisują one wskaźniki interpreter_name i interpreter, powodując wyciek pamięci oraz utrzymywanie blokady zapisu na pliku. Osoba nieuprzywilejowana może wykorzystać to do trwałego zablokowania zapisu na pliku.

W jądrze Linux wykryto podatność w funkcji do_thaw_all() w pliku fs/super, która powoduje podwójne odblokowanie semafora s_umount podczas awaryjnego odmarzania zamrożonych systemów plików. Prowadzi to do uszkodzenia stanu rwsem i wyzwala ostrzeżenie DEBUG_RWSEMS, co może destabilizować system.

W jądrze Linux w funkcji forget_cached_acl() stan ACL_DONT_CACHE nie jest zachowywany, co powoduje, że dla systemów plików, które zrezygnowały z cache'owania ACL (np. FUSE), może dojść do zwrócenia nieaktualnych wartości ACL. Problem wynika z tego, że wywołania forget_all_cached_acls() w kodzie FUSE nie uwzględniają tego stanu i go usuwają.

W jądrze Linux w module fscrypt, w funkcji find_or_insert_direct_key(), brakuje porównania wskaźnika super_block, co powoduje, że wpisy w globalnej tabeli fscrypt_direct_keys mogą być współdzielone między różnymi super_block. To może prowadzić do użycia po zwolnieniu (use-after-free), gdy klucz jest usuwany po zakończeniu życia super_block.

W jądrze Linux w module fscrypt, funkcja fscrypt_get_devices() używa dynamicznej alokacji tablicy wskaźników do urządzeń blokowych, co może się nie powieść, zwłaszcza podczas zwalniania klucza w kontekście bezpośredniego odzyskiwania pamięci. Nieobsłużony błąd prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux w module ftrace, struktura trace_parser jest współdzielona między wątkami podczas operacji zapisu i zwalniania, co prowadzi do wyścigu (race condition) na polach idx, cont i buffer. Może to powodować uszkodzenie danych wejściowych lub niezdefiniowane zachowanie.

W jądrze Linux w module iomap, funkcje ifs_set_range_dirty() i ifs_set_range_uptodate() mają podatność na zapis poza zakresem (out-of-bounds) w bitmap_set(), gdy długość zakresu wynosi zero. Niedomiar w obliczeniach last_blk prowadzi do ogromnych wartości, co powoduje zapis poza przydzieloną pamięcią.

W jądrze Linux w module slip, funkcja slip_receive_buf() odczytuje i zapisuje przez wskaźnik rbuff bez trzymania zamka sl->lock, podczas gdy sl_realloc_bufs() może zmienić rozmiar bufora. Zmiana MTU może prowadzić do zapisu poza zakresem lub użycia po zwolnieniu.

W jądrze Linux w module geneve, funkcja geneve_changelink() nie sprawdza wymaganych uprawnień CAP_NET_ADMIN w przestrzeni nazw sieciowych urządzenia (dev_net(dev)), co pozwala osobie z uprawnieniami tylko w jednej przestrzeni nazw na modyfikację urządzenia geneve, którego podkład (underlay) działa w innej przestrzeni nazw.

W jądrze Linux w podsystemie net/af_iucv występuje podatność na odwołanie do pustego wskaźnika (NULL deref) w funkcji afiucv_hs_callback_syn(). Gdy alokacja gniazda potomnego nie powiedzie się, zmienna nsk jest pusta, a kod w ścieżce odrzucenia połączenia wywołuje iucv_sock_kill(nsk) bez sprawdzenia, co prowadzi do błędu. Poprawka polega na wywołaniu iucv_sock_kill() tylko wtedy, gdy gniazdo zostało pomyślnie przydzielone.

W jądrze Linux w podsystemie net/iucv występuje podatność use-after-free w obsłudze zerwanych połączeń iucv_path. Kolejka message_q przechowuje wskaźniki do ścieżki iucv_path, która jest zwalniana przy zerwaniu połączenia, ale powiadomienia pozostają w kolejce. Późniejsze recvmsg() używa zwolnionej ścieżki, co prowadzi do błędu. Poprawka usuwa zakolejkowane powiadomienia po zerwaniu ścieżki.

W jądrze Linuxa wykryto podatność w sterowniku mlx5e, która może prowadzić do awarii systemu (NULL pointer dereference) podczas odzyskiwania po błędzie PCIe DPC. Problem występuje, gdy zdarzenie MPV_DEVCOM_MASTER_UP jest przetwarzane przed inicjalizacją wskaźnika devcom w prywatnych danych mlx5e, co powoduje dereferencję pustego wskaźnika. Poprawka polega na użyciu devcom nadawcy zamiast odbiorcy podczas oznaczania komponentu MPV jako gotowego.

W jądrze Linuxa wykryto podatność w podsystemie net/sched. Funkcje qdisc_get_rtab() i qdisc_put_rtab() modyfikują globalną listę qdisc_rtab_list oraz licznik refcnt bez synchronizacji, co przy wywołaniach bez RTNL (np. przez cls_flower) prowadzi do wyścigu, a w konsekwencji do use-after-free i podwójnego zwolnienia pamięci.

W jądrze Linux w sterowniku sieciowym hip04 występuje wyciek bufora RX w funkcji hip04_rx_poll(). Gdy build_skb() zawiedzie, sterownik nie zwalnia bieżącego bufora i mapowania DMA, a następnie nadpisuje sloty, powodując wyciek zasobów. Poprawka pozostawia bieżący slot nietknięty i zwraca budżet, aby NAPI ponowiło próbę, oraz zwalnia nowo przydzielony fragment przy błędzie dma_map_single().

W jądrze Linux w podsystemie PTP dla architektury s390 brakuje sprawdzenia dostępności funkcji sprzętowej (facility). Rejestracja fizycznego zegara odbywa się bez weryfikacji, czy facility 28 jest zainstalowane i czy PTFF QAF potwierdza dostępność PTFF QPT. Poprawka dodaje brakujące sprawdzenie.