Podatności Linux kernel

W jądrze Linux w sterowniku sieciowym Intel ice występuje błąd w obsłudze PTP podczas zwalniania sterownika. Gdy wystąpi reset PF w stanie ICE_PTP_UNINIT, funkcja ice_ptp_rebuild() zmienia stan na ICE_PTP_ERROR, co prowadzi do wywołania BUG w list_debug.c podczas zwalniania. Poprawka wykrywa stan ICE_PTP_UNINIT i nie zmienia go na ICE_PTP_ERROR, zapobiegając awarii.

W jądrze Linux wykryto podatność prowadzącą do zakleszczenia (deadlock) podczas awaryjnego odladzania zamrożonych urządzeń blokowych. Funkcja do_thaw_all_callback() wywołuje bdev_thaw() trzymając blokadę sb->s_umount, co przy ostatnim odwołaniu do zamrożenia prowadzi do ponownego przejęcia tej samej blokady przez ten sam wątek, powodując zawieszenie systemu.

W jądrze Linuxa w sterowniku RBD (Ceph) podczas aktualizacji mapy obiektów dodatni kod wyniku w odpowiedzi na żądanie zapisu nie jest resetowany do zera, co może prowadzić do wyzwolenia asercji i awarii systemu. Poprawka resetuje dodatni kod wyniku do zera i dodaje ostrzeżenie WARN_ON_ONCE.

W jądrze Linuxa w module ksmbd (serwer SMB) funkcja destroy_previous_session() jest wywoływana przed walidacją odpowiedzi NTLMv2, co pozwala uwierzytelnionemu atakującemu zniszczyć sesję innego użytkownika. Poprawka przenosi wywołanie po walidacji i używa zweryfikowanego użytkownika.

W jądrze Linuxa w sterowniku gve (Google Virtual Ethernet) błąd alokacji stron podczas uzupełniania buforów Rx może spowodować trwałe zatrzymanie kolejki. Poprawka wprowadza timer odzyskiwania, który okresowo wznawia NAPI, gdy liczba buforów spadnie poniżej progu.

W jądrze Linuxa w sterowniku ice (Intel Ethernet) brak walidacji wartości ptype w ice_parser_profile_init pozwala złośliwemu VF na zapis poza bitmapą, powodując błąd strony. Poprawka odrzuca wartości ptype spoza zakresu.

W jądrze Linuxa w podsystemie mac802154 pracownik skanowania nie utrzymuje referencji do interfejsu sieciowego, co może prowadzić do użycia po zwolnieniu podczas równoczesnego usuwania interfejsu. Poprawka dodaje netdev_hold() i zwalnia referencję przy każdym wyjściu.

W jądrze Linuxa w podsystemie mac802154 llsec brakuje walidacji długości ramki względem długości tagu uwierzytelniającego, co prowadzi do przekazania ogromnej wartości do AEAD i odczytu poza zakresem. Poprawka odrzuca ramki krótsze niż tag.

W jądrze Linuxa w module ovpn (OpenVPN) w ścieżkach błędów TCP może wystąpić wyciek referencji do obiektu peer, gdy schedule_work() zwraca false. Poprawka sprawdza wartość zwracaną i zwalnia dodatkową referencję.

W jądrze Linux w funkcji pppoe_sendmsg() wskaźnik do nagłówka PPPoE jest zapisywany przed wywołaniem dev_hard_header(), które może ponownie przydzielić bufor skb i unieważnić wskaźnik. W pewnych warunkach może to prowadzić do zapisu przez zwisający wskaźnik do zwolnionej pamięci. Poprawka polega na ponownym załadowaniu wskaźnika po utworzeniu nagłówka urządzenia.

W jądrze Linux wykryto podatność w sterowniku rtase, która może powodować zawieszenie transmisji (TX hang) z powodu błędów sprzętowego parsowania pakietów. Niekompletne nagłówki IPv4, IPv6, TCP lub UDP, a także pakiety PTP z krótkimi danymi transportowymi, mogą wywołać ten problem. Sterownik stosuje obejścia, takie jak odrzucanie uszkodzonych pakietów i dopełnianie danych transportowych.

W jądrze Linux w funkcjach tcp_v4_send_ack() i tcp_v6_send_response() podczas konstruowania odpowiedzi TCP z opcjami TCP-AO, bajty wyrównania po znaczniku MAC nie są inicjalizowane, co może prowadzić do wysłania niezainicjalizowanych danych. Poprawka inicjalizuje tylko bajty wyrównania w gałęziach TCP-AO przed hashowaniem nagłówka.

W jądrze Linux w funkcji tcp_check_req() w stanie SYN-RECEIVED, nieprecyzyjny RST (niezgodny z RCV.NXT) jest akceptowany i usuwa żądanie, zamiast wywołać challenge ACK zgodnie z RFC 9293. Poprawka dodaje sprawdzenie zgodności z RFC 5961 przed walidacją pola ACK, aby wymusić challenge ACK dla nieprecyzyjnych RST.

W jądrze Linuxa w module VXLAN wykryto podatność polegającą na uszkodzeniu listy źródeł wpisu MDB podczas nieudanej operacji zastąpienia. W wyniku błędu w obsłudze wyjątków, istniejące wpisy źródeł są usuwane, co prowadzi do nieprawidłowego działania filtrów EXCLUDE i INCLUDE, powodując nieautoryzowany ruch lub blokowanie ruchu.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX10, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX12.1, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX12, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX9.4.3, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku amdgpu dla GFX9 zastąpiono makro BUG_ON() funkcją WARN_ON(). Wcześniej nieprawidłowe warunki powodowały awarię całego systemu, teraz generują jedynie ostrzeżenie.

W jądrze Linux w sterowniku amdgpu dla SDMA 4.4.2 zastąpiono makro BUG_ON() funkcją WARN_ON(). Wcześniej nieprawidłowe warunki powodowały awarię całego systemu, teraz generują jedynie ostrzeżenie.

W jądrze Linux w sterowniku amdgpu dla SDMA 7.1 zastąpiono makro BUG_ON() funkcją WARN_ON(). Wcześniej nieprawidłowe warunki powodowały awarię całego systemu, teraz generują jedynie ostrzeżenie.

W jądrze Linux w sterowniku amdgpu (VCE) naprawiono przepełnienie liczby całkowitej przy obliczaniu rozmiaru obrazu. Złośliwe strumienie VCE z bardzo dużymi wymiarami (np. 65536×65536) powodowały zawinięcie rozmiaru bufora do 0, co omijało walidację i umożliwiało dostęp do pamięci poza zakresem przez firmware GPU. Poprawka używa arytmetyki 64-bitowej i odrzuca nieprawidłowe wymiary.

W jądrze Linux w sterowniku amdgpu (VCN4) uniknięto ponownego odczytu długości parametrów IB. Zamiast tego używa się wartości zwróconej przez funkcję vcn_v4_0_enc_find_ib_param(), co eliminuje potencjalny problem TOCTOU, gdy zawartość IB zmienia się między odczytami.

W jądrze Linux w sterowniku amdgpu naprawiono dzielenie przez zero przy nieprawidłowych wymiarach UVD. Gdy szerokość lub wysokość jest mniejsza niż 16, wartości width_in_mb lub height_in_mb stają się 0, co prowadzi do dzielenia przez zero w ścieżkach dekodowania H264 i H264 Perf. Dodano walidację odrzucającą ramki o wymiarach mniejszych niż 16.

W jądrze Linux w sterowniku amdgpu naprawiono panikę jądra podczas niepowodzenia ładowania sterownika. Wcześniej, gdy inicjalizacja MES zawiodła, pierścień KIQ był błędnie oznaczany jako gotowy, co prowadziło do dereferencji pustego wskaźnika i paniki jądra.

W jądrze Linux w sterowniku amdgpu naprawiono problem z zarządzaniem pamięcią: przed zwolnieniem pamięci acp_genpd wywoływana jest funkcja pm_genpd_remove(), aby wyrejestrować ją z globalnej listy, a wskaźnik jest czyszczony po zwolnieniu.

W jądrze Linux w sterowniku amdgpu naprawiono problem z mapowaniem doorbell. Wcześniej funkcja xa_store_irq() pozwalała na nadpisanie istniejącego mapowania doorbell przez nowo tworzoną kolejkę, co mogło prowadzić do błędnego kierowania przerwań fence IRQ lub usunięcia mapowania innej kolejki. Poprawka używa xa_insert_irq(), która odrzuca mapowanie zarezerwowanego doorbell do nowej kolejki.

W jądrze Linux w sterowniku amdgpu naprawiono wyciek mapowania apertury. Wcześniej podczas normalnego wyładowania sterownika funkcja iounmap() nie była wywoływana, co pozostawiało osierocony wpis w drzewie PAT. Przy ponownym załadowaniu powodowało to konflikt WC vs WB i błąd inicjalizacji. Poprawka używa mapowań zarządzanych przez devres, co gwarantuje sprzątanie.

W jądrze Linux w module ksmbd (serwer SMB) wykryto podatność polegającą na braku walidacji pola num_subauth podczas kopiowania wpisów ACE w funkcji set_ntacl_dacl. Złośliwy, uwierzytelniony klient może wysłać spreparowany deskryptor zabezpieczeń z nieprawidłową wartością num_subauth, co prowadzi do odczytu poza zakresem pamięci sterty (out-of-bounds read) o wielkości około 1 KB.

W jądrze Linux w ksmbd występuje problem z przywracaniem rozmiaru DACL po wykryciu przepełnienia w check_add_overflow(), co prowadzi do nieprawidłowego ACL. Funkcja check_add_overflow() zapisuje obciętą sumę nawet przy przepełnieniu, a następnie ta wartość jest używana do obliczenia rozmiaru, co powoduje niedoszacowanie rozmiaru i może prowadzić do odczytów poza zakresem.

W jądrze Linux w ksmbd występuje problem z ograniczeniem pętli deduplikacji DACL do skopiowanych ACE. Gdy kopiowanie ACE zostanie przerwane z powodu przepełnienia rozmiaru, liczba ACE odzwierciedla tylko skopiowane, ale funkcja set_posix_acl_entries_dacl() nadal używa oryginalnej liczby, co prowadzi do skanowania poza skopiowaną tablicą.

W jądrze Linux w ksmbd występuje problem z walidacją rozmiaru ACE względem liczby sub-authorities w SID. Funkcja set_ntacl_dacl() nie sprawdza, czy zadeklarowany rozmiar ACE zawiera wszystkie sub-authorities, co może prowadzić do kopiowania zbyt małych ACE i późniejszych odczytów poza zakresem podczas deduplikacji.

W jądrze Linux wykryto zakleszczenie w podsystemie audit podczas duplikowania reguł dotyczących plików wykonywalnych. Problem występuje przy przenoszeniu pliku, gdy aktywna reguła audytu pasuje do przenoszonego pliku — funkcja audit_dupe_exe() próbuje ponownie uzyskać blokadę katalogu nadrzędnego (I_MUTEX_PARENT), która jest już trzymana przez operację rename, co prowadzi do rekurencyjnego zakleszczenia. Łatka wprowadza strukturę audit_watch_ctx, aby przekazać kontekst zdarzenia fsnotify i uniknąć ponownego rozwiązywania ścieżki.

W jądrze Linux w fuse-uring występuje problem z wyścigiem między rejestracją a przerwaniem połączenia. Może to prowadzić do zawieszenia wątku podczas odmontowywania, ponieważ nic nie zmniejsza licznika referencji kolejki ani nie budzi kolejki oczekujących.

W jądrze Linux wykryto podatność w mechanizmie sched_ext, gdzie funkcja dispatch_to_local_dsq() może przełączać kolejki rq bez aktualizacji śledzenia bieżącego rq, co prowadzi do naruszenia asercji lockdep i potencjalnego błędu krytycznego. Problem dotyczy zachowania spójności między blokadami rq a ich śledzeniem podczas zagnieżdżonych wywołań ops.dequeue().

W jądrze Linux w podsystemie KVM dla procesorów AMD (SVM) wykryto podatność powodującą kolizję identyfikatorów ASID po cyklu hotplug CPU. Jeśli vCPU pozostaje wstrzymane, a procesor, na którym działało, zostanie wyłączony i ponownie włączony, vCPU może wznowić działanie z ASID przypisanym już innemu vCPU, co prowadzi do użycia nieaktualnych wpisów TLB. Problem objawia się wewnętrznym błędem KVM (Suberror: 1) i awarią emulacji instrukcji FPU/XSave.

W jądrze Linux w czasie/jiffies występuje problem z rejestracją źródła zegara jiffies przed jego użyciem. Użycie przed rejestracją pozostawia pole max_delta_raw na zero, co powoduje, że czas nie postępuje, co prowadzi do długiego opóźnienia rozruchu w systemach XEN HVM.

W jądrze Linux w sterowniku HID Wacom wykryto problem polegający na tym, że po uruchomieniu sprzętu HID, ale przed rejestracją urządzeń wejściowych i inicjalizacją diod LED, mogą wystąpić błędy. W takich przypadkach zasoby sterownika są zwalniane bez zatrzymania sprzętu HID, co może prowadzić do nieprawidłowego stanu. Poprawka polega na wywołaniu hid_hw_stop() przed zwolnieniem zasobów.

W jądrze Linux wykryto podatność w mechanizmie debugobjects, która pozwala na wyścig (race condition) podczas równoczesnego wyłączania z powodu braku pamięci (OOM). W wyniku tego, funkcje debug_object_assert_init() i debug_object_activate() mogą wywołać funkcję naprawczą (fixup) mimo wyłączonego debugowania, co prowadzi do nieprawidłowego działania timerów (np. hrtimer).

W jądrze Linux w podsystemie IIO (Industrial I/O) wykryto problem z niezainicjalizowanymi danymi w debugfs. Jeśli argument *ppos jest różny od zera, funkcja simple_write_to_buffer() nie inicjalizuje początku bufora, co może prowadzić do ujawnienia niezainicjalizowanych danych. Poprawka dodaje sprawdzenie na początku funkcji i zwraca -EINVAL dla niezerowych wartości *ppos.

W jądrze Linux w funkcji USB gadget RNDIS wykryto brak sprawdzenia długości w odpowiedzi na zapytanie. Dodano zmienne reprezentujące BufLength i BufOffset w rndis_query_response() oraz wykonano na nich sprawdzenie długości, analogicznie do rndis_set_response().

W jądrze Linux w sterowniku HID Wacom wykryto problem z użyciem GFP_KERNEL w funkcji wacom_wac_queue_flush(), która jest wywoływana w kontekście atomicznym (z poziomu callbacku raw_event). Może to prowadzić do błędu "scheduling while atomic". Poprawka zmienia alokację na GFP_ATOMIC, a istniejący kod już obsługuje niepowodzenie alokacji.

W jądrze Linuxa w sterowniku Bluetooth hci_uart nie był czyszczony bit HCI_UART_SENDING podczas anulowania pracy write_work, co blokowało przyszłe zapisy po ponownym otwarciu urządzenia. Poprawka polega na wyczyszczeniu tego bitu oraz bezpiecznym anulowaniu pracy przez disable_work_sync i enable_work.

W jądrze Linuxa w sterowniku staging vme_user dla mostka tsi148 występuje wyciek zasobu location monitor podczas odłączania urządzenia lub zwalniania modułu. Funkcja tsi148_remove() nie zwalnia listy lm_resources, co prowadzi do wycieku pamięci.

W jądrze Linuxa naprawiono podatność w KVM nVMX, gdzie w przypadku nieudanego zagnieżdżonego VM-Enter z powodu nieprawidłowego stanu gościa, strony vmcs12 nie były zwalniane. Powodowało to wyciek zablokowanych stron lub mapowań, jeśli L1 ponawiało VMLAUNCH/VMRESUME.

W jądrze Linuxa wykryto podatność w mechanizmie Safe-RET, która pozwala atakującemu na wstrzykiwanie przerwań podczas wykonywania sekwencji Safe-RET na maszynach dotkniętych problemem SRSO. Może to zneutralizować bezpieczną sekwencję powrotu i potencjalnie prowadzić do wycieku danych przez spekulacyjne wykonanie. Poprawka polega na emulacji stanu rejestrów tak, jakby sekwencja Safe-RET została wykonana pomyślnie, oraz unikaniu wykonania instrukcji RET po powrocie z przerwania.

W jądrze Linux wykryto podatność w KVM/VMX, gdzie funkcja vmx_update_cr8_intercept wywoływała get_vmcs12() bez sprawdzenia, czy vCPU jest w trybie gościa. Powodowało to ostrzeżenie lockdep i potencjalny problem podczas tworzenia vCPU. Poprawka ogranicza wywołanie get_vmcs12() tylko do trybu gościa, bez zmiany funkcjonalności.

W jądrze Linux w sterowniku intel-hid występuje podatność na wyścig (race condition) w obsłudze zdarzeń ACPI. Gdy dwa zdarzenia trybu tabletu wystąpią jednocześnie na różnych rdzeniach CPU, może dojść do podwójnej rejestracji urządzenia wejściowego, co prowadzi do zduplikowanego wpisu w sysfs i późniejszego wyłuskania wskaźnika NULL.

W jądrze Linux w sterowniku spear_adc (iio: adc) inicjalizacja struktury completion odbywa się po rejestracji procedury obsługi przerwań. Jeśli przerwanie pojawi się przed inicjalizacją, procedura obsługi wywołuje complete() na niezainicjalizowanej strukturze, co prowadzi do paniki jądra z powodu wyłuskania dzikiego wskaźnika.

W jądrze Linux w sterowniku ALSA us144mkii funkcja capture_urb_complete() wywołuje usb_anchor_urb() przy każdym zakończeniu transmisji, mimo że URB jest już zakotwiczony. To powoduje uszkodzenie listy dwukierunkowej i zawyżenie licznika referencji, co przy zatrzymywaniu strumienia prowadzi do użycia po zwolnieniu (use-after-free).