Podatności Linux kernel

W jądrze Linux wykryto podatność w sterowniku kryptograficznym dla układów Amlogic (meson_crypto_probe). Podwójne czyszczenie zasobów podczas błędu alokacji prowadzi do użycia po zwolnieniu (use-after-free) w funkcji kthread_destroy_worker, co może zostać wykorzystane do naruszenia integralności pamięci.

W jądrze Linux w funkcji smb2_aead_req_alloc() występuje błąd w kodzie błędu: zmienna *num_sgs jest typu u32, więc użycie ERR_PTR(*num_sgs) nie działa poprawnie. Może to prowadzić do zwrócenia nieprawidłowego wskaźnika błędu, co przy jego wyłuskaniu spowoduje awarię systemu.

W jądrze Linux w funkcji init_pseudo() brakuje domyślnego ustawienia flag SB_I_NOEXEC i SB_I_NODEV. Powoduje to ostrzeżenie w path_noexec() przy mapowaniu plików anonimowych (np. dma-buf) na systemach z CONFIG_DEBUG_VFS=y, a także pozwala na wykonywalne mapowanie takich plików, co narusza niezmiennik bezpieczeństwa.

W jądrze Linux w sterowniku HID hid-lenovo-go funkcja hid_go_cfg_remove() nie anuluje opóźnionej pracy go_cfg_setup, która może zostać wykonana po zniszczeniu urządzenia HID. Prowadzi to do użycia zwolnionego wskaźnika drvdata.hdev, co może spowodować awarię systemu.

W jądrze Linuxa wykryto podatność w sterowniku USB gadget f_fs (FunctionFS). Niezainicjowana struktura pracy (work_struct) reset_work jest używana podczas odmontowywania systemu plików, co prowadzi do ostrzeżenia WARN_ON i potencjalnego problemu w działaniu. Problem występuje, gdy instancja FunctionFS jest montowana bez opcji "no_disconnect" lub odmontowywana bez wcześniejszej dezaktywacji.

W jądrze Linux w systemie plików Btrfs wykryto podatność prowadzącą do dereferencji wskaźnika NULL podczas operacji trimowania (fstrim). Problem występuje, gdy urządzenie wcześniej oznaczone jako brakujące (missing) zostanie ponownie zeskanowane, co usuwa flagę MISSING, ale nie aktualizuje wskaźnika bdev, pozostawiając go jako NULL. Skutkuje to awarią systemu (kernel panic) przy próbie trimowania takiego urządzenia.

W jądrze Linux w architekturze RISC-V występuje podatność polegająca na tym, że w przypadku tzw. fałszywego błędu strony (spurious fault) nie jest wykonywana instrukcja sfence.vma. Może to prowadzić do ponownego błędu strony i awarii systemu, jeśli strona nie stanie się ważna w oczekiwanym czasie.

W jądrze Linux sterownik Intel IOMMU (vt-d) wywołuje ostrzeżenie (WARNING) podczas odłączania SVA (Shared Virtual Addressing) na urządzeniach bez wsparcia PCI/PRI. Ścieżka odłączania próbuje wyłączyć IOPF, mimo że nie został on włączony, co prowadzi do niezrównoważenia i ostrzeżenia w funkcji intel_iommu_disable_iopf().

W jądrze Linux w sterowniku udmabuf występuje problem powodujący fałszywe ostrzeżenie DMA-API o nakładających się mapowaniach cacheline, gdy włączona jest opcja CONFIG_DMA_API_DEBUG_SG. Problem pojawia się przy imporcie bufora udmabuf do sterownika DRM (np. amdgpu) i wynika z podwójnego mapowania tych samych stron. Rozwiązanie polega na przekazaniu flagi DMA_ATTR_SKIP_CPU_SYNC, co pomija zbędną synchronizację CPU i tłumi ostrzeżenie.

W jądrze Linux w podsystemie I2C występuje podatność polegająca na wyłuskaniu pustego wskaźnika (NULL-deref) podczas nieudanej rejestracji adaptera. Jeśli rejestracja się nie powiedzie, funkcja zwalniająca (release callback) próbuje uzyskać dostęp do niezainicjalizowanej struktury completion, co prowadzi do błędu.

W jądrze Linux w podsystemie FUSE-uring występują wyścigi danych (data races) na polu ring->ready. Na architekturach o słabym uporządkowaniu pamięci, zapis do fiq->ops może zostać przestawiony przed zapisem do ring->ready, co może prowadzić do użycia nieaktualnego wskaźnika fiq->ops. Dodatkowo, odczyt ring->ready w szybkiej ścieżce nie jest oznaczony, co może być wykryte przez KCSAN.

W jądrze Linux w sterowniku ARC EMAC (ethernet) występuje podatność polegająca na tym, że przerwania nie są wyciszane przed żądaniem IRQ. Może to pozwolić na dostarczenie zaległego lub zatrzaśniętego przerwania podczas teardown, co prowadzi do wyścigu z zwalnianiem net_device.

W jądrze Linux w sterowniku CAN esd_usb występuje podatność polegająca na tym, że zakotwiczone URBy (anchored URBs) nie są zabijane przed zwolnieniem netdevów. Powoduje to użycie po zwolnieniu (use-after-free) podczas odłączania urządzenia, ponieważ dane prywatne są zwalniane przed próbą zabicia URB.

W sterowniku USB gadget f_midi w jądrze Linux wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Praca (work item) midi->work nie jest anulowana przed zwolnieniem obiektu f_midi, co pozwala na jej wykonanie po zwolnieniu pamięci. Problem został znaleziony przez wewnętrzne narzędzie analizy statycznej.

W sterowniku Broadcom BDC UDC w jądrze Linux występuje podatność na użycie po zwolnieniu (use-after-free) i wyłuskanie pustego wskaźnika. Obsługa przerwań i opóźniona praca (delayed work) mogą być wykonywane po zwolnieniu struktur pamięci podczas usuwania sterownika, co może prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W jądrze Linux w podsystemie RDMA/rxe wykryto podatność use-after-free w funkcji rxe_mmap. Problem wynika z usunięcia struktury rxe_mmap_info z listy pending_mmaps i zwolnienia blokady przed wykonaniem remap_vmalloc_range, co pozwala równoczesnemu wywołaniu DESTROY_CQ na zwolnienie pamięci podczas jej mapowania. Skutkiem może być awaria jądra (GPF) lub podatność na użycie po zwolnieniu strony (page UAF).

W jądrze Linux wykryto podatność w funkcji xfrm_user_policy() dotyczącą podwójnego zwolnienia pamięci sk_dst_cache. Problem występuje, gdy zmiana polityki per-socket dla połączonego gniazda UDP ściga się z wysyłaniem danych, co prowadzi do podwójnego zwolnienia referencji i użycia po zwolnieniu (use-after-free).

W jądrze Linuxa w funkcji xfrm6_fill_dst() występuje podwójne zwolnienie referencji do urządzenia sieciowego. Na ścieżce błędu, gdy in6_dev_get(dev) zwraca NULL, funkcja zwalnia referencję przez netdev_put(), ale pozostawia wskaźnik dst.dev ustawiony. Późniejsze wywołanie dst_destroy() ponownie wywołuje netdev_put(), co prowadzi do podwójnego zwolnienia i niedomiaru licznika referencji, powodując ostrzeżenia i potencjalne problemy z siecią.

W jądrze Linux wykryto podatność w module XFRM dotyczącą polityk IPsec. Błąd w funkcji xfrm_hash_rebuild() powoduje nieprawidłową prealokację zasobów dla polityk nieprecyzyjnych (inexact), co przy braku pamięci może prowadzić do awarii systemu (GPF) i paniki jądra.

W jądrze Linux w module ksmbd (serwer SMB2) wykryto podatność polegającą na odczycie poza granicami bufora (slab-out-of-bounds). Podczas walidacji złożonych (łańcuchowych) żądań SMB2, funkcja ksmbd_smb2_check_message() odczytuje pole StructureSize2 bez uprzedniego sprawdzenia, czy element żądania jest wystarczająco duży. Zdalny klient może wysłać specjalnie skonstruowane żądanie, którego ostatni element ma dokładnie 64 bajty, co powoduje odczyt 2 bajtów poza przydzielonym buforem.

W jądrze Linuxa funkcja gtp1u_send_echo_resp() ignoruje wartość zwracaną przez skb_pull_data(). Gdy żądanie echo ma 16-19 bajtów, wywołanie zawodzi i zwraca NULL, ale wykonanie jest kontynuowane, co prowadzi do skb_under_panic() i paniki jądra. Poprawka polega na porzuceniu pakietu, gdy skb_pull_data() zawiedzie.

W jądrze Linuxa w funkcji nh_res_bucket_migrate() występuje użycie niezainicjalizowanej struktury netlink_ext_ack. Gdy inicjalizacja notyfikatora nie powiedzie się, błąd jest propagowany, a ścieżka błędu formatuje wskaźnik do niezainicjalizowanej pamięci, co może prowadzić do awarii jądra (panic).

W jądrze Linux w BPF dla TCP występuje podwójne zwolnienie gniazda podczas realokacji partii w funkcji bpf_iter_tcp_batch(). W przypadku niepowodzenia realokacji, funkcja zwraca błąd, ale wskaźniki cur_sk/end_sk pozostają nieaktualne, co prowadzi do ponownego wywołania bpf_iter_tcp_put_batch() i dereferencji ciasteczka jako wskaźnika do struktury sock. Poprawka opróżnia partię na ścieżce błędu, aby uniknąć podwójnego zwolnienia.

W jądrze Linux w podsystemie mac80211 wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Podczas aktualizacji łączy WiFi, gdy wywołanie drv_change_vif_links() zakończy się błędem, nowo utworzone wpisy debugfs nie są usuwane, a ich wskaźniki wskazują na zwolnioną pamięć. Późniejszy odczyt tych plików (np. link-1/txpower) może doprowadzić do naruszenia ochrony pamięci i paniki jądra.

W sterowniku Bluetooth qca (btqca) w jądrze Linux wykryto podatność polegającą na niedopełnieniu liczby całkowitej podczas analizy danych TLV w firmware. Jeśli długość tagu NVM jest mniejsza niż 12 bajtów, obliczenie granicy pętli powoduje zawinięcie do ogromnej wartości, co prowadzi do odczytu i zapisu poza buforem (vmalloc-out-of-bounds).

W jądrze Linuxa w funkcji fib_table_insert() nowy wpis fib_alias jest publikowany na liście przed wywołaniem notyfikatorów. Gdy notyfikator zawiedzie, wpis jest usuwany i natychmiast zwalniany, podczas gdy równoczesne wyszukiwanie może nadal go używać, prowadząc do użycia po zwolnieniu (use-after-free). Poprawka polega na użyciu kfree_rcu() do zwolnienia wpisu, jak to już robi fib_table_delete().

W jądrze Linux w sterowniku p54 (karty WiFi) wykryto podatność polegającą na braku walidacji długości ramki w funkcji p54_rx_eeprom_readback(). Złośliwe urządzenie USB może wysłać krótką ramkę, która spełnia warunek długości, ale zawiera obcięte dane, co prowadzi do odczytu poza granicami bufora (skb) i wycieku pamięci.

W jądrze Linuxa w funkcji ieee80211_set_fils_discovery() stary szablon jest zwalniany przez kfree_rcu() przed przydzieleniem nowego. Jeśli alokacja nowego zawiedzie, funkcja zwraca -ENOMEM, ale wskaźnik nadal wskazuje na obiekt już przeznaczony do zwolnienia, co prowadzi do podwójnego zwolnienia przy późniejszej aktualizacji lub zamknięciu AP. Poprawka polega na kolejkowaniu starego obiektu do kfree_rcu() dopiero po opublikowaniu nowego.

W jądrze Linux wykryto podatność w module MPLS, która występuje w konfiguracjach bez wsparcia IPv4 (CONFIG_INET=n). Funkcja mpls_valid_fib_dump_req() nie sprawdza obecności atrybutu RTA_OIF przed użyciem go, co prowadzi do dereferencji pustego wskaźnika podczas zrzutu tras MPLS. Nieuwierzytelniony użytkownik może wywołać ten błąd, wysyłając odpowiednio spreparowane żądanie RTM_GETROUTE dla AF_MPLS z włączonym ścisłym sprawdzaniem.

W jądrze Linux w podsystemie mac80211 występuje podwójne zwolnienie pamięci (double free) w funkcji ieee80211_set_unsol_bcast_probe_resp(). Gdy alokacja nowego szablonu się nie powiedzie, stary obiekt jest już zakolejkowany do zwolnienia, a wskaźnik nadal na niego wskazuje, co prowadzi do ponownego zwolnienia i błędu KASAN.

W jądrze Linux w systemie plików Btrfs odkryto podatność polegającą na braku walidacji liczby wpisów w nagłówku cache wolnego miejsca (v1). Podczas ładowania takiego cache, zbyt duża liczba wpisów może spowodować odczyt poza przydzieloną tablicą stron, co prowadzi do naruszenia pamięci (out-of-bounds) i potencjalnego błędu ogólnej ochrony (GP fault).

W jądrze Linuxa w sterowniku ims-pcu występuje podatność heap-buffer-overflow w funkcji ims_pcu_process_data(). Funkcja przetwarza dane URB bajt po bajcie, ale nie sprawdza, czy indeks read_pos nie przekracza rozmiaru bufora. Złośliwe urządzenie USB może wysłać pakiet większy niż rozmiar bufora, co pozwala na nadpisanie read_pos i kontrolę indeksu, prowadząc do przepełnienia bufora na stercie i przejęcia przepływu sterowania.

W jądrze Linux w bibliotece rhashtable występuje użycie po zwolnieniu (use-after-free) podczas restartu iteracji. Gdy tabela jest zwalniana podczas zmiany rozmiaru, iterator nie czyści wskaźnika iter->p, co prowadzi do odwołania do zwolnionej pamięci w rhashtable_walk_next(). Dotyczy to m.in. netlink_diag i TIPC.

W jądrze Linux w KVM nVMX występuje podatność polegająca na tym, że shadow VMCS jest zwalniany, podczas gdy vmcs01 nadal na niego wskazuje. Z powodu asynchroniczności operacji VMCLEAR, vCPU może zostać zmigrowane przed wyczyszczeniem wskaźnika, co prowadzi do wykonania VMCLEAR na już zwolnionej pamięci. Poprawka polega na ukryciu shadow VMCS dopiero po zakończeniu jawnego VMCLEAR.

W jądrze Linux w KVM x86 występuje problem polegający na tym, że sprawdzenie nieprawidłowego lub przestarzałego korzenia (root) odbywa się przed udostępnieniem stron MMU dla cieniowanego MMU. Jeśli odzyskiwanie stron cieniowanych unieważni używany korzeń, KVM może mapować pamięć do nieprawidłowego korzenia, co narusza niezmiennik, że nieprawidłowe strony nie znajdują się na liście aktywnych stron MMU. Poprawka przenosi sprawdzenie po udostępnieniu stron MMU.

W jądrze Linuksa poprawiono sposób obsługi szybkiego PIO w KVM, zastępując wywołanie emulator_pio_in() bezpośrednim użyciem __emulator_pio_in(). Nie wprowadza to zmian funkcjonalnych.

W jądrze Linux wykryto podatność na użycie po zwolnieniu (UAF) w mechanizmie timerów CPU POSIX. Problem pojawia się w wyniku wyścigu podczas wykonywania exec() przez proces niebędący liderem grupy, co może prowadzić do dostępu do już zwolnionego obiektu timera.

W jądrze Linux w sterowniku s390/pkey brakowało sprawdzenia długości bufora w funkcji ioctl PKEY_VERIFYPROTK. Podatność pozwala użytkownikowi przestrzeni użytkownika na podanie struktury żądania o długości przekraczającej rozmiar bufora, co może prowadzić do przepełnienia bufora.

W jądrze Linux w sterowniku s390/pkey brakowało sprawdzenia długości bufora docelowego w funkcji obsługi pkey_pckmo dla key_to_protkey(). Jeśli wygenerowane dane wyjściowe przekraczają długość bufora, funkcja nie zgłasza błędu, co może prowadzić do przepełnienia bufora.

W jądrze Linuxa w stosie Bluetooth L2CAP występuje podatność use-after-free w funkcji l2cap_sock_new_connection_cb(). Po zwolnieniu blokady rodzica, nowe gniazdo potomne może zostać zaakceptowane i zwolnione przez inny wątek przed dereferencją, co prowadzi do użycia po zwolnieniu.

W jądrze Linux stwierdzono podatność w mechanizmie zarządzania grupami zdarzeń perf. Usuwanie zdarzeń przez perf_event_remove_on_exec() może pozostawić niekonsystentny stan grupy, gdy usuwane jest zdarzenie będące liderem grupy, a pozostałe zdarzenia potomne pozostają aktywne. Prowadzi to do uszkodzenia listy aktywnych zdarzeń kontekstu PMU i może skutkować podwójnym dodaniem elementu do listy.

W jądrze Linux w KVM dla ARM64 w funkcji kvm_hyp_handle_mops() brakuje translacji syntetycznej wartości SPSR_EL2 przed zapisem do sprzętu w przypadku zagnieżdżonej wirtualizacji. Powoduje to nieprawidłowe przywracanie stanu SPSR_EL2.

W jądrze Linux w funkcji br_ip6_fragment() mostka sieciowego wykryto błąd prowadzący do użycia po zwolnieniu (use-after-free). Wskaźnik prevhdr staje się nieaktualny po realokacji nagłówka skb przez skb_checksum_help(), co może zostać wykorzystane do zapisu w zwolnionej pamięci.

W jądrze Linux w module psample podczas otwartego kodowania nla_put() dla atrybutu PSAMPLE_ATTR_DATA brakuje wyczyszczenia paddingu. Może to prowadzić do wycieku informacji przez niezerowane bajty dopełnienia w komunikacie Netlink.

W jądrze Linux w sterowniku virtio-net funkcja receive_big() sprawdza długość ogłoszoną przez urządzenie zbyt luźno, co pozwala złośliwemu backendowi virtio na zapis poza zakresem tablicy frags w skb. Może to prowadzić do zapisu NULL wskaźnika i potencjalnego wykorzystania.

W jądrze Linux w sterowniku rmnet (Qualcomm) brakuje walidacji długości ramki MAP przed parsowaniem w ścieżce bez agregacji. Krótka ramka może prowadzić do odczytu poza zakresem bufora, co może być wykorzystane przez złośliwe urządzenie lub atakującego.

W jądrze Linux w sterowniku Bluetooth bpa10x funkcja bpa10x_setup() odczytuje ciąg rewizji z odpowiedzi urządzenia bez sprawdzania długości, co może prowadzić do odczytu poza zakresem bufora. Niezakończone lub krótkie odpowiedzi powodują wyciek sąsiedniej pamięci jądra do logów i debugfs.

W jądrze Linux w BPF sockmap funkcja bpf_msg_push_data() nie sprawdza przepełnienia przy dodawaniu copy + len, co może prowadzić do niedowymiarowanej alokacji i zapisu poza zakresem. Atakujący z uprawnieniami BPF może wykorzystać to do uszkodzenia pamięci.

W jądrze Linux w sterowniku sieciowym USB net1080 funkcja net1080_rx_fixup() odczytuje bajt dopełnienia przed sprawdzeniem długości ramki, co pozwala złośliwemu urządzeniu NetChip 1080 na odczyt poza zakresem bufora przez wysłanie krótkiej ramki z dużym packet_len.

W jądrze Linux w DRM EDID funkcja drm_parse_tiled_block() odczytuje pełną strukturę displayid_tiled_block bez sprawdzania długości bloku, co może prowadzić do odczytu poza zakresem sterty. Sfałszowany EDID z małym blokiem tiled-display może spowodować wyciek danych.