Podatności Linux kernel

W jądrze Linuxa wykryto podatność w funkcji xdp_master_redirect(), która dereferencjonuje wskaźnik master bez sprawdzenia NULL. W pewnych warunkach, podczas zwalniania interfejsu bond slave, może dojść do wyłuskania pustego wskaźnika, prowadząc do paniki jądra.

W jądrze Linux w funkcji pefile_digest_pe_contents() występuje podatność na odczyt poza zakresem (OOB read). Specjalnie spreparowany plik PE może spowodować niedomiar podczas odejmowania, co prowadzi do odczytu ogromnego obszaru pamięci i paniki jądra.

W jądrze Linux wykryto podatność use-after-free w mechanizmie TIPC podczas odbierania pakietów odkrywczych (tipc_disc_rcv). Funkcja bearer_disable() zwalnia strukturę discoverera (b->disc) za pomocą kfree(), ale tipc_disc_rcv() nadal odwołuje się do niej w kontekście przerwania programowego RX, co prowadzi do użycia po zwolnieniu. Problem dotyczy nośnika UDP, który nie zapewnia okresu ochronnego (grace period) przed zwolnieniem.

W jądrze Linux w funkcji accept_untracked_na() występuje podatność na dereferencję wskaźnika NULL. Funkcja ponownie pobiera wskaźnik do inet6_dev bez sprawdzenia NULL, co może zostać wykorzystane przez współbieżne wywołanie addrconf_ifdown(), prowadząc do paniki jądra.

W sterowniku usbnet gl620a jądra Linux wykryto podatność na odczyt poza zakresem bufora (out-of-bounds read) w funkcji genelink_rx_fixup(). Złośliwe urządzenie GeneLink (GL620A) może wysłać krótki URB z nagłówkiem zawyżającym rozmiar pakietu, co prowadzi do kopiowania danych poza przydzielony bufor i wycieku pamięci jądra.

W jądrze Linux wykryto podatność w stosie Bluetooth (EIR) polegającą na zapisie poza zakresem bufora podczas przygotowywania danych reklamowych. Funkcja eir_create_adv_data() może dodać 3-bajtową strukturę Flags, a następnie skopiować dane instancji bez sprawdzenia, czy mieszczą się w 31-bajtowym buforze, co prowadzi do przepełnienia stosu.

W jądrze Linux w funkcji fib6_nh_mtu_change() występuje podatność na dereferencję wskaźnika NULL. Funkcja ponownie pobiera wskaźnik idev bez sprawdzenia NULL, co może zostać wykorzystane przez addrconf_ifdown(), prowadząc do błędu ochrony ogólnej (general protection fault).

W jądrze Linux w module mostkowania CFM występuje podatność na wyczerpanie pamięci (OOM). Funkcja ccm_tx_work_expired() ponownie uruchamia się z interwałem 0, gdy wartość exp_interval jest nieprawidłowa, co prowadzi do ciągłego przydzielania buforów i wyczerpania pamięci.

W sterowniku I2C Synopsys DesignWare (drivers/i2c/i2c_dw.c) działającym w trybie target/slave, procedura obsługi przerwania rx_full blokuje wywołanie zwrotne write_requested() na podstawie stanu dw->state != CMD_SEND, a dw->state jest resetowany tylko na przerwanie STOP. Przerwanie START_DET, które resetowałoby stan przy każdym (re)START, nie zostało dodane do maski włączonych przerwań w i2c_dw_slave_register(), więc ta ścieżka odzyskiwania była martwym kodem. W rezultacie, jeśli przerwanie STOP zostanie utracone lub master wyda sekwencję WRITE-repeated-START-WRITE, sterownik pozostaje w stanie CMD_SEND na stałe i nigdy nie wywołuje write_requested() ponownie.

W jądrze Linux w net/can/bcm.c znaleziono błąd, który pozwala nieuprzywilejowanemu użytkownikowi lokalnemu na wykonanie dowolnego kodu w jądrze, co prowadzi do eskalacji uprawnień do roota.

W sterowniku rtl8723bs w jądrze Linuxa pętla w funkcji is_ap_in_tkip() nie sprawdza poprawnie granic bufora podczas przetwarzania elementów informacyjnych (IE). Może to prowadzić do odczytu poza zakresem (OOB) przy dostępie do nagłówka IE lub jego danych.

W systemie plików NTFS3 w jądrze Linuxa, funkcja log_replay() podczas konwersji rekordów nie sprawdza poprawności pola lcns_follow. Złośliwy obraz systemu plików może podać zawyżoną wartość lcns_follow, powodując odczyt poza zakresem (OOB) podczas operacji memmove.

W systemie plików NTFS3 w jądrze Linuxa, funkcje UpdateRecordDataRoot i UpdateRecordDataAllocation nie sprawdzają poprawności pola view.data_off w strukturze NTFS_DE. Złośliwy obraz systemu plików może podać zawyżoną wartość view.data_off, powodując zapis poza zakresem (OOB) podczas operacji memmove.

W jądrze Linux w module Open vSwitch wykryto podatność polegającą na braku walidacji rozmiaru zagnieżdżonych atrybutów akcji. Atakujący może wykorzystać tę lukę do stworzenia nadmiernie dużego kontenera akcji, co prowadzi do błędnej interpretacji strumienia danych i potencjalnego naruszenia integralności systemu.

W jądrze Linux zwiększono wagę następnego skoku (next hop weight) z 8 bitów do 16 bitów, aby obsłużyć większe proporcje ECMP w sieciach CLOS. Zmiana wymagała modyfikacji struktury nexthop_grp, gdzie pole resvd1 zostało wykorzystane jako górne bity wagi.

W jądrze Linux usunięto nieużywane urządzenie znakowe i IOCTLe w sterowniku QAT, które zwiększały powierzchnię ataku i były źródłem błędów. Zarządzanie urządzeniem odbywa się już przez sysfs.

W jądrze Linux w sterowniku szeregowym Samsung usunięto zbędne blokowanie portu w funkcjach pomocniczych RX, które powodowało zakleszczenie (deadlock) przy włączonej kontroli przepływu konsoli.

W sterowniku DRM dla Hyper-V w jądrze Linuxa wykryto podatność polegającą na braku walidacji rozmiaru pakietu VMBus w funkcji odbierającej. Atakujący w maszynie wirtualnej może wysłać spreparowany pakiet, powodując odczyt poza zakresem bufora (out-of-bounds read) i potencjalnie ujawnienie danych z poprzednich komunikatów.

W jądrze Linux w funkcji tsconfig_prepare_data() w ethtool brakowało wywołania ethnl_ops_complete() przed zwróceniem błędu, co mogło prowadzić do problemów z zarządzaniem blokadami.

W jądrze Linux stwierdzono podatność w podsystemie XFRM, gdzie synchronizacja RCU w funkcji xfrm_policy_fini() była wykonywana w per-netns handlerze .exit, co prowadziło do szeregowego opóźnienia przy usuwaniu wielu przestrzeni nazw sieciowych. Problem został rozwiązany poprzez przeniesienie operacji synchronizacji do handlera .pre_exit, co redukuje liczbę okresów RCU z O(N) do O(1) na partię.

W sterowniku DRM Hyper-V w jądrze Linuxa brakowało walidacji pola resolution_count w odpowiedzi SYNTHVID_RESOLUTION_RESPONSE, co mogło prowadzić do odczytu poza tablicą supported_resolution. Dodatkowo, gdy próba rozpoznania rozdzielczości WIN10 nie powiodła się, nie ustawiano wartości screen_*_max / preferred_*, co powodowało odrzucanie wszystkich buforów ramki przez użytkownika.

W sterowniku mlx5e w jądrze Linuxa, podczas obsługi tymczasowych SA (acquire SA) w IPsec, pomijano blokowanie trybu eswitch, ale etykieta sukcesu wywoływała odblokowanie, co prowadziło do niedomiaru licznika num_block_mode.

W sterowniku pinctrl dla układów Amlogic A4 w jądrze Linuxa, dostęp do węzła sysfs pinconf-pins powodował zakleszczenie (deadlock) z powodu ponownego próby uzyskania tego samego mutexu przez pinctrl_find_gpio_range_from_pin().

W firmware arm_ffa w jądrze Linuxa, ścieżka PARTITION_INFO_GET_REGS oparta na rejestrach ufała indeksom dostarczonym przez firmware, co mogło prowadzić do zapisu poza przydzieloną tablicą podczas kopiowania deskryptorów partycji.

W NFSD w jądrze Linuxa, funkcja nfsd4_revoke_states() dla layoutów (SC_TYPE_LAYOUT) nigdy nie ustawiała sc_status przed wywołaniem nfsd4_close_layout(), co powodowało nieskończoną pętlę w odwoływaniu stanów layoutu.

W jądrze Linuxa, w funkcji tcp_ao_established_key(), użyto lockdep_sock_is_held() dla gniazda TCP_TIME_WAIT (twsk), które nie ma sk_lock, co prowadziło do odczytu poza pamięcią.

W sterowniku DRM Xe w jądrze Linuxa, w funkcji xe_gsc_init_post_hwconfig(), jawnie zwalniano zarządzany BO (managed BO) za pomocą xe_bo_unpin_map_no_vm(), co prowadziło do podwójnego zwolnienia, ponieważ devm już zarejestrował akcję czyszczenia.

W sterowniku DRM AMDGPU w jądrze Linuxa, dla VCE 1, rozmiar VCPU BO nie uwzględniał przesunięcia, w którym znajduje się firmware, co mogło prowadzić do odczytu poza pamięcią. Dodatkowo, stos i dane nie były wyrównane do rozmiaru TLB 32K, a firmware nie był sprawdzany pod kątem dopasowania do zarezerwowanego miejsca.

W jądrze Linuxa, w podsystemie mac80211, procedura defragmentacji MLE (Multi-Link Element) była wywoływana z wskaźnikiem do zde fragmentowanej kopii, ale oryginalnymi elementami, co mogło prowadzić do odczytu poza stertą, jeśli oryginalna ramka znajdowała się na wyższym adresie.

W jądrze Linux w mechanizmie userfaultfd wykryto podatność polegającą na odczytywaniu wpisów PTE bez blokady strony, co przy wpisach swap lub migracji prowadzi do niezdefiniowanego wyniku. Może to spowodować, że wątek pozostanie uśpiony w oczekiwaniu na UFFDIO_WAKE, które może nigdy nie nadejść.

W jądrze Linux w podsystemie KVM dla architektury x86 wykryto podatność polegającą na nieprawidłowym przeliczaniu progu TPR (Task Priority Register) po aktualizacji PPR (Processor Priority Register). W pewnych warunkach, gdy nie ma oczekujących przerwań, funkcja apic_update_ppr() nie wywołuje kvm_lapic_update_cr8_intercept(), co prowadzi do pozostawienia nieaktualnej, zbyt wysokiej wartości TPR_THRESHOLD w VMCS. Może to spowodować błąd wejścia do maszyny wirtualnej (VM entry failure) z kodem błędu 0x7 na starszych platformach lub w środowiskach zagnieżdżonej wirtualizacji, np. pod Hyper-V.

W jądrze Linux w sterowniku ACPI CPPC wykryto ostrzeżenie UBSAN spowodowane błędnym użyciem pola access_width. Gdy space_id to ACPI_ADR_SPACE_PLATFORM_COMM, access_width może przyjąć wartość większą niż 4, co prowadzi do przesunięcia poza zakres w 32-bitowym typie int.

W jądrze Linux w sterowniku ACPI NFIT wykryto możliwość dereferencji wskaźnika NULL. Instalacja handlera notify przed sprawdzeniem obecności tabeli NFIT może prowadzić do wywołania acpi_nfit_uc_error_notify() bez przydzielonego obiektu acpi_desc.

W jądrze Linux w sterowniku ACPI NFIT wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Błąd występuje w funkcji acpi_nfit_init() podczas obsługi błędów inicjalizacji, gdzie obiekt acpi_desc nie jest usuwany z listy acpi_descs, co przy kolejnych błędach maszynowych (MCE) może skutkować dostępem do zwolnionej pamięci.

W jądrze Linux w sterowniku blokowym Rust wykryto problem z czyszczeniem ścieżek w GenDiskBuilder::build(). Błąd w ścieżce awaryjnej przed rejestracją powoduje wyciek tymczasowego gendisk i request_queue, co może prowadzić do utrzymywania stanu blk-mq po usunięciu tag setu.

W jądrze Linux w alokatorze BPF JIT wykryto podatność na ataki JIT spraying. Ponowne użycie pamięci JIT może pozwolić na wykorzystanie predykcji gałęzi z poprzedniego programu. Dodano mechanizm flushowania predyktorów przed ponownym użyciem pamięci JIT.

W jądrze Linux w mechanizmie Spectre-v2 wykryto brak flushowania IBPB przy ponownym użyciu pamięci BPF JIT. Dodano włączanie flushowania IBPB dla alokacji BPF JIT, z pominięciem gdy BPF dispatcher używa retpoline.

W jądrze Linux w sterowniku WiFi rtw89 wykryto błąd w logice odrzucania uszkodzonych ramek AMPDU. Poprzednia poprawka nie radziła sobie z pierwszym pakietem AMPDU w pewnym zakresie numerów sekwencji, co prowadziło do nieoczekiwanego odrzucania pakietów i możliwego rozłączenia z AP podczas rekey.

W jądrze Linux w funkcji USB gadget rndis wykryto brak sprawdzenia długości nagłówka RNDIS w rndis_rm_hdr. Przed dostępem do pól MessageType, MessageLength, DataOffset i DataLength nie jest weryfikowane, czy są one obecne.

W sterowniku akcelerometru BMC150 w jądrze Linuxa wykryto podatność na przepełnienie bufora stosu. Urządzenie może zgłosić do 127 ramek w FIFO, podczas gdy bufor przeznaczony na dane ma pojemność tylko 32 ramek, co prowadzi do zapisu poza stosem.

W sterowniku kxsd9 dla akcelerometrów w jądrze Linuxa wykryto wyciek referencji licznika użycia PM (zarządzania energią) podczas obsługi błędów w funkcji write_raw(). Gdy żądana jest skala z niezerową częścią całkowitą, funkcja zwraca -EINVAL bez zwalniania referencji PM, co uniemożliwia automatyczne uśpienie urządzenia.

W jądrze Linuxa w sterowniku ad_sigma_delta dla układów ADC bez rejestrów (has_registers=false) i bez rdy_gpiod, funkcja ad_sigma_delta_clear_pending_event() może odczytać dane konwersji zamiast statusu, co prowadzi do uszkodzenia strumienia danych. Dodatkowo, gdy num_resetclks=0, wywołanie memset z ujemnym rozmiarem powoduje przepełnienie sterty (heap overflow).

W sterowniku ad_sigma_delta dla przetworników ADC w jądrze Linuxa wykryto problem z pozostawieniem sygnału CS (chip select) w stanie aktywnym oraz wyciekiem stanu blokady magistrali SPI. W funkcji ad_sigma_delta_single_conversion() wywołania set_mode() i disable_one() są wykonywane, gdy keep_cs_asserted jest nadal prawdziwe, co powoduje, że CS pozostaje aktywne po konwersji. Dodatkowo w ścieżce błędów ad_sd_buffer_postenable() urządzenie może pozostać w trybie ciągłej konwersji z aktywnym CS, a flaga bus_locked może pozostać ustawiona, umożliwiając współbieżny dostęp SPI.

W sterowniku lpc32xx_adc dla przetworników ADC w jądrze Linuxa wykryto błąd kolejności inicjalizacji: funkcja init_completion() jest wywoływana po rejestracji procedury obsługi przerwań (devm_request_irq()). Jeśli przerwanie pojawi się przed inicjalizacją, procedura obsługi wywołuje complete() na niezainicjalizowanej strukturze completion, co prowadzi do dereferencji wskaźnika NULL i paniki jądra.

W sterowniku ti-ads1119 dla przetworników ADC w jądrze Linuxa wykryto wyciek referencji licznika użycia PM (zarządzania energią) w funkcji preenable bufora. Gdy funkcja i2c_smbus_write_byte() zawiedzie, zwracany jest błąd bez zwalniania referencji PM, co powoduje, że urządzenie pozostaje w stanie aktywnym.

W sterowniku hw-consumer dla buforów IIO w jądrze Linuxa wykryto wyciek pamięci: po zmianie sposobu alokacji maski skanowania (scan_mask) na oddzielną bitmapę, funkcja iio_hw_buf_release() nie zwalnia tej maski przed zwolnieniem struktury bufora.

W sterowniku scd30 dla czujników chemicznych w jądrze Linuxa wykryto błąd rozszerzania znaku podczas przetwarzania wartości float32. Operacja bitowa AND z ~BIT(31) (0xFFFFFFFF7FFFFFFF) powoduje uszkodzenie eksponenty, co prowadzi do nieprawidłowych odczytów. Dodatkowo poprawiono czytelność kodu poprzez refaktoryzację inicjalizacji zmiennych.

W jądrze Linuxa wykryto podatność w podsystemie IIO (Industrial I/O) związaną z wyścigiem podczas resetowania kolejki FIFO zdarzeń. Inny wątek może odczytać dane z kolejki w trakcie jej resetowania, co prowadzi do odczytu poza zakresem bufora i wycieku pamięci jądra do przestrzeni użytkownika.

W sterowniku bmg160 dla żyroskopów w jądrze Linuxa wykryto błąd odczytu poza zakresem tablicy w funkcjach bmg160_get_filter() i bmg160_set_filter(). Gdy żądana wartość pasma/filtra nie znajduje się w tabeli bmg160_samp_freq_table[], funkcje odczytują dane poza tablicą, co może prowadzić do nieprawidłowych wartości lub awarii. Ścieżka set_filter() jest dostępna z przestrzeni użytkownika przez sysfs.

W sterowniku Linuxa dla czujnika światła gp2ap002 wykryto wyciek referencji zarządzania energią (runtime PM). Funkcja gp2ap002_read_raw() pobiera referencję przed odczytem, ale w przypadku błędu zwraca bez jej zwalniania, co uniemożliwia automatyczne usypianie urządzenia.