Podatności Linux kernel

W sterowniku Linuxa dla czujnika ciśnienia mpl115 wykryto wyciek referencji runtime PM. Funkcja mpl115_read_raw() nie zwalnia referencji w przypadku błędu odczytu, co prowadzi do trwałego wycieku i blokady autosuspend.

W sterowniku Linuxa dla czujnika temperatury tmp006 użyto devm_iio_trigger_alloc() do alokacji, ale iio_trigger_register() do rejestracji. Brak funkcji .remove() powoduje, że po wyładowaniu modułu trigger pozostaje w globalnej liście, a jego pamięć jest zwalniana, prowadząc do wiszącego wskaźnika.

W sterowniku ALSA usx2y dla urządzenia us144mkii wykryto błąd use-after-free. Funkcja tascam_disconnect() anuluje prace przed zabiciem URB, ale URB mogą się samodzielnie ponownie wysyłać, co prowadzi do ponownego uruchomienia pracy po zwolnieniu pamięci.

W sterowniku ALSA virtio-snd brakuje walidacji metadanych sterowania (typu i liczby wartości) dostarczanych przez urządzenie. Złośliwe urządzenie może podać nieprawidłowe wartości, prowadząc do odczytu poza zakresem w tablicy g_v2a_type_map[] oraz w operacjach memcpy.

W sterowniku ALSA ymfpci funkcja snd_ymfpci_create_spdif_controls() nie sprawdza wartości zwracanej przez snd_ctl_new1(), która może zwrócić NULL przy braku pamięci. Dereferencja NULL może prowadzić do awarii systemu.

W sterowniku ALSA aoa (Apple Onboard Audio) funkcja w layout.c nie sprawdza wartości zwracanej przez snd_ctl_new1(), która może zwrócić NULL. Dereferencja ctl->id.name lub przekazanie NULL do aoa_snd_ctl_add() może prowadzić do awarii.

W sterowniku ALSA caiaq dla kontrolera Traktor Kontrol S4 wykryto odczyt poza zakresem. Funkcja snd_usb_caiaq_tks4_dispatch() zakłada, że dane są wielokrotnością 16 bajtów, ale urządzenie może wysłać krótszy blok, co prowadzi do niedomiaru unsigned i odczytu poza buforem.

W sterowniku ALSA cmipci funkcja snd_cmipci_spdif_controls() nie sprawdza wartości zwracanej przez snd_ctl_new1(), która może zwrócić NULL. Dereferencja kctl->id.device może prowadzić do awarii systemu.

W sterowniku ALSA compress funkcja snd_compr_task_new() nie wywołuje task_free() w przypadku błędu po udanym task_create(), co prowadzi do wycieku zasobów sterownika. Dodatkowo, błąd alokacji deskryptora pliku nie jest poprawnie przechowywany, co może skutkować fałszywym raportem sukcesu.

W sterowniku ALSA es1938 w jądrze Linux brakuje sprawdzenia wartości zwracanej przez funkcję snd_ctl_new1(). Jeśli alokacja pamięci się nie powiedzie, funkcja zwraca NULL, a następnie jest on wyłuskiwany, co prowadzi do błędu dereferencji wskaźnika NULL.

W sterowniku ALSA firewire isight w jądrze Linux brakuje ograniczenia liczby próbek do maksymalnej liczby ramek na pakiet. Złośliwe lub uszkodzone urządzenie Apple iSight może wysłać pakiet z zawyżoną liczbą próbek, co prowadzi do odczytu poza pamięcią payloadu i zapisu poza bufor DMA PCM.

W sterowniku ALSA gus w jądrze Linux brakuje sprawdzenia wartości zwracanej przez funkcję snd_ctl_new1(). Jeśli alokacja pamięci się nie powiedzie, funkcja zwraca NULL, a następnie jest on wyłuskiwany, co prowadzi do błędu dereferencji wskaźnika NULL.

W sterowniku ALSA hda/cs35l41 w jądrze Linux występuje problem z usuwaniem pracy ładowania firmware'u. Kontrolki ALSA nie są usuwane podczas odłączania komponentu, a praca fw_load_work może zostać anulowana tylko w określonych warunkach. Jeśli komponent lub urządzenie zostanie usunięte przed wykonaniem kolejki pracy, może dojść do wyłuskania nieprawidłowych danych sterownika.

W sterownikach ALSA ice1712, ice1724 i aureon w jądrze Linux brakuje sprawdzenia wartości zwracanej przez funkcję snd_ctl_new1() w wielu miejscach. Jeśli alokacja pamięci się nie powiedzie, funkcja zwraca NULL, a następnie jest on wyłuskiwany, co prowadzi do błędu dereferencji wskaźnika NULL.

W jądrze Linux, w funkcji snd_seq_event_dup() w ALSA seq, występuje wyciek niezainicjalizowanych danych sterty. Dla zdarzeń legacy (nie-UMP) dodatkowe słowo w strukturze cell->ump.raw.extra nie jest zerowane, co powoduje, że do przestrzeni użytkownika trafiają niezainicjalizowane dane sterty lub pozostałości poprzednich zdarzeń.

W sterowniku ALSA usb-audio dla kontrolera DualSense w jądrze Linux, funkcja snd_dualsense_ih_match() używa kobject_get_path() do porównania ścieżek kobjectów. Podczas szybkiego odłączania i ponownego podłączania kontrolera, może dojść do wyłuskania nieprawidłowej nazwy kobjectu, co prowadzi do błędu w strlen() i awarii systemu.

W jądrze Linux, w podsystemie resctrl na architekturze x86 z włączonym SNC (Sub-NUMA Clustering), podczas wyłączania CPU może dojść do odczytu poza dozwolonym zakresem. Gdy domena monitorowania jest wyłączana, jej cpu_mask staje się pusta, a zapytanie o NUMA node ID za pomocą cpu_to_node() otrzymuje nr_cpu_ids jako argument, co prowadzi do dostępu poza tablicą.

W jądrze Linuxa w sterowniku vfio/pci wykryto podatność związaną z parametrem disable_idle_d3. Początkowo parametr ten był zapisywalny i bezpośrednio sterował stanem zasilania urządzenia, ale późniejsze zmiany w kodzie spowodowały, że jego wartość mogła być zmieniana globalnie, co prowadziło do niezrównoważenia operacji zarządzania energią (PM). Problem został rozwiązany przez przypisanie flagi disable_idle_d3 do konkretnego urządzenia, co zapewnia spójność operacji PM.

W sterowniku vfio/pci w jądrze Linux, po zmianie kolejności w funkcji vfio_pci_core_register_device(), brakuje wycofania rejestracji klienta VGA arbiter w przypadku niepowodzenia. Może to pozostawić wywołanie zwrotne z nieprawidłowym cookie vdev, co staje się niebezpieczne, gdy wywołanie zwrotne podąża za drvdata do urządzenia vfio.

W jądrze Linux w funkcji vfio_mig_get_next_state() występuje nieskończona pętla podczas obsługi zablokowanych przejść stanów. Pętla pomijająca nieobsługiwane stany nie uwzględnia wartownika ERROR, co powoduje zapętlenie i potencjalny soft lockup.

W jądrze Linux w VFIO debugfs jest usuwany po zwolnieniu devres, co może pozostawić widoczne wpisy debugfs z nieaktualnymi danymi. Problem dotyczy kolejności wywołań vfio_device_del() i vfio_device_debugfs_exit().

W jądrze Linux w sterowniku vfio/mlx5 pola bitowe są używane w sposób wyścigowy, ponieważ operacje na bitfieldach nie są atomowe. Podzielono je na osobne jednostki pamięci dla flag modyfikowanych współbieżnie.

W sterowniku Bluetooth btusb w jądrze Linux występuje use-after-free podczas nieudanej rejestracji kontrolera. Nie są zwalniane interfejsy potomne, co prowadzi do podwójnego zwolnienia przy odłączeniu.

W sterowniku Bluetooth btusb w jądrze Linux występuje use-after-free podczas nieudanego uruchomienia Marvell OOB wakeup. Nie są zatrzymywane wysłane TX URB, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji binder_thread_release(). Podczas zamykania wątku może dojść do wyścigu z równolegle działającym procesem zwalniającym transakcje, co prowadzi do odwołania do już zwolnionej pamięci.

W jądrze Linux wykryto podatność use-after-free w funkcji binder_free_transaction() sterownika Binder. Problem występuje, ponieważ wskaźnik do procesu docelowego (t->to_proc) jest odczytywany pod blokadą, ale po jej zwolnieniu proces może zostać usunięty, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w sterowniku rust_binder podczas czyszczenia tablicy offsetów używany jest nieprawidłowy krok (usize zamiast u64). Na 32-bitowych jądrach prowadzi to do nadmiernego dekrementowania licznika referencji i uszkodzenia księgowości referencji.

W jądrze Linux w sterowniku rust_binder nie jest usuwany freeze listener podczas usuwania węzła, gdy użytkownik nie zrobi tego jawnie. Może to prowadzić do wycieku pamięci z powodu cyklu referencji.

W jądrze Linux w sterowniku xhci funkcja xhci_free_streams() wywołuje dma_free_coherent() z wyłączonymi przerwaniami, co może prowadzić do błędu 'sleep in atomic context'. Problem występuje podczas odłączania urządzenia USB z aktywnymi strumieniami.

W jądrze Linux w sterowniku xHCI wykryto wyciek pamięci w funkcji xhci_ring_to_sgtable(). Tymczasowa tablica stron nie jest zwalniana po pomyślnym utworzeniu sg_table, co prowadzi do wycieku przy każdym pobraniu bufora endpointu lub zdarzenia przez klienta sideband.

W sterowniku TCPCI rt1711h w jądrze Linux brakuje wyrejestrowania portu TCPCI w przypadku niepowodzenia późniejszych kroków w funkcji probe(). Port pozostaje zarejestrowany, co może prowadzić do problemów przy próbie ponownej inicjalizacji lub odłączeniu sterownika.

W sterowniku PCI Altera w jądrze Linux występują wycieki zasobów przy niepowodzeniu pci_host_probe(). Chained IRQ handler i domena INTx nie są usuwane, a przerwania kontrolera pozostają włączone, co prowadzi do użycia wygasłego wskaźnika danych.

W sterowniku PCI MediaTek w jądrze Linux występuje wyciek domeny IRQ, gdy port nie może zostać włączony. Domeny IRQ utworzone przez mtk_pcie_init_irq_domain() nie są zwalniane, co prowadzi do wycieku zasobów.

W jądrze Linux w funkcji sriov_restore_vf_rebar_state() występuje dostęp poza zakresem tablicy barsz[], gdy odczyt rejestru VF Resizable BAR Control zwraca PCI_ERROR_RESPONSE. Może to prowadzić do naruszenia pamięci i niestabilności systemu.

W jądrze Linux wykryto podatność w funkcji damon_hot_score() w module DAMON, która nieprawidłowo obsługuje ekstremalne wartości interwałów monitorowania (zero lub bardzo wysokie). Ustawienie zerowego interwału próbkowania prowadzi do błędu dzielenia przez zero, a zerowy interwał agregacji zwraca nieprawidłową wartość, co również może powodować dzielenie przez zero. Bardzo wysoki interwał agregacji może skutkować dostępem do tablicy poza zakresem, co prowadzi do naruszenia pamięci.

W jądrze Linux wykryto błąd w sterowniku virtio_pci prowadzący do dereferencji pustego wskaźnika podczas odłączania urządzenia virtio_balloon. Problem wynika z nieprawidłowego indeksowania tablicy vqs_info, gdy kolejki są warunkowe (np. stats, free_page, reporting) i tworzą luki w tablicy. Przy odłączaniu urządzenia używany jest gęsty indeks (queue_idx) do wyszukiwania w rzadko wypełnionej tablicy, co prowadzi do błędu.

W sterowniku hwrng virtio w jądrze Linux wykryto podatność na odczyt poza zakresem bufora. Złośliwe lub uszkodzone urządzenie zaplecza virtio-rng może zgłosić zawyżoną wartość used.len, co prowadzi do memcpy() poza tablicę vi->data do sąsiednich danych sterty.

W sterowniku chaoskey dla jądra Linux wykryto błąd use-after-free w funkcji chaoskey_release(). Gdy użytkownik zamyka urządzenie po odłączeniu USB, komunikat debugowania próbuje uzyskać dostęp do struktury usb_interface po jej zwolnieniu, co prowadzi do naruszenia pamięci.

W sterowniku USB dwc3 w jądrze Linuksa funkcja dwc3_gadget_suspend() wywołuje callback rozłączenia gadżetu z wyłączonymi przerwaniami, co powoduje naruszenie zasad synchronizacji i zgłoszenie Lockdep. Problem został znaleziony przez narzędzie analizy statycznej i potwierdzony ręcznie.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w sterowniku USB misc/usbio. Podczas odłączania urządzenia funkcja usbio_disconnect() usuwała klientów w pętli, która po zwolnieniu bieżącego klienta odwoływała się do już zwolnionej pamięci, co prowadziło do błędu KASAN. Problem został naprawiony przez użycie bezpiecznej wersji pętli list_for_each_entry_safe_reverse().

W jądrze Linuksa w stosie 6LoWPAN występuje wyścig w funkcji lowpan_nhc_do_uncompression(), gdzie po zwolnieniu blokady może dojść do użycia po zwolnieniu deskryptora NHC. Problem został zgłoszony przez KASAN jako use-after-free.

W jądrze Linux wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji func_set_flag() w podsystemie tracingu. Gdy aktywny tracer zostanie zmieniony z 'function' na inny (np. 'wakeup_rt'), pole current_trace_flags staje się NULL, a funkcja próbuje je odczytać przed sprawdzeniem, czy tracer jest właściwy, co prowadzi do awarii systemu.

W jądrze Linux w sterowniku vme_user (staging) brakowało walidacji rozmiaru kopiowanych danych względem bufora kern_buf (128 KiB). Funkcje pomocnicze buffer_to_user() i buffer_from_user() nie sprawdzały, czy offset + liczba bajtów nie przekracza rozmiaru bufora, co prowadziło do odczytu/zapisu poza przydzieloną pamięcią.

W jądrze Linux w kliencie SMB (cifs) stwierdzono podatność polegającą na błędnym stosowaniu wyjątku +1 bajta dla odpowiedzi z obszarem danych. Funkcja smb2_check_message() akceptuje odpowiedzi o jeden bajt dłuższe niż odebrane, co przy obecności obszaru danych prowadzi do odczytu poza przydzielonym buforem. Problem jest osiągalny podczas negocjacji i ustanawiania sesji SMB, przed pełnym uwierzytelnieniem.

W sterownikach ipu7_isys_init() i ipu7_psys_init() w jądrze Linux występuje podwójne zwolnienie pamięci (double-free) oraz użycie po zwolnieniu (use-after-free). Błąd pojawia się, gdy po nieudanej inicjalizacji urządzenia funkcja kfree(pdata) jest wywoływana ponownie, mimo że pamięć została już zwolniona przez ipu7_bus_release(). Dodatkowo, przed put_device() nie zapisano kodu błędu, co prowadzi do dereferencji już zwolnionego wskaźnika adev w ERR_CAST().

W sterowniku rtl8723bs w jądrze Linux występuje przepełnienie sterty (heap buffer overflow) w funkcji rtw_cfg80211_set_wpa_ie(). Gdy lokalny użytkownik wyśle żądanie połączenia z spreparowanym elementem WPA IE o długości 255 bajtów, operacja memcpy kopiuje 257 bajtów do 256-bajtowej tablicy supplicant_ie, powodując jednobajtowe przepełnienie do sąsiedniego pola last_mic_err_time.

W sterowniku rtl8723bs w jądrze Linux występuje niedomiar długości (underflow) i odczyt poza zakresem (OOB read) w funkcji OnAuth(). Gdy ramka uwierzytelniania jest zbyt krótka, obliczenia długości w rtw_wep_decrypt() dają wartość ujemną, która po konwersji na size_t powoduje odczyt poza buforem. Ponadto, w przypadku odpowiedzi seq=3, funkcja memcmp zawsze czyta 128 bajtów niezależnie od rzeczywistej długości IE.

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w pętli IE w funkcji OnAssocRsp(). Gdy złośliwy punkt dostępowy wyśle ramkę AssocResponse, w której ostatni IE ma tylko jeden bajt, pętla odczytuje pIE->length spoza przydzielonego bufora. Ponadto, nawet gdy nagłówek jest w granicach, deklarowana długość IE może wykraczać poza bufor.

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w pętli IE w funkcji update_beacon_info(). Gdy złośliwy punkt dostępowy wyśle ramkę Beacon, w której ostatni IE ma tylko jeden bajt, pętla odczytuje pIE->length spoza przydzielonego bufora. Ponadto, deklarowana długość IE może wykraczać poza bufor.

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w pętlach IE w funkcjach issue_assocreq() i join_cmd_hdl(). Gdy dane IE kończą się tylko bajtem element_id bez bajtu długości, pIE->length jest odczytywane spoza bufora. Bufor jest wypełniany z ramek Beacon i Probe Response, więc złośliwy punkt dostępowy może wywołać problem.