Podatności Linux kernel

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w funkcjach rtw_get_sec_ie(), rtw_get_wapi_ie() i rtw_get_wps_attr(). Brakuje w nich sprawdzenia granic przed odczytem nagłówków IE/atrybutów oraz przed porównaniem wielobajtowych identyfikatorów OUI.

W sterowniku rtl8723bs w jądrze Linux występuje zapis poza zakresem (OOB write) w funkcji HT_caps_handler(). Funkcja iteruje po pIE->length bajtach i zapisuje do 26-bajtowej tablicy HT_caps.u.HT_cap[]. Ponieważ pIE->length pochodzi z ramki AssocResponse i nie jest walidowany, złośliwy punkt dostępowy może ustawić go na 255, powodując zapis do 229 bajtów poza zakresem.

W jądrze Linuxa w sterowniku Intel QAT wykryto podatność use-after-free podczas wyłączania SR-IOV. Funkcja adf_disable_sriov() niszczy struktury per-VF bez zatrzymywania lub synchronizacji z pracownikami VF2PF, co prowadzi do dereferencji zwolnionej pamięci. Problem został rozwiązany przez dodanie flagi vf2pf_disabled oraz synchronizację przerwań i kolejki prac.

W jądrze Linux wykryto podatność use-after-free w module ksmbd. Problem występuje, gdy po zamknięciu uchwytu blokady (SMB2_CLOSE) wysłane zostanie żądanie anulowania (SMB2_CANCEL) dla tego samego identyfikatora AsyncId. W wyniku tego zwolniona struktura file_lock jest ponownie używana, co prowadzi do naruszenia pamięci.

W jądrze Linux w funkcji pfkey_msg2xfrm_state() podczas obsługi stanów IPComp (SADB_X_SATYPE_IPCOMP) nie inicjalizowano pola alg_key_len w strukturze x->calg. Powoduje to pozostawienie niezainicjalizowanych danych z pamięci podręcznej, które są później używane przez xfrm_algo_clone() podczas migracji stanu (XFRM_MSG_MIGRATE), co prowadzi do odczytu poza zakresem alokacji (slab-out-of-bounds) i potencjalnego błędu KASAN.

W jądrze Linuxa wykryto wyścigi danych (data races) przy odczycie długości kolejki audit_queue przez funkcję skb_queue_len(). Wiele wątków czyta to pole bez blokady, podczas gdy zapis jest chroniony spinlockiem, co prowadzi do niespójnych odczytów.

W jądrze Linuxa w stosie Bluetooth L2CAP wykryto podatność use-after-free (UAF) w funkcji l2cap_chan_timeout(). Gdy kanał L2CAP ma ustawiony limit czasu, a połączenie zostanie zerwane przed wygaśnięciem timera, funkcja timeoutu próbuje uzyskać dostęp do już zwolnionej struktury połączenia (l2cap_conn), co prowadzi do naruszenia pamięci. Problem został rozwiązany przez dodanie mechanizmu utrzymywania referencji do połączenia przez cały czas życia kanału.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji add_device_complete w stosie Bluetooth (MGMT). Funkcja ta odwołuje się do obiektu hci_conn_params bez odpowiedniego blokowania, co pozwala równoczesnej operacji remove_device na zwolnienie pamięci przed jej odczytaniem.

W jądrze Linux w sterowniku NTFS3 wykryto podatność na zapis poza zakresem bufora (slab out-of-bounds) podczas odtwarzania dziennika $LogFile. Atakujący może spreparować obraz NTFS, w którym pole lcns_follow w rekordzie dziennika jest większe niż pojemność tablicy DPT, co prowadzi do zapisu poza przydzieloną pamięcią.

W jądrze Linuxa w sterowniku NTFS wykryto podatność polegającą na wywołaniu funkcji post_write_mst_fixup() dla nieprawidłowego bloku indeksu. Atakujący może spreparować złośliwy obraz NTFS, co prowadzi do odczytu lub zapisu poza dozwolonym obszarem pamięci (out-of-bounds).

W sterowniku NTB (Non-Transparent Bridge) dla urządzeń PCIe EPF wykryto problem polegający na wywoływaniu funkcji pci_irq_vector() w kontekście przerwania sprzętowego (hardirq). Funkcja ta używa mutexa, co prowadzi do błędu planowania (scheduling while atomic) i może spowodować zawieszenie systemu.

W sterowniku GPIO EIC (External Interrupt Controller) dla układów Spreadtrum wykryto użycie zwykłego spinlocka (spinlock_t) w ścieżce uruchamiania przerwania (irq_startup). Na systemach z PREEMPT_RT spinlock_t staje się blokadą usypialną, co prowadzi do błędu wywołania funkcji usypiającej w kontekście nieusypialnym.

W jądrze Linux w sterowniku GPIO SCH wykryto problem synchronizacji w ścieżce uruchamiania przerwań. Funkcja sch_irq_unmask() używa zwykłego spin_lock, który na systemach z PREEMPT_RT staje się blokadą usypiającą, co prowadzi do błędu wywołania funkcji usypiającej w kontekście nieusypialnym. Poprawka zamienia blokadę na raw_spinlock_t, odpowiednią dla kontekstu przerwań.

W jądrze Linux w sterowniku HID dla urządzeń Logitech (logitech-dj) wykryto podatność na dereferencję wskaźnika NULL. Błąd występuje podczas walidacji raportów DJ_SHORT, gdy raport HID zawiera tylko pola dopełniające (padding), co powoduje, że liczba pól (maxfield) wynosi zero, a kod próbuje odczytać pole field[0].

W jądrze Linux w podsystemie io_uring wykryto wyciek referencji pliku w operacji NOP. Gdy żądanie NOP jest wysyłane z flagą IOSQE_FIXED_FILE, ale bez IORING_NOP_FIXED_FILE, plik jest pobierany przez fget() i nigdy nie zwalniany, co prowadzi do wycieku pamięci. Poprawka polega na decydowaniu o sposobie pobrania pliku na podstawie flagi REQ_F_FIXED_FILE, tak jak w innych operacjach.

W jądrze Linux w podsystemie io_uring/io-wq wykryto problem z obsługą flagi wyjścia (IO_WQ_BIT_EXIT) dla powiązanych elementów pracy. Mimo wcześniejszej poprawki, flaga wyjścia była sprawdzana tylko raz przed przetworzeniem całego łańcucha powiązanych zadań, co pozwalało na kontynuację pracy po rozpoczęciu wyjścia. Poprawka przenosi sprawdzenie do wewnątrz pętli, obejmując wszystkie powiązane elementy.

W jądrze Linux wykryto błąd use-after-free w mechanizmie netpoll podczas zamykania. Problem występuje, gdy oczekujący proces roboczy TX działa równolegle z procedurą czyszczenia, co prowadzi do odwołania do już zwolnionej pamięci.

W jądrze Linux wykryto podatność w implementacji protokołu IGMP dla IPv4. Podczas niszczenia interfejsu sieciowego grupy multicast nie są usuwane z tablicy mieszającej (mc_hash), co przy współbieżnym dostępie RCU może prowadzić do użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux w stosie TCP/IP wykryto podatność związaną z brakiem walidacji wartości sysctl net.ipv4.tcp_reordering. Ujemne wartości zapisywane do tego sysctl są kopiowane do pola tp->reordering jako u32, co powoduje zawinięcie do dużych wartości. Może to prowadzić do przepełnienia w obliczeniach rozmiaru MTU i odczytu poza zakresem. Poprawka dodaje walidację przez proc_dointvec_minmax() oraz zabezpiecza obliczenia przez użycie u64.

W jądrze Linux w sterowniku multimediów NXP i.MX8 ISI wykryto błąd use-after-free podczas usuwania modułu. Funkcja mxc_isi_remove() wywołuje mxc_isi_crossbar_cleanup() przed mxc_isi_v4l2_cleanup(), co powoduje zwolnienie padów encji medialnych, a następnie próbę usunięcia linków odnoszących się do już zwolnionych padów. Poprawka odwraca kolejność wywołań.

W jądrze Linux w sterowniku MFD ChromeOS Embedded Controller wykryto błąd use-after-free spowodowany przedwczesnym ustawieniem drvdata. Funkcja ec_device_probe() ustawiała drvdata przed zakończeniem inicjalizacji, co pozwalało podsterownikom na dostęp do zwolnionej pamięci po nieudanym probe. Poprawka opóźnia ustawienie drvdata do momentu sukcesu inicjalizacji.

W jądrze Linux w mechanizmie shrinker'a wykryto błąd polegający na trzymaniu blokady RCU podczas wywoływania funkcji ->count_objects() w shrinker_debugfs_count_show(). Funkcja zswap_shrinker_count() może usypiać przez css_rstat_flush(), co jest niedozwolone w sekcji krytycznej RCU. Poprawka usuwa rcu_read_lock()/rcu_read_unlock(), ponieważ nie są one potrzebne.

W jądrze Linux wykryto błąd w mechanizmie skalowania shrinker_info, który prowadzi do wyścigu podczas rozszerzania i usuwania tej struktury. Problem występuje, gdy expand_shrinker_info() iteruje po memcg, które nie zakończyły jeszcze procesu online, a jednocześnie alloc_shrinker_info() zwalnia pamięć poza sekcją chronioną mutexem. Może to skutkować podwójnym zwolnieniem pamięci (double-free) lub użyciem po zwolnieniu (use-after-free).

W jądrze Linux w mechanizmie shrinker debugfs występuje błąd polegający na odwołaniu przez wskaźnik NULL. Funkcja shrinker_debugfs_add() tworzy pliki debugfs "count" i "scan" dla każdego shrinkera, zakładając, że każdy shrinker implementuje zarówno count_objects(), jak i scan_objects(). Jednak niektóre shrinkery (np. xen-backend) ustawiają tylko count_objects(), pozostawiając scan_objects() jako NULL, co prowadzi do paniki jądra przy próbie zapisu do pliku "scan".

W jądrze Linux wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji lookup_swap_cgroup_id() na hostach bez przestrzeni wymiany (swap). Funkcja ta nie sprawdza, czy typ wpisu swap został zarejestrowany, co prowadzi do awarii systemu przy próbie dostępu do nieprawidłowego wpisu PTE.

W jądrze Linux w funkcji swap_reclaim_full_clusters() brakuje wywołania cond_resched(), co może prowadzić do miękkiego zablokowania (softlockup) na dużych systemach z wieloma CPU i dużym urządzeniem swap. Podczas intensywnego odzyskiwania pełnych klastrów swap, pętla może działać zbyt długo bez oddania procesora, powodując softlockup.

W jądrze Linux w podsystemie netfilter występuje problem z nieczytelnymi fragmentami pakietów (np. z devmem TCP). Funkcja skb_copy_bits() zwraca błąd, ale moduł xt_u32 nie obsługuje tego poprawnie. Ponadto gather_frags, nfnetlink_queue i nfnetlink_log nie radzą sobie z takimi fragmentami.

W jądrze Linux w podsystemie ebtables tablica chainstack nie jest zerowana przed użyciem. Jeśli cpu_possible_mask jest rzadki (np. CPU 0 i 2 są możliwe, ale CPU 1 nie), a alokacja dla CPU 2 się nie powiedzie, pętla czyszcząca może wywołać vfree() na niezainicjalizowanym wskaźniku, co prowadzi do potencjalnego błędu.

W jądrze Linux w podsystemie ebtables nazwy modułów nie są odpowiednio zakończone znakiem null. Funkcja request_module() może otrzymać niezakończony null łańcuch, co prowadzi do potencjalnego przepełnienia bufora lub błędnego ładowania modułu.

W jądrze Linux w podsystemie ebtables funkcje update_counters() i compat_update_counters() przekazują 32-bajtową nazwę tabeli do find_table_lock() bez zakończenia znakiem null. Przy braku dopasowania, funkcja try_then_request_module() próbuje załadować moduł, a vsnprintf() odczytuje poza granicami nazwy, co prowadzi do odczytu poza stosem (KASAN: stack-out-of-bounds).

W jądrze Linux w sterowniku Bluetooth btmtksdio występuje nieskończona pętla w funkcji btmtksdio_txrx_work(). Błąd wynika z nieprawidłowego użycia time_is_before_jiffies() w warunku pętli. Po upływie 5-sekundowego limitu czasu, warunek staje się zawsze prawdziwy, powodując nieskończoną pętlę i blokadę hosta SDIO.

W jądrze Linux w sterowniku Bluetooth bnep występuje problem, gdzie podczas rejestracji interfejsu sieciowego odczytywane jest połączenie L2CAP bez blokady, co może prowadzić do użycia zwolnionej pamięci (use-after-free) przy jednoczesnym usuwaniu kontrolera. Poprawka polega na zabezpieczeniu referencji do połączenia L2CAP przed rejestracją.

W sterowniku Bluetooth btnxpuart jądra Linux występuje podatność na odczyt poza zakresem (out-of-bounds read) podczas pobierania oprogramowania sprzętowego w wersji v3. Funkcja nxp_recv_fw_req_v3() nie sprawdza, czy żądany offset i długość mieszczą się w obrazie firmware, co pozwala kontrolerowi na odczyt pamięci poza buforem i wysłanie jej przez UART.

W jądrze Linux w funkcji bt_accept_dequeue() występuje podatność na użycie zwolnionej pamięci (use-after-free). Funkcja bt_accept_get() pobiera tymczasową referencję, ale bt_accept_dequeue() zwalnia ją przed bt_accept_unlink(), co prowadzi do dostępu do zwolnionej pamięci, gdy referencja była ostatnia.

W jądrze Linuxa w podsystemie Bluetooth wykryto błąd prowadzący do dereferencji pustego wskaźnika w funkcji hci_abort_conn(). Problem występuje, gdy hdev->sent_cmd jest NULL, a req_status ma wartość HCI_REQ_PEND, co może skutkować awarią systemu.

W jądrze Linux w sterowniku Bluetooth ISO funkcja iso_conn_big_sync() może wywołać dereferencję wskaźnika NULL. Po zwolnieniu blokady gniazda, połączenie może zostać zerwane, a następnie funkcja odczytuje conn->hcon bez ponownego sprawdzenia, czy conn jest nadal ważne.

W jądrze Linux w stosie Bluetooth L2CAP funkcja l2cap_get_conf_opt() odczytuje wartość opcji przed sprawdzeniem, czy opcja w całości mieści się w buforze. Atakujący może kontrolować długość opcji, co prowadzi do odczytu poza zakresem (out-of-bounds read) do 4 bajtów.

W jądrze Linux w sterowniku coresight ultrasoc-smb funkcja smb_sync_perf_buffer() może zapisywać poza zakresem tablicy dst_pages[] podczas kopiowania danych do bufora AUX. Indeks strony początkowy nie jest normalizowany modulo rozmiar bufora AUX, co prowadzi do zapisu poza zakresem.

W jądrze Linux wykryto podatność w kliencie SMB, gdzie funkcja cifs_swn_notify() używa nieaktualnego wskaźnika do struktury tcon po zwolnieniu pamięci, co prowadzi do use-after-free. Problem wynika z braku stabilnego odniesienia do tcon w rejestracji SWN, gdy wiele montowań współdzieli ten sam identyfikator rejestracji.

W jądrze Linux w serwerze SMB ksmbd występuje podatność na obejście ograniczeń ścieżki (path traversal). Funkcja __ksmbd_vfs_kern_path() w trybie caseless nie przechwytuje błędu -EXDEV z vfs_path_parent_lookup() i przechodzi do logiki ponawiania, co pozwala na tworzenie plików lub katalogów poza udostępnionym zasobem.

W jądrze Linux w systemie plików ksmbd brakuje sprawdzenia uprawnień dla operacji FSCTL_SET_ZERO_DATA. Uwierzytelniony klient SMB może użyć uchwytu otwartego tylko z uprawnieniem FILE_WRITE_ATTRIBUTES do wyzerowania danych pliku, do których nie ma prawa FILE_WRITE_DATA.

W jądrze Linux w systemie plików ksmbd występuje podatność użycia po zwolnieniu (UAF) struktury file_lock podczas anulowania odroczonego blokowania zakresu bajtów. Gdy blokada jest anulowana, a praca nie jest już aktywna, zwolnienie blokady przed usunięciem jej z listy asynchronicznej prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w systemie plików ksmbd brakuje sprawdzenia uprawnień odczytu dla źródłowego pliku podczas operacji duplikowania zakresów (FSCTL_DUPLICATE_EXTENTS_TO_FILE). Uchwyt otwarty tylko z dostępem do atrybutów może być użyty do kopiowania zawartości pliku do pliku docelowego czytelnego dla atakującego.

W jądrze Linuxa w systemie plików ksmbd (SMB) brakuje sprawdzenia uprawnień WRITE_DAC/WRITE_OWNER w operacji SMB2 SET_INFO SECURITY. Klient może otworzyć uchwyt z minimalnymi uprawnieniami (np. FILE_WRITE_ATTRIBUTES) i przepisać deskryptor bezpieczeństwa pliku, uzyskując nieautoryzowany dostęp.

W jądrze Linux w systemie plików ksmbd występuje problem z zarządzaniem blokadami zakresu bajtów w przypadku wielu kanałów SMB3. Blokada może być usunięta z listy połączenia przy użyciu niewłaściwego spinlocka, co prowadzi do dostępu do zwolnionych obiektów podczas współbieżnego przeglądania listy.

W jądrze Linux w systemie plików ksmbd walidacja odpowiedzi NTLMv2 jest wykonywana po zaktualizowaniu klucza sesji. W przypadku nieudanego uwierzytelnienia, klucz sesji może zostać zmodyfikowany przed zwróceniem błędu, co pozwala klientowi na zmianę klucza sesji istniejącej sesji wiążącej.

W jądrze Linux w kliencie SMB3 podczas montowania z rozszerzeniami POSIX, zmiany właściciela (chown) i grupy (chgrp) były ignorowane, chyba że jawnie ustawiono flagi CIFS_MOUNT_CIFS_ACL lub CIFS_MOUNT_MODE_FROM_SID. Poprawka dodaje sprawdzanie rozszerzeń POSIX w funkcji cifs_setattr_nounix(), aby poprawnie wywołać id_mode_to_cifs_acl() i ustawić informacje o właścicielu/grupie na serwerze.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na żądanie SMB2_open(). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_open_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB funkcja receive_encrypted_standard() alokuje next_buffer przed sprawdzeniem, czy liczba złożonych PDU osiągnęła MAX_COMPOUND. Jeśli limit zostanie przekroczony, funkcja zwraca natychmiast, a nowo zaalokowany next_buffer nie jest przypisywany do server->smallbuf/server->bigbuf, co powoduje wyciek pamięci. Poprawka przenosi sprawdzenie MAX_COMPOUND przed alokację next_buffer.

W jądrze Linux w kliencie SMB funkcja posix_info_sid_size() odczytuje sid[1] w celu uzyskania liczby podwładnych, ale jej istniejące sprawdzenie granic nadal akceptuje bufory z tylko jednym pozostałym bajtem. Poprawka wymaga dwóch bajtów przed odczytaniem sid[1], aby wszystkie ścieżki klienckie korzystające z tej funkcji bezpiecznie odrzucały obcięte POSIX SID.