Podatności Linux kernel

W jądrze Linux w sterowniku USB gadget f_fs występuje wyciek obiektów DMA fence. Podwójna referencja do dma_fence nie jest prawidłowo zarządzana, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku USB gadget f_fs pole epfile->in jest inicjalizowane zbyt późno, co powoduje błędne określenie kierunku DMA dla wczesnych wywołań ioctl.

W jądrze Linux w funkcji bdev_mark_dead() brakuje warunku pomijającego sync_blockdev() przy niespodziewanym usunięciu urządzenia. Może to prowadzić do zawieszenia systemu podczas oczekiwania na zapis.

W jądrze Linux w sterownikach WiFi mt7921 i mt7925 występuje dereferencja wskaźnika NULL w funkcjach obsługi beaconów CSA. Po rozłączeniu stacji wskaźnik new_ctx może być NULL.

W jądrze Linux w systemie plików UDF brakuje walidacji zakresu bloków w funkcji udf_free_blocks(). Możliwe jest wyjście poza tablicę bitmapy przestrzeni, prowadzące do paniki jądra.

W jądrze Linux w systemie plików UDF brakuje walidacji długości nagłówka VAT względem rozmiaru i-węzła VAT. Może to prowadzić do odczytu poza zakresem i potencjalnej paniki jądra.

W jądrze Linux w systemie plików UDF stwierdzono podatność polegającą na błędnej walidacji długości tablicy sparingowej. Funkcja traktuje pole reallocationTableLen jako liczbę bajtów, podczas gdy w rzeczywistości jest to liczba 8-bajtowych wpisów, co prowadzi do odczytu i zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux w podsystemie NVMe over RDMA po stronie targetu stwierdzono wyciek referencji do struktury ndev podczas obsługi połączenia kolejki. Funkcja nvmet_rdma_queue_connect() nie zwalnia referencji w przypadku przekroczenia limitu kolejki hosta.

W jądrze Linux w parserze partycji AIX stwierdzono podatność polegającą na braku ograniczenia skanowania tablicy ppe do rzeczywistego rozmiaru tablicy. Pole pp_count z dysku może być większe niż 1016, co prowadzi do odczytu poza przydzielonym buforem.

W jądrze Linuxa w systemie plików isofs wykryto podatność na odczyt poza zakresem w obsłudze dowiązań symbolicznych Rock Ridge. Atakujący może dostarczyć spreparowany obraz ISO, który powoduje odczyt do 255 bajtów pamięci jądra poza przydzielonym buforem, a następnie skopiowanie ich do przestrzeni użytkownika przez readlink().

W jądrze Linux w sterowniku kryptograficznym CAAM stwierdzono podatność polegającą na wycieku wrażliwego materiału klucza poprzez zrzuty hex w funkcjach *_setkey() i gen_split_key(). Użycie print_hex_dump() bez osłony może ujawnić klucze w logach, gdy włączony jest CONFIG_DYNAMIC_DEBUG.

W jądrze Linux w sterowniku kryptograficznym CAAM stwierdzono podatność polegającą na wycieku wrażliwego materiału klucza poprzez zrzuty hex w funkcjach *_setkey(). Użycie print_hex_dump() bez osłony może ujawnić klucze w logach, gdy włączony jest CONFIG_DYNAMIC_DEBUG.

W jądrze Linux w implementacji szyfru chacha20poly1305 stwierdzono podatność polegającą na braku walidacji argumentu szablonu poly1305. Funkcja chachapoly_create() zakłada, że drugi argument szablonu jest zawsze obecny, co może prowadzić do dereferencji wskaźnika błędu w strcmp().

W jądrze Linux w implementacji krzywych eliptycznych (ECC) stwierdzono podatność polegającą na błędzie w obliczeniach przeniesienia (carry) podczas mnożenia vli. Warunek sprawdzający przepełnienie nie uwzględnia przypadku, gdy r01.m_high jest nasycone (0xFFFFFFFFFFFFFFFF) i występuje dodatkowe przeniesienie z niższych bitów.

W jądrze Linux w podsystemie kryptograficznym pcrypt wykryto błąd polegający na tym, że przy przejściu na bezpośrednie wywołanie szyfru (fallback) nie przywracano oryginalnego callbacku. W rezultacie asynchroniczne zakończenie operacji mogło uruchomić funkcję przeznaczoną dla padata, mimo że żądanie nigdy nie zostało do niego przekazane.

W jądrze Linux usunięto sterownik loongson-rng z powodu wielu podatności, w tym braku zabezpieczenia forward security oraz błędu use-after-free. Sterownik ten był nieużywany i nie miał rzeczywistego zastosowania w jądrze.

W jądrze Linux w sterowniku kryptograficznym ccp (AMD) naprawiono błąd polegający na niepotrzebnym inicjowaniu SNP podczas wykonywania ioctl SEV, które tego nie wymagają. Poprzednio mogło to prowadzić do wyzerowania MSR_VM_HSAVE_PA, co groziło awarią hosta.

W jądrze Linux w sterowniku ccp (AMD) naprawiono błąd polegający na niepotrzebnym inicjowaniu SNP podczas wykonywania ioctl SNP_COMMIT. Polecenie to nie wymaga żadnego konkretnego stanu firmware'u, a wcześniejsze inicjowanie mogło prowadzić do problemów bezpieczeństwa.

W jądrze Linux w sterowniku ccp (AMD) naprawiono błąd polegający na niepotrzebnym inicjowaniu SNP podczas wykonywania ioctl SNP_VLEK_LOAD. Poprzednio inicjowanie było zbędne, ponieważ firmware natychmiast usuwa klucz przy shutdownie. Teraz operacja jest odrzucana, jeśli SNP nie został wcześniej zainicjowany.

W jądrze Linux w sterowniku ccp (AMD) naprawiono błąd polegający na niepotrzebnym ponawianiu inicjowania SNP podczas wykonywania ioctl SNP_CONFIG. Teraz operacja jest odrzucana, jeśli SNP nie został wcześniej zainicjowany, co zapobiega potencjalnym problemom bezpieczeństwa.

W jądrze Linux w generatorze liczb losowych DRBG (CTR_DRBG) naprawiono błąd polegający na tym, że funkcja drbg_ctr_generate() czasami zwracała sukces mimo niepowodzenia, pozostawiając bufor wyjściowy niezainicjowany.

W jądrze Linux w sterowniku kryptograficznym QAT (Intel) naprawiono błąd synchronizacji polegający na tym, że iteracje po liście service_table nie były chronione blokadą service_lock. Mogło to prowadzić do uszkodzenia listy lub błędu use-after-free przy współbieżnych operacjach rejestracji/usuwania usług.

W jądrze Linux w sterowniku kryptograficznym QAT (Intel) naprawiono błąd polegający na braku walidacji długości składowych CRT (p, q, dp, dq, qinv) w funkcji qat_rsa_setkey_crt(). Zbyt długie składowe mogły spowodować przepełnienie bufora DMA i uszkodzenie pamięci.

W jądrze Linux w funkcji x86/mm występuje błąd podczas zwalniania stron vmemmap o rozmiarze PMD. Funkcja pagetable_free() nieprawidłowo traktuje strony vmemmap jako strony złożone, co prowadzi do wycieku pamięci – zwalniana jest tylko pierwsza strona, a pozostałe pozostają niezwolnione.

W jądrze Linux w sterowniku regulatora SCMI (System Control and Management Interface) występuje wyciek referencji do węzła urządzenia (of_node). Funkcja scmi_regulator_probe() nie zwalnia referencji do węzła potomnego w przypadku błędu, co prowadzi do wyczerpania zasobów.

W jądrze Linux w podsystemie perf/aux występuje błąd use-after-free (UAF) w funkcji map_range(). Dwa zdarzenia współdzielące ten sam bufor pierścieniowy (ring buffer) mogą wywołać wyścig (race condition) między alokacją a mapowaniem strony, co prowadzi do użycia zwolnionej strony fizycznej.

W jądrze Linux w mechanizmie śledzenia (tracing) występuje błąd odczytu poza zakresem w funkcji glob matching. Funkcja regex_match_glob() ignoruje długość pola i skanuje do napotkania znaku NUL, co dla pól bez znaku NUL (np. dynamicznych tablic znakowych w tracepointach xfs) prowadzi do odczytu poza granicami bufora.

W jądrze Linux w kliencie NFSv4 występuje błąd autoryzacji dostępu dla operacji O_TRUNC. Funkcja nfs_open_permission_mask() nie uwzględnia flagi O_TRUNC w masce uprawnień, co pozwala na lokalne otwarcie pliku z trybem tylko do odczytu i jednoczesnym obcięciem (truncate), co jest niezgodne z POSIX.

W jądrze Linux w mechanizmie dekompresji modułów występuje brak sprawdzenia wartości zwracanej przez funkcję module_extend_max_pages(). W przypadku niepowodzenia alokacji pamięci, wskaźnik info->pages pozostaje NULL, a info->max_pages wynosi 0, co prowadzi do dereferencji wskaźnika ZERO_SIZE_PTR i awarii jądra (kernel oops).

W jądrze Linux w systemie plików exfat występuje błąd odczytu i zapisu poza zakresem w funkcji exfat_find_dir_entry(). Przy przetwarzaniu wpisów katalogu o krótkich fragmentach nazw, wskaźnik uniname jest przesuwany o stałą wartość, podczas gdy licznik name_len rośnie wolniej, co pozwala na zapis poza buforem p_uniname->name.

W jądrze Linux wykryto podatność w API iteracji struktury page_ext. Funkcja page_ext_iter_next() nie sprawdza, czy numer ramki strony (PFN) należy do prawidłowej sekcji, co podczas dynamicznego dodawania pamięci (hotplug) może prowadzić do dereferencji wskaźnika NULL. Problem występuje, gdy iterator przekroczy liczbę stron w sekcji i odwołuje się do niezainicjalizowanej pamięci.

W jądrze Linux w funkcjach mincore() i madvise(MADV_PAGEOUT) występuje błąd sprawdzania uprawnień do pliku. Sprawdzanie własności pliku (owner_or_capable) jest wykonywane z użyciem nop_mnt_idmap, które ignoruje mapowanie identyfikatorów (idmap) zamontowanego systemu plików, co prowadzi do błędnych decyzji autoryzacyjnych.

W jądrze Linux w podsystemie iommufd występuje błąd w funkcji iommufd_veventq_fops_read(). W sprawdzeniu granic dla normalnej ścieżki vEVENT użyto sizeof(hdr) zamiast sizeof(*hdr), co na architekturach 32-bitowych prowadzi do niedoszacowania rozmiaru nagłówka i zapisu poza dostarczony bufor użytkownika.

W jądrze Linux w podsystemie iommufd stwierdzono podatność polegającą na alokacji pamięci dla kolejki zdarzeń wewnątrz spinlocka. Użytkownik może przydzielić bardzo dużą kolejkę, wyczerpując rezerwy pamięci atomowej.

W jądrze Linux w podsystemie iommufd stwierdzono podatność polegającą na braku górnego ograniczenia rozmiaru kolejki zdarzeń (veventq_depth). Użytkownik może przydzielić bardzo dużą kolejkę, wyczerpując pamięć jądra.

W jądrze Linux w podsystemie iommufd stwierdzono podatność polegającą na nieskończonej pętli w funkcji iommufd_fault_fops_read(). W przypadku błędu copy_to_user() wewnętrzna pętla się przerywa, ale zewnętrzna pętla while ponawia próbę, powodując 100% użycie CPU i trzymanie mutexu.

W jądrze Linux w podsystemie iommufd stwierdzono podatność polegającą na braku górnych ograniczeń dla entry_num i entry_len w funkcji iommufd_hwpt_invalidate(). Duże wartości mogą prowadzić do miękkiego zawieszenia (soft-lockup) lub zablokowania CPU.

W jądrze Linux w KVM dla ARM64 stwierdzono podatność polegającą na dereferencji pustego wskaźnika w pseudo-TLB VNCR podczas unieważniania. Funkcja kvm_invalidate_vncr_va() nie sprawdza, czy pseudo-TLB został przydzielony, co może prowadzić do awarii.

W jądrze Linux w KVM dla ARM64 stwierdzono podatność polegającą na braku ograniczenia wartości used_lrs podczas kopiowania stanu vGIC do hipersawcy pKVM. Host może podać wartość wykraczającą poza liczbę zaimplementowanych rejestrów listowych, co prowadzi do dostępu poza zakresem na EL2.

W jądrze Linux w KVM dla ARM64 stwierdzono podatność polegającą na braku wyczyszczenia pola __hyp_running_vcpu podczas kopiowania kontekstu vCPU do hipersawcy pKVM. Host może podać wartość, która jest następnie dereferencjonowana na EL2.

W jądrze Linux w KVM dla AMD SEV stwierdzono podatność polegającą na braku zapisu do źródłowej strony podczas dodawania danych CPUID dla gościa SNP. KVM zapisuje poprawione dane CPUID, ale jeśli strona jest tylko do odczytu, może dojść do nadpisania pamięci tylko do odczytu.

W jądrze Linux w KVM dla x86 stwierdzono podatność polegającą na tym, że szybkie wyjścia do przestrzeni użytkownika (fastpath userspace exits) są obsługiwane przed uruchomieniem kodu dostawcy (vendor). Może to prowadzić do pominięcia operacji takich jak flush PML bufora przed przekazaniem kontroli do użytkownika.

W jądrze Linux w komponencie KVM guest_memfd wykryto podatność polegającą na traktowaniu offsetu i rozmiaru wiązania memslot jako wartości ze znakiem (signed) zamiast bez znaku (unsigned). Powoduje to fałszywie negatywny wynik podczas sprawdzania przepełnienia sumy offset+size względem rozmiaru pliku, co może pozwolić na użycie absurdalnie dużego offsetu.

W jądrze Linux w KVM dla ARM64 występuje wyciek PFN (Page Frame Number) podczas wyścigu z notyfikatorem MMU. Gdy funkcja kvm_translate_vncr() wykryje kolizję, wczesny return nie zwalnia referencji do zmapowanej strony.

W jądrze Linuxa wykryto podatność w komponencie svcrdma, gdzie wątki oczekujące w funkcji svc_rdma_sq_wait() mogą zawiesić się w stanie TASK_UNINTERRUPTIBLE podczas zamykania transportu. Brak jawnego wybudzenia przy zamykaniu powoduje, że wątki nie sprawdzają flagi XPT_CLOSE, co prowadzi do blokady funkcji svc_rdma_free() i uniemożliwia zwolnienie zasobów.

W sterowniku FPGA DFL-AFU brakuje walidacji długości mapowania DMA przekazywanej z przestrzeni użytkownika przez ioctl DFL_FPGA_PORT_DMA_MAP. Duża wartość może spowodować niejawne obcięcie przy konwersji na int, prowadząc do przepełnienia bufora.

W podsystemie I2C jądra Linux występuje wyścig podczas wyrejestrowywania adaptera. Adapter może być wyszukiwany przez i2c_get_adapter() po zwolnieniu jego zasobów, co prowadzi do użycia po zwolnieniu (use-after-free).

W sterowniku I2C imx-lpi2c dla platform i.MX adapter I2C nie jest oznaczany jako zawieszony podczas suspend/resume. W oknie czasowym między suspend_noirq a faktycznym zawieszeniem oraz między wznowieniem a resume_noirq, transfery I2C mogą być inicjowane, gdy zasoby sprzętowe są niedostępne, co grozi zawieszeniem systemu.

W sterowniku Synaptics RMI4 (F3A) mapa klawiszy jest alokowana dla maksymalnie 6 wpisów, ale liczba GPIO (0-127) nie jest ograniczona. Urządzenie z gpio_count > 6 powoduje odczyt poza zakresem w przerwaniu oraz przez ioctl EVIOCGKEYCODE/EVIOCSKEYCODE, co może wyciekać pamięć sąsiedniego slaba do przestrzeni użytkownika.

W sterowniku Synaptics RMI4 (F30) mapa klawiszy jest alokowana dla maksymalnie 6 wpisów, ale liczba GPIO/LED (0-31) nie jest ograniczona. Urządzenie z gpioled_count > 6 powoduje odczyt poza zakresem w przerwaniu oraz przez ioctl EVIOCGKEYCODE/EVIOCSKEYCODE, co może wyciekać pamięć sąsiedniego slaba do przestrzeni użytkownika.