Podatności Linux kernel

W sterowniku I2C imx-lpi2c dla platform i.MX adapter I2C nie jest oznaczany jako zawieszony podczas suspend/resume. W oknie czasowym między suspend_noirq a faktycznym zawieszeniem oraz między wznowieniem a resume_noirq, transfery I2C mogą być inicjowane, gdy zasoby sprzętowe są niedostępne, co grozi zawieszeniem systemu.

W sterowniku Synaptics RMI4 (F3A) mapa klawiszy jest alokowana dla maksymalnie 6 wpisów, ale liczba GPIO (0-127) nie jest ograniczona. Urządzenie z gpio_count > 6 powoduje odczyt poza zakresem w przerwaniu oraz przez ioctl EVIOCGKEYCODE/EVIOCSKEYCODE, co może wyciekać pamięć sąsiedniego slaba do przestrzeni użytkownika.

W sterowniku Synaptics RMI4 (F30) mapa klawiszy jest alokowana dla maksymalnie 6 wpisów, ale liczba GPIO/LED (0-31) nie jest ograniczona. Urządzenie z gpioled_count > 6 powoduje odczyt poza zakresem w przerwaniu oraz przez ioctl EVIOCGKEYCODE/EVIOCSKEYCODE, co może wyciekać pamięć sąsiedniego slaba do przestrzeni użytkownika.

W sterowniku touchpada Elan I2C brakuje walidacji wartości x_traces i y_traces, co może prowadzić do dzielenia przez zero i paniki jądra. Ponadto, w logice raportowania dotyku występuje niedomiar arytmetyczny, gdy szerokość jest mniejsza niż 90, co powoduje raportowanie ogromnej liczby całkowitej bez znaku.

W sterowniku dotykowym Goodix brakuje ograniczenia liczby kontaktów raportowanych przez urządzenie. Wartość max_touch_num (0-15) jest pobierana z konfiguracji bez klampowania, co może prowadzić do zapisu poza stosem w funkcji goodix_ts_read_input_report(), gdy touch_num > 10.

W jądrze Linuxa w sterowniku iforce wykryto podatność polegającą na braku walidacji indeksu efektu siłowego pochodzącego z urządzenia. Indeks maskowany tylko 0x7f (zakres 0-127) jest używany do adresowania tablicy core_effects[] zawierającej tylko 32 elementy, co prowadzi do odczytu/zapisu poza zakresem. Złośliwe lub podrobione urządzenie może ustawić lub wyczyścić bit w dowolnym miejscu poza obiektem.

W sterowniku dotykowym mms114 w jądrze Linuxa występuje błąd indeksowania zdarzeń dotyku dla kontrolerów MMS134S i MMS136. Sterownik używa nieprawidłowego rozmiaru struktury (8 bajtów) zamiast rzeczywistego rozmiaru zdarzenia (6 bajtów), co powoduje odczyt zdarzeń z nieprawidłowych przesunięć.

W sterowniku touchwin w jądrze Linuxa występuje podatność na zapis poza zakresem sterty. Indeks pakietu nie jest resetowany, gdy drugi i trzeci bajt danych nie są zgodne, co pozwala złośliwemu urządzeniu na ciągłe zwiększanie indeksu i zapisywanie poza buforem.

W sterowniku mms114 w jądrze Linuxa występuje podatność na zapis poza zakresem stosu. Sterownik nie sprawdza górnego limitu rozmiaru pakietu pochodzącego z urządzenia, co pozwala na odczyt do 255 bajtów do stałego bufora o rozmiarze 80 bajtów, powodując przepełnienie stosu.

W systemie plików FUSE w jądrze Linuxa występuje podatność na zawijanie licznika w 32-bitowym mnożeniu podczas walidacji długości ładunku powiadomienia PRUNE. Kontrolowane przez demona mnożenie count * sizeof(u64) może się zawinąć, omijając sprawdzenie i prowadząc do odczytu poza zakresem.

W jądrze Linux w systemie plików FUSE występuje podatność use-after-free. Funkcja fuse_ref_folio() odblokowuje żądanie, ale nie blokuje go ponownie przed zwróceniem, co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w systemie plików FUSE występuje podatność use-after-free. Funkcje fuse_resend() i fuse_remove_pending_req() nie usuwają wpisu intr_entry z listy fiq->interrupts, co prowadzi do użycia zwolnionej pamięci podczas iteracji.

W jądrze Linux w podsystemie fuse-uring występuje podatność polegająca na nadpisywaniu błędu EFAULT. Funkcja fuse_uring_commit() po błędzie copy_from_user() ustawia err na dodatnią resztę, co powoduje, że fuse_uring_req_end() nadpisuje -EFAULT dodatnią wartością, maskując błąd.

W jądrze Linux w podsystemie fuse-uring występuje podatność prowadząca do wyłuskania wskaźnika NULL. Funkcja fuse_uring_cancel() przenosi anulowane wpisy na listę ent_in_userspace, a ent_list_request_expired() dereferencjonuje ent->fuse_req bez sprawdzenia, co powoduje crash.

W jądrze Linux w podsystemie FUSE-uring wykryto błąd, w którym anulowanie zadania przez io_uring (np. przy zakończeniu wątku) nie kończy poprawnie żądania FUSE. Powoduje to blokadę wątku wywołującego w stanie D oraz zawyżanie licznika tła, co może zatrzymać wszystkie późniejsze operacje FUSE.

W jądrze Linux w podsystemie fuse-uring występuje podatność use-after-free. Funkcja fuse_uring_async_stop_queues() może zostać uruchomiona po zwolnieniu ostatniego odniesienia do ring->queue_refs.

W jądrze Linux w podsystemie fuse-uring występuje podatność wyścigu (race condition) dotycząca flagi queue->stopped. Funkcja fuse_uring_commit_fetch() sprawdza queue->stopped bez blokady, a wartość nie jest ustawiana pod blokadą w fuse_uring_abort_end_requests().

W jądrze Linux w podsystemie fuse-uring występuje podatność use-after-free. Złośliwy użytkownik może wysłać SQE commit dla żądań, które nie zostały jeszcze wysłane do serwera FUSE, co może prowadzić do użycia zwolnionej pamięci podczas operacji memcpy.

W jądrze Linux w podsystemie fuse-uring występuje podatność prowadząca do wyłuskania wskaźnika NULL. Jeśli kopiowanie do pierścienia użytkownika się nie powiedzie, wpis pozostaje na liście ent_w_req_queue z ent->fuse_req ustawionym na NULL, co może spowodować crash przy skanowaniu listy.

W jądrze Linux w systemie plików XFS wykryto podatność polegającą na zawijaniu się identyfikatorów przydziałów (quota IDs) podczas iteracji. Gdy identyfikator osiągnie maksymalną wartość (XFS_DQ_ID_MAX), dodawanie powoduje jego wyzerowanie i rozpoczęcie iteracji od nowa, co może prowadzić do nieprawidłowego działania mechanizmu przydziałów.

W jądrze Linux w sterowniku iwlwifi (WiFi) trzy procedury obsługi sesji BA (Block Ack) używały ffs(ba_data->sta_mask) - 1 do wyznaczenia ID stacji bez sprawdzenia, czy sta_mask jest niezerowe. Gdy sta_mask jest zerowe, ffs() zwraca 0, a odejmowanie daje 0xFFFFFFFF, co prowadzi do odczytu poza zakresem tablicy fw_id_to_link_sta[]. Dodano zabezpieczenie WARN_ON_ONCE(!ba_data->sta_mask) przed każdym wywołaniem ffs().

W jądrze Linux w sterowniku NTB (Non-Transparent Bridge) dla EPF (Endpoint Function) podczas zwalniania zasobów, gdy BAR_PEER_SPAD i BAR_CONFIG współdzielą jeden BAR PCI, wywoływano pci_iounmap() z offsetem na tym samym obszarze iomem, co jest niepotrzebne i wyzwala ostrzeżenie jądra. Poprawka polega na wywoływaniu pci_iounmap() tylko gdy BAR-y są różne.

W jądrze Linux w funkcji copy_process() brakowało wyczyszczenia flagi PF_BLOCK_TS podczas kopiowania procesu. Flaga ta jest ustawiana tylko gdy current->plug jest niepusty, a copy_process() dziedziczy ją z rodzica, ale resetuje plug dziecka na NULL, co narusza niezmiennik. Poprawka dodaje wyczyszczenie PF_BLOCK_TS przy zerowaniu plug.

W jądrze Linux dla architektury MIPS DEC wykryto podatność, w której bufor używany przez początkowy handler konsoli może zostać umieszczony w segmencie pamięci XKPHYS (64-bitowym). Powoduje to obcięcie adresu przez 32-bitowe oprogramowanie układowe, prowadząc do dostępu do nieprawidłowej lokalizacji pamięci i awarii jądra.

W jądrze Linux w podsystemie pwrseq wykryto błąd use-after-free w funkcji pwrseq_debugfs_seq_next(). Problem wynika z nieprawidłowego zarządzania licznikiem referencji urządzenia, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linux dla architektury LoongArch odkryto podatność polegającą na braku informowania mechanizmu RCU o wyłączeniu procesora w funkcji stop_this_cpu(). Powoduje to, że RCU oczekuje na stan spoczynku od procesorów, które są już wyłączone i kręcą się w nieskończoność z wyłączonymi przerwaniami, co może doprowadzić do zawieszenia systemu podczas restartu lub wyłączania.

W jądrze Linux w podsystemie FPGA region wykryto błąd use-after-free w funkcji child_regions_with_firmware(). Wywołanie of_node_put(child_region) przed komunikatem błędu powoduje dostęp do zwolnionej pamięci.

W jądrze Linux wykryto podatność w MIPS, gdzie funkcja stop_this_cpu() wyłącza CPU dla schedulera, ale nie informuje RCU. Powoduje to blokowanie procesu ponownego uruchamiania systemu, ponieważ RCO oczekuje na stan spoczynku od wyłączonych CPU, które kręcą się w nieskończoność z wyłączonymi przerwaniami.

W jądrze Linux w module KVM dla architektury x86 podczas obsługi Hyper-V wykryto podatność na odczyt poza zakresem pamięci. Funkcja sprawdzająca obecność identyfikatora procesora wirtualnego w zestawie banków rzadkich nie weryfikuje, czy indeks banku mieści się w dozwolonym limicie (maksymalnie 64 banki po 64 vCPU). Atakujący gość Hyper-V może wykorzystać tę lukę do odczytu pamięci jądra.

W jądrze Linux w sterowniku linkstation-poweroff wykryto błąd use-after-free w funkcji linkstation_poweroff_init(). Wywołanie of_node_put(dn) przed of_match_node() powoduje dostęp do zwolnionej pamięci.

W jądrze Linux w podsystemie fbdev (framebuffer) wykryto błąd use-after-free w funkcji fb_find_mode(). Zmienna mode_option_buf jest zwalniana przed zakończeniem jej użycia przez alias name, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w sterowniku pamięci (drivers/base/memory) wykryto błąd, w którym mem->altmap jest ustawiane przed pomyślną rejestracją urządzenia. W przypadku błędu xa_store() wywoływane jest device_unregister(), które uruchamia memory_block_release() z ustawionym altmap, powodując ostrzeżenie WARN_ON.

W jądrze Linux w sterowniku ASoC codec simple-mux wykryto błąd w sprawdzaniu zakresu wartości w funkcji simple_mux_control_put(). Funkcja akceptuje wartości równe e->items, podczas gdy wartości enum są indeksowane od zera, co pozwala na zapisanie nieprawidłowego stanu multipleksera.

W jądrze Linux w sterowniku USB gadget net2280 wykryto podwójne zwolnienie pamięci w ścieżce błędu funkcji probe. Po wywołaniu net2280_remove() i usb_put_gadget(), następowało jawne wywołanie kfree(dev), co prowadziło do podwójnego zwolnienia tej samej struktury.

W jądrze Linux w sterowniku GPIO rockchip wykryto wiele problemów: wyciek referencji zegara debounce, nieodłączenie łańcuchowego handlera IRQ oraz wyciek domeny IRQ. Te błędy mogą prowadzić do paniki jądra i wycieków zasobów.

W jądrze Linux w sterowniku media rc igorplugusb wykryto podatność polegającą na nieprawidłowym przekazaniu pakietu konfiguracyjnego do usb_fill_control_urb(). Sterownik przekazywał wskaźnik do pola ir->request zamiast do zaalokowanej struktury usb_ctrlrequest, co prowadziło do błędnego kierunku sterowania.

W jądrze Linux w podsystemie DAMON sysfs wykryto podatność na użycie po zwolnieniu (use-after-free) podczas odświeżania katalogów regionów próbkowanych. Opóźnione wywołanie zwrotne usuwania obiektu kobj może prowadzić do naruszenia listy połączonej i wycieku pamięci.

W jądrze Linux w sterowniku gpio:shared wykryto zakleszczenie (deadlock) podczas usuwania rodzica proxy. Problem powstał przez zbyt szeroką sekcję krytyczną mutexu, która blokowała dostęp do pola offset.

W sterowniku elan_i2c dla paneli dotykowych Elan w jądrze Linux brakowało walidacji rozmiaru pliku firmware przed jego użyciem. Może to prowadzić do odczytu poza zakresem pamięci.

W sterowniku i2c:davinci w jądrze Linux brak właściwości 'clock-frequency' w drzewie urządzeń powodował dzielenie przez zero. Wartość domyślna była zdefiniowana w kHz, a oczekiwano Hz, co prowadziło do paniki jądra.

W jądrze Linux wykryto błąd w mechanizmie dynamicznych trampolin ftrace na architekturze x86. Gdy włączone jest śledzenie głębokości wywołań (CALL_DEPTH_TRACKING) na platformach podatnych na retbleed, rejestracja dynamicznej trampoliny powoduje błąd strony (page fault) i panikę jądra przy pierwszym wywołaniu śledzonej funkcji. Problem wynika z nieprawidłowego przeliczania adresów względnych %rip dla zmiennych per-CPU po skopiowaniu kodu z ftrace_regs_caller.

W sterowniku pch_uart dla portów szeregowych w jądrze Linux brakowało sprawdzenia wyniku funkcji dma_alloc_coherent(). Nieudana alokacja może prowadzić do dereferencji pustego wskaźnika.

W jądrze Linux w sterowniku USB gadget UVC wykryto podatność polegającą na braku synchronizacji dostępu do listy rozszerzeń (extension_units) podczas wiązania funkcji. Funkcja uvc_function_bind() przegląda listę bez trzymania zamka opts->lock, co może prowadzić do wyścigu z operacjami configfs i użycia po zwolnieniu pamięci.

W jądrze Linux w sterowniku DRM MSM DSI występuje podatność polegająca na odczycie pamięci poza mapowanym obszarem. Podczas zrzutu stanu (snapshot) używany jest rozmiar nieuwzględniający przesunięcia (io_offset), co może prowadzić do dostępu do niezmapowanej pamięci.

W regulatorze napięcia tps65219 w jądrze Linux brakuje przypisania pola irq_data.rdev, co prowadzi do niezdefiniowanego zachowania przy wywołaniu regulator_notifier_call_chain() z obsługi przerwań. Może to skutkować błędem Oops.

W systemie Linux wykryto podatność w mechanizmie unieważniania TLB na architekturze x86. Gdy jądro uruchomiono z parametrem 'nopcid', wyłączającym obsługę identyfikatorów kontekstu procesora (PCID), nadal możliwe jest użycie rozgłoszeniowego unieważniania TLB (INVLPGB) z niezerowym PCID, co prowadzi do błędu ochrony ogólnej (#GP) i awarii systemu.

W jądrze Linux w narzędziu ethtool dla PHY występuje podatność na wyłuskanie wskaźnika NULL, gdy sterownik PHY zostanie odwiązany (unbind) przez sysfs. Funkcja phy_remove() czyści wskaźnik drv, ale nie odłącza urządzenia, co prowadzi do błędu przy próbie odczytu nazwy sterownika.

W jądrze Linux w sterownikach platformowych ACPI brakuje sprawdzenia, czy obiekt ACPI_COMPANION() nie jest NULL przed jego użyciem. Ponieważ każdy sterownik platformowy może być wymuszony do dopasowania urządzenia bez ACPI, brak sprawdzenia może prowadzić do błędów.

W jądrze Linux w schedulerze sched_ext występuje podatność use-after-free (UAF) w funkcji scx_root_enable_workfn(). Funkcja put_task_struct() jest wywoływana przed scx_error(), która dereferencjonuje p->comm i p->pid, co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w sterowniku octeontx2-af CGX brakuje sprawdzenia zakresu indeksu tablicy cgx_speed_mbps. Funkcja RESP_LINKSTAT_SPEED może zwracać wartości 0-15, podczas gdy tablica ma tylko 13 elementów, co prowadzi do odczytu poza zakresem.