Podatności Linux kernel

W jądrze Linux wykryto zakleszczenie w sterowniku MSM DRM podczas odśmiecania pamięci (shrinker). Proces kswapd, trzymając blokadę fs_reclaim, próbuje uzyskać blokadę reservation_ww_class_acquire, co prowadzi do cyklicznej zależności i potencjalnego zakleszczenia systemu.

W jądrze Linux w sterowniku DRM dla V3D wykryto podatność use-after-free na ścieżce błędu podczas obsługi zadań CPU. Po wywołaniu v3d_job_cleanup() zwalniana jest pamięć zadania, a następnie próba odczytu tablic znaczników czasu i wydajności prowadzi do naruszenia pamięci. Dodatkowo na wczesnej ścieżce błędu dochodzi do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku DRM dla VirtIO wykryto podatność polegającą na ignorowaniu wartości zwracanej przez funkcję blokującą rezerwację DMA (dma_resv_lock_interruptible). W przypadku przerwania sygnałem (-EINTR) lub braku pamięci (-ENOMEM) blokada nie jest przechwytywana, co prowadzi do wyścigu podczas dodawania ogrodzeń (fence) i może skutkować uszkodzeniem listy ogrodzeń.

W jądrze Linux w sterowniku graficznym AMD/Display wykryto podatność na odczyt poza dozwolonym obszarem pamięci. Funkcje parsujące tablicę pinów GPIO nie sprawdzały, czy deklarowany rozmiar struktury z VBIOS mieści się w dostępnym obrazie BIOS-u, co umożliwiało odczyt poza jego granicami.

W jądrze Linux w module batman-adv wykryto podatność use-after-free w funkcji batadv_mcast_purge_orig(). Funkcja usuwa wpisy z list hlist chronionych przez RCU, ale nie czeka na zakończenie okresu RCU przed zwróceniem wyniku, co pozwala równoczesnym czytelnikom RCU na dostęp do już zwolnionej pamięci.

W jądrze Linux w module batman-adv (BLA) wykryto podatność polegającą na podwójnym dekrementacji licznika bla.num_requests. Problem wynika z braku atomowości operacji na liczniku i fladze request_sent, co prowadzi do wyścigu (race condition) i nieprawidłowego stanu.

W jądrze Linuxa w module batman-adv (BLA) wykryto podatność polegającą na możliwości dereferencji wskaźnika NULL. Problem występuje, gdy interfejs sieciowy (hardif) zostanie odłączony od interfejsu mesh (meshif) podczas operacji na nim, bez odpowiedniego blokowania rtnl_lock. W rezultacie wskaźnik do meshif staje się NULL, a dalsze operacje (np. wysyłanie żądania ARP) prowadzą do błędu.

W jądrze Linux w module batman-adv (tp_meter) wykryto podatność polegającą na tym, że funkcja batadv_tp_sender_cleanup() używała niebezpiecznej kombinacji timer_delete_sync() i timer_delete() do zatrzymania timera. Może to prowadzić do ponownego uzbrojenia timera po jego wyczyszczeniu, co skutkuje użyciem po zwolnieniu (use-after-free).

W jądrze Linuxa w module batman-adv wykryto wyciek referencji tp_vars podczas zamykania odbiornika pomiaru przepustowości (TP). Problem wynika z błędnej synchronizacji między procedurą wywołania zwrotnego timera a funkcją batadv_tp_stop_all(), co prowadzi do niespójności w zwalnianiu zasobów.

W jądrze Linuxa w module batman-adv wykryto podatność polegającą na możliwości wysyłania pustych odpowiedzi VLAN w ramach protokołu Translation Table (TT). Poprawka rozszerza wcześniejsze zabezpieczenia przed burzą żądań TT, aby zapobiec wysyłaniu niespójnych wpisów TT również dla odpowiedzi pochodzących z globalnego stanu TT.

W jądrze Linux w module batman-adv wykryto podatność polegającą na błędnym typowaniu pola `tt_buff_len` jako `s16` zamiast `u16`. Powoduje to zawijanie wartości większych niż 32767 do ujemnych liczb, co prowadzi do alokacji pełnego bufora, ale tylko częściowego jego wypełnienia, pozostawiając resztę niezainicjalizowaną.

W sterowniku pmbus/adm1266 jądra Linux wykryto podatność polegającą na braku walidacji liczby rekordów w odpowiedzi BLACKBOX_INFO. Atakujący może dostarczyć zawyżoną wartość, co prowadzi do odczytu poza przydzielonym buforem i potencjalnego naruszenia pamięci.

W sterowniku pmbus/adm1266 jądra Linux wykryto podatność polegającą na zapisie poza zakresem bufora podczas odczytu blokowego przez PMBus. Deklaracja bufora read_buf była o jeden bajt za mała, co przy maksymalnej długości odpowiedzi (255 bajtów + bajt PEC) powodowało nadpisanie pamięci.

W sterowniku pmbus/adm1266 jądra Linux wykryto podatność na przepełnienie bufora. Funkcja adm1266_nvmem_read_blackbox() przekazuje do pomocniczej funkcji adm1266_pmbus_block_xfer() wskaźnik do bufora o rozmiarze 64 bajtów, podczas gdy funkcja pomocnicza może zapisać do 255 bajtów, co prowadzi do przepełnienia pamięci.

W sterowniku hwmon (pmbus/adm1266) dla jądra Linux wykryto podatność polegającą na użyciu nieprawidłowej stałej (ADM1266_PDIO_STATUS zamiast ADM1266_PDIO_NR) w pętli skanującej maskę bitów PDIO. Powoduje to odczyt poza zakresem stosu wywołującego oraz potencjalny zapis poza przydzieloną tablicę bitów, co może prowadzić do naruszenia pamięci.

W sterowniku hwmon (pmbus/adm1266) w jądrze Linuxa wykryto lukę polegającą na braku walidacji długości odpowiedzi podczas odczytu blokowego przez I2C. Funkcje adm1266_gpio_get() i adm1266_gpio_get_multiple() nie sprawdzają, czy odpowiedź zawiera co najmniej 2 bajty, co przy krótszej odpowiedzi (0 lub 1 bajt) prowadzi do użycia niezainicjalizowanej pamięci stosu. Te dane mogą zostać przekazane do przestrzeni użytkownika przez interfejs gpiolib (sysfs lub ioctl), powodując wyciek fragmentów stosu jądra.

W jądrze Linux w architekturze RISC-V wykryto podatność polegającą na niezainicjalizowanej zmiennej stosowej 'cregs'. Funkcje compat_riscv_gpr_set() i compat_restore_sigcontext() wywołują cregs_to_regs() nawet po nieudanej kopii z przestrzeni użytkownika, co prowadzi do zapisu niezainicjalizowanych danych stosu do rejestrów procesora (pt_regs) docelowego zadania.

W jądrze Linux stwierdzono podatność w sterowniku ARM FF-A, polegającą na braku walidacji układu wiadomości powiadomień frameworka. Nieprawidłowe przesunięcie i rozmiar mogą prowadzić do odczytu poza zakresem lub nadmiernej alokacji pamięci.

W jądrze Linux w podsystemie netfilter/x_tables wykryto podatność polegającą na tym, że tablice (ARP/IP/IPv6) są dodawane do listy per-netns przed alokacją kopii haków (hook ops). W przypadku współbieżnego wyjścia z przestrzeni nazw sieciowych (pernet exit) funkcja pre_exit znajduje tablicę z wskaźnikiem ops=NULL, co prowadzi do dereferencji NULL i błędu ogólnej ochrony (general protection fault).

W jądrze Linuxa w podsystemie netfilter/x_tables dodano funkcję xtables_unregister_table_exit, która zastępuje xt_unregister_table(). Rozwiązuje to problem, w którym podczas usuwania modułu (rmmod) użytkownicy wykonujący set/getsockopt nie mogli ponownie utworzyć tabeli, ponieważ larwalna tabela została już usunięta, a istniejąca instancja nie znajdowała się już na liście aktywnych tabel.

W jądrze Linuxa w module netfilter ebtables wprowadzono dwuetapowy schemat usuwania tabel, aby uniknąć wyścigu (race condition) podczas przypisywania operacji do tabeli. Przypisanie table->ops odbywa się teraz przy trzymanym muteksie ebt, co zapobiega ekspozycji niekompletnie wypełnionej struktury tabeli.

W jądrze Linux wykryto podatność w module netfilter bridge eb_tables, polegającą na wyścigu podczas inicjalizacji. Rejestracja sockoptów następuje zbyt wcześnie, zanim inicjalizacja modułu zostanie zakończona, co umożliwia globalne wystawienie nie w pełni zainicjalizowanych struktur.

W jądrze Linuxa w funkcji unregister_fprobe() brakowało synchronizacji z okresem RCU, co po wyrejestrowaniu fprobe mogło prowadzić do użycia po zwolnieniu (use-after-free). Problem dotyczy zdarzeń fprobe i przykładowego kodu modułu.

W jądrze Linux wykryto podatność w funkcji statmount_mnt_idmap, która może prowadzić do zapisu poza zakresem bufora. Problem wynika z ręcznego zwiększania licznika seq->count po użyciu seq_printf(), co w przypadku przepełnienia powoduje pominięcie wykrycia błędu i późniejszy zapis NULL-a poza przydzieloną pamięcią.

W jądrze Linux na systemie z PREEMPT_RT wykryto podatność use-after-free w funkcji irq_work_single(). Po wyczyszczeniu flagi BUSY przez atomic_cmpxchg() kod nadal odwołuje się do struktury work, co może prowadzić do jej użycia po zwolnieniu przez inny wątek wywołujący irq_work_sync().

W jądrze Linuxa wykryto podatność w sterowniku NVMe, która powoduje wyciek struktury bio w przypadku niepowodzenia mapowania integralności danych. Problem wynika z użycia lokalnej zmiennej bio, która zawsze jest NULL, zamiast pobrania bio bezpośrednio z żądania.

W jądrze Linux w sterowniku nvme-pci występuje podatność use-after-free w funkcji nvme_free_host_mem(). Po zwolnieniu pamięci przez dma_free_noncontiguous() wskaźnik dev->hmb_sgt nie jest zerowany, co prowadzi do ponownego użycia zwolnionej pamięci przy dwukrotnym wywołaniu tej funkcji w ścieżce błędu.

W jądrze Linux w podsystemie powerpc/hv-gpci wykryto wyciek licznika wywłaszczeń w czterech funkcjach sysfs show(). Funkcje te wywołują preempt_disable() przez get_cpu_var(), ale nie wywołują put_cpu_var() po pomyślnym odczycie, co prowadzi do narastania licznika wywłaszczeń. W rezultacie po wielokrotnych odczytach jądro może zwrócić sterowanie do przestrzeni użytkownika z wyłączonym wywłaszczaniem, powodując błędy SIGSEGV i 'BUG: scheduling while atomic'.

W jądrze Linux wykryto błąd w funkcji netfs_write_begin(), który powoduje wywołanie paniki jądra (VM_BUG_ON_FOLIO) przy próbie odblokowania folio, które nie jest zablokowane. Problem występuje z około 30% prawdopodobieństwem podczas wielokrotnego uruchamiania testu generic/013, prowadząc do awarii systemu.

W jądrze Linux wykryto podatność w mechanizmie netfs, gdzie podczas wywoływania funkcji netfs_invalidate_folio() nie jest usuwany bit dirty (brudny) strony, jeśli wszystkie zmodyfikowane dane w folio zostały usunięte przez skrócenie pliku. Prowadzi to do sytuacji, w której przy późniejszym odczycie przez mmap() może dojść do błędu (oops) z powodu braku struktury netfs_folio.

W jądrze Linuxa w podsystemie netfs wykryto podatność polegającą na nadpisywaniu strumieniowego zapisu. Podczas częściowego zapisu strony, która była wcześniej zapisywana strumieniowo, struktura netfs_folio nie była usuwana, co prowadziło do nieprawidłowego stanu danych. Problem został naprawiony poprzez odpowiednie zarządzanie strukturą netfs_folio i obsługę błędów kopiowania.

W jądrze Linux wykryto potencjalny zakleszczenie w trybie zapisu bezpośredniego (write-through) w podsystemie netfs. Poprawka zapewnia, że funkcja netfs_advance_writethrough() zawsze odblokowuje dostarczony folio i oznacza go jako brudny, jeśli nie został zapisany do końca, co zapobiega zakleszczeniom związanym z mapowanymi odczytami i zapisami.

W jądrze Linuxa wykryto podatność polegającą na wycieku referencji do żądania w funkcji netfs_write_begin() podczas obsługi błędów. Błąd występuje, gdy funkcja netfs_wait_for_read() zwróci błąd, co prowadzi do niezwolnienia referencji.

W jądrze Linux w funkcji netfs_perform_write() wykryto podatność polegającą na nieprawidłowym zarządzaniu polem folio->private. Może to prowadzić do wielokrotnego przypisywania danych prywatnych, wycieków referencji folio oraz wycieków struktur netfs_folio lub referencji netfs_group.

W jądrze Linuxa w funkcji netfs_read_folio() brakuje oczekiwania na zakończenie trwającego zapisu zwrotnego (writeback). Może to prowadzić do naruszenia spójności danych, ponieważ funkcja ufa fladze brudu (dirty) oraz danym w folio->private, które mogą zostać wyczyszczone przed wyczyszczeniem flagi writeback.

W jądrze Linuxa w systemie plików AFS wykryto podatność związaną z nieprawidłowym blokowaniem podczas obsługi dowiązań symbolicznych. Problem umożliwia wyścigi między wieloma wywołaniami funkcji get_link(), co może prowadzić do wycieków pamięci lub nieprawidłowego odczytu zawartości dowiązania.

W jądrze Linuxa wykryto podatność w mechanizmie sieciowym shaper. Funkcja net_shaper_nl_group_doit() nie usuwa duplikatów wpisów NET_SHAPER_A_LEAVES, co prowadzi do podwójnego zwolnienia tego samego wskaźnika rodzica w pętli czyszczącej. Problem występuje, gdy przestrzeń użytkownika dwukrotnie poda ten sam uchwyt liścia.

W jądrze Linux wykryto podatność w funkcji bio_integrity_copy_user(), gdzie nadpisywanie pola bip_vcnt wartością nr_vecs powoduje naruszenie warunku bip_vcnt <= bip_max_vcnt. W przypadku operacji WRITE prowadzi to do odczytu poza tablicą flex array bip_vec[], a w przypadku READ do odczytu nieprawidłowych danych.

W jądrze Linux wykryto podatność w funkcji bio_integrity_map_user(), która nieprawidłowo obsługuje częściowe przypinanie stron przez pin_user_pages_fast(). Prowadzi to do dereferencji wskaźnika NULL i błędu ogólnej ochrony pamięci.

W jądrze Linux w sterowniku accel/qaic wykryto podatność polegającą na braku sprawdzenia przepełnienia w funkcji remap_pfn_range podczas mapowania pamięci (mmap). Zbyt duży obiekt bufora (BO) może spowodować mapowanie poza obszar VMA, co prowadzi do użycia po zwolnieniu (use-after-free) po wywołaniu munmap().

W jądrze Linux stwierdzono podatność polegającą na mieszaniu funkcji zarządzania pamięcią devm i drmm w sterowniku graficznym MSM DPU. Powoduje to użycie po zwolnieniu (use-after-free) podczas wyłączania sterownika, gdy przestrzeń użytkownika utrzymuje referencję do urządzenia DRM.

W sterowniku graficznym Adreno w jądrze Linux wykryto podatność umożliwiającą wywołanie awarii systemu przez użytkownika. Problem dotyczy generacji a2xx-a4xx, gdzie zapytanie o parametry UBWC z przestrzeni użytkownika może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux w podsystemie SMC-D wykryto podatność polegającą na tym, że złośliwy peer może odpowiedzieć na propozycję SMC-Dv2 z CHID równym 0, co powoduje dopasowanie do pustego slotu w tablicy ism_dev[]. Prowadzi to do dereferencji wskaźnika NULL w funkcji smc_conn_create(), skutkującej awarią systemu (kernel panic).

W jądrze Linux w sterowniku ovpn dla połączeń TCP wykryto błąd bezpieczeństwa w funkcji ovpn_tcp_close(). Funkcja ta używała wskaźnika sock->peer poza sekcją RCU, co mogło prowadzić do wyścigu (race condition) i użycia zwolnionej pamięci (use-after-free).

W jądrze Linuxa w sterowniku ovpn (OpenVPN) wykryto podatność polegającą na nieprawidłowym zarządzaniu licznikiem referencji (kref) w ścieżce błędu polecenia CMD_NEW_PEER. Dla połączeń TCP, nowy peer może być dostępny przez gniazdo przed dodaniem do tablicy mieszającej, a bezpośrednie wywołanie ovpn_peer_release() zamiast ovpn_peer_put() prowadzi do użycia pamięci po zwolnieniu (use-after-free).

W jądrze Linux wykryto błąd wyścigu w sterowniku ovpn, który może wystąpić podczas usuwania interfejsu sieciowego. W wąskim oknie czasowym dodanie nowego peera przez netlink może spowodować zawieszenie urządzenia i uniemożliwić jego wyrejestrowanie.

W jądrze Linuxa wykryto podatność w sterowniku VFIO/PCI, która umożliwia eksportowanie nieprzydzielonych zasobów BAR przez DMABUF. Brak weryfikacji rezerwacji tych zasobów przed eksportem może prowadzić do nieautoryzowanego dostępu do pamięci.

W jądrze Linux w sterowniku kodeka audio fs210x wykryto podatność na przepełnienie bufora. Funkcja fs210x_effect_scene_info() używała strscpy z nieprawidłowym rozmiarem docelowym (strlen(SRC)+1 zamiast sizeof(DST)), co może prowadzić do zapisu poza przydzieloną pamięcią.

W jądrze Linuxa w podsystemie cachefiles wykryto błąd, który powoduje, że w przypadku niepowodzenia funkcji vfs_mkdir() nie jest wyodrębniany kod błędu ze zwróconego wskaźnika błędu. W rezultacie funkcja zwraca NULL zamiast prawidłowego wskaźnika błędu, co może prowadzić do nieprawidłowego działania.

W jądrze Linux wykryto podatność w sterowniku graficznym MSM (drm/msm) dotyczącą tworzenia zrzutów stanu (snapshot). Kod wewnętrznie wyrównywał segmenty danych do 16 bajtów, co powodowało nieprawidłowe zrzucanie danych DSI (przesuniętych o 4 bajty) oraz nadmierną alokację pamięci (16-krotność). Poprawka usuwa wymuszone wyrównanie długości i precyzyjnie drukuje ostatnie rejestry w regionie.