Podatności Linux kernel

W sterowniku lm90 dla jądra Linux wykryto podatność polegającą na wyścigu między zakończeniem pracy opóźnionych zadań (alert_work, report_work) a zwolnieniem urządzenia hwmon. W pewnych warunkach może dojść do dereferencji zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linux stwierdzono podatność w mechanizmie cgroup/rstat, gdzie funkcja css_rstat_updated() dostępna jako BPF kfunc nie waliduje numeru CPU przekazanego przez wywołującego. Program BPF z odpowiednimi uprawnieniami może przekazać nieprawidłową wartość CPU, co prowadzi do odczytu poza zakresem tablicy per-CPU.

W jądrze Linux wykryto podatność use-after-free w implementacji mostkowania (bridge) podczas usuwania portu mostka. Problem występuje, gdy włączone jest snooping multicast na poziomie VLAN, a następnie wyłączane i ponownie włączane globalne snooping multicast, co prowadzi do jednoczesnego aktywowania obu typów kontekstów multicast na jednym porcie. Przy usuwaniu takiego portu, kontekst per-port nie jest wyłączany, co skutkuje użyciem zwolnionej pamięci.

W jądrze Linux w systemie plików EROFS wykryto wyścig (race condition) w zarządzanym cache dla niewyrównanych zakresów. Problem występuje, gdy dwa wątki jednocześnie próbują dodać ten sam folio do cache, co może prowadzić do nieprawidłowego stanu. Luka dotyczy tylko kompresji danych z opcją -E48bit (np. zstd).

W jądrze Linux w podsystemie mac80211 wykryto podatność polegającą na braku sprawdzenia zakresu identyfikatora łącza (link_id) w funkcji ieee80211_ml_epcs. Atakujący punkt dostępowy WiFi 7 może wysłać spreparowaną ramkę EPCS Enable Response z link_id=15, co prowadzi do odczytu poza tablicą i awarii systemu.

W jądrze Linux w podsystemie ALSA sekwencera (UMP) występuje podatność na użycie po zwolnieniu (use-after-free) podczas wycofywania wyjścia UMP. Brak synchronizacji między przetwarzaniem zdarzeń a zamykaniem połączenia rawmidi może prowadzić do dostępu do już zwolnionej pamięci.

W jądrze Linux wykryto podatność w mechanizmie śledzenia (tracing), gdzie funkcja hist_field_name() może zwrócić NULL zamiast pustego ciągu znaków w przypadku obcięcia nazwy pola. Prowadzi to do wyłuskania wskaźnika NULL w wywołaniach strcat() i strcmp(), co może skutkować awarią systemu.

W jądrze Linux wykryto podatność w mechanizmie kształtowania ruchu sieciowego (net: shaper). Problem wynika z nieatomowego przechowywania flagi VALID względem wpisu w XArray, co prowadzi do wyścigu danych. Skutkiem może być użycie po zwolnieniu (UAF) podczas operacji wycofywania zmian (rollback).

W jądrze Linuxa wykryto podatność w mechanizmie rxrpc, która powoduje uszkodzenie pamięci podręcznej stron (pagecache) podczas lokalnego przesyłania pakietów DATA za pomocą splice(). Problem został załatany poprzez kopiowanie danych do bufora tymczasowego przed deszyfrowaniem w funkcji recvmsg().

W jądrze Linuxa w sterowniku gpio: aggregator wykryto podatność na użycie po zwolnieniu (use-after-free). Podczas obsługi błędu najpierw zwalniano pole dev_id w strukturze aggr->lookups, a dopiero potem usuwano wpis z tablicy wyszukiwania. Umożliwiało to współbieżnemu wątkowi wywołanie gpiod_find() i dostęp do już zwolnionej pamięci przez strcmp().

W jądrze Linuxa wykryto wyciek dynamicznego węzła oprogramowania (software node) w sterowniku agregatora GPIO. Węzeł ten jest tworzony dla urządzenia platformowego agregatora podczas korzystania z configfs, ale nie jest niszczony podczas dezaktywacji urządzenia.

W sterowniku DRM xe w jądrze Linux wykryto wyciek referencji do kolejki exec (exec_queue) podczas otwierania strumienia OA. Gdy parametr width > 1, funkcja zwraca błąd bez zwolnienia referencji, co prowadzi do trwałego zablokowania zasobów.

W jądrze Linuxa wykryto wyciek alokacji dma_vec w sterowniku nvme-pci podczas korzystania z pamięci P2P. Alokacja nie była zwalniana po zakończeniu operacji, ponieważ pamięć P2P nie jest odwzorowywana.

W jądrze Linux wykryto wyciek mapowania DMA w sterowniku nvme-pci podczas obsługi błędów konfiguracji danych. Problem występuje, gdy nie uda się przydzielić deskryptora śledzącego dla PRP lub SGL, a także w przypadku wykrycia nieprawidłowego bio_vec podczas mapowania PRP.

W jądrze Linux wykryto podatność use-after-free w mechanizmie blk-mq. Problem występuje, gdy zadanie po pobraniu buforowanego żądania (cached request) zasypia przed jego faktycznym użyciem, co prowadzi do zwolnienia pamięci i potencjalnego wykorzystania przez atakującego.

W jądrze Linux wykryto podatność w mechanizmie wyszukiwania kluczy, gdzie funkcja find_key_to_update() wywołuje assoc_array_find() bez trzymania blokady RCU. Powoduje to problemy z bezpieczeństwem, szczególnie w przypadku trwałych kluczy, które używają innego modelu blokowania niż standardowe klucze.

W sterowniku usbtouchscreen jądra Linux wykryto podatność polegającą na braku walidacji długości danych pochodzących z urządzenia NEXIO. Atakujące urządzenie może podać zawyżone wartości w nagłówku pakietu, co prowadzi do odczytu poza przydzielonym buforem DMA (do 64 KiB) i potencjalnego wycieku pamięci jądra do przestrzeni użytkownika jako zdarzenia dotyku.

W jądrze Linux wykryto podatność w sterowniku ACPI Button. Podczas usuwania sterownika nie jest poprawnie usuwany handler powiadomień ACPI, co może prowadzić do wycieku zasobów i awarii jądra przy próbie ponownego załadowania sterownika.

W jądrze Linux wykryto podatność w harmonogramie sieciowym SFB, która może prowadzić do paniki jądra. Problem występuje, gdy SFB ma dzieci (np. QFQ) z funkcją peek() qdisc_peek_dequeued(), a nadrzędny harmonogram (np. TBF) wywołuje dequeue() zamiast użyć qdisc_dequeue_peeked(). Powoduje to dereferencję pustego wskaźnika.

W jądrze Linux wykryto podatność use-after-free w funkcji llcp_sock_release() stosu NFC LLCP. Problem występuje, gdy gniazdo w stanie nawiązywania połączenia jest usuwane z niewłaściwej listy, co może prowadzić do naruszenia pamięci.

W jądrze Linuxa wykryto podatność w stosie NFC LLCP, polegającą na wyścigu podczas przetwarzania pakietu potwierdzenia połączenia (CC). Może to prowadzić do użycia po zwolnieniu (use-after-free) gniazda, gdy operacja jest wykonywana współbieżnie z jego zamykaniem.

W jądrze Linux wykryto podatność w funkcji xfrm_state_mtu, która może prowadzić do zapisu poza zakresem (OOB) w komponencie ESP. Atakujący bez uprawnień może zainstalować tunel ESP IPv4 z dużym kluczem uwierzytelniania, małym MTU interfejsu i dużą wartością XFRMA_TFCPAD, powodując niedomiar arytmetyczny (underflow) i zapis ogromnej ilości zer do pamięci.

W sterowniku rocket w jądrze Linux wykryto podatność use-after-free (UAF) polegającą na pozostawieniu wiszącego uchwytu GEM po nieudanym utworzeniu obiektu bufora. Błąd występuje, gdy funkcja rocket_ioctl_create_bo() tworzy uchwyt GEM przed wykonaniem operacji, które mogą zakończyć się niepowodzeniem, a w przypadku błędu usuwa obiekt bez usunięcia uchwytu z IDR.

W jądrze Linux w podsystemie netfilter nf_tables wykryto podatność polegającą na uszkodzeniu danych docelowych (dst) podczas operacji przesunięcia bitowego (lshift/rshift) wykonywanej na tym samym rejestrze. Gdy źródło (src) i cel (dst) wskazują na tę samą lokalizację pamięci, wartość przeniesienia (carry) jest błędnie obliczana na podstawie już zmodyfikowanych danych, co prowadzi do nieprawidłowego wyniku operacji.

W jądrze Linux stwierdzono podatność w module SMC (Shared Memory Communications). Funkcja smc_init() niepotrzebnie i niebezpiecznie ponownie inicjalizuje tablice mieszające (hashtables) smc_v*_hashinfo.ht, co może prowadzić do uszkodzenia listy skrótów, gdy istnieją już aktywne wpisy.

W jądrze Linux wykryto podatność w mechanizmie blokowania funkcji .getsockopt dla gniazd AF_IUCV. Brak odpowiedniego blokowania pozwala na wyścig między operacjami recvmsg() i getsockopt(SO_MSGSIZE), co prowadzi do dereferencji wskaźnika NULL i awarii systemu.

W jądrze Linuxa w podsystemie SCSI wykryto podatność, w której funkcja scsi_run_host_queues() nie uruchamiała kolejek dla urządzeń w stanie SDEV_CANCEL, co mogło prowadzić do zawieszenia procesu usuwania urządzenia. Problem wynika z użycia makra shost_for_each_device(), które pomija urządzenia w trakcie usuwania, pozostawiając nieobsłużone żądania.

W jądrze Linux wykryto podatność w IPv4, gdzie struktura sysctl_local_reserved_ports jest zwalniana zbyt wcześnie przed wyrejestrowaniem tabeli sysctl. Może to prowadzić do użycia po zwolnieniu (use-after-free) podczas dostępu do /proc/sys/net/ipv4/ip_local_reserved_ports.

W jądrze Linux w podsystemie ALSA PCM OSS wykryto podatność use-after-free (UAF) podczas zapisu do pliku proc. Funkcja snd_pcm_oss_proc_write() dodaje nowy wpis konfiguracyjny do listy przed skopiowaniem nazwy zadania, a w przypadku błędu alokacji pamięci zwalnia już dodany wpis, pozostawiając wiszący wskaźnik na liście. Późniejsze otwarcie urządzenia OSS może wykorzystać ten uszkodzony wpis, prowadząc do dereferencji zwolnionej pamięci.

W jądrze Linux wykryto podatność polegającą na wycieku pamięci w funkcji ethtool RSS. Funkcja rss_prepare_get() alokuje bufory dla tablicy pośredniej i klucza haszującego, ale nie zwalnia ich w przypadku niepowodzenia wywołania ops->get_rxfh().

W jądrze Linux stwierdzono podatność polegającą na pomijaniu wywołania funkcji ethnl_ops_complete() w przypadku błędów podczas flashowania modułu przez narzędzie ethtool. Gdy funkcja validate() zakończy się niepowodzeniem, nie jest wywoływana funkcja kończąca operację, mimo że wcześniej uruchomiono ethnl_ops_begin().

W jądrze Linuxa wykryto podatność w funkcji module_flash_fw_schedule() w narzędziu ethtool, która nie cofa ustawienia flagi 'in_progress' i nie zwalnia referencji netdev w przypadku błędów flashowania modułu. Opóźnienie przejęcia tych zasobów zapobiega zniknięciu urządzenia podczas trzymania rtnl_lock.

W jądrze Linuxa wykryto podatność w module ethtool cmis, gdzie złośliwy moduł SFP może odpowiedzieć z długością danych (rpl_len) większą niż oczekiwana przez funkcję cmis_cdb_process_reply(), co prowadzi do zapisu poza dozwolonym obszarem pamięci (OOB write). Problem dotyczy teoretycznie złośliwego sprzętu, ale także błędnych lub uszkodzonych modułów.

W jądrze Linuxa w sterowniku ethtool dla modułów CMIS wykryto podatność polegającą na braku walidacji rozmiaru danych odbieranych z modułu. Złośliwy moduł może zwrócić zawyżoną wartość start_cmd_payload_size, co prowadzi do zapisu poza bufor (OOB) w funkcji cmis_fw_update_start_download().

W jądrze Linuxa w stosie Bluetooth 6lowpan funkcja send_mcast_pkt() nie sprawdza wartości zwracanej przez skb_clone(). Jeśli alokacja pamięci się nie powiedzie, skb_clone() zwraca NULL, co prowadzi do dereferencji wskaźnika NULL w send_pkt() podczas odwołania do skb->data.

W jądrze Linux wykryto podatność polegającą na możliwości dodania interfejsu CAN (np. vxcan) do agregacji łącza (bonding). Proces ten powoduje naruszenie struktury danych CAN, prowadząc do wywołania błędu pustego wskaźnika i awarii systemu. Problem wynika z braku sprawdzania typu urządzenia przed próbą jego agregacji.

W jądrze Linux wykryto błąd w mostku sieciowym (bridge), który powodował wywołanie funkcji mogącej spać (dev_set_promiscuity()) w kontekście atomowym. Problem pojawiał się podczas konfiguracji portów mostka przez Netlink, gdy blokada mostka była trzymana zbyt długo, obejmując operacje, które jej nie wymagają.

W jądrze Linux wykryto błąd w funkcji brport_store() w ścieżce sysfs mostka sieciowego, który powodował wywołanie funkcji mogącej spać (dev_set_promiscuity()) w kontekście atomowym. Problem wynikał z niepotrzebnego trzymania blokady mostka (bridge lock) podczas przetwarzania wielu atrybutów portu, które jej nie wymagają. Poprawka ogranicza zakres blokady tylko do atrybutów STP, które faktycznie jej potrzebują.

W jądrze Linux wykryto podatność w funkcji ethnl_update_profile() w ethtool, gdzie indeks 'i' używany do zapisu do tablicy new_profile nie jest ograniczany, co pozwala na zapis poza przydzieloną pamięcią (5 wpisów). Liczba wpisów w zagnieżdżonej liście Netlink jest całkowicie kontrolowana przez użytkownika, a polityki Netlink nie ograniczają liczby zagnieżdżonych wpisów.

W jądrze Linux wykryto podatność w funkcji ethtool tsinfo, gdzie w przypadku niepowodzenia przygotowania zrzutu (dump) przekazywany jest wskaźnik błędu (ERR_PTR) do funkcji genlmsg_cancel, co może prowadzić do awarii systemu.

W jądrze Linuxa w mechanizmie odczytu EEPROM przez Netlink brakowało walidacji, czy żądany zakres danych (offset + length) mieści się w całkowitym rozmiarze EEPROM. Dodatkowo bufor przekazywany do sterowników nie był zerowany, co mogło prowadzić do wycieku danych.

W jądrze Linuxa wykryto podatność w mechanizmie duplikacji pakietów w dyscyplinie kolejkowania netem. Gdy netem duplikuje pakiet, ponownie umieszcza kopię w korzeniu kolejki, co może prowadzić do nieskończonej pętli duplikacji, jeśli w drzewie kolejkowania znajduje się inny netem. Problem został rozwiązany przez użycie pola tc_depth w strukturze skb, które zapobiega wielokrotnej duplikacji tego samego pakietu.

W jądrze Linux wykryto podatność w mechanizmie mirred (net/sched), która powoduje utratę informacji o stanie pętli przy przekierowywaniu ruchu do ingress. W rezultacie pętla między interfejsami (np. ethx:ingress -> ethy:egress -> ethx:ingress) nie jest wykrywana, co może prowadzić do przeciążenia systemu.

W jądrze Linux wykryto podatność w mechanizmie blokcast akcji mirred (net/sched/act_mirred). Brak inkrementacji licznika rekurencji przed wywołaniem tcf_blockcast() pozwala na nieograniczoną pętlę rekurencyjną między urządzeniami sieciowymi, prowadzącą do przepełnienia stosu jądra.

W jądrze Linux wykryto podatność w mechanizmie uzgadniania (handshake) dla połączeń TLS. Funkcja handshake_req_cancel() może być wywołana z kontekstu przerwania programowego (softirq) przez sterownik NVMe over TCP, co prowadzi do zakleszczenia (deadlock) przy próbie przejęcia blokady hn_lock za pomocą zwykłego spin_lock(). Problem został rozwiązany poprzez zmianę wszystkich operacji na blokadzie hn_lock na wariant wyłączający przerwania programowe (spin_lock_bh/spin_unlock_bh).

W jądrze Linux usunięto mechanizm change_work w sterowniku dpll zl3073x, który powodował wyścig podczas zamykania urządzenia. Zastąpiono go bezpośrednim wywołaniem __dpll_device_change_ntf(), co eliminuje ryzyko dereferencji zwolnionego wskaźnika.

W jądrze Linux w stosie Bluetooth L2CAP wykryto podatność polegającą na nieczyszczeniu identyfikatora kanału (chan->ident) po udanej rekonfiguracji ECRED. Umożliwia to zdalnemu atakującemu odtworzenie odpowiedzi o błędzie ze starym identyfikatorem, co prowadzi do zniszczenia już ustanowionego kanału.

W jądrze Linuxa wykryto podatność w stosie Bluetooth L2CAP, która może prowadzić do awarii systemu podczas obsługi odpowiedzi na żądanie połączenia ECRED. Problem występuje, gdy docelowy identyfikator kanału (dcid) jest już przypisany, a próba usunięcia kanału może naruszyć strukturę listy używanej do iteracji.

W jądrze Linuxa w podsystemie Bluetooth wykryto podatność polegającą na braku ustawienia flagi HCI_CMD_DRAIN_WORKQUEUE podczas zamykania urządzenia. W rezultacie podczas resetowania mogą być kolejkowane niepotrzebne timeouty, co prowadzi do nieprawidłowego działania.

W sterowniku sieciowym MANA w jądrze Linuxa brakuje zabezpieczeń przed pustymi wskaźnikami podczas czyszczenia po błędzie alokacji kolejek. Gdy alokacja kolejek nie powiedzie się w połowie, zwolnione wskaźniki są później wyłuskiwane w funkcjach takich jak mana_chn_setxdp(), mana_destroy_vport(), mana_fence_rqs() i mana_dealloc_queues(), co prowadzi do paniki jądra.