Podatności Linux kernel

W jądrze Linux w sterowniku sieciowym MANA wykryto podatność polegającą na braku sprawdzenia, czy port jest już odłączony przed ponownym wywołaniem funkcji mana_detach(). Prowadzi to do dereferencji pustego wskaźnika podczas próby ponownego odłączenia już odłączonego portu.

W jądrze Linux wykryto błąd wyścigu w funkcji sctp_wait_for_connect() protokołu SCTP. Podczas oczekiwania na ustanowienie połączenia, inny wątek może przenieść asocjację do nowego gniazda, co prowadzi do użycia niewłaściwego zamka. Poprawka dodaje sprawdzenie, czy gniazdo nie zostało zmienione, zwracając błąd w przypadku migracji.

Podatność w jądrze Linux w sterowniku vsock/virtio dotycząca błędnego wiązania uarg przed wypełnieniem zerocopy skb. Może prowadzić do nieprawidłowego zarządzania pamięcią i potencjalnego wycieku danych.

W jądrze Linux wykryto podatność w funkcji rt6_fill_node() dla IPv6, która może prowadzić do nieskończonej pętli. Problem wynika z braku synchronizacji między operacjami list_del_rcu() wykonywanymi z blokadą tb6_lock a jednoczesnym odczytem listy przez program obsługi softirq, co powoduje zakleszczenie procesora.

W jądrze Linux wykryto podatność w funkcji fib6_select_path() dla IPv6, która może prowadzić do nieskończonej pętli. Problem wynika z braku synchronizacji między operacjami list_del_rcu() na liście fib6_siblings a równoczesnym odczytem przez softirq, co powoduje, że iterator nie osiąga warunku zakończenia.

W sterowniku ST_LSM6DSX dla układów IMU w jądrze Linuxa wykryto wyciek danych ze stosu w ścieżce obsługi bufora FIFO z tagami. Struktura danych na stosie nie jest inicjalizowana, co powoduje kopiowanie niezainicjalizowanych bajtów do przestrzeni użytkownika.

W sterowniku ADIS16550 dla jądra Linux wykryto wyciek danych ze stosu w funkcji obsługi przerwania. Tablica danych skanowania deklarowana na stosie nie jest inicjalizowana, a kopiowanie danych wypełnia tylko pierwsze 28 bajtów, pozostawiając bajty 28-31 niezainicjalizowane, co powoduje wyciek danych do przestrzeni użytkownika przy każdym wyzwoleniu.

W sterowniku BMP280 w jądrze Linux wykryto wyciek stosu w funkcji obsługi przerwań czujnika BMP580. Deklaracja bufora skanowania na stosie bez inicjalizacji powoduje, że dwa nieinicjalizowane bajty są przesyłane do przestrzeni użytkownika na każdy skan.

W sterowniku USB Type-C UCSI CCG jądra Linux wykryto podatność polegającą na braku walidacji nagłówka pliku firmware. Jeśli obraz firmware nie zawiera znaku ':', funkcja strnchr() zwraca NULL, co prowadzi do dereferencji wskaźnika NULL i awarii systemu (oops).

W jądrze Linux stwierdzono podatność w sterowniku USB Type-C TCPM, gdzie brak walidacji liczby VDO (Vendor Defined Object) w procedurach obsługi odpowiedzi Discover Identity może prowadzić do odczytu poza zakresem tablicy. Atakujący podłączony przez USB-C może celowo przekazać nieprawidłową liczbę VDO, co potencjalnie umożliwia wyciek danych z pamięci jądra.

W jądrze Linux w sterowniku USB Type-C TCPM wykryto podatność polegającą na braku sprawdzania granic tablicy altmode_desc[] w pętli funkcji svdm_consume_modes(). Niezaufane urządzenie może wysłać nieoczekiwane odpowiedzi ACK, powodując zapis poza przydzieloną pamięcią.

W jądrze Linux wykryto podatność w sterowniku trybu alternatywnego DisplayPort dla USB Type-C. Uszkodzone lub złośliwe urządzenie może wysłać nieprawidłową liczbę w VDO aktualizacji statusu, co prowadzi do odczytu niezainicjalizowanych danych ze stosu i ich wysłania dalej.

W sterowniku USB Type-C w jądrze Linux wykryto podatność polegającą na zapisie poza strukturą pd_message w funkcji wcove_read_rx_buffer(). Złośliwe urządzenie może wysłać ramkę PD o długości do 31 bajtów, co powoduje zapis poza przydzieloną pamięcią na stosie wątku IRQ.

W jądrze Linuxa w sterowniku USB Type-C TCPM/TCPCI Maxim brakowało walidacji liczby obiektów danych w nagłówku ramki względem rzeczywistej liczby odebranych bajtów. Uszkodzony lub złośliwy port mógł wysłać ramkę z nagłówkiem deklarującym do siedmiu obiektów danych, ale z mniejszą liczbą bajtów, co prowadziło do odczytu niezainicjalizowanej pamięci stosu.

W jądrze Linuxa w sterowniku UCSI (USB Type-C) wykryto podatność polegającą na braku walidacji numeru złącza w funkcji ucsi_connector_change(). Numer złącza pochodzący z PPM (7-bitowe pole) jest używany do indeksowania tablicy bez sprawdzenia, czy nie przekracza liczby złączy zgłoszonych podczas inicjalizacji. Może to pozwolić błędnemu lub złośliwemu PPM na wywołanie schedule_work() na pamięci poza tablicą.

W jądrze Linux wykryto podatność w sterowniku USB safe_serial, która pozwala na uszkodzenie pamięci (slab corruption) poprzez kontrolowane przez użytkownika dane. Problem występuje, gdy złośliwe urządzenie zgłasza zbyt mały rozmiar bufora bulk-out (mniejszy niż 8 bajtów).

W jądrze Linux stwierdzono podatność w sterowniku USB cypress_m8, która może prowadzić do uszkodzenia pamięci lub dereferencji wskaźnika NULL. Problem występuje, gdy złośliwe urządzenie zgłasza zbyt mały rozmiar pakietu dla punktu końcowego przerwania-wyjścia.

W jądrze Linux wykryto błąd w funkcji __get_vm_area_node(), która wywołuje BUG(), gdy wykryty zostanie kontekst z wyłączonymi przerwaniami (BH). Powoduje to awarię systemu podczas normalnych operacji mostkowania sieciowego, np. przy dodawaniu wpisów FDB przez most.

W jądrze Linuxa w systemie plików HPFS wykryto podatność powodującą awarię (crash) w przypadku niepowodzenia funkcji hpfs_map_dnode_bitmap. Błąd polega na wywołaniu hpfs_brelse4 na niezainicjalizowanym buforze quad, co prowadzi do naruszenia pamięci.

W jądrze Linux wykryto wyciek pamięci w funkcji migrate_vma_insert_huge_pmd_page. Gdy sprawdzenie PMD nie powiedzie się, alokowana wcześniej tablica stron (pgtable) nie jest zwalniana, co prowadzi do wycieku pamięci. Dodano etykietę free_abort, aby zwolnić pgtable w ścieżce błędu.

W jądrze Linux wykryto lukę w mechanizmie memfd, gdzie dodanie flagi SEAL_EXEC implikuje SEAL_WRITE, ale sprawdzenie zapisywalnych mapowań następuje przed ustawieniem tej implikacji. Pozwala to na uzyskanie SEAL_WRITE przy istniejących zapisywalnych mapowaniach, co narusza kontrakt SEAL_WRITE.

W jądrze Linux wykryto podatność w mechanizmie zram, prowadzącą do użycia po zwolnieniu (use-after-free) w funkcji zram_writeback_endio. Problem wynika z wyścigu między obsługą zakończenia operacji wejścia/wyjścia a zadaniem zapisu zwrotnego, co może skutkować awarią systemu.

W jądrze Linux wykryto podatność w funkcji try_to_unmap_one w mm/rmap, gdzie zmienna nr_pages nie jest inicjalizowana na początku każdej iteracji pętli. Może to prowadzić do ponownego użycia wartości z poprzedniego wywołania folio_unmap_pte_batch(), co skutkuje uszkodzeniem liczników referencji/mapowania folio. Problem występuje przy łączeniu folio z flagą MAP_DROPPABLE, wywołaniu madvise(MADV_FREE) i użyciu HMM_DMIRROR_EXCLUSIVE, co może doprowadzić do awarii jądra.

W jądrze Linux wykryto podatność w sterowniku auxdisplay line-display, polegającą na odczycie poza zakresem (OOB) przy zapisie zerowej liczby bajtów do atrybutu sysfs 'message'. Funkcja linedisp_display() odczytuje msg[count - 1] przed sprawdzeniem, czy count jest równe zero, co prowadzi do odczytu spod adresu msg[-1] i może spowodować panikę jądra na systemach z KASAN lub ciche odczytywanie sąsiednich danych.

W jądrze Linux wykryto wyciek referencji w stosie Bluetooth L2CAP. Funkcja l2cap_chan_timeout() nie zwalnia referencji pobranej przez __set_chan_timer() w przypadku, gdy połączenie (chan->conn) jest puste, co prowadzi do wycieku pamięci.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto brak walidacji długości danych w funkcji hidp_input_report(). Sparowane urządzenie może wysłać obcięty pakiet, co prowadzi do odczytu poza zakresem bufora skb. Problem może skutkować interpretacją nieprawidłowych danych jako fałszywych naciśnięć klawiszy lub ruchów myszy.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji iso_recv_frame stosu Bluetooth ISO. Funkcja odczytuje wskaźnik do gniazda (sk) pod blokadą, ale używa go po jej zwolnieniu, co umożliwia współbieżne wywołanie iso_sock_kill() i zwolnienie pamięci.

W jądrze Linuxa w podsystemie Bluetooth ISO wykryto podatność polegającą na wyścigu danych w funkcji iso_sock_clear_timer(). Funkcja ta odczytuje wskaźnik do połączenia bez blokady gniazda, co może prowadzić do dereferencji wskaźnika NULL lub użycia po zwolnieniu pamięci (UAF) przy jednoczesnym zamykaniu gniazda.

W jądrze Linuxa w podsystemie Bluetooth wykryto podatność use-after-free (UAF) w funkcji hci_le_create_cis_sync. Problem polega na tym, że wskaźnik conn jest używany po zwolnieniu blokad RCU i hci_dev_lock, co umożliwia współbieżne rozłączenie i zwolnienie pamięci przed jej odczytem. Mechanizm anulowania w hci_conn_del() nie zapobiega temu, ponieważ dane przekazywane do kolejki i dequeue nie są zgodne.

W sterowniku xpad w jądrze Linux wykryto podatność umożliwiającą dostęp poza zakresem bufora podczas obsługi przycisku Share. Kontroler może wysłać spreparowany pakiet GIP_CMD_INPUT o długości mniejszej niż 18 bajtów, co prowadzi do odczytu poza przydzieloną pamięcią.

W jądrze Linuxa wykryto błąd w podsystemie parport, który powoduje wyścig między rejestracją portu a klienta. Porty są rejestrowane przed pełną inicjalizacją, co umożliwia klientom (np. lp) podłączenie się do nie w pełni gotowych portów, prowadząc do awarii systemu.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, dotyczącą nieprawidłowego ograniczania rejestru ZCR_EL2 przez gościnny hipervisor. Problem polega na tym, że wartość ZCR_EL2 aktualizowana przez gościa za pomocą ZCR_EL1 nie jest odpowiednio przycinana, co pozwala gościowi L2 na dostęp do niedozwolonych długości wektorów (VL).

W jądrze Linuxa w komponencie KVM dla SEV (Secure Encrypted Virtualization) wykryto podatność polegającą na braku użycia makra READ_ONCE() podczas odczytu wpisów/indeksów z bufora PSC (Page State Change) dostępnego dla gościa. Brak tej ochrony umożliwia atak typu TOCTOU (Time-of-Check Time-of-Use) przez złośliwą maszynę wirtualną.

W sterowniku MT6359 dla układu ADC w jądrze Linuxa wykryto brak sprawdzenia wartości zwracanej przez funkcję regmap_read() w procedurze mt6358_read_imp(). W przypadku niepowodzenia odczytu zmienna val_v pozostaje niezainicjalizowana, a jej losowa zawartość ze stosu jest raportowana jako wynik pomiaru.

W sterowniku NXP SAR ADC w jądrze Linuxa brakuje walidacji wartości częstotliwości próbkowania przed użyciem jej jako dzielnika. Zapisanie zera lub wartości ujemnej do atrybutu sysfs sampling_frequency powoduje dzielenie przez zero. Dodatkowo, gdy obliczona liczba cykli jest mniejsza niż NXP_SAR_ADC_CONV_TIME, dochodzi do niedomiaru liczby całkowitej bez znaku, co zawyża wartość inpsamp.

W sterowniku Linuxa dla żyroskopu ITG3200 wykryto błąd w funkcji itg3200_read_all_channels(), która przez nieprawidłowe użycie operatora & przekazuje do i2c_transfer() adres lokalnego wskaźnika zamiast bufora wywołującego. Powoduje to, że dane z czujnika są zapisywane na stosie funkcji i tracone, a do przestrzeni użytkownika trafiają niezainicjalizowane dane ze stosu.

W sterowniku ADIS16260 dla żyroskopów w jądrze Linux brakuje walidacji wartości częstotliwości próbkowania przed użyciem jej jako dzielnika. Zapisanie zera do atrybutu sysfs sampling_frequency powoduje dzielenie przez zero w jądrze.

W sterowniku Linux kernel dla czujnika MH-Z19B (iio: chemical: mhz19b) wykryto podatność na przepełnienie bufora. Funkcja mhz19b_receive_buf() kopiuje dane z interfejsu szeregowego do stałego bufora bez sprawdzania, czy rozmiar odpowiedzi nie przekracza dostępnego miejsca, co może prowadzić do przepełnienia bufora.

W jądrze Linux w sterowniku SCD30 dla czujników chemicznych IIO wykryto podatność na dzielenie przez zero. Użytkownik może wywołać błąd krytyczny, zapisując zerową część ułamkową do atrybutu sampling_frequency w sysfs.

W sterowniku jądra Linux wykryto podatność use-after-free w ścieżce błędu funkcji iio_hw_consumer_alloc(). Podczas czyszczenia listy buforów używano list_for_each_entry(), która po zwolnieniu bufora przez iio_buffer_put() próbuje odczytać już zwolnioną pamięć.

W jądrze Linux wykryto wyciek pamięci w podsystemie IIO (Industrial I/O) podczas kolejkowania buforów DMA. Funkcja iio_buffer_enqueue_dmabuf() nie zwalniała referencji do obiektu struct iio_dma_fence, co prowadziło do trwałego wycieku alokacji pamięci (104 bajty na każde kolejkowanie).

W jądrze Linux wykryto podatność w sterowniku USB serial omninet, która może prowadzić do uszkodzenia pamięci. Problem występuje, gdy złośliwe urządzenie zgłasza mniejszy niż oczekiwano maksymalny rozmiar pakietu dla punktu końcowego, co może skutkować kontrolowanym uszkodzeniem pamięci (slab corruption).

W jądrze Linux w sterowniku USB dwc2 wykryto podatność polegającą na użyciu pamięci po jej zwolnieniu (use-after-free) w kodzie debugowania. Problem występuje, ponieważ po wywołaniu usb_hcd_giveback_urb() nie można już bezpiecznie odwoływać się do struktury urb.

W jądrze Linux w mechanizmie BPF sockmap wykryto błąd w funkcji bpf_msg_push_data(). Podczas wstawiania danych do wpisu scatterlist offset prawego fragmentu był błędnie przesuwany o globalną pozycję wstawiania zamiast o lokalne przesunięcie względem początku wpisu, co prowadziło do niespójności podziału.

W jądrze Linux w module macsec wykryto podatność na obejście ochrony przed replayem w przypadku zawinięcia się niższego numeru pakietu (PN) w trybie XPN. Gdy PN osiąga wartość 0xFFFFFFFF, inkrementacja powoduje przepełnienie do 0, co uniemożliwia prawidłowe zaktualizowanie licznika next_pn_halves, pozwalając atakującemu na nieskończone odtwarzanie przechwyconej ramki.

W jądrze Linuxa w sterowniku octeontx2-af stwierdzono podatność na zapis poza zakresem pamięci. Funkcja rvu_mbox_handler_rep_event_notify nie sprawdza poprawności pola pcifunc w żądaniu, co pozwala atakującemu na zapis poza alokowaną tablicą struktur PF/VF.

W jądrze Linuxa w sterowniku VTI (Virtual Tunnel Interface) dla IPv6 wykryto podatność umożliwiającą nieuprawnionemu użytkownikowi w przestrzeni nazw sieciowych przejęcie tunelu VTI z innej przestrzeni nazw. Problem wynika z użycia dev_net(dev) zamiast t->net przy wyszukiwaniu tunelu w funkcji vti6_siocdevprivate(), co po migracji tunelu do nowej przestrzeni nazw pozwala na podmianę wpisu w tablicy mieszającej i przekierowanie ruchu.

W jądrze Linux wykryto podatność w IPv6, gdzie długość nagłówka rozszerzenia nie była ponownie weryfikowana przed skopiowaniem do komunikatu sterującego (cmsg). Atakujący z nieuprzywilejowanego przestrzeni nazw użytkownika może przez nftables zmodyfikować pole hdrlen po parsowaniu, powodując odczyt poza zakresem bufora (slab-out-of-bounds).

W jądrze Linux wykryto podatność w module xfrm dotyczącą przetwarzania pakietów w trybie transportowym. Podczas opóźnionego ponownego wstrzykiwania pakietów wskaźnik do struktury sieciowej (netns) przechowywany w skb->cb może stać się nieprawidłowy, jeśli przestrzeń nazw sieciowych zostanie usunięta przed wykonaniem funkcji zwrotnej.

W jądrze Linuxa w module L2TP wykryto podatność polegającą na użyciu zwykłego refcount_inc() zamiast refcount_inc_not_zero() w funkcji l2tp_session_get_by_ifname(). Może to prowadzić do wyścigu (race condition), w którym zwracany jest wskaźnik do sesji o zerowym liczniku referencji, co skutkuje użyciem po zwolnieniu (use-after-free).