Podatności Linux kernel

W jądrze Linuxa w module L2TP wykryto podatność polegającą na użyciu zwykłego refcount_inc() zamiast refcount_inc_not_zero() w funkcji l2tp_session_get_by_ifname(). Może to prowadzić do wyścigu (race condition), w którym zwracany jest wskaźnik do sesji o zerowym liczniku referencji, co skutkuje użyciem po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w sterowniku VTI6 (Virtual Tunnel Interface dla IPv6). Po przeniesieniu interfejsu VTI6 między przestrzeniami nazw sieciowych (netns) funkcje vti6_changelink() i vti6_update() używają nieaktualnej referencji do sieci (dev_net zamiast t->net), co prowadzi do pozostawienia nieaktualnego wpisu w tablicy mieszającej oryginalnej przestrzeni nazw. Skutkuje to błędem jądra (kernel BUG) podczas czyszczenia tej przestrzeni nazw, umożliwiając atakującemu w nieuprzywilejowanym kontenerze wywołanie awarii systemu.

W jądrze Linux wykryto podatność w sterowniku HID dla tabletów Wacom. Funkcja wacom_hid_set_device_mode() zakłada, że atrybut HID_DG_INPUTMODE znajduje się zawsze w pierwszym polu raportu, co może prowadzić do zapisu poza dozwolonym obszarem pamięci (OOB write) w przypadku, gdy atrybut ten jest umieszczony w innym polu.

W jądrze Linux wykryto podatność w stosie NFC HCI, polegającą na odczycie poza zakresem w funkcjach nfc_hci_recv_from_llc() i nci_hci_data_received_cb(). Złośliwe urządzenie NFC może wysłać ramkę HCP o zerowej długości, co prowadzi do odczytu poza przydzielonym buforem (out-of-bounds read) oraz potencjalnie do przepełnienia stosu (skb_over_panic) podczas składania fragmentów.

W jądrze Linuxa wykryto podatność w mechanizmie migracji XFRM (IPsec). Funkcje wysyłające powiadomienia o migracji (xfrm_send_migrate i pfkey_send_migrate) błędnie kierowały je do domyślnej przestrzeni nazw sieciowych (init_net), zamiast do przestrzeni nazw wywołującego. Powodowało to, że demony IKE w innych przestrzeniach nazw nie otrzymywały powiadomień o własnych migracjach, a demony w init_net otrzymywały powiadomienia z wszystkich przestrzeni.

W jądrze Linux wykryto podatność w module netfilter conntrack dla TCP. Nieprawidłowe sprawdzanie kierunku pakietu RST z niepoprawnym numerem sekwencyjnym pozwala na przedwczesne zamknięcie połączenia (stan CLOSE), nawet jeśli RST nie jest odpowiedzią na wcześniej wysłany SYN.

W jądrze Linuxa w module xfrm iptfs wykryto podatność polegającą na nieprawidłowym klonowaniu stanu runtime podczas kopiowania asocjacji bezpieczeństwa (SA). Funkcja iptfs_clone_state() kopiuje obiekty runtime, takie jak kolejki skb, timery i spinlocki, które nie powinny być współdzielone z oryginalnym SA, co może prowadzić do użycia po zwolnieniu (use-after-free) i podwójnego zwolnienia pamięci.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji dma_buf_fd() związanej z punktem kontrolnym (tracepoint). Po zwróceniu przez FD_ADD() deskryptor pliku staje się aktywny w tablicy deskryptorów, co umożliwia innemu wątkowi zamknięcie go przed wykonaniem DMA_BUF_TRACE(), prowadząc do użycia po zwolnieniu pamięci struktury dma_buf.

W jądrze Linux w systemie plików ksmbd wykryto regresję powodującą odczyt poza zakresem (OOB) w pętli przetwarzania ACE w funkcji smb_check_perm_dacl(). Błąd wynika z nieprawidłowego sprawdzenia granic, które uniemożliwia przerwanie pętli, co prowadzi do odczytu 2 bajtów poza przydzieloną pamięcią podczas operacji SMB2_CREATE.

W sterowniku dotykowym Atmel maXTouch (atmel_mxt_ts) w jądrze Linux wykryto błąd sprawdzania granic w funkcji mxt_prepare_cfg_mem. Gdy plik konfiguracyjny zawiera obiekt o rozmiarze większym niż oczekiwany, pętla przetwarzająca bajty nieprawidłowo pomija ostatni bajt, co prowadzi do nadpisywania sąsiednich danych w pamięci.

W sterowniku UIO jądra Linux wykryto podwójne zwolnienie pamięci zaalokowanej przez devm_kzalloc(). Funkcje probe() i remove() jawnie wywołują kfree() na strukturze, która jest automatycznie zwalniana przez mechanizm devres, co prowadzi do podwójnego zwolnienia.

W jądrze Linux wykryto podatność use-after-free w sterowniku USB MUSB dla platformy OMAP2430. Funkcja omap2430_probe() wywołuje of_node_put(np) przed ostatnim dostępem do węzła, co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linux wykryto błąd use-after-free w sterowniku USB/IP vudc. Podczas usuwania urządzenia (vudc_remove) może dojść do wyścigu, w którym timer jest nadal aktywny, a struktura vudc zostaje zwolniona, co prowadzi do dostępu do już zwolnionej pamięci.

W jądrze Linux wykryto podatność w sterowniku USB USBTMC, gdzie nie sprawdzano rzeczywistej długości danych (actual_length) w żądaniach URB dla powiadomień z przerwaniem. Brak tej kontroli może prowadzić do odczytu poza zakresem bufora lub użycia nieaktualnych danych.

W sterowniku belkin_sa dla USB-serial w jądrze Linux brakuje walidacji długości bufora danych przychodzących z przerwania. Krótkie pakiety mogą prowadzić do odczytu poza zakresem pamięci (slab-out-of-bounds) podczas parsowania statusu LSR/MSR.

W sterowniku USB-serial cypress_m8 w jądrze Linux wykryto podatność na odczyt poza zakresem bufora. Funkcja cypress_read_int_callback() nie sprawdzała, czy odebrany pakiet zawiera wymagany nagłówek przed jego odczytaniem, co przy krótkich transferach może prowadzić do odczytu poza przydzieloną pamięcią.

W jądrze Linux stwierdzono podatność w sterowniku USB digi_acceleport, która może prowadzić do uszkodzenia pamięci. Brak walidacji rozmiaru bufora wyjściowego umożliwia atakującemu urządzeniu USB zgłoszenie mniejszych buforów niż oczekiwano, co skutkuje dostępem poza zakresem lub korupcją pamięci.

W jądrze Linux w sterowniku USB serial keyspan brakuje walidacji rozmiaru transferów indat dla urządzenia usa49wg. Może to prowadzić do parsowania nieaktualnych lub niezainicjowanych danych z pamięci podręcznej (slab).

W jądrze Linux stwierdzono podatność w sterowniku USB-serial mxuport, która może prowadzić do uszkodzenia pamięci (slab corruption) w przypadku, gdy urządzenie zgłosi zbyt mały rozmiar pakietu dla endpointu bulk-out. Problem został rozwiązany przez dodanie walidacji minimalnego rozmiaru pakietu (co najmniej 8 bajtów).

W sterowniku mct_u232 dla jądra Linux wykryto podatność prowadzącą do uszkodzenia pamięci. Problem występuje, gdy urządzenie USB zgłasza mniejszy maksymalny rozmiar pakietu dla endpointu bulk-out niż oczekiwany (32 bajty), a sterownik nadpisuje maksymalny rozmiar transferu, co może skutkować uszkodzeniem pamięci (slab corruption).

W jądrze Linux stwierdzono podatność w sterowniku USB-serial mct_u232. Brakuje w nim sprawdzenia poprawności rozmiaru transferów przerwań przychodzących, co może prowadzić do parsowania nieaktualnych lub niezainicjowanych danych z pamięci podręcznej (slab) i ich wycieku do przestrzeni użytkownika.

W jądrze Linux wykryto podatność w sterowniku USB gadget (composite), gdzie funkcja obsługująca żądanie WebUSB GET_URL zawiera błąd niedomiaru liczby całkowitej. Gdy host dostarczy zbyt małą wartość wLength, dochodzi do zawinięcia arytmetyki, co prowadzi do kopiowania gigantycznej ilości danych (blisko 4 GB) poza dozwolony bufor.

W jądrze Linux w podsystemie USB gadget FunctionFS (f_fs) wykryto podatność polegającą na kopiowaniu do przestrzeni użytkownika całego bufora alokowanego dla żądania kontrolnego OUT, zamiast tylko faktycznie odebranych bajtów. W przypadku krótkiej transmisji (short packet) prowadzi to do wycieku niezainicjalizowanych danych z pamięci jądra (slab residue) do procesu demona FunctionFS.

W jądrze Linuxa w podsystemie USB gadget f_fs występuje podatność use-after-free. Funkcja ffs_epfile_dmabuf_io_complete() zwalnia żądanie USB, ale nie czyści wskaźnika priv->req, co prowadzi do wywołania usb_ep_dequeue() na już zwolnionej pamięci. Problem został naprawiony przez przeniesienie zwalniania do ffs_dmabuf_cleanup() z odpowiednim blokowaniem.

W jądrze Linuxa w sterowniku Thunderbolt wykryto podatność polegającą na zawijaniu się sumy 32-bitowej podczas walidacji wpisów właściwości. Złośliwy peer XDomain może wykorzystać to do odczytu pamięci poza przydzielonym blokiem, co prowadzi do wycieku danych.

W jądrze Linux w sterowniku Thunderbolt wykryto podatność polegającą na niedostatecznym sprawdzeniu długości wpisu (entry->length) w funkcji __tb_property_parse_dir(). Gdy długość jest mniejsza niż 4, dochodzi do odczytu poza zakresem pamięci (OOB) oraz niedomiaru rozmiaru (size_t underflow), co może prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W jądrze Linux w sterowniku Thunderbolt wykryto podatność polegającą na braku ograniczenia głębokości rekurencji w funkcji __tb_property_parse_dir(). Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądanie PROPERTIES_REQUEST, które poprzez łańcuch odwołań wstecznych do wpisów DIRECTORY doprowadzi do wyczerpania stosu jądra i awarii systemu.

W jądrze Linux wykryto podatność w sterowniku FCoE (fcoe_ctlr.c). Funkcja obsługująca ramki FIP CVL nie sprawdzała, czy długość deskryptora (fip_dlen) jest wystarczająca, co pozwalało nieuwierzytelnionemu atakującemu z sieci L2 na wysłanie ramki z deskryptorem o zerowej długości i typie FIP_DT_NON_CRITICAL. Powodowało to nieskończoną pętlę w wątku roboczym, blokującą wszystkie kolejne ramki FIP na kontrolerze.

W jądrze Linux wykryto podatność w podsystemie SCSI transportu Fibre Channel (FC). Atakujący z dostępem do sieci FC może wysłać spreparowaną ramkę FPIN ELS, która powoduje nieskończoną pętlę w sterowniku transportu FC, prowadząc do odmowy usługi (DoS). Problem wynika z użycia 8-bitowego licznika dla 32-bitowego pola pname_count, co przy wartości 256 powoduje zawinięcie licznika i brak zakończenia pętli.

W jądrze Linux wykryto błąd w sterowniku DRM GEM, który powoduje wyścig między operacjami zmiany uchwytu (change_handle) a usunięcia uchwytu (handle_delete). W oknie czasowym między zwolnieniem a ponownym przejęciem blokady tabeli IDR, współbieżne usunięcie starego uchwytu może zliczyć referencje do zera i zwolnić obiekt GEM, podczas gdy nowy uchwyt w IDR wciąż do niego wskazuje.

W jądrze Linux w sterowniku i915 wykryto podatność na użycie po zwolnieniu (UAF) podczas operacji czyszczenia obiektów TTM. Problem wynika z możliwości podmiany wskaźnika bo->ttm przez funkcję ttm_bo_validate(), co prowadzi do dereferencji nieprawidłowego obiektu i błędów ogólnej ochrony.

W sterowniku szeregowym qcom_geni jądra Linux wykryto błąd wyścigu, w którym wywołanie uart_flush_buffer() przed dostarczeniem przerwania DMA może doprowadzić do niedomiaru (underflow) bufora kfifo. Powoduje to, że kolejna transmisja DMA wysyła nieaktualne dane z bufora.

W jądrze Linuxa w sterowniku amdkfd występuje błąd dereferencji wskaźnika NULL w funkcji svm_range_set_attr. Proces_info może być NULL, jeśli użytkownik nie wywoła kfd_ioctl_acquire_vm przed kfd_ioctl_svm.

W jądrze Linux w sterowniku amdkfd wykryto podatność na przepełnienie liczby całkowitej w funkcji get_queue_ids(). Obliczenie rozmiaru tablicy jako num_queues * sizeof(uint32_t) może spowodować przepełnienie na 32-bitowych systemach, prowadząc do potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku amdgpu wykryto wyciek blokady (lock leak) w funkcji AMDGPU_GEM_OP_GET_MAPPING_INFO. Błąd występuje przy niepowodzeniu alokacji pamięci (ENOMEM), co prowadzi do pominięcia zwolnienia trzech zasobów, w tym blokady dma_resv dla głównej strony katalogu VM. Powoduje to trwałe zablokowanie operacji na tej samej maszynie wirtualnej GPU, prowadząc do lokalnej odmowy usługi (DoS).

W jądrze Linux naprawiono błąd w funkcji amdgpu_hmm_range_get_pages sterownika amdgpu. Sekwencja notyfikatora (notifier sequence) była odczytywana wielokrotnie, co mogło prowadzić do pracy z nieprawidłowymi stronami pamięci. Poprawiono również styl kodowania, usuwając preinicjalizowaną wartość zwracaną i stosując wspólną definicję zakresu 2G.

W sterowniku amdgpu jądra Linux wykryto podatność polegającą na braku walidacji rozmiaru tablicy przesyłanej przez użytkownika w operacji GEM_OP GET_MAPPING_INFO. Atakujący może podać bardzo dużą wartość num_entries, co prowadzi do nadmiernej alokacji pamięci, wywołania ostrzeżenia jądra i potencjalnego panic na systemach z włączoną opcją CONFIG_PANIC_ON_WARN=y.

W jądrze Linuxa wykryto podatność w sterowniku szeregowym DZ dla platform DECstation. Podczas inicjalizacji pierwszego portu szeregowego dochodziło do dereferencji wskaźnika NULL, co powodowało crash systemu (kernel panic). Problem został rozwiązany poprzez konwersję sterownika na korzystanie z urządzenia platformowego.

W jądrze Linuxa w sterowniku szeregowym Z85C30 (DECstation) występuje błąd powodujący crash podczas inicjalizacji pierwszego portu szeregowego. Problem wynika z dereferencji wskaźnika pochodzącego z nullowego wskaźnika do urządzenia nadrzędnego portu. Łatka przekształca sterownik na korzystanie z urządzenia platformowego, co zapobiega awarii.

W jądrze Linuxa dla architektury ARM64 wykryto podatność w mechanizmie unieważniania pamięci podręcznej translacji (TLB walk cache). Funkcja tlb_flush() nie uwzględniała flagi unshared_tables, co powodowało, że po usunięciu współdzielenia tablic PMD (huge_pmd_unshare) używano nieprawidłowej instrukcji (VALE1IS zamiast VAE1IS), nie czyściła ona wpisów niebędących liśćmi. W efekcie w pamięci podręcznej pozostawały nieaktualne wpisy tablic stron, co mogło prowadzić do błędnych translacji adresów.

W jądrze Linuxa wykryto błąd w sterowniku MCTP USB, który powoduje wyścig między zakończeniem transmisji USB (URB) a anulowaniem opóźnionego zadania ponownego odbioru (rx_retry_work). Może to prowadzić do ponownego wysłania URB po zatrzymaniu interfejsu sieciowego.

W jądrze Linuxa w sterowniku accel/amdxdna wykryto wyciek referencji do struktury mm_struct w funkcji aie2_populate_range(). Podczas skoku do etykiety 'again' brakuje wywołania mmput(mm), co prowadzi do wycieku pamięci jądra.

W jądrze Linux wykryto wyścig danych (data-race) w podsystemie Bluetooth ISO. Funkcje iso_connect_bis(), iso_connect_cis(), iso_listen_bis() i iso_conn_big_sync() odczytują pola struktury iso_pi (dst, src, src_type) bez odpowiedniego blokowania gniazda (lock_sock()), podczas gdy te same pola mogą być jednocześnie modyfikowane przez wywołania connect() lub setsockopt().

W jądrze Linuxa wykryto podatność w stosie 6LoWPAN dla sieci IEEE 802.15.4. Funkcja lowpan_xmit() akceptuje pakiety niebędące IPv6 (np. ETH_P_AOE), co prowadzi do użycia niezainicjalizowanych danych w strukturze lowpan_addr_info. Atakujący może wykorzystać to do potencjalnego wycieku informacji lub naruszenia stabilności systemu.

W jądrze Linux w podsystemie mac80211 wykryto podatność polegającą na użyciu wartości indeksu anteny z nagłówka radiotap bezpośrednio jako przesunięcia w operacji bitowej. Może to prowadzić do niezdefiniowanego zachowania zgłaszanego przez UBSAN.

W jądrze Linux wykryto podatność w parserze atrybutów GARP (Generic Attribute Registration Protocol). Błąd polega na odwróceniu operandów w obliczeniach długości danych, co prowadzi do niedomiaru (underflow) w arytmetyce bez znaku. W rezultacie odebrane zdarzenia Join/Leave są ignorowane, co uniemożliwia poprawne działanie protokołów takich jak GVRP.

W jądrze Linuxa w podsystemie MPTCP wykryto podatność polegającą na błędzie typu TOCTOU (time-of-check time-of-use) podczas obliczania okna odbioru (rcv_wnd). Funkcja ścieżki wyjściowej MPTCP odczytuje sekwencję potwierdzenia (ack_seq) bez blokady, co może prowadzić do niespójności między wartością data_ack w opcji DSS a obliczonym oknem odbioru w tym samym pakiecie.

W jądrze Linux w sterowniku mt76 dla układów mt7996 wykryto podatność polegającą na braku wyczyszczenia wskaźnika WCID podczas usuwania łącza stacji w funkcji mt7996_mac_sta_deinit_link(). Może to prowadzić do użycia wyczyszczonego wskaźnika (use-after-free).

W jądrze Linux usunięto dwa haki LSM (task_to_inode i inet_conn_established) z listy haków możliwych do użycia przez programy BPF uśpione (sleepable). Hak bpf_lsm_task_to_inode() jest wywoływany w sekcji rcu_read_lock(), a bpf_lsm_inet_conn_established() w kontekście softirq, co uniemożliwia ich bezpieczne użycie przez programy uśpione.

W jądrze Linux stwierdzono podatność w mechanizmie BPF związaną z funkcją visit_tailcall_insn. Mimo że funkcja ta może zwracać błąd, jej wartość zwracana nie jest sprawdzana, co może prowadzić do nieprzewidzianego zachowania.