Podatności Linux kernel

W jądrze Linux usunięto rejestrację wewnętrznego systemu plików bdev, aby uniemożliwić użytkownikom jego montowanie. Podatność powodowała dereferencję wskaźnika NULL podczas próby dostępu do plików przez wywołanie systemowe move_mount(), ponieważ struktury inode_operations były puste.

W jądrze Linux wykryto błąd w funkcji __cgroup_bpf_run_filter_sysctl(), gdzie bufor tymczasowy alokowany przez kvzalloc() był zwalniany przez kfree() zamiast kvfree(). Może to prowadzić do uszkodzenia pamięci przy dużych alokacjach.

W jądrze Linux w podsystemie KVM dla architektury x86 wykryto podatność polegającą na braku weryfikacji, czy bazowy adres GFN strony cienia (shadow page) znajduje się w obrębie docelowego slotu pamięci przed zapytaniem o maksymalny poziom mapowania. Może to prowadzić do odczytu poza zakresem w strukturze lpage_info, co objawia się błędem strony (page fault) i potencjalnie może być wykorzystane do destabilizacji systemu.

W jądrze Linuxa w komponencie KVM wykryto podatność polegającą na możliwości wywołania przez gościa (maszynę wirtualną) paniki jądra (BUG_ON) podczas obsługi zapisu do ioeventfd z włączonym dopasowaniem danych. Problem występuje, gdy zapis gościa przecina granicę strony, a druga strona zawiera ioeventfd z dopasowaniem danych – nieprawidłowe wyrównanie wskaźnika prowadzi do wyzwolenia BUG_ON.

W jądrze Linux wykryto błąd w sterowniku kryptograficznym NX (nx_crypto_ctx_exit), który powodował użycie nieprawidłowego typu argumentu. Funkcja nx_crypto_ctx_shash_exit przekazywała wskaźnik do kontekstu (nx_crypto_ctx *) zamiast wskaźnika do struktury crypto_tfm *, co prowadziło do naruszenia ochrony pamięci i awarii systemu (oops).

W jądrze Linux w systemie plików GFS2 wykryto podatność use-after-free w funkcji gfs2_qd_dealloc. Podczas odmontowywania systemu plików, wywołanie zwrotne RCU może odwoływać się do już zwolnionego obiektu superbloku, co prowadzi do potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność use-after-free w sterowniku hdlc_ppp. Timery protokołów PPP (LCP/IPCP/IPV6CP) nie były synchronizowane przed zwolnieniem pamięci struktury stanu HDLC, co pozwalało na wykonanie kodu w już zwolnionej pamięci.

W jądrze Linux wykryto podatność use-after-free w funkcji __blkcg_rstat_flush() w mechanizmie blk-cgroup. Problem występuje, gdy wiele blkg w tej samej blkcg jest zwalnianych jednocześnie, co prowadzi do wyścigu i dostępu do już zwolnionej pamięci.

W jądrze Linuxa w module TIPC wykryto podatność use-after-free w funkcji tipc_aead_decrypt_done. Brak zabezpieczenia referencji do sieci (netns) przed asynchronicznym odszyfrowaniem może prowadzić do odczytu zwolnionej pamięci po zniszczeniu przestrzeni nazw sieci.

W jądrze Linux wykryto podatność w mechanizmie CID (Concurrency ID) w schedulerze. Błąd powoduje zapis poza zakresem (OOB) podczas operacji clear_bit, gdy CID ma wartość MM_CID_UNSET, co może prowadzić do uszkodzenia pamięci jądra.

W sterowniku irqchip/imgpdc jądra Linux wykryto wyciek zasobów oraz brak czyszczenia łańcuchowych procedur obsługi przerwań podczas usuwania sterownika. Podczas inicjalizacji alokowane są ogólne chipy domeny i ustawiane łańcuchowe procedury, ale przy usuwaniu nie są one zwalniane ani usuwane. Może to prowadzić do użycia po zwolnieniu pamięci i awarii jądra.

Podatność w sterowniku rpmsg_char w jądrze Linuxa powoduje użycie po zwolnieniu (use-after-free) podczas obsługi błędów w funkcji rpmsg_chrdev_probe(). Nieprawidłowa kolejność inicjalizacji może prowadzić do wywołania zwrotnego z nieaktualnym wskaźnikiem.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji fizycznego rozmiaru bitmapy w deskryptorach grup bloków. Złośliwy deskryptor może zgłosić rozmiar bitmapy przekraczający dostępne miejsce w bloku, co prowadzi do odczytu poza zakresem pamięci (use-after-free) podczas skanowania bitmapy.

W jądrze Linux wykryto podatność w funkcji sev_dbg_crypt() w KVM dla AMD SVM, gdzie podczas szyfrowania (ścieżka ENCRYPT) długość transferu nie jest ograniczana przez offset strony docelowej (d_off). Gdy d_off > s_off, bufor pośredni (dst_tpage) o rozmiarze 4096 bajtów może zostać zapisany poza zakresem, co prowadzi do przepełnienia strony i potencjalnego naruszenia pamięci.

W jądrze Linux wykryto podatność w systemie plików NTFS, polegającą na braku synchronizacji dostępu do etykiety woluminu. Brak mechanizmu blokowania umożliwia wyścig (race condition) między operacjami ustawiania i odczytywania etykiety, co może prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w podsystemie fbdev, gdzie funkcja fb_new_modelist() nie zapewnia, że bieżący tryb wyświetlania (info->var) pozostaje na liście modeli po zmianie listy przez użytkownika. Prowadzi to do wyłuskania wskaźnika NULL (null-ptr-deref) w fb_videomode_to_var() podczas późniejszego przejęcia konsoli.

W jądrze Linux w sterowniku fbdev/fbcon funkcja fbcon_do_set_font() przy błędzie (np. alokacji pamięci) nie przywraca stanu hi_font_mask i bufora ekranu. Powoduje to desynchronizację terminala i odczyt poza zakresem tablicy czcionek, co może ujawnić pamięć jądra.

W jądrze Linux wykryto podatność use-after-free w sterowniku fbdev omap2. Funkcja omapfb_mmap() ma warunek wyścigu z operacją OMAPFB_SETUP_PLANE, co pozwala na jednoczesne mapowanie pamięci i jej zwolnienie, prowadząc do użycia po zwolnieniu.

W jądrze Linux w podsystemie I2C występuje wyścig podczas rejestracji adaptera. Adapter może być wyszukiwany przez i2c_get_adapter() przed pełną inicjalizacją struktury device, co prowadzi do dostępu do niezainicjalizowanych danych i potencjalnego wyłuskania wskaźnika NULL lub use-after-free.

W jądrze Linuxa wykryto wyciek pamięci w serwerze NFS (nfsd) podczas obsługi błędów dekodowania protokołu SETACL. Funkcje dekodujące dwukrotnie wywołują nfs_stream_decode_acl() dla ACL dostępu i domyślnego, ale w przypadku niepowodzenia drugiego wywołania pierwszy przydzielony posix_acl nie jest zwalniany. Problem został naprawiony przez dodanie dedykowanych funkcji zwalniających (nfsaclsvc_release_setacl i nfs3svc_release_setacl), które poprawnie czyści oba pola ACL.

W jądrze Linux w funkcji nfsd4_create_file() serwera NFSD wykryto dwie podatności: wyciek alokacji posix_acl oraz ignorowanie błędów konwersji ACL NFSv4 na POSIX. Błędy te mogą prowadzić do utraty pamięci oraz naruszenia specyfikacji RFC 7530/8881.

W jądrze Linux w systemie plików NFSD wykryto podatność polegającą na martwym kodzie w funkcji nfsd4_create(). Strażnik konfliktu ACL sprawdzał wyzerowane wskaźniki zamiast faktycznie skradzionych wartości, co prowadziło do wycieku pamięci obiektów posix_acl przy jednoczesnym żądaniu ACL i atrybutów POSIX ACL w operacji CREATE.

W jądrze Linuxa w module NFSD wykryto wyciek pamięci związany z prealokowanymi strukturami openowner. Problem występuje w funkcji find_or_alloc_open_stateowner() podczas rywalizacji (race condition) przy niepotwierdzonych właścicielach otwarcia w NFSv4.0.

W jądrze Linuxa w systemie plików NFS (nfsd) brakuje rotacji weryfikatora zapisu (write verifier) po wykryciu opóźnionego błędu zapisu zwrotnego (deferred writeback error). Powoduje to, że klient NFS otrzymuje niezmieniony weryfikator i błędnie uznaje dane za trwale zapisane, co prowadzi do ich utraty.

W jądrze Linux w sterowniku NFSv4/flexfiles stwierdzono podatność polegającą na braku walidacji zerowej liczby wersji uchwytów plików. Atakujący może dostarczyć złośliwy układ flexfiles, co prowadzi do dereferencji wskaźnika NULL i paniki jądra.

W jądrze Linux wykryto podatność w funkcji nfs4_decode_mp_ds_addr() w NFSv4/pNFS. Funkcja nie sprawdza poprawnie zerowej długości pola r_addr w odpowiedzi GETDEVICEINFO, co prowadzi do dereferencji wskaźnika NULL i paniki jądra. Atakujący może wykorzystać to poprzez złośliwy lub skompromitowany serwer metadanych.

W jądrze Linux w systemie plików ksmbd wykryto podatność na odczyt poza zakresem w funkcji smb_check_perm_dacl(). Brak walidacji rozmiaru ACE przed odczytem sub-autorytetów SID umożliwia uwierzytelnionemu klientowi na współdzielonym zasobie z atrybutami ACL spowodowanie odczytu sterty poza przydzielonym buforem.

W jądrze Linux wykryto podatność use-after-free w implementacji TCP-AO. Podczas usuwania klucza w ścieżce del_async, wskaźniki current_key i rnext_key nie są czyszczone, co prowadzi do odwołania do zwolnionej pamięci po zakończeniu okresu RCU.

W jądrze Linux w podsystemie FUSE wykryto podatność polegającą na braku ponownego zablokowania żądania po pomyślnym wykonaniu funkcji fuse_try_move_folio(). Może to prowadzić do użycia po zwolnieniu (use-after-free) podczas dostępu do struktury fuse_io_args.

W sterowniku VEML6075 dla czujnika światła w jądrze Linuxa brakowało sprawdzenia zakresu indeksu tablicy `veml6075_it_ms`. Indeks pochodzący z rejestru konfiguracyjnego może przyjmować wartości 0-7, podczas gdy tablica ma tylko 5 elementów, co prowadzi do odczytu poza jej granicami. Dodano walidację, która zwraca błąd -EINVAL dla nieprawidłowych wartości.

W jądrze Linuxa w sterowniku ti-ads1298 dla przetwornika ADC brakowało walidacji indeksu tablicy pga_settings. Maska ADS1298_MASK_CH_PGA może zwracać wartości 0-7, podczas gdy tablica ma tylko 7 elementów (indeksy 0-6). Wartość 7 prowadzi do odczytu poza zakresem pamięci. Dodano sprawdzenie granic i zwracanie błędu -EINVAL dla nieprawidłowego indeksu.

W jądrze Linux wykryto błąd null-ptr-deref w funkcji vcs_notifier() spowodowany wyścigiem w vcs_write(). Podczas tymczasowego zwolnienia blokady konsoli wskaźnik vc_data może stać się nieaktualny, a po ponownym przejęciu blokady i stwierdzeniu NULL, wywołanie vcs_scr_updated() prowadzi do dereferencji pustego wskaźnika.

W jądrze Linuxa w module ksmbd wykryto podatność polegającą na pomijaniu walidacji stanu sesji w żądaniach złożonych (COMPOUND). Nieprawidłowa sesja w stanie IN_PROGRESS może być wykorzystana do zdalnego wywołania dereferencji wskaźnika NULL, prowadząc do awarii jądra (Oops) i zablokowania pracy serwera SMB.

W jądrze Linux wykryto podatność w sterowniku vidtv, gdzie funkcja vidtv_mux_push_si nie sprawdza wartości NULL zwracanej przez vidtv_mux_get_pid_ctx(), co prowadzi do dereferencji wskaźnika NULL i błędu ochrony ogólnej. Problem wynika z braku walidacji alokacji kontekstu PID dla strumieni PMT w vidtv_mux_pid_ctx_init().

W jądrze Linux wykryto podatność w virtiofs polegającą na użyciu pamięci po jej zwolnieniu (UAF) podczas odmontowywania podmontowań. Problem występuje, gdy funkcja iput() wywoływana z fuse_release_end() próbuje uzyskać dostęp do już zniszczonego superbloku.

W jądrze Linuxa w sterowniku rzv2h-ivc wykryto podatność polegającą na braku synchronizacji dostępu do listy buforów. Funkcja `rzv2h_ivc_transfer_buffer()` usuwała element z listy (`list_del()`) bez trzymania spinlocka, co umożliwiało równoczesną modyfikację listy i prowadziło do potencjalnego wyścigu (race condition).

W jądrze Linuxa w sterowniku OV8856 dla kamer stwierdzono podatność polegającą na braku zwolnienia uchwytu sterowania (control handler) w przypadku błędu podczas inicjalizacji sterowania w funkcji ov8856_init_controls().

W jądrze Linux wykryto podatność w sterowniku DRM związaną z nieprawidłowym zarządzaniem referencjami do właściwości blob w cyklu życia stanu colorop. Błąd powodował wycieki pamięci podczas duplikacji, niszczenia i resetowania stanu, ponieważ nie zwalniano referencji do blobów przed zwolnieniem pamięci.

W jądrze Linuxa w sterowniku DRM dla MSM (Qualcomm Adreno) naprawiono błąd, w którym mechanizm odzyskiwania GPU nie uruchamiał się, gdy nie było oczekujących zadań. Powodowało to, że GPU pozostawało w stanie zawieszenia, co prowadziło do kolejnych timeoutów.

W jądrze Linux w sterowniku drm/amdkfd brakowało górnego ograniczenia dla wartości num_of_nodes w funkcji kfd_ioctl_get_process_apertures_new. Może to prowadzić do odczytu poza zakresem pamięci.

W jądrze Linux w sterowniku DRM dla układów AMD (amdgpu) w komponencie VCE wykryto podatność polegającą na niepełnym łataniu adresów. Gdy tylko jedna z części (młodsza lub starsza) adresu jest poprawna, łatanie może prowadzić do zapisania błędnego adresu w firmware.

W jądrze Linux w sterowniku amdgpu wykryto podatność polegającą na braku zerowania tablicy GART podczas alokacji. Po zapisie pojedynczego wpisu PTE, TLB może spekulatywnie załadować niezainicjalizowane, potencjalnie prawidłowo wyglądające dane z tej samej linii cache, co może prowadzić do użycia nieaktualnych wpisów PTE przez GPU.

W jądrze Linux wykryto podatność w mechanizmie mmap_prepare, gdzie próba odmapowania VMA (Virtual Memory Area) podczas obsługi błędu w funkcji mmap() może prowadzić do ostrzeżeń i nieprawidłowego stanu. Problem występuje, gdy mmap_prepare jest wywoływane z hooka mmap() sterowników typu 'stacked' (np. overlayfs, shm), ponieważ VMA nie jest w pełni ustanowiony w drzewie klonowym.

W jądrze Linux stwierdzono podatność w sterowniku iommu/vt-d, która pozwala na utratę śledzenia brudnych stron (dirty tracking) podczas przypisywania PASID do zagnieżdżonej domeny. Brak odpowiedniego wsparcia dla śledzenia brudnych stron w takiej konfiguracji może prowadzić do utraty informacji o zmodyfikowanych stronach pamięci.

W jądrze Linuxa w sterowniku RDMA/ionic odkryto podatność polegającą na odczycie poza zakresem bufora node_desc. Funkcja hca_type_show() używa nieograniczonego formatu "%s" do wyświetlania node_desc, który może nie być zakończony znakiem NUL, co prowadzi do wycieku danych z sąsiednich pól struktury ib_device.

W jądrze Linuxa w podsystemie perf/x86/intel znaleziono podatność związaną z niekompletną walidacją i konfiguracją masek ACR (Adaptive Cache Replacement). Problem obejmuje brak sprawdzania, czy maska ACR nie zawiera indeksów należących do innych grup zdarzeń, przedwczesne przerywanie iteracji po nieprawidłowej masce oraz nieczyszczenie starej maski sprzętowej przed ustawieniem nowej.

W jądrze Linux wykryto podatność w systemie plików UDF, gdzie funkcja udf_read_tagged() pomija weryfikację CRC, gdy długość CRC przekracza rozmiar bloku. Złośliwy obraz UDF może ustawić zawyżoną długość CRC, całkowicie omijając walidację, a deskryptor jest akceptowany na podstawie słabego 8-bitowego tagu sumy kontrolnej.

W jądrze Linux w systemie plików F2FS wykryto niespójność podczas sprawdzania fsck spowodowaną nieprawidłowym użyciem flag w wpisach NAT. Problem wynika z braku wzajemnego wykluczania przy odczycie flag przez funkcję f2fs_need_dentry_mark() względem ścieżki punktu kontrolnego, co prowadzi do błędnego oznaczenia bloku i-węzła.

W jądrze Linux w module SELinux wykryto błąd w mechanizmie audytu pamięci podręcznej avdcache. Błędnie zapisywano i ponownie wykorzystywano wektor audytu zamiast przeliczać go na podstawie aktualnie żądanych uprawnień, co powodowało pomijanie audytu niektórych kontroli dostępu, np. sprawdzeń zapisu do katalogu po wcześniejszym sprawdzeniu wyszukiwania.

W jądrze Linux w funkcji __ip_append_data() dla IPv4 występuje błąd w obliczeniach alloclen i pagedlen na ścieżce alokacji stronicowanej, co prowadzi do niedoszacowania rozmiaru obszaru liniowego i przeszacowania pagedlen. Może to powodować błędy w obsłudze pakietów.