Podatności Linux kernel

W jądrze Linux w sterowniku vsock/virtio występuje błąd w obsłudze zerocopy dla dużych wiadomości dzielonych na wiele skb. Obiekt uarg jest alokowany tylko dla ostatniego skb, co powoduje brak powiadomienia użytkownika o możliwości ponownego użycia stron dla wcześniejszych skb, a w przypadku wczesnego przerwania pętli dochodzi do wycieku stron.

W jądrze Linux w funkcji hci_le_big_terminate() występuje wyciek pamięci. Funkcja alokuje strukturę iso_list_data, ale nie zwalnia jej w ścieżce wczesnego powrotu, gdy nie są ustawione flagi pa_sync_term ani big_sync_term.

Podatność w oprogramowaniu jądra działającego w maszynie wirtualnej hosta pozwala na wysyłanie nieprawidłowych komend do oprogramowania układowego GPU, co może prowadzić do zapisu pamięci poza dozwolonym zakresem dla jądra hosta. Ponadto występuje błąd TOCTOU, w którym złośliwy sterownik może modyfikować wartości w pamięci po walidacji przez oprogramowanie układowe, ale przed ich użyciem.

Podatność powoduje uszkodzenie pamięci podczas przetwarzania wielu wywołań IOCTL z tym samym deskryptorem pliku bufora wejściowego.

Podatność powoduje uszkodzenie pamięci podczas przetwarzania wielu wywołań IOCTL z tym samym deskryptorem pliku bufora, co prowadzi do dostępu do już zwolnionej pamięci.

Podatność powoduje uszkodzenie pamięci podczas wywoływania operacji sterowania wejściem/wyjściem urządzenia do mapowania i odmapowywania trwałych buforów pamięci z powodu nieprawidłowej synchronizacji.

W jądrze Linux w podsystemie af_unix wykryto problem synchronizacji w funkcji unix_gc(). Flaga gc_in_progress mogła być ustawiona na false podczas wykonywania garbage collectora, co umożliwiało uruchomienie kolejnego przebiegu GC, zanim poprzedni się zakończył. Funkcja unix_peek_fpl() polega na tej fladze, aby uniknąć błędów przy MSG_PEEK.

W jądrze Linuxa w komponencie KVM/SEV dla procesorów AMD EPYC z obsługą SEV-SNP odkryto krytyczną podatność. Brak wymogu umieszczenia obszaru scratch w buforze GHCB v2+ oraz szereg błędów walidacji pozwala złośliwemu gościowi SNP na odczyt i zapis poza przydzielonym buforem (OOB) w pamięci jądra hosta.

W jądrze Linux wykryto podatność use-after-free w mechanizmie shadow paging KVM dla architektury x86. Błąd wynika z nieprawidłowego dopasowania roli (role) strony pamięci podczas zmiany mapowania PDE z zewnątrz gościa, co prowadzi do ponownego użycia struktury kvm_mmu_page z nieodpowiednią rolą. W efekcie wpis rmap nie jest usuwany przy usuwaniu memslota, a późniejsze operacje na zwolnionej stronie powodują naruszenie pamięci.

W jądrze Linuxa występuje podatność w stosie Bluetooth L2CAP. Funkcja cleanup_listen() zamyka kanały bezpośrednio, co może prowadzić do odwrócenia kolejności blokad (lock inversion). Poprawka polega na użyciu timera kanału do asynchronicznego zamykania kanałów, co zapewnia prawidłową kolejność blokad i zapobiega potencjalnym zakleszczeniom.

W jądrze Linuxa wykryto podatność use-after-free (UAF) w stosie Bluetooth. Problem występuje w funkcji l2cap_sock_cleanup_listen() podczas zamykania gniazda nasłuchującego, gdy jednocześnie następuje rozłączenie HCI, co prowadzi do wywołania l2cap_conn_del() i zwolnienia struktury gniazda potomnego, która jest później używana przez cleanup_listen().

W jądrze Linux w sterowniku drm/i915/gem wykryto błąd w funkcjach pread/pwrite dla buforów obiektów fizycznych (phys BO). Funkcja sg_page() zwraca wskaźnik do struktury page, a nie void*, co powoduje błędne skalowanie przesunięcia (offset) przy odczycie/zapisie. W rezultacie przy niezerowym przesunięciu dostępne są nieprawidłowe fragmenty bufora.

W jądrze Linux dla architektury ARM64 dodano mechanizm łagodzenia skutków errata dotyczących instrukcji TLBI na niektórych procesorach Arm. Błąd powoduje, że sekwencja TLBI;DSB może zakończyć się przed globalnym zaobserwowaniem zapisów tłumaczonych przez unieważnioną pozycję TLB. Mimo że unieważnienie TLB jest poprawne, dostęp do pamięci po unieważnieniu może być niekompletny.

W jądrze Linux usunięto ostrzeżenie WARN_ONCE() w funkcji hsr_addr_is_self(), które było wywoływane podczas usuwania interfejsu HSR. Problem wynikał z faktu, że wskaźnik hsr->self_node jest zerowany przed całkowitym wyrejestrowaniem urządzenia sieciowego, co prowadziło do fałszywego alarmu.

W jądrze Linux wykryto błąd w funkcji zap_other_threads(), która podczas wywołania execve() nie czyści flag JOBCTL_PENDING_MASK dla wątku wywołującego. Prowadzi to do fałszywego sygnału stopu po zakończeniu execve(), wywołującego ostrzeżenie jądra i potencjalnie destabilizującego system.

W jądrze Linux naprawiono ostrzeżenie podczas zrzutu rdzenia dla architektury RISC-V. Błąd dotyczył użycia niewłaściwego typu notatki rejestru dla REGSET_CFI.

W jądrze Linux w sterowniku wm_adsp występuje błąd dereferencji wskaźnika NULL podczas usuwania kontrolek firmware'u. Funkcja wm_adsp_control_remove() próbuje wyczyścić dane prywatne bez sprawdzenia, czy wskaźnik priv nie jest NULL.

W jądrze Linux wykryto podatność w module netfilter nf_conntrack, gdzie funkcja nf_ct_helper_expectfn_unregister() nie usuwa oczekujących oczekiwań (expectations) z tablicy, co prowadzi do pozostawienia wiszącego wskaźnika do zwolnionego kodu modułu. Po wyładowaniu modułu pomocnika NAT (np. nf_nat_h323) i nadejściu oczekiwanego połączenia, wywołanie tego wskaźnika powoduje crash jądra.

W jądrze Linux wykryto błąd w sterowniku ASoC SDCA prowadzący do dereferencji pustego wskaźnika (NULL pointer dereference) podczas wyrejestrowywania funkcji SDCA. Problem występuje, gdy rejestracja funkcji nie powiedzie się częściowo lub gdy czyszczenie urządzenia ściga się z odroczeniem próbkowania (probe deferral), pozostawiając wpisy func_dev jako NULL. Skutkuje to awarią jądra (kernel oops) z komunikatem BUG.

W jądrze Linux w sterowniku virtio-gpu występuje problem podczas usuwania sterownika, gdy KMS jest wyłączone. Inicjalizacja DRM atomic i modesetting nie jest przeprowadzana, co prowadzi do dostępu do niezainicjowanych danych i awarii jądra.

W jądrze Linux dla architektury ARM64 w kodzie Rust wykryto błąd związany z flagą uwtable modułu LLVM. Z powodu błędu w rustc, flaga -Cforce-unwind-tables=y nie emituje adnotacji uwtable dla modułu, co powoduje, że funkcje generowane przez kompilator (np. asan.module_ctor) nie mają prawidłowej adnotacji. Gdy włączone jest CONFIG_UNWIND_PATCH_PAC_INTO_SCS, prowadzi to do błędów podczas bootowania z powodu nieprawidłowego patcha instrukcji paciasp/autiasp.

W jądrze Linux usunięto fałszywie pozytywne ostrzeżenie WARN występujące podczas oznaczania strony jako brudnej, gdy maszyna wirtualna jest w trakcie wyłączania. Problem dotyczył maszyn gości SEV-ES, gdzie KVM utrzymywało zapisywalne mapowanie strony gościa po wyjściu do przestrzeni użytkownika, a następnie próbowało je usunąć przy niszczeniu vCPU, wyzwalając ostrzeżenie o braku aktywnego vCPU.

W jądrze Linux naprawiono błąd w sterowniku pinctrl mcp23s08. Inicjalizacja struktur mcp->dev i mcp->addr była wykonywana zbyt późno, co powodowało dereferencję wskaźnika NULL podczas inicjalizacji regmap.

W jądrze Linux dla architektury ARM występuje problem w funkcji __switch_to() związany z KASAN VMAP stack shadow. Użyto instrukcji ldr do odczytu cienia stosu, który jest granularny bajtowo i może nie być wyrównany do słowa, co powoduje błąd wyrównania na ARMv5.

W jądrze Linux na architekturze ARM64 brakowało wywołania pagetable_dtor() podczas zwalniania stron tabel stron usuwanych na gorąco (hot-removed). Powodowało to błędny stan strony, wycieki alokacji blokady tabeli stron (PTL) oraz nieprawidłowe statystyki NR_PAGETABLE. Łata dodaje brakujące wywołanie w funkcji free_hotplug_pgtable_page().

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji may_decode_fh() w mechanizmie fhandle. Problem wynika z odczytu pola mount::mnt_ns bez odpowiedniego blokowania, co umożliwia wyścig podczas odmontowywania i zwalniania przestrzeni nazw montowania. Poprawka polega na dodaniu rcu_read_lock() wokół dostępu do mnt_ns.

W sterowniku i2c-imx w jądrze Linux występuje niespójność między stanem zegara a stanem pinctrl w zarządzaniu energią w czasie rzeczywistym (runtime PM). Podczas wstrzymywania (suspend) zegar jest wyłączany przed zmianą stanu pinctrl, a błąd w pinctrl pozostawia zegar wyłączony, powodując awarię przy kolejnym dostępie do sprzętu.

W sterowniku i2c-qcom-cci w jądrze Linux występuje błąd dereferencji wskaźnika NULL w funkcji cci_remove(). Gdy tylko jeden z dwóch masterów I2C jest zainicjalizowany, wywołanie cci_halt() dla niezainicjalizowanego mastera prowadzi do awarii jądra podczas odłączania urządzenia lub usuwania sterownika.

W jądrze Linux w sterowniku sieciowym airoha brakuje sprawdzenia NULL dla wyniku funkcji of_reserved_mem_lookup(). Może to prowadzić do dereferencji wskaźnika NULL i awarii systemu, gdy wpis w drzewie urządzeń (DTS) jest nieprawidłowy.

W jądrze Linux w sterowniku bonding występuje błąd dereferencji wskaźnika NULL w funkcji bond_do_ioctl(). Wywołanie slave_dbg() przed sprawdzeniem NULL dla slave_dev może prowadzić do awarii systemu przy próbie dodania nieistniejącego interfejsu.

W jądrze Linux w sterowniku NVMEM onie-tlv występuje nieskończona pętla podczas napotkania nieznanego typu wpisu (np. 0x41). Powoduje to zawieszenie systemu.

W jądrze Linux w module mm/damon/lru_sort występuje podatność polegająca na braku obsługi błędu alokacji kontekstu (ctx). Funkcja damon_lru_sort_enabled_store() zakłada, że alokacja zawsze się powiedzie, co prowadzi do dereferencji pustego wskaźnika przy niepowodzeniu alokacji.

W jądrze Linux w module DAMON_RECLAIM występuje błąd polegający na dereferencji wskaźnika NULL. Funkcja damon_reclaim_enabled_store() zakłada, że alokacja kontekstu damon_ctx zawsze się powiedzie, co może prowadzić do próby użycia niezainicjalizowanego wskaźnika.

W jądrze Linux w funkcji mincore_swap() występuje błąd kolejności sprawdzania wpisów. Dla konfiguracji bez CONFIG_SWAP, ale z CONFIG_MIGRATION lub CONFIG_MEMORY_FAILURE, wpisy migracji/uszkodzeń są błędnie traktowane jako swap, co prowadzi do fałszywych ostrzeżeń i błędnych wyników.

W sterowniku slimbus qcom-ngd-ctrl w jądrze Linuxa występuje podatność polegająca na rejestracji callbacków przed utworzeniem NGD (Next Generation Device). Gdy remoteproc uruchamia się równolegle z procesem inicjalizacji sterownika, callbacki operują na niezainicjalizowanych danych, co prowadzi do awarii systemu.

W sterowniku slimbus dla układów Qualcomm (qcom-ngd-ctrl) wykryto potencjalny zakleszczenie (deadlock) spowodowane odwrotną kolejnością blokowania dwóch muteksów: tx_lock i ctrl->lock. Podczas procedury SSR/PDR down, blokada tx_lock jest przechwytywana przed ctrl->lock, podczas gdy w innych ścieżkach kodu kolejność jest odwrotna, co prowadzi do sytuacji ABBA i możliwego zawieszenia systemu.

W jądrze Linux w sterowniku drm/amd/display wykryto odczyt poza zakresem w funkcji dp_get_eq_aux_rd_interval(). Tablica aux_rd_interval w strukturze dc_lttpr_caps ma rozmiar MAX_REPEATER_CNT - 1 (7 elementów), ale parametr offset może wynosić do MAX_REPEATER_CNT (8), gdy sink zgłasza 8 repeaterów LTTPR. Prowadzi to do odczytu poza tablicą.

W jądrze Linux w sterowniku AMD Display (drm/amd/display) funkcja dal_vector_reserve() używa arytmetyki uint32_t do obliczenia rozmiaru alokacji, co może spowodować zawinięcie i przydzielenie mniejszego bufora niż oczekiwano, prowadząc do przepełnienia sterty.

W jądrze Linux wykryto ostrzeżenie WARN w funkcji scx_cgroup_move_task() podczas migracji zadań przez scheduler sched_ext. Problem występuje, gdy systemd modyfikuje subtree_control, a pole cgrp_moving_from jest NULL, co jest poprawnym scenariuszem migracji opartej na CSS, a nie błędem. Poprawka usuwa ostrzeżenie, pozostawiając pary ops.cgroup_prep_move() i ops.cgroup_move() nienaruszone.

W jądrze Linux w module debugobjects występuje problem na systemach z włączonym RT (Real-Time). Funkcja fill_pool() wywołuje rtlock_lock(), która sprawdza, czy current->pi_blocked_on jest ustawione, co może prowadzić do asercji i awarii.

W jądrze Linux naprawiono problem w debugobjects, gdzie wywołanie fill_pool() w kontekście przerwania sprzętowego podczas wczesnego rozruchu mogło prowadzić do zakleszczenia.

W sterowniku AMD64 AGP jądra Linux wykryto podatność polegającą na błędnym sprawdzaniu wartości zwracanej przez funkcję cache_nbs(). W przypadku braku fizycznego mostka AMD northbridge (np. w środowisku wirtualnym) funkcja zwraca -ENODEV, ale kod sprawdza tylko wartość -1, co maskuje błąd i prowadzi do dereferencji wskaźnika NULL w amd64_fetch_size().

W sterownikach audio jądra Linux wykryto podatność polegającą na użyciu pamięci po jej zwolnieniu (use-after-free). Gdy urządzenie audio jest zamykane, bufor audio może zostać zwolniony, mimo że mapowanie pamięci pozostaje ważne, co pozwala na dostęp do już zwolnionej pamięci.

W jądrze systemu operacyjnego, w obsłudze opcji IPV6_MSFILTER, występuje podatność use-after-free. Funkcja jądra zwalnia blokadę szeregującą podczas kopiowania listy filtrów źródłowych z przestrzeni użytkownika, a następnie ponownie ją przejmuje. W tym oknie czasowym inny wątek może zwolnić strukturę filtra multiemisji, pozostawiając funkcję ze starym wskaźnikiem do zwolnionej pamięci.

W funkcji dsp_mmap_single() stwierdzono podatność na przepełnienie liczby całkowitej podczas walidacji żądania mapowania pamięci. Duży offset i długość mogą spowodować zawinięcie sumy, co pozwala na ominięcie kontroli i mapowanie poza bufor audio do niezwiązanej pamięci jądra.

W jądrze Linux w sterowniku sieciowym MANA (Microsoft Azure Network Adapter) naprawiono błąd powodujący wyścig (race condition) przy tworzeniu katalogów debugfs. Poprzednia implementacja używała stałej nazwy "0" dla funkcji fizycznych (PF) oraz pci_slot_name() dla funkcji wirtualnych (VF), co prowadziło do dereferencji wskaźnika NULL dla VF w środowiskach takich jak VFIO passthrough lub zagnieżdżone KVM, a także do konfliktów nazw (błąd -EEXIST) przy wielu PF lub VF z różnych domen PCI.

W jądrze Linux wykryto martwe blokowanie (deadlock) w podsystemie DSA podczas korzystania z narzędzia ethtool. Problem wynika z nadmiarowego wywoływania blokad netdev_lock_ops() w funkcjach opakowujących ethtool dla interfejsu nadrzędnego (conduit), co prowadzi do zakleszczenia. Błąd został zaobserwowany na przykład podczas uruchamiania qemu z fbnic i CONFIG_NET_DSA_LOOP=y.

W jądrze Linuxa stwierdzono podatność w sterowniku vfio/pci, polegającą na nieprawidłowej kolejności operacji podczas zamykania urządzenia. Przed wyłączeniem funkcji PCI nie są czyszczone bufory DMABUF, co stwarza okno czasowe, w którym po wyczyszczeniu bitu MSE (Memory Space Enable) dostęp do BAR-ów jest nadal możliwy przez DMABUF.

W jądrze Linuxa w podsystemie io_uring/napi brakowało ograniczenia maksymalnego czasu sondowania (poll) w przypadku braku zdarzeń, co mogło prowadzić do komunikatów jądra o zablokowanym zadaniu z powodu braku warunkowego przeplanowania w pętli. Dodano ograniczenie do 10 ms, co zapobiega tym problemom.

W jądrze Linux w systemie plików nilfs2 wykryto podatność polegającą na braku odrzucenia zerowej wartości bd_oblocknr w funkcji nilfs_ioctl_mark_blocks_dirty(). Atakujący może wysłać spreparowane żądanie ioctl z polem bd_oblocknr ustawionym na 0, co prowadzi do pominięcia kontroli martwych bloków i wywołania nilfs_bmap_mark() na nieistniejącym bloku, powodując ostrzeżenie WARN_ON(ret == -ENOENT).