Podatności Linux kernel

W jądrze Linux wykryto podatność w stosie Bluetooth, gdzie funkcja hci_adv_bcast_annoucement() może doprowadzić do przepełnienia bufora tymczasowego podczas przygotowywania danych rozgłoszeniowych Broadcast Announcement. Problem występuje, gdy istniejące instancje reklamowe mają już maksymalny dozwolony rozmiar ładunku, a dodanie danych usługi powoduje przekroczenie pojemności bufora.

W jądrze Linuxa w podsystemie Bluetooth L2CAP wykryto podatność, która pozwala nieuwierzytelnionemu urządzeniu BR/EDR w zasięgu radiowym na wysłanie pakietu sygnalizacyjnego większego niż dozwolony MTU (MTUsig). Taki pakiet może zawierać wiele poleceń ECHO_REQ, zmuszając urządzenie docelowe do wysłania wielu odpowiedzi ECHO_RSP, co może prowadzić do przeciążenia.

W jądrze Linux wykryto podatność na zakleszczenie (AA deadlock) w mechanizmie obsługi błędów pamięci. Dwa równoczesne wywołania madvise(MADV_HWPOISON) na tej samej stronie hugetlb mogą doprowadzić do samozakleszczenia spinlocka hugetlb_lock podczas wyścigu z równoczesnym odmapowaniem strony.

W jądrze Linux w sterowniku accel/ivpu dodano walidację pamięci uruchomieniowej firmware'u. Brak sprawdzania granic mógł prowadzić do błędów alokacji pamięci i transferu obrazu firmware'u.

W jądrze Linuxa w sterowniku accel/ivpu dodano walidację indeksów odczytu i zapisu bufora logów firmware'u. Brak sprawdzania zakresów mógł prowadzić do odczytu/zapisu poza dozwolonym obszarem pamięci, gdy firmware dostarczał nieprawidłowe indeksy.

W jądrze Linuxa w sterowniku stratix10-rsu wykryto podatność prowadzącą do wyłuskania wskaźnika NULL. Błąd występuje, gdy funkcja rsu_send_msg() zwróci -ETIMEDOUT z powodu przekroczenia czasu oczekiwania, a następnie kod kontynuuje przetwarzanie na kanale, którego struktura scl została już wyczyszczona. Skutkuje to dereferencją wskaźnika NULL w wątku svc kthread.

W jądrze Linux w sterowniku accel/ivpu dodano sprawdzenie przepełnienia bufora w funkcji get_info_ioctl. Brak walidacji rozmiaru danych zwracanych przez firmware mógł prowadzić do kopiowania danych poza przydzielony bufor.

W jądrze Linux w sterowniku accel/ivpu wykryto podatność polegającą na błędzie konwersji typu danych w funkcji odbierającej IPC. Duże wartości unsigned (>= 0x80000000) dostarczone przez firmware są rzutowane na signed int, co prowadzi do ujemnej wartości i w konsekwencji do przepełnienia bufora stosu podczas operacji memcpy.

W jądrze Linux wycofano optymalizację pomijającą przełączanie kolejki exec podczas zawieszania, która omijała zawieszanie GuC. Powodowało to brak przełączenia kontekstu i flushowania TLB dla unieważnionych VMA userptr, prowadząc do błędów strony w testach unieważniania userptr w trybie LR/preempt-fence.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, dotyczącą obsługi bitu XN[0] w przypadku braku wsparcia FEAT_XNX. Błąd polega na nieprawidłowym użyciu makra FIELD_PREP() do maski czyszczącej XN[0], co powoduje niekontrolowane nadawanie uprawnień do wykonywania kodu.

W jądrze Linux w sterowniku hv_netvsc wykryto podatność polegającą na użyciu phys_to_virt() do mapowania stron pamięci, co na 32-bitowym x86 z CONFIG_HIGHMEM=y prowadzi do błędów dostępu do pamięci i awarii systemu. Problem został naprawiony poprzez zastąpienie phys_to_virt() funkcją kmap_local_page(), która poprawnie obsługuje strony spoza bezpośredniego mapowania jądra.

W jądrze Linux w systemie plików ksmbd wykryto podatność use-after-free związaną z opóźnioną blokadą pliku (file_lock) podczas podwójnego żądania SMB2_CANCEL. Drugie anulowanie dla tego samego AsyncId wywołuje funkcję anulującą na już zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linux wykryto zakleszczenie ABBA w funkcji iptfs_destroy_state() w implementacji IPTFS (IPsec). Problem występuje, gdy funkcja wywołuje hrtimer_cancel() trzymając spinlock, który jest również wymagany przez callback timera, co prowadzi do zakleszczenia na systemach SMP.

W sterowniku USB serial io_ti jądra Linux wykryto podatność na przepełnienie sterty w funkcji get_manuf_info(). Funkcja odczytuje z urządzenia USB dane o rozmiarze określonym przez pole Size, które nie jest odpowiednio walidowane przed alokacją bufora docelowego. Złośliwe urządzenie USB może ustawić rozmiar na wartość do 16377 bajtów, powodując przepełnienie sterty o maksymalnie 16367 bajtów.

W jądrze Linux wykryto podatność w sterowniku USB serial io_ti, gdzie funkcja build_i2c_fw_hdr() alokuje bufor o stałym rozmiarze, ale kopiuje do niego dane o długości sterowanej przez użytkownika (do 65535 bajtów) bez walidacji, co prowadzi do przepełnienia sterty.

W sterowniku USB-serial kl5kusb105 jądra Linux wykryto podatność na przepełnienie bufora wyjściowego. Funkcja klsi_105_prepare_write_buffer() kopiuje dane z fifo do bufora o rozmiarze 64 bajtów, ale nie uwzględnia dwubajtowego nagłówka, co prowadzi do zapisu poza przydzieloną pamięcią.

W jądrze Linuxa w podsystemie ALSA timer wykryto podatność na użycie po zwolnieniu (use-after-free). Podczas zwalniania obiektu timera (snd_timer_free) nie są prawidłowo odłączane instancje timerów podrzędnych (slave), które nadal wskazują na zwolniony obiekt, co może prowadzić do naruszenia bezpieczeństwa pamięci. Problem jest łatwy do wywołania przy użyciu nowego mechanizmu timerów przestrzeni użytkownika (CONFIG_SND_UTIMER).

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji snd_timer_user_params() sterownika ALSA. Problem występuje, gdy podczas zamykania timera użytkownika (CONFIG_SND_UTIMER) inny wątek wykonuje jednocześnie operację ioctl SNDRV_TIMER_IOCTL_PARAMS, która nie była chroniona mutexem register_mutex. Łatka dodaje brakującą synchronizację, zapobiegając wyścigowi.

W jądrze Linux w podsystemie io_uring/net wykryto podatność związaną z nieprawidłowym dziedziczeniem flagi IORING_CQE_F_BUF_MORE podczas ponownych prób odbioru w trybie bundle. Brak tej flagi w masce CQE_F_MASK powodował jej utratę, co prowadziło do błędnego zarządzania buforami przez przestrzeń użytkownika.

W jądrze Linux w sterowniku virtio-gpu wykryto wyciek referencji licznika dma_fence. Funkcja virtio_gpu_dma_fence_wait() nie zwalnia referencji do łańcucha (chain) przy wczesnym powrocie z pętli w przypadku błędu, co prowadzi do wycieku pamięci.

W jądrze Linux wykryto podatność w funkcji __split_huge_pmd_locked(), gdzie aktualizacja licznika RSS dla plików/shmem następowała po zwolnieniu referencji do folio. Jeśli folio_put() usuwało ostatnią referencję, późniejsze odczytanie stanu folio przez mm_counter_file() mogło prowadzić do użycia zwolnionej pamięci.

W jądrze Linuxa w komponencie RDMA/core wykryto podatność polegającą na braku walidacji struktury operacji pliku (fops) w funkcji ib_get_ucaps(). Atakujący może wykorzystać urządzenie blokowe o tym samym numerze urządzenia (dev_t) do podszycia się pod legalne urządzenie ucap cdev.

W jądrze Linuxa w podsystemie RDMA/core brakuje walidacji atrybutu cpu_id pochodzącego z przestrzeni użytkownika przed przekazaniem go do funkcji cpumask_test_cpu(). Może to prowadzić do odczytu poza zakresem mapy bitowej CPU, a w przypadku włączonego CONFIG_DEBUG_PER_CPU_MAPS i panic_on_warn, do restartu maszyny.

W jądrze Linux wykryto podatność use-after-free w funkcji zram_bvec_write_partial() sterownika zram. Podczas zapisu do fragmentu strony, odczyt z urządzenia kopii zapasowej jest wykonywany asynchronicznie, a bufor strony jest zwalniany przed zakończeniem operacji odczytu, co prowadzi do zapisu do już zwolnionej pamięci.

W jądrze Linux stwierdzono podatność w ścieżce odbioru UDP, gdzie pole skb->dev jest ponownie wykorzystywane jako dev_scratch (cache stanu). Gdy gniazdo UDP znajduje się w sockmap, program weryfikujący SK_SKB może wywołać pomocnika wyszukiwania gniazd (bpf_sk_lookup), który odczytuje skb->dev jako wskaźnik do struktury net_device, co prowadzi do dereferencji niekanonicznego adresu i błędu ogólnej ochrony (GPF) w kontekście softirq.

W jądrze Linuxa w implementacji MPTCP wykryto podatność polegającą na sztucznym zawyżaniu okna odbioru (rcv wnd) na poziomie TCP. Gdy dane są potwierdzane na poziomie TCP, ale są poza kolejnością w przestrzeni sekwencji MPTCP, okno odbioru nie może się zmniejszyć, co prowadzi do przekroczenia rozmiaru bufora odbiorczego. Łatka umożliwia subflow TCP zmniejszanie okna odbioru niezależnie od ustawień sieciowych.

W jądrze Linux stwierdzono podatność w funkcji nl80211_parse_rnr_elems(), gdzie licznik elementów przechowywany jest w 8-bitowym polu struktury cfg80211_rnr_elems. Brak odpowiedniego sprawdzenia przed inkrementacją licznika może prowadzić do przepełnienia bufora podczas przetwarzania list EMA RNR.

W jądrze Linuxa w sterowniku vsock/vmci wykryto wyciek licznika sk_ack_backlog podczas nieudanego uzgadniania połączenia. Błąd powoduje, że licznik ten rośnie bez możliwości zmniejszenia, co po osiągnięciu limitu blokuje wszystkie nowe połączenia.

W jądrze Linux wykryto błąd w mechanizmie migracji timerów, który powoduje zakleszczenie (livelock) w funkcji tmigr_handle_remote_up(). Problem wynika z błędnego założenia, że lokalny softirq obsłużył już timery danego CPU, co prowadzi do pomijania wywołania timer_expire_remote() i w efekcie do nieskończonej pętli.

W jądrze Linux w sterowniku staging rtl8723bs wykryto podatność polegającą na odczycie poza zakresem bufora w funkcji rtw_update_protection. Funkcja ta jest wywoływana ze wskaźnikiem przesuniętym w buforze ies, ale przekazywana jest pełna długość ie_length, co może prowadzić do odczytu danych poza przydzielonym obszarem.

W jądrze Linux w sterowniku rtl8723bs (staging) dla układów WiFi Realtek wykryto podatność polegającą na braku sprawdzenia zakresu przed odjęciem stałych przesunięć od długości elementu informacyjnego (IE). Może to prowadzić do niezamierzonego niedomiaru liczby całkowitej bez znaku.

W jądrze Linux w sterowniku bnxt_en wykryto podatność prowadzącą do dereferencji wskaźnika NULL. Błąd występuje, gdy mechanizm odzyskiwania po błędzie PCIe jest uruchamiany na zamkniętym interfejsie sieciowym, a funkcja bnxt_io_error_detected() próbuje uzyskać dostęp do niezainicjowanej struktury bp->bnapi.

W jądrze Linux wykryto podatność w mechanizmie overlayfs, gdzie funkcja ovl_iterate_merged() błędnie przechowuje wartość PTR_ERR(cache) w zmiennej err przed sprawdzeniem, czy cache jest prawidłowy. W przypadku powodzenia ovl_cache_get() zmienna err zawiera obcięty wskaźnik, który może być zwrócony jako fałszywy, niezerowy błąd, prowadząc do nieprawidłowego działania operacji odczytu katalogu.

W jądrze Linux w sterowniku accel/ethosu wykryto podatność na zapis poza zakresem (OOB write) w funkcji ethosu_gem_cmdstream_copy_and_validate(). Pętla przetwarzająca strumień komend nie sprawdza ponownie granic bufora po inkrementacji indeksu dla 64-bitowych komend, co pozwala użytkownikowi na wywołanie zapisu poza przydzieloną pamięcią DMA.

W sterowniku Linux kernel dla akceleratora Ethos-U (accel/ethosu) wykryto podatność polegającą na błędzie w parserze strumienia komend. Funkcja NPU_SET_IFM_REGION używa maski 0x7f zamiast 0x7, co pozwala na indeksowanie poza zakresem tablicy region_size[] (rozmiar 8). Atakujący z przestrzeni użytkownika może przez odpowiednio spreparowane wywołanie zapisać dane poza przydzielonym buforem, powodując uszkodzenie sąsiednich danych sterty jądra.

W jądrze Linux w sterowniku accel/ethosu wykryto podatność związaną z błędami arytmetycznymi w funkcji dma_length(). Nieprawidłowe operacje arytmetyczne mogą prowadzić do przepełnienia liczb całkowitych, co umożliwia ominięcie walidacji dostępu do buforów GEM.

W jądrze Linux w sterowniku accel/ethosu wykryto podatność polegającą na braku inicjalizacji długości DMA. Jeśli użytkownik pominie ustawienie długości DMA przed uruchomieniem transferu, sterownik używa niezainicjalizowanej wartości (U64_MAX), co prowadzi do obejścia kontroli granic i wykonania DMA na nieprawidłowych adresach fizycznych.

W sterowniku accel/ethosu jądra Linux brakuje implementacji komendy NPU_OP_RESIZE, która jest przeznaczona wyłącznie dla układu U85. Gdy użytkownik wyśle tę komendę przez DRM_IOCTL_ETHOSU_GEM_CREATE, wyzwalane jest WARN_ON(1), co prowadzi do niekontrolowanego zapisu logów jądra. Jeśli włączona jest opcja panic_on_warn, może to spowodować panikę jądra, umożliwiając nieuprzywilejowanemu użytkownikowi z dostępem do urządzenia DRM przeprowadzenie ataku typu odmowa usługi (DoS).

W jądrze Linux wykryto podatność w systemie plików FUSE, która pozwalała demonowi FUSE na wykonywanie operacji zapisu/odczytu pamięci podręcznej stron (pagecache) na katalogach. Operacje FUSE_NOTIFY_STORE i FUSE_NOTIFY_RETRIEVE były akceptowane dla katalogów, co mogło prowadzić do ostrzeżeń WARN_ON() w fuse_parse_cache() przy obecności nieprawidłowych danych w cache'u. Poprawka odrzuca te operacje dla wszystkich obiektów innych niż zwykłe pliki, zwracając błąd -EINVAL.

W jądrze Linux wykryto podatność w systemie plików FUSE, gdzie żądanie FUSE_NOTIFY_RETRIEVE może zwracać dane z nieaktualnych stron (foliów), które mogą zawierać niezainicjalizowane dane. Problem dotyczy systemów bez włączonej automatycznej zerowej inicjalizacji alokacji stron (CONFIG_INIT_ON_ALLOC_DEFAULT_ON lub init_on_alloc=1).

W jądrze Linux wykryto podatność w mechanizmie iomap, gdzie podczas obsługi błędów odczytu buforowanego może dojść do wyścigu. Po zmniejszeniu licznika oczekujących bajtów inny wątek może zakończyć operację na stronie i odłączyć ją od mapowania, co prowadzi do dereferencji wskaźnika NULL w funkcji raportowania błędów.

W jądrze Linux wykryto podatność w podsystemie IOMMU/DMA, gdzie funkcja iommu_dma_iova_link_swiotlb() próbuje mapować region o zerowej długości, co powoduje błąd w iommu_map() i uszkodzenie mapowania. Problem jest często wywoływany przez dyski NVMe Thunderbolt wymuszające SWIOTLB dla niewyrównanej pamięci.

W jądrze Linux w mechanizmie rtmutex występuje błąd w funkcji remove_waiter(), która jest wywoływana dla niezakolejkowanego waitera. Może to prowadzić do dereferencji wskaźnika NULL i paniki jądra, szczególnie w scenariuszach z FUTEX_CMP_REQUEUE_PI.

W jądrze Linux wykryto podatność w mechanizmie memcg, gdzie funkcja get_random_u32_below() używana do wyboru ofiary w refill_stock nie jest bezpieczna w kontekście NMI. Może to prowadzić do uszkodzenia stanu ChaCha batch, gdy NMI przerwie aktualizację stanu losowego. Poprawka zastępuje losowy wybór okrężnym licznikiem per-CPU.

W jądrze Linux w sterowniku fastrpc wykryto błąd use-after-free. Podczas zamykania deskryptora pliku przez użytkownika struktura fastrpc_user jest zwalniana, ale równocześnie kolejka zadań (workqueue) może nadal odwoływać się do tej już zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność use-after-free w sterowniku fastrpc. Funkcja fastrpc_map_lookup zwraca surowy wskaźnik po zwolnieniu blokady, a wywołujący fastrpc_map_create próbuje zwiększyć licznik referencji na tym niechronionym wskaźniku. Równoczesna operacja MEM_UNMAP może zwolnić mapę między zwolnieniem blokady a inkrementacją, prowadząc do użycia po zwolnieniu.

W jądrze Linux w sterowniku misc: fastrpc wykryto podatność polegającą na nieprawidłowym użyciu funkcji find_vma(). Gdy wskaźnik użytkownika znajduje się w luce przed zwróconym VMA, obliczenie offsetu adresu DMA powoduje niedomiar (underflow), co prowadzi do uszkodzenia adresu DMA wysyłanego do procesora DSP.

W jądrze Linux wykryto błąd w sterowniku fastrpc prowadzący do dereferencji wskaźnika NULL podczas wywołania zwrotnego rpmsg. Problem występuje, gdy DSP wysyła wiadomość przed zakończeniem inicjalizacji struktury fastrpc_channel_ctx, co powoduje awarię systemu.

W jądrze Linux wykryto podatność w podsystemie Phonet, gdzie funkcja phonet_device_destroy() usuwa strukturę phonet_device z listy per-net za pomocą list_del_rcu(), ale zwalnia pamięć natychmiast, podczas gdy czytelnicy RCU mogą nadal trzymać wskaźnik do obiektu, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność use-after-free w podsystemie NVMEM. Błędy w ścieżkach obsługi błędów powodują, że po zwolnieniu pamięci struktury nvmem jest ona nadal używana, co może prowadzić do naruszenia bezpieczeństwa.