Podatności Linux kernel

W jądrze Linux wykryto podatność w funkcji set_pmd_migration_entry() w pliku mm/huge_memory.c. Funkcja nieprawidłowo używa flag pmd_write(), pmd_soft_dirty() i pmd_uffd_wp() dla wpisów PMD urządzeń prywatnych, co prowadzi do błędnego oznaczania wpisów migracyjnych jako zapisywalnych. Problem został zaobserwowany w teście hmm.hmm_device_private.anon_write_child, powodując uszkodzenie stanu rmap i naruszenie asercji.

W jądrze Linux wykryto podatność w mechanizmie zarządzania rezerwacjami stron hugetlb. Podczas kopiowania stron hugetlb (np. w przypadku UFFDIO_COPY lub rozwidlenia procesu) nieprawidłowe obsłużenie błędu kopiowania powoduje wyciek rezerwacji w mapie rezerwacji VMA, co może prowadzić do błędów SIGBUS przy dostępie do wcześniej zarezerwowanego adresu.

W jądrze Linux wykryto podatność w mechanizmie list_lru podczas reparentingu (przenoszenia) list między grupami cgroup. Błąd polega na tym, że wpis w tablicy xarray dla umierającej grupy memcg jest usuwany przed opróżnieniem jej list per-węzeł, co umożliwia równoczesnym operacjom list_lru_del() działanie na tych samych elementach pod różnymi blokadami, prowadząc do uszkodzenia struktury listy.

W sterownikach MMC dla starszych kontrolerów Rockchip (rk2928, rk3066, rk3188) brakowało prywatnych danych struktury, co po dodaniu funkcji automatycznego wyłączania zegara pamięci prowadziło do dereferencji wskaźnika NULL. Problem dotyczy jądra Linux.

W jądrze Linuxa w sterowniku Thunderbolt wykryto podatność polegającą na akceptowaniu przez walidator wpisów właściwości o zerowej długości. Prowadzi to do niedomiaru bufora (underflow) przy próbie dodania znaku null, co może skutkować zapisem poza przydzieloną pamięcią.

W jądrze Linuxa w sterowniku Thunderbolt wykryto podatność polegającą na braku sprawdzenia, czy przesunięcie i długość zawartości katalogu głównego mieszczą się w rozmiarze bloku. Może to prowadzić do odczytu poza przydzieloną pamięcią podczas przetwarzania właściwości.

W jądrze Linuxa w sterowniku Thunderbolt wykryto podatność polegającą na braku sprawdzenia długości kopiowanych danych odpowiedzi XDomain przed ich skopiowaniem do wcześniej zaalokowanego bufora. Złośliwy peer może ustawić pole długości w nagłówku odpowiedzi na wartość większą niż zadeklarowana data_length, co prowadzi do zapisu poza zaalokowaną pamięcią (memcpy poza kcalloc).

W jądrze Linuxa wykryto podatność w sterowniku Thunderbolt, gdzie funkcja tb_xdp_handle_request() rzutuje bufor odebranego pakietu na struktury specyficzne dla protokołu bez wcześniejszego sprawdzenia, czy alokacja jest wystarczająco duża dla docelowego typu. Atakujący może wysłać minimalny pakiet XDomain, który przechodzi ogólną kontrolę długości nagłówka, ale jest krótszy niż struktura używana po rzutowaniu, co prowadzi do odczytu poza przydzielonym buforem.

W jądrze Linuxa w podsystemie Thunderbolt wykryto podatność polegającą na kopiowaniu przez funkcję tb_xdomain_copy() danych z bufora odpowiedzi XDomain bez uwzględnienia rzeczywistego rozmiaru ramki. W przypadku krótkiej odpowiedzi może to prowadzić do odczytu danych spoza prawidłowego obszaru bufora DMA, co ujawnia nieaktualne treści z poprzednich transakcji.

W jądrze Linux w podsystemie DRM GEM wykryto błąd w implementacji ioctl change_handle, który prowadzi do wyścigu (race condition) między operacjami gem_close i gem_change_handle. Poprawka wprowadza dwuetapowe podejście z użyciem idr_replace oraz wyłącza ioctl do czasu pełnego przetestowania.

W jądrze Linux w sterowniku DRM dla AMD KFD wykryto podatność na odwołanie do wskaźnika NULL. Funkcja get_queue_ids() zwraca NULL, gdy wskaźnik usr_queue_id_array jest NULL, a liczba kolejek jest niezerowa, co prowadzi do paniki jądra.

W sterowniku jądra Linux dla układów AMD (amdkfd) wykryto przepełnienie bufora w funkcjach punktów kontrolnych/przywracania kolejek SDMA na architekturze GFX11. Błąd wynika z nieprawidłowego przypisania funkcji przeznaczonych dla kolejek CP-compute do kolejek SDMA, co powoduje odczyt/zapis 2048 bajtów zamiast 512 bajtów.

W jądrze Linux w sterowniku DRM/XE wykryto błąd powodujący awarię (oops) podczas zawieszania lub wyłączania systemu, gdy wyświetlacz jest nieobecny. Problem wynika z nieprawidłowego zarządzania flagą probe_display, która nie jest resetowana po wykryciu braku wyświetlacza przez fuzję, co prowadzi do wywołania kodu wyświetlania na niezainicjalizowanej konfiguracji trybu.

W jądrze Linux w sterowniku DRM dla V3D wykryto problem z zliczaniem referencji globalnego monitora wydajności. Funkcje SET_GLOBAL, CLEAR_GLOBAL oraz usuwanie monitora nie zwalniają prawidłowo referencji, co prowadzi do wycieków pamięci.

W jądrze Linux wykryto podatność w sterowniku DRM dla V3D, polegającą na wycieku mapowania pamięci wirtualnej (vaddr) podczas przetwarzania pośrednich buforów CSD. Gdy liczba grup roboczych odczytana z bufora wynosi zero, funkcja v3d_rewrite_csd_job_wg_counts_from_indirect() kończy działanie przedwcześnie, nie zwalniając mapowań obu buforów.

W jądrze Linux w sterowniku DRM dla V3D wykryto podatność polegającą na braku walidacji zerowych liczb grup roboczych w pośrednich zadaniach CSD. Wysłanie zadania z zerową liczbą grup w dowolnym wymiarze jest nieprawidłowe i może prowadzić do nieoczekiwanego zachowania sprzętu.

W sterownikach graficznych jądra Linux (drm/amd/display) wykryto podatność polegającą na nieograniczonej iteracji pętli przetwarzania łańcucha rekordów VBIOS. Brak znacznika końca w nieprawidłowym obrazie VBIOS może prowadzić do nieskończonej pętli podczas inicjalizacji, potencjalnie powodując odczyt poza dozwolonym obszarem pamięci.

W jądrze Linux w sterowniku graficznym AMD Display znaleziono podatność polegającą na braku ograniczenia rozmiaru odczytu listy identyfikatorów odbiorników (RxID) podczas uwierzytelniania HDCP 2.x przez HDMI. Złośliwy wzmacniacz HDMI może podać rozmiar wiadomości większy niż bufor docelowy, co prowadzi do zapisu poza zakresem.

W sterowniku graficznym jądra Linux (drm/amd/display) wykryto podatność polegającą na braku walidacji wartości pól HdmiRegNum i Hdmi6GRegNum w tabelach VBIOS. Nieprawidłowo przygotowany VBIOS może ustawić te wartości do 255, co prowadzi do zapisu poza zakresem pamięci na stercie podczas inicjalizacji sterownika.

W jądrze Linux w sterowniku graficznym AMD Display wykryto podatność polegającą na dereferencji wskaźnika NULL oraz odczycie poza buforem w funkcji dp_sdp_message_debugfs_write(). Problem występuje, gdy złącze (connector) jest podłączone, ale nie jest przypisane do CRTC (np. po podłączeniu na gorąco przed zatwierdzeniem atomowym), co prowadzi do awarii jądra. Dodatkowo funkcja ignoruje rozmiar danych podany przez użytkownika i zawsze kopiuje 36 bajtów, co może skutkować odczytem poza buforem.

W jądrze Linux wykryto podatność w module netfilter nft_fib, która powoduje wyciek niezainicjalizowanych danych ze stosu jądra do przestrzeni użytkownika. Problem występuje, gdy dla wyniku OIFNAME rejestr docelowy jest deklarowany z długością IFNAMSIZ, ale w przypadku niepowodzenia wyszukiwania zapisywany jest tylko jeden rejestr, pozostawiając pozostałe trzy z danymi ze stosu. Dodatkowo flaga NFTA_FIB_F_PRESENT była akceptowana dla nieprawidłowych typów wyników, co również prowadziło do wycieku.

W jądrze Linux wykryto podatność w funkcji RDMA/umem, gdzie przy użyciu iommu duże bloki mapowania (>=4G) dzielone na wiele wpisów SG powodowały przepełnienie 32-bitowych wartości na stosie. Prowadziło to do błędnego obliczania adresów DMA dla bloków po przycięciu.

W jądrze Linux wykryto podatność w sterowniku vsock/virtio, która umożliwia nieograniczone kolejkowanie pakietów. Atakujący może wysłać pakiety o zerowej długości z flagą VIRTIO_VSOCK_SEQ_EOM, co powoduje, że licznik rx_bytes pozostaje na poziomie 0, a kolejka skb rośnie bez ograniczeń.

W jądrze Linux w systemie plików OMFS brakuje walidacji dolnego zakresu dla s_sys_blocksize. Atakujący może dostarczyć spreparowany obraz systemu plików z wartością mniejszą niż OMFS_DIR_START (440), co prowadzi do niedomiaru liczby całkowitej bez znaku w funkcji omfs_make_empty(). Skutkuje to wywołaniem memset() z długością bliską 4 GiB, nadpisującą pamięć jądra poza buforem bloku.

W jądrze Linux wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w mechanizmie mbcache. Funkcja mb_cache_destroy() nie anuluje oczekującego zadania c_shrink_work przed zwolnieniem pamięci, co może prowadzić do dostępu do już zwolnionego obszaru.

W jądrze Linux w sterowniku DRBD wykryto brak równowagi w wywołaniach RCU w funkcji drbd_adm_dump_devices(). Funkcja wywołuje rcu_read_unlock() bez wcześniejszego wywołania rcu_read_lock(), co może prowadzić do nieprawidłowego działania mechanizmu RCU.

W jądrze Linux naprawiono wyciek pamięci w blk_revalidate_disk_zones(). Przy błędzie ponownej walidacji stref, pamięć zaalokowana dla args.zones_cond nie była zwalniana.

W jądrze Linux w funkcji blkcg_maybe_throttle_current() brakuje wywołania put_disk() na ścieżce błędu, co prowadzi do wycieku referencji dysku. Dysk nigdy nie zostanie zwolniony.

W jądrze Linux wykryto zakleszczenie w mechanizmie sysfs podczas operacji czyszczenia macierzy RAID (array_state=clear). Problem wynika z nieprawidłowej kolejności zwalniania referencji, co prowadzi do rekurencyjnego blokowania i ostrzeżenia o możliwym zakleszczeniu.

W jądrze Linux naprawiono błąd w ublk, gdzie flaga anulowania na żądanie IO nie była resetowana po pobraniu, co mogło uniemożliwić anulowanie operacji przy awarii serwera.

W jądrze Linux w module md (RAID) występuje zakleszczenie (deadlock) podczas reshape'u raid456. Operacje wejścia/wyjścia (IO) czekające na postęp reshape'u mogą blokować zawieszenie (suspend) macierzy, ponieważ reshape jest zamrożony, a aktywne referencje IO nie są zwalniane.

W systemie Linux wykryto zakleszczenie (deadlock) w podsystemie Btrfs między operacją reflink a zatwierdzaniem transakcji, gdy używana jest opcja montowania flushoncommit. Problem występuje, gdy reflink kopiuje nieliniowy zakres danych poza bieżący rozmiar pliku docelowego, co prowadzi do wzajemnego blokowania się wątków.

W jądrze Linux w sterowniku amd-pstate w funkcji amd_pstate_epp_cpu_init() występuje wyciek pamięci. W przypadku błędu ustawienia epp, obiekt cpudata nie jest zwalniany.

W jądrze Linux w podsystemie PCI wykryto podatność na use-after-free (UAF) związaną z polem driver_override. Gdy sterownik jest próbkowany przez __driver_attach(), funkcja match() magistrali jest wywoływana bez trzymania blokady urządzenia, co umożliwia równoczesny dostęp do pola driver_override bez synchronizacji, prowadząc do UAF.

W jądrze Linux w podsystemie platform/wmi wykryto podatność na use-after-free (UAF) związaną z polem driver_override. Gdy sterownik jest próbkowany przez __driver_attach(), funkcja match() magistrali jest wywoływana bez trzymania blokady urządzenia, co umożliwia równoczesny dostęp do pola driver_override bez synchronizacji, prowadząc do UAF.

W jądrze Linux w podsystemie vdpa występuje podatność na użycie po zwolnieniu (UAF) podczas dopasowywania sterownika. Funkcja match() wywoływana jest bez blokady urządzenia, co umożliwia niechroniony dostęp do pola driver_override.

W jądrze Linux w podsystemie s390/cio występuje podatność na użycie po zwolnieniu (UAF) podczas dopasowywania sterownika. Funkcja match() wywoływana jest bez blokady urządzenia, co umożliwia niechroniony dostęp do pola driver_override.

W jądrze Linuxa, w podsystemie s390/ap, występuje potencjalne użycie po zwolnieniu (UAF) podczas aktualizacji masek AP. Funkcja __ap_revise_reserved() uzyskuje dostęp do pola driver_override bez blokady, co może prowadzić do wyścigu z driver_override_store().

W jądrze Linux w magistrali fsl-mc występuje podatność na użycie po zwolnieniu (UAF) podczas dopasowywania sterownika. Funkcja match() wywoływana jest bez blokady urządzenia, co umożliwia niechroniony dostęp do pola driver_override.

W jądrze Linux w sterowniku perf/amd/ibs funkcja perf_allow_kernel() jest wywoływana z kontekstu NMI, co jest niebezpieczne i może prowadzić do awarii. Uprawnienia powinny być przechowywane w cache przy inicjalizacji.

W jądrze Linux w sterowniku ath11k występują wycieki pamięci w funkcjach ath11k_mac_setup_bcn_tmpl_ema() i ath11k_mac_setup_bcn_tmpl_mbssid(). Alokowana pamięć dla szablonów beacon nie jest zwalniana w przypadku błędu.

W sterowniku rtlwifi w jądrze Linux występuje podatność na użycie po zwolnieniu (UAF) spowodowana niezakończonym zadaniem tasklet irq_prepare_bcn_tasklet. Podczas odłączania karty lub błędu inicjalizacji, ieee80211_hw jest zwalniany, ale tasklet może nadal działać, prowadząc do dostępu do zwolnionej pamięci.

W jądrze Linux wykryto podatność polegającą na dereferencji pustego wskaźnika w funkcji bpf_lwt_xmit_push_encap. Problem występuje, gdy skb->_skb_refdst nie jest zainicjalizowany podczas testowego uruchamiania programu BPF, co prowadzi do awarii systemu.

W jądrze Linux w podsystemie s390 BPF JIT brakuje rozszerzenia zerowego (zero extension) dla wartości zwracanych przez programy BPF oraz argumentów funkcji kfunc. Zgodnie z ABI s390x, wywołujący muszą rozszerzać zerowo niepodpisane argumenty, a wywoływani muszą rozszerzać zerowo niepodpisane wartości zwracane, co nie jest obecnie implementowane.

W jądrze Linux wykryto błąd w funkcji pte_frag_destroy dla architektury PowerPC, który powoduje wyciek flagi 'active' na stronie folio podczas zwalniania fragmentów tablicy PTE. Problem występuje, gdy referencja pt_frag_refcount spada do zera, ale flaga aktywności nie jest czyszczona przed wywołaniem pagetable_free(), co prowadzi do błędu 'Bad page state' przy zakończeniu procesu.

W jądrze Linux wykryto błąd wyścigu (race condition) podczas operacji unmap na wpisach PMD będących wpisami migracyjnymi. Problem występuje, gdy równocześnie wykonywane są wywołania systemowe move_pages i munmap, co prowadzi do błędnego sprawdzenia w funkcji pmdp_huge_get_and_clear_full i wywołania VM_BUG_ON. Podatność dotyczy architektury PowerPC 64-bitowej.

W jądrze Linux w sterowniku libertas funkcja usb_kill_urb() jest wywoływana z kontekstu przerwania, co może prowadzić do problemów z synchronizacją. Zamiast tego sprawdzane jest, czy istnieją oczekujące URBy.

W jądrze Linux naprawiono potencjalne zakleszczenie w lokalnym magazynie BPF. Usuwanie selem w kontekście NMI może prowadzić do zakleszczenia, więc dodano sprawdzenie zwracające błąd.

W sterowniku WiFi mt76 (model mt7925) występuje błąd w funkcji mt7925_mac_write_txwi, gdzie brak sprawdzenia, czy wskaźnik 'vif' nie jest NULL, może prowadzić do dereferencji wskaźnika NULL i paniki jądra.

W sterowniku WiFi mt76 występuje wyciek pamięci podczas niszczenia urządzenia. Kolejki rx mają powiązany page_pool, który nie jest niszczony w mt76_dma_cleanup, a strony nie są zwracane do puli, gdy WED nie jest włączone.