Podatności Linux kernel

W jądrze Linux w sterowniku mt7925 (mt76) występuje potencjalny zakleszczenie (deadlock) w funkcji mt7925_roc_abort_sync. Funkcja ta wywołuje cancel_work_sync() podczas gdy roc_work() trzyma mutex dev->mt76.mutex, co prowadzi do blokady. Problem występuje podczas usuwania stacji.

W jądrze Linuxa, w sterowniku mt76, funkcja mt76_connac_mcu_alloc_sta_req() alokuje skb, który powinien zostać zwolniony przez mt76_mcu_skb_send_msg(). Jednak jeśli pośrednia funkcja (mt76_connac_mcu_sta_wed_update() lub mt76_connac_mcu_sta_key_tlv()) zawiedzie przed wysłaniem, alokowany skb wycieka.

W jądrze Linux wykryto potencjalny deadlock w sterowniku WiFi mt76 mt7921 w funkcji mt7921_roc_abort_sync. Funkcja ta może zablokować się na cancel_work_sync(), gdy roc_work() trzyma mutex dev->mt76.mutex, a wywołujący już posiada ten sam mutex. Deadlock występuje podczas usuwania stacji w ścieżce mt76_sta_remove -> mt7921_mac_sta_remove -> mt7921_roc_abort_sync.

W jądrze Linux w sterowniku mt76 występuje zakleszczenie (deadlock) w funkcjach mt76_remain_on_channel() i mt76_roc_complete(). Wywołują one mt76_set_channel() trzymając już dev->mutex, a mt76_set_channel() ponownie próbuje go przejąć, co prowadzi do blokady.

W jądrze Linuxa, przełączono z CONFIG_CFI_CLANG na CONFIG_CFI, ponieważ opcja ta jest teraz niezależna od kompilatora. Użycie starej nazwy powoduje, że kod jest kompilowany poza warunkami, co oznacza, że błędy CFI dla btf_dtor_kfunc_t nadal by się wyzwalały.

W sterowniku WiFi mt76 (mt7915) w jądrze Linux wykryto błąd use-after-free w funkcji mt7915_mac_dump_work(). Podczas odłączania urządzenia PCI, dane crash_data są zwalniane przed anulowaniem oczekującej pracy, co prowadzi do odwołania do już zwolnionej pamięci.

W sterowniku WiFi mt76 (mt7996) w jądrze Linux wykryto błąd use-after-free podczas odłączania układu PCI. Funkcja mt7996_mac_dump_work() może odwoływać się do już zwolnionej struktury crash_data, ponieważ praca dump_work nie jest anulowana przed zwolnieniem pamięci.

W jądrze Linux, w funkcji dev_map_redirect_multi() dla DEVMAP_HASH, użyto niebezpiecznej iteracji hlist_for_each_entry_safe() zamiast bezpiecznej dla RCU hlist_for_each_entry_rcu(). Na słabo uporządkowanych architekturach (ARM64, POWER) może to prowadzić do obserwacji niekompletnie skonstruowanego węzła listy.

Podatność w jądrze Linux dotycząca nadużycia kprobe_write_ctx przez programy freplace. Programy uprobe mogą modyfikować struct pt_regs, a poprzez kprobe+freplace mogą wpływać na argumenty funkcji jądra. Poprawka uniemożliwia dołączanie programów freplace do kprobe z różnymi wartościami kprobe_write_ctx.

W jądrze Linux wykryto podatność w mechanizmie BPF, gdzie po kompilacji JIT z włączonym stałym maskowaniem (constant blinding) wskaźnik offload->prog nie jest aktualizowany, wskazując na zwolniony program. Prowadzi to do błędu strony (page fault) podczas niszczenia przestrzeni nazw sieciowych.

W jądrze Linux w sterowniku brcmfmac dla kart Wi-Fi Broadcom wykryto błąd polegający na braku sprawdzenia, czy funkcja brcmf_chip_add_core() zwróciła wskaźnik błędu. Może to prowadzić do dereferencji wskaźnika błędu i potencjalnego naruszenia stabilności systemu.

W jądrze Linux w podsystemie BPF funkcja adjust_reg_min_max_vals() nieprawidłowo śledzi deltę rejestru, gdy src_reg == dst_reg (np. rX += rX). Modyfikacja dst_reg przed odczytem src_reg prowadzi do ustawienia nieprawidłowej delty, co powoduje niezgodność między weryfikatorem a wykonaniem.

W jądrze Linux stwierdzono podatność w funkcji qdisc_pkt_len_segs_init(), która nie zapewniała, że nagłówki pakietów GSO znajdują się w buforze skb->head. Może to prowadzić do błędów w sterownikach sieciowych, które oczekują nagłówków w tym buforze. Dodano odpowiednie sprawdzenie i mechanizm wcześniejszego odrzucania złośliwych pakietów.

W jądrze Linux stwierdzono podatność w weryfikatorze BPF dotyczącą instrukcji ld_{abs,ind} w podprogramach. Weryfikator nie symulował ścieżki niepowodzenia ładowania danych z pakietu, co mogło prowadzić do nieprawidłowej analizy. Dodano symulację obu ścieżek (sukcesu i porażki) podobnie jak w przypadku wywołań tail call.

W jądrze Linuxa, w podsystemie BPF, występuje użycie po zwolnieniu (UAF) podczas wypełniania informacji o offloaded mapie lub programie. Funkcje bpf_map_offload_info_fill_ns() i bpf_prog_offload_info_fill_ns() używają get_net() na sieci netdev, która może być już zniszczona.

W jądrze Linuxa w sterowniku bcmgenet występuje błąd wycieku wolnych buforów deskryptorów (free_bds) podczas zwalniania kolejki TX. Opuszczone ramki nie są zwracane do puli, co może prowadzić do wyczerpania zasobów.

W jądrze Linux w iteratorze open-coded task_vma BPF występuje podatność na użycie po zwolnieniu (UAF). Iterator odczytuje task->mm bez blokady i nie wywołuje mmget(), co pozwala na zwolnienie mm_struct podczas współbieżnego wyjścia procesu.

W jądrze Linux w iteratorze task_vma występuje problem z kolejnością blokad. Trzymanie blokady VMA podczas wykonywania programu BPF może prowadzić do zakleszczenia. Rozwiązanie polega na zrobieniu migawki VMA i zwolnieniu blokady przed zwróceniem.

W jądrze Linux w funkcji bpf_fd_array_map_clear() brakuje wywołania cond_resched() w pętli, co przy dużej liczbie wpisów w mapie PROG_ARRAY może prowadzić do zastoju RCU (RCU stall) i awarii systemu.

W sterowniku 6pack (hamradio) w jądrze Linux funkcja sixpack_receive_buf() nie pomija bajtów z flagami błędów TTY, co prowadzi do przetwarzania niezainicjalizowanych danych i zgłoszenia przez KMSAN odczytu niezainicjalizowanej wartości.

W jądrze Linuxa w mechanizmie BPF wykryto podatność polegającą na niespójnym mapowaniu identyfikatorów dla skalarnych rejestrów z flagą BPF_ADD_CONST. Funkcja regsafe() nie weryfikuje, czy podstawowe identyfikatory bazowe są zgodne z istniejącymi mapowaniami, co może prowadzić do błędnego przycinania stanów weryfikatora.

W jądrze Linux wykryto podatność w klasyfikatorze cls_fw, gdzie filtr może być opublikowany do ścieżki danych przed wywołaniem funkcji change(). Powoduje to możliwość wywołania dereferencji wskaźnika NULL przez nieprawidłowy filtr, co prowadzi do awarii systemu.

W jądrze Linux wykryto wyciek pamięci w mechanizmie opóźnionego odrzucania pakietów w dyscyplinach kolejek (qdisc). Gdy główna dyscyplina nie implementuje flagi TCQ_F_DEQUEUE_DROPS, pakiety przeznaczone do zwolnienia nie są usuwane i pozostają na liście lokalnej.

W jądrze Linuxa w programach BPF sock_ops, gdy rejestr docelowy jest taki sam jak źródłowy, makra SOCK_OPS_GET_SK() i SOCK_OPS_GET_FIELD() nie zerują rejestru docelowego w przypadku braku pełnego gniazda lub zablokowanego gniazda TCP. Prowadzi to do odczytu poza zakresem stosu i wycieku wskaźnika jądra.

W jądrze Linuxa ograniczono używanie RDS/IB tylko do początkowej przestrzeni nazw sieciowych. Kod RDS/IB nie działa poprawnie w innych przestrzeniach nazw, co mogło prowadzić do błędów lub nieprzewidzianego zachowania.

W jądrze Linuxa wykryto błąd odczytu poza zakresem w funkcji pcpu_init_value podczas kopiowania danych z mapy CGROUP_STORAGE do mapy pcpu o tym samym rozmiarze wartości, który nie jest zaokrąglony do 8 bajtów. Problem występuje, gdy źródło ma mniej niż 8 bajtów, a kopia jest zaokrąglana w górę.

W jądrze Linuxa, w sterowniku ppp, brak wymagania CAP_NET_ADMIN w docelowej przestrzeni nazw sieciowych dla nieprzypisanych ioctl. Lokalny nieuprzywilejowany użytkownik może utworzyć nową przestrzeń nazw użytkownika, uzyskać CAP_NET_ADMIN tylko w niej, a następnie wykonać operacje PPPIOCNEWUNIT, PPPIOCATTACH lub PPPIOCATTCHAN przeciwko odziedziczonej przestrzeni nazw sieciowych.

W jądrze Linuxa, funkcja bpf_prog_test_run_skb() wywołuje eth_type_trans(), a następnie używa skb->protocol do inicjalizacji rodziny i adresów dla testu. Dla pakietów IPv4/IPv6 może uzyskać dostęp do ip_hdr(skb) lub ipv6_hdr(skb) nawet gdy wejście testowe zawiera tylko nagłówek Ethernet. Poprawka odrzuca wejście wcześniej, jeśli ramka Ethernet zawiera EtherType IPv4/IPv6, ale nagłówek L3 jest zbyt krótki.

Podatność w jądrze Linux w sterowniku Bluetooth HCI UART (hci_ldisc). Gdy hci_register_dev() zawiedzie, flaga HCI_UART_PROTO_INIT nie jest czyszczona, co może prowadzić do wywołania funkcji recv po zwolnieniu zasobów. Poprawka czyści flagę przed zamknięciem.

W jądrze Linuxa wykryto podatność w stosie Bluetooth, gdzie funkcja hci_conn_request_evt() wywołuje hci_connect_cfm() bez trzymania zamka hdev->lock, gdy protokół ustawia flagę HCI_PROTO_DEFER. Może to prowadzić do użycia po zwolnieniu (UAF) w przypadku równoczesnego usunięcia połączenia.

W jądrze Linux brak blokady kanału (chan lock) w funkcji l2cap_ecred_reconf_rsp umożliwia zdalnemu urządzeniu BLE wysłanie spreparowanej odpowiedzi rekonfiguracji L2CAP ECRED, co może uszkodzić listę kanałów podczas iteracji przez inny wątek.

W jądrze Linux wykryto podatność w implementacji SCTP over UDP, gdzie funkcje wysyłające tunel UDP nie wyłączają przerwań (BH). Powoduje to niezbalansowanie licznika rekurencji i może prowadzić do odrzucania pakietów.

W jądrze Linux wykryto podatność prowadzącą do wyłuskania wskaźnika NULL (null-ptr-deref) w funkcji xdp_master_redirect() podczas przekierowywania XDP na interfejsie nadrzędnym (master), który nie został uruchomiony. Problem występuje, gdy interfejs bond (bonding) w trybie round-robin nie został otwarty (bond_open()), a per-CPU licznik rr_tx_counter pozostaje niezainicjalizowany, co powoduje awarię systemu.

W jądrze Linux w sterowniku DRM komeda wykryto podatność na przepełnienie liczby całkowitej podczas walidacji rozmiaru bufora ramki AFBC. Obliczenie minimalnego wymaganego rozmiaru bufora poprzez dodanie rozmiaru ładunku AFBC do offsetu bufora ramki nie sprawdzało przepełnienia, co mogło pozwolić na użycie zbyt małego obiektu GEM i dostęp poza dozwolony obszar pamięci.

W jądrze Linuxa w podsystemie PCI endpoint znaleziono podatność w funkcji pci_epf_alloc_doorbell(). Po nieudanej alokacji wektorów MSI tablica komunikatów dzwonka jest zwalniana, ale wskaźniki w strukturze EPF pozostają ustawione na zwolnioną pamięć, co może prowadzić do podwójnego zwolnienia. Dodatkowo brakuje sprawdzenia, czy dzwonki zostały już zaalokowane, co umożliwia wyciek pamięci lub nadpisanie istniejącej alokacji.

W jądrze Linuxa w sterowniku DRM sun4i backend występuje błąd dereferencji wskaźnika błędu. Funkcja drm_atomic_get_plane_state() może zwrócić wskaźnik błędu, który nie jest sprawdzany przed użyciem, co może prowadzić do awarii systemu.

W jądrze Linuxa w sterowniku ASoC STI obiekty regmap_field alokowane podczas inicjalizacji odtwarzacza nigdy nie są zwalniane, co może prowadzić do wycieku zasobów po usunięciu sterownika. Poprawka polega na przejściu na devm_regmap_field_alloc(), która automatycznie zarządza czasem życia alokacji.

W trybie passthrough sterownika dm-cache w jądrze Linuxa występuje błąd dereferencji wskaźnika NULL. Podczas unieważniania wpisu w pamięci podręcznej, gdy blokada celi więziennej (bio prison cell) nie powiedzie się z powodu równoczesnego zapisu do tego samego bloku, zmienna mg->cell pozostaje NULL. Funkcja invalidate_complete() próbuje odblokować i zwolnić tę celę bez sprawdzenia, czy jest poprawna, co prowadzi do awarii systemu.

W jądrze Linux w module dm cache (cache mapowania urządzeń) występuje błąd w trybie passthrough, powodujący zawieszanie się operacji zapisu. Funkcja invalidate_remove() nieprawidłowo obsługuje zapisy po unieważnieniu cache, upuszczając bio bez wysłania.

W jądrze Linuxa w menedżerze zasad pamięci podręcznej (cache policy) SMQ dla urządzeń dm-cache brakuje blokad podczas unieważniania bloków pamięci podręcznej w trybie passthrough. Współbieżne operacje unieważniania z wielu wątków roboczych mogą prowadzić do wyścigów danych na liczniku przydzielonych bloków oraz do użycia po zwolnieniu (use-after-free) wewnętrznych struktur danych.

W jądrze Linux w module dm-cache wykryto podatność polegającą na nieprawidłowym sprawdzaniu mapowania brudnych bloków podczas przełączania w tryb passthrough. Błąd wynika z założenia, że przeładowanie tabeli następuje po zawieszeniu, co jest łamane przez mechanizm wstępnego ładowania LVM. Skutkiem może być załadowanie brudnych mapowań do trybu passthrough, prowadzące do utraty danych.

W jądrze Linux wykryto wyciek pamięci w funkcji dm_cache_metadata_abort modułu dm-cache. Gdy nie można uzyskać blokady root_lock z powodu trybu tylko do odczytu menedżera bloków, tymczasowy menedżer bloków utworzony przed tą blokadą nie jest zwalniany, co prowadzi do wycieku pamięci.

W jądrze Linux wykryto podatność w module dm log, polegającą na zapisie poza zakresem pamięci spowodowanym przepełnieniem zmiennej region_count. Lokalna zmienna region_count typu unsigned int (32-bit) nie jest w stanie pomieścić wyniku dzielenia sektorów (sector_t, 64-bit), co prowadzi do alokacji zbyt małych buforów i późniejszych operacji poza przydzieloną pamięcią.

W sterowniku graficznym jądra Linux (cdns-mhdp8546-core) brakuje wczesnego ustawienia wskaźnika do struktury łącznika (connector) w funkcji atomic_enable(). W przypadku błędów w ścieżkach odzyskiwania może to prowadzić do dereferencji pustego wskaźnika i awarii systemu.

W jądrze Linuxa stwierdzono brak wymaganych unieważnień TLB i pamięci podręcznej kontekstu po aktualizacji wpisów DDT/PDT w sterowniku IOMMU dla architektury RISC-V. Zgodnie ze specyfikacją RISC-V IOMMU (sekcje 6.3.1 i 6.3.2) operacje te są obowiązkowe dla zapewnienia spójności translacji adresów.

W jądrze Linux w sterowniku drm/msm/dpu występuje niezgodność między napięciem a częstotliwością podczas wybudzania z runtime suspend. Wywołanie dev_pm_opp_set_rate(dev, 0) obniża napięcie szyny MMCX do MIN_SVS, podczas gdy zegar rdzenia pozostaje na najwyższej częstotliwości, co może powodować niestabilność lub awarię systemu.

W jądrze Linuxa w sterowniku drm/msm wykryto błąd blokowania w operacji VM_BIND UNMAP. Nieprawidłowy argument powodował, że obiekty biorące udział w operacjach UNMAP nie zawsze były blokowane. Problem dotyczył obiektów buforowych innych niż _NO_SHARE.

W jądrze Linuxa w podsystemie IOMMU AMD wykryto podatność w funkcji clone_alias(). Funkcja ta błędnie zakładała, że pierwszy argument (pdev) zawsze wskazuje na oryginalne urządzenie, podczas gdy w rzeczywistości może to być alias. Prowadziło to do użycia nieprawidłowego identyfikatora devid przy kopiowaniu wpisów DTE, co skutkowało propagacją błędnych lub nieaktualnych wpisów do urządzenia aliasowego.

W sterowniku audio ASoC dla platform Qualcomm (qdsp6) brakuje sprawdzenia typu widgeta przed dostępem do danych prywatnych. Widget wirtualny może nie mieć powiązanego grafu DSP, co prowadzi do nieprawidłowego dostępu do pamięci.

W jądrze Linux w sterowniku PCI dla Tegra194 występuje timeout CBB spowodowany dostępem do rejestrów DBI przed włączeniem zasilania rdzenia kontrolera. Gdy PERST# jest deassertowany dwukrotnie, wywołania pci_epc_deinit_notify() i dw_pcie_ep_cleanup() następują przed reset_control_deassert(), co prowadzi do timeoutu.