Podatności Linux kernel

W jądrze Linux wykryto błąd wyścigu w funkcji dquot_scan_active() podczas dezaktywacji limitów dyskowych (quota). W pewnych warunkach może dojść do pracy na zwolnionej pamięci, co prowadzi do niestabilności systemu.

W systemie plików GFS2 jądra Linux podczas odmontowywania może dojść do dereferencji pustego wskaźnika w funkcji gfs2_log_release(), gdy sdp->sd_jdesc jest NULL. Poprzednia łatka nie obejmowała tego przypadku.

W jądrze Linuxa w module efi/capsule-loader występuje błąd w alokacji pamięci dla tablicy phys – użyto sizeof(phys_addr_t *) zamiast sizeof(phys_addr_t), co na 32-bitowych systemach z PAE może prowadzić do przepełnienia bufora sterty.

W jądrze Linux wykryto podatność w sterowniku soc/tegra: cbb, gdzie nieprawidłowe użycie makra ARRAY_SIZE w tablicach wyszukiwania może prowadzić do odczytu poza zakresem pamięci podczas wyszukiwania limitu czasu docelowego.

W jądrze Linux stwierdzono podatność polegającą na błędnej kolejności inicjalizacji klas w sterowniku fwctl. Gdy moduł CXL jest ładowany przed fwctl, rejestracja klasy fwctl nie jest jeszcze wykonana, co prowadzi do pominięcia inicjalizacji struktury knode_class. Przy usuwaniu urządzenia dochodzi do dereferencji wskaźnika NULL.

W jądrze Linux w systemie plików OCFS2 wykryto błąd w funkcji listxattr(). Gdy i-węzeł zawiera zarówno atrybuty rozszerzone inline, jak i blokowe, a nazwy inline wypełniają bufor wywołującego dokładnie, funkcja może zwrócić rozmiar większy niż bufor, co prowadzi do paniki jądra (BUG).

W jądrze Linuxa w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji pola bg_bits podczas skanowania wolnych fragmentów w ścieżce niekoherentnej (OCFS2_INFO_FL_NON_COHERENT). Złośliwie spreparowany system plików może doprowadzić do odczytu poza zakresem pamięci (use-after-free) podczas wywołania ioctl OCFS2_IOC_INFO.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji danych wejściowych przed buforowaniem w operacji OCFS2_IOC_GROUP_ADD. Atakujący może wywołać BUG_ON w funkcji ocfs2_set_new_buffer_uptodate(), co prowadzi do awarii systemu.

W jądrze Linuxa wykryto podatność polegającą na odczycie poza zakresem tablicy hash_algo_name podczas inicjalizacji systemu IMA. Problem występuje, gdy moduł TPM 2.0 obsługuje algorytm skrótu (np. SHA3-256), który nie jest jeszcze zdefiniowany w jądrze, co prowadzi do błędnego dostępu do pamięci i potencjalnego crashu systemu.

W jądrze Linux wykryto podatność na zakleszczenie w funkcji hid_post_reset() sterownika HID USB. Problem występuje, gdy urządzenie USB zawiera zarówno komponent HID, jak i pamięć masową (UAS), które są resetowane razem. Alokacje pamięci w funkcjach hid_pre_reset() i hid_post_reset() mogą wykonywać operacje blokujące wejście/wyjście, co prowadzi do zakleszczenia na mutexie podczas resetowania urządzenia.

W jądrze Linuxa w JIT dla ARM64 wykryto błąd off-by-one w funkcji check_imm, która sprawdza zakres wartości natychmiastowych dla skoków warunkowych i bezwarunkowych. Błąd powoduje, że dopuszczane są wartości o jeden bit szersze niż przewiduje specyfikacja, co może prowadzić do nieprawidłowego kodowania instrukcji i zmiany kierunku skoku.

W jądrze Linux wykryto podatność na zakleszczenie (deadlock) w mechanizmie BPF sockmap podczas iteracji po gniazdach AF_UNIX. Problem występuje, gdy funkcja bpf_iter_unix_seq_show() używa szybkiej ścieżki lock_sock_fast(), a program iteracyjny próbuje zaktualizować mapę sockmap, co prowadzi do rekurencyjnego blokowania tego samego zamka (slock-AF_UNIX).

W jądrze Linux wykryto podatność w mechanizmie sockmap dla gniazd AF_UNIX. Podczas wywołania connect() stan gniazda jest ustawiany na TCP_ESTABLISHED przed przypisaniem gniazda partnerskiego, co umożliwia wyścig z aktualizacją sockmap i prowadzi do dereferencji pustego wskaźnika (NULL pointer dereference).

W jądrze Linux wykryto błąd w mechanizmie BPF sockmap dla gniazd Unix (af_unix). Podczas iteracji programu BPF dochodzi do wyścigu, w którym wskaźnik `peer` staje się nieaktualny, co prowadzi do użycia po zwolnieniu (Use-After-Free). Łatka dodaje blokadę stanu gniazda, aby zapewnić stabilność podczas aktualizacji sockmap.

W jądrze Linux wykryto podatność w mechanizmie BPF, gdzie funkcja map_kptr_match_type() może wywołać dereferencję wskaźnika NULL. Problem występuje, gdy rejestr skalarny jest przechowywany w gnieździe kptr, ponieważ nie ma on przypisanego BTF, a kod próbuje sprawdzić reg->btf przed weryfikacją typu.

W jądrze Linux stwierdzono podatność w funkcji arena_alloc_pages() w mechanizmie BPF. Funkcja ta akceptuje identyfikator węzła (node_id) jako zwykły typ int i przekazuje go dalej bez żadnej walidacji zakresu.

W jądrze Linuxa w sterowniku i3c dla platform Renesas wykryto wyciek pamięci. Struktura xfer alokowana przez renesas_i3c_alloc_xfer() nie była zwalniana w funkcji renesas_i3c_i3c_xfers().

W jądrze Linux w systemie plików NTFS3 (ntfs3) wykryto podatność polegającą na użyciu niezainicjalizowanej zmiennej 'lcn' w funkcji ntfs_iomap_begin(). Problem występuje, gdy długość bloku (len) wynosi zero, co powoduje pominięcie inicjalizacji 'lcn' i prowadzi do odczytu nieokreślonej wartości.

W sterowniku USB Type-C w jądrze Linux wykryto błąd dereferencji wskaźnika błędu. Funkcja nie sprawdza poprawnie wyniku rejestracji partnera, co może prowadzić do dereferencji wskaźnika ERR_PTR i potencjalnego crashu systemu.

W systemie plików NTFS3 w jądrze Linux wykryto błąd polegający na braku załadowania przebiegów (runów) dla bloku VCN0 w funkcji attr_data_get_block_locked(). Może to prowadzić do błędnego odczytu i wyzwolenia ostrzeżenia WARN_ON(1).

W jądrze Linuxa w podsystemie NFSD wykryto błąd w funkcji nfsd4_add_rdaccess_to_wrdeleg, który powoduje niepotrzebne zwiększenie licznika dostępu do pliku nfs4_file. Gdy inny wątek już ustawił fp->fi_fds[O_RDONLY], ponowne wywołanie __nfs4_file_get_access prowadzi do nadmiarowego zliczania, co uniemożliwia zwolnienie obiektu nfsd_file. Podczas zatrzymywania usługi nfs-server nadmiarowe liczniki wywołują BUG w kmem_cache_destroy().

W jądrze Linux wykryto podatność use-after-free w sterowniku greybus raw. Problem występuje, gdy urządzenie raw bundle zostanie odłączone, ale aplikacja wciąż ma otwarty plik znakowy (cdev). Po zamknięciu pliku przez aplikację dochodzi do odwołania do już zwolnionej pamięci, co powoduje panic jądra.

W sterowniku Greybus RAW jądra Linux wykryto podatność use-after-free. Jeśli użytkownik wywoła operację zapisu do urządzenia znakowego po wywołaniu funkcji disconnect, dochodzi do dereferencji wskaźnika NULL i paniki jądra. Problem wynika z braku synchronizacji między operacją zapisu a niszczeniem połączenia.

W jądrze Linux w systemie plików NTFS3 odkryto podatność polegającą na braku dodania znaku końca łańcucha (NUL) po konwersji etykiety woluminu z UTF-16 na UTF-8. Funkcja ntfs_fill_super() nie zapewnia terminacji, co może prowadzić do odczytu poza przydzielonym buforem podczas wyświetlania etykiety przez ntfs3_label_show().

W jądrze Linux w sterowniku dell-wmi-sysman dla platform x86 wykryto podatność polegającą na braku sprawdzenia dostępnego miejsca podczas agregacji ciągów znaków z firmware'u. Funkcja populate_enum_data() łączyła wartości modyfikatorów i możliwych wartości w 512-bajtowe struktury, używając strcat() bez kontroli pozostałego miejsca, co mogło prowadzić do przepełnienia bufora.

W jądrze Linux wykryto podatność polegającą na przepełnieniu liczby całkowitej w funkcji sbc_execute_unmap() w podsystemie SCSI target. Brak zabezpieczenia przed zawijaniem się wartości LBA + range przy 64-bitowym przepełnieniu może prowadzić do nieprawidłowego sprawdzania granic.

W jądrze Linux wykryto potencjalny wyścig (race condition) podczas synchronizacji TLB. Problem wynika z braku blokady podczas przeglądania i modyfikacji tablic stron. Rozwiązanie polega na wyłączeniu dzielonej blokady tablic stron dla uproszczenia.

W jądrze Linuxa w sterowniku ccu_mix dla układów Spacemit wykryto odwrócony warunek w funkcji ccu_mix_trigger_fc(), który pomija wyzwalanie zmiany częstotliwości. Powoduje to panikę jądra podczas skalowania częstotliwości procesora (cpufreq).

W jądrze Linux w systemie plików F2FS wykryto błąd powodujący crash (BUG) podczas odśmiecania (GC). Problem występuje, gdy strona już zaktualizowana jest ponownie odczytywana z dysku, co prowadzi do naruszenia asercji VM_BUG_ON_FOLIO.

W jądrze Linux w systemie plików F2FS wykryto podatność powodującą utratę danych. Problem występuje, gdy operacja fsync na nowo utworzonym pliku jest wykonywana równocześnie z punktem kontrolnym (checkpoint). Błędna interpretacja flag nat_entry prowadzi do przedwczesnego założenia o zakończeniu punktu kontrolnego, co skutkuje utratą danych po awarii.

W jądrze Linuxa w podsystemie CCP (crypto: ccp) występuje podatność polegająca na nadpisywaniu bufora IV podczas operacji szyfrowania AES w trybie RFC3686. Funkcja ccp_aes_complete() przywracała 16 bajtów (AES_BLOCK_SIZE) do bufora IV, podczas gdy algorytm RFC3686 używa tylko 8-bajtowego IV, co prowadzi do przepełnienia bufora.

W jądrze Linux w systemie plików EROFS wykryto podatność polegającą na użyciu typu `unsigned long` dla zmiennej `lcn`, która na platformach 32-bitowych ma szerokość tylko 32 bitów. Powoduje to obcinanie przesunięcia `(lcn << lclusterbits)` przy pojemności powyżej 4 GiB, co może prowadzić do błędów w adresowaniu bloków.

W jądrze Linux w module net/sched/act_mirred wykryto błąd w funkcji tcf_blockcast_redir. Podczas iteracji portów bloku do przekierowania pakietów na wiele urządzeń, flaga mac_header_xmit była pobierana z niewłaściwego urządzenia (następnego w iteracji, a nie tego, do którego pakiet jest wysyłany). Powoduje to błędne decyzje o pushowaniu lub pullowaniu nagłówka MAC, co prowadzi do uszkodzenia nagłówka skb, a w skrajnych przypadkach do paniki jądra z powodu wyczerpania headroom.

W jądrze Linuxa w sterowniku macvlan brakuje rezerwacji miejsca w buforze Netlink dla atrybutu IFLA_MACVLAN_BC_CUTOFF. Powoduje to błąd -EMSGSIZE i ostrzeżenie WARN_ON podczas wyświetlania interfejsu, gdy funkcja bc_cutoff jest ustawiona na wartość inną niż 1.

W jądrze Linux wykryto podatność polegającą na nieaktualizowaniu flagi has_v4 w grupach nexthop podczas zastępowania nexthop IPv6 przez IPv4. Powoduje to, że trasy IPv6 mogą być przypisane do grup zawierających wyłącznie członków AF_INET, co prowadzi do dereferencji wskaźnika NULL i paniki systemu.

W jądrze Linux w harmonogramie sieciowym taprio wykryto podatność use-after-free w funkcji advance_sched() podczas przełączania harmonogramów. Po wywołaniu switch_schedules() stary harmonogram oper jest zwalniany przez call_rcu(), ale wskaźnik 'next' nadal wskazuje na wpis w starym harmonogramie, co prowadzi do odwołania do zwolnionej pamięci.

W sterowniku sieciowym Intel ice (i40e) wykryto podwójne zwolnienie bufora skb w funkcji ice_xmit_frame_ring(). Gdy ice_tso() lub ice_tx_csum() zawiedzie, skb jest zwalniany, ale wskaźnik w tx_buf pozostaje ustawiony, co prowadzi do ponownego zwolnienia podczas czyszczenia kolejki transmisyjnej.

W jądrze Linux w sterowniku ice wykryto błąd wyścigu podczas czyszczenia pierścienia znaczników czasu TX. Brak odpowiedniej synchronizacji między funkcjami ice_free_tx_tstamp_ring() a ice_tx_map() może prowadzić do dereferencji wskaźnika NULL.

W sterowniku ice jądra Linux wykryto potencjalne wyłuskanie wskaźnika NULL w ścieżce błędu funkcji ice_set_ringparam(). Problem wynika z wyzerowania wskaźnika tstamp_ring bez wyczyszczenia flagi ICE_TX_RING_FLAGS_TXTIME, co przy niepowodzeniu ice_setup_tx_ring() prowadzi do dereferencji NULL w ice_free_tx_tstamp_ring().

W jądrze Linuxa wykryto podatność w mechanizmie SOCKMAP dla gniazd AF_UNIX. SOCKMAP może ukryć przesyłany deskryptor pliku przed odśmiecaczem (GC), co prowadzi do wycieku pamięci i potencjalnego użycia po zwolnieniu (use-after-free). Atakujący może wykorzystać tę lukę do eskalacji uprawnień lub destabilizacji systemu.

W jądrze Linux wykryto podatność w funkcji sctp_getsockopt_peer_auth_chunks, która nieprawidłowo sprawdza rozmiar bufora użytkownika przed zapisem danych. Brak uwzględnienia nagłówka struktury sctp_authchunks (8 bajtów) powoduje zapis poza przydzieloną pamięć, co może nadpisać sąsiednie dane użytkownika.

W jądrze Linux wykryto podatność w sterowniku PPPoE, która pozwala na odrzucenie ramek z kompresją pola protokołu (PFC). Atakujący może wysłać spreparowaną ramkę z 1-bajtowym polem protokołu, co powoduje przesunięcie danych o jeden bajt i może prowadzić do błędów dostępu do pamięci na niektórych architekturach.

W jądrze Linux stwierdzono podatność w module netfilter xtables, polegającą na nieprawidłowym użyciu NFPROTO_UNSPEC w rozszerzeniach xt_mac, xt_owner, xt_physdev i xt_realm. Powoduje to, że reguły filtrowania mogą być stosowane do nieoczekiwanych rodzin protokołów, co może prowadzić do błędów konfiguracji zapory sieciowej.

W jądrze Linuxa w podsystemie netfilter/nat wykryto problem z bezpieczeństwem polegający na tym, że struktury ops używane do rejestracji hooków NAT nie były zwalniane z opóźnieniem (kfree_rcu). Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy użytkownik odczytuje listę aktywnych hooków przez nfnetlink_hook, co zostało dodane w wersji 5.14.

W jądrze Linux wykryto podatność w module netfilter nfnetlink_osf, gdzie funkcja nf_osf_ttl() sprawdzała TTL pakietu, odwołując się do wskaźnika skb->dev bez weryfikacji jego poprawności, co mogło prowadzić do dereferencji pustego wskaźnika. Dodatkowo, logika sprawdzania TTL opierała się na błędnym założeniu, że pakiety z tej samej podsieci nie powinny mieć zmniejszonego TTL, co jest nieprawdziwe w środowiskach z kontenerami i przełączaniem wirtualnym.

W jądrze Linuxa w mechanizmie kolejkowania dualpi2 (net/sched) wykryto podatność polegającą na błędnym opróżnianiu kolejek C i L podczas zmiany konfiguracji. Funkcja dualpi2_change() nieprawidłowo obsługiwała sytuację, gdy pakiety znajdowały się tylko w kolejce L, co prowadziło do dereferencji wskaźnika NULL.

W jądrze Linuxa w systemie plików ksmbd wykryto wyciek deskryptora pliku trwałego (durable fd) w przypadku niezgodności ClientGUID podczas otwierania trwałego v2. Funkcja ksmbd_lookup_fd_cguid() zwiększa licznik odwołań, ale w ścieżce niezgodności ClientGUID nie jest on zwalniany, co prowadzi do wycieku zasobów.

W jądrze Linux w podsystemie RDS wykryto podatność polegającą na niezerowaniu bufora informacyjnego przed przekazaniem go do funkcji odwiedzających. Powoduje to wyciek danych ze stosu jądra do przestrzeni użytkownika, gdy połączenie RDS nie jest w stanie RDS_CONN_UP.

W jądrze Linux w sterowniku vsock/virtio wykryto błąd w funkcji virtio_transport_init_zcopy_skb(), która używała już skonsumowanego iteratora (iter->count) do obliczania liczby stron do zablokowania w pamięci. Powodowało to pomijanie ograniczenia RLIMIT_MEMLOCK dla ostatniego pakietu, co mogło prowadzić do niekontrolowanego zużycia pamięci.

W jądrze Linux wykryto podatność w systemie plików ADFS, gdzie brak walidacji liczby stref (nzones) w funkcji adfs_validate_bblk() może prowadzić do zapisu poza zakresem pamięci. Atakujący może dostarczyć spreparowany obraz dysku z zerową liczbą stref, co powoduje wywołanie kmalloc_array(0, ...) zwracającego ZERO_SIZE_PTR, a następnie zapis przed przydzielonym buforem.