Podatności Linux kernel

W jądrze Linux wykryto błąd wyścigu między zapisem do pliku ciśnienia (pressure write) a zwalnianiem pliku grupy kontrolnej (cgroup file release). Problem dotyczy struktury priv w struct kernfs_open_file, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto wyciek referencji do i-węzła w funkcji fsnotify_recalc_mask(). Problem występuje, gdy zwracana przez __fsnotify_recalc_mask() wartość (wskaźnik do i-węzła) nie jest obsługiwana, co prowadzi do braku wywołania iput() i fsnotify_put_sb_watched_objects(). Skutkuje to zawieszeniem systemu podczas odmontowywania systemu plików.

W jądrze Linux w podsystemie netfilter/nf_tables wykryto podatność polegającą na niebezpiecznym publikowaniu nowych haków (hooks) na liście basechain/flowtable podczas fazy zatwierdzania (commit). Brak użycia splice_list_rcu() może prowadzić do naruszenia bezpieczeństwa przy równoczesnym przeglądaniu listy przez netlink dump i aktualizacji reguł.

W jądrze Linux w sterowniku amdgpu wykryto podwójne wywołanie drm_exec_fini() w funkcji walidacji userq. Gdy nowe dodanie jest prawdziwe, funkcja najpierw finalizuje exec, a następnie przy błędzie amdgpu_ttm_tt_get_user_pages() ponownie wywołuje drm_exec_fini(), co prowadzi do podwójnego zwolnienia zasobów. Problem został znaleziony przez statyczne narzędzie analizy i potwierdzony przeglądem kodu.

W jądrze Linux wykryto podatność w module netdevsim, gdzie funkcja nsim_dev_trap_skb_build niezeruje struktury IP nagłówka w fałszywym buforze sk_buff. Może to prowadzić do wycieku niezainicjalizowanych danych przez KMSAN.

W jądrze Linuxa w podsystemie net/sched: netem wykryto podatność polegającą na nieprawidłowym sprawdzaniu limitu kolejki. Licznik q->t_len uwzględniał tylko pakiety w wewnętrznej kolejce tfifo, pomijając pakiety umieszczane w sch->q przez ścieżkę reorder (__qdisc_enqueue_head). Powodowało to możliwość przekroczenia limitu sch->limit podczas kolejkowania z reorderingiem.

W jądrze Linux wykryto podatność w sterowniku sieciowym airoha, powodującą niezrównoważenie BQL (Byte Queue Limits) w ścieżce transmisji. Problem wynika z nieprawidłowego indeksowania kolejek TX, gdzie liczba pakietów w locie jest uwzględniana tylko dla ograniczonej liczby kolejek, podczas gdy ukończenia są rozliczane dla wszystkich kolejek.

W jądrze Linuxa w funkcji neigh_xmit występuje wyciek pamięci (skb) w przypadku wywołania z niezainicjalizowaną tablicą sąsiadów (np. NEIGH_ND_TABLE przy wyłączonym IPv6). Funkcja nie zwalniała wtedy pakietu, a jej zwracana wartość była ignorowana przez wywołującego (np. MPLS). Łatka zapewnia pełne przejęcie własności skb i usunięcie ostatniej ścieżki kodu, która nie wysyłała ani nie zwalniała pakietu.

W jądrze Linux wykryto podatność w schedulerze CFS (Completely Fair Scheduler), gdzie nowo utworzone zadanie (fork) może odziedziczyć nieprawidłową flagę rel_deadline. Powoduje to błędne przeliczenie deadline'u, a w konsekwencji przepełnienie zmiennej vruntime, co prowadzi do awarii systemu (NULL pointer dereference) przy wywołaniu sched_yield().

W jądrze Linuxa w module PSP (Packet Security Protocol) wykryto podatność polegającą na braku sprawdzenia, czy urządzenie sieciowe zostało wyrejestrowane podczas tworzenia asocjacji. Funkcja psp_assoc_device_get_locked() może uzyskać referencję do urządzenia, które w międzyczasie zostało wyrejestrowane, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux stwierdzono lukę w module PSP (Platform Security Processor), gdzie operacje dev-set i key-rotate modyfikują współdzielony stan urządzenia (konfigurację wersji PSP oraz materiał klucza kryptograficznego) bez wymagania uprawnień CAP_NET_ADMIN. Jedyną kontrolą dostępu jest psp_dev_check_access(), która sprawdza jedynie przynależność do przestrzeni nazw sieciowych.

W jądrze Linux wykryto podatność w mechanizmie futex, która może prowadzić do zakleszczenia systemu (live lock) podczas operacji requeue-PI. Problem występuje, gdy zadanie opuszcza kolejkę z powodu sygnału lub timeoutu, a zadanie o wyższym priorytecie blokuje dostęp do blokady, powodując nieskończoną pętlę.

W sterowniku graficznym drm/xe jądra Linuxa znaleziono dwa błędy w funkcji xe_exec_queue_create_ioctl(). Pierwszy powoduje, że po niepowodzeniu xe_hw_engine_group_add_exec_queue() kolejka nie jest usuwana z listy VM, co prowadzi do wiszącego wskaźnika. Drugi błąd pomija usunięcie kolejki z grupy silników po niepowodzeniu xa_alloc(), co skutkuje use-after-free.

W jądrze Linux wykryto wyścig danych (data race) w mechanizmie 802.3ad (LACP) bondingu, związany z brakiem odpowiedniego zabezpieczenia RCU dla wskaźnika port->aggregator. Problem został rozwiązany przez dodanie kwalifikatora __rcu oraz właściwych funkcji RCU.

W jądrze Linux wykryto wyciek pamięci w mechanizmie TLS. Podczas nieudanej próby przełączenia odbioru TLS na przyspieszenie sprzętowe, funkcja czyszcząca nie zwalniała węzła kotwiczącego (anchor skb) przydzielonego przez strparser. Problem pojawił się po zmianie implementacji strparsera w jądrze.

Wykryto podatność w jądrze Linux w mechanizmie futex, gdzie funkcja need_futex_hash_allocate_default() błędnie wymagała flagi CLONE_THREAD do poprawnej alokacji hash. Prowadziło to do błędu use-after-free przy współdzieleniu pamięci (mm) w inny sposób niż przez wątki, np. przez procesy potomne.

W jądrze Linuxa w podsystemie kryptograficznym af_alg ograniczono długość danych powiązanych (AD) w trybie AEAD do 0x80000000. Ma to zapobiec przepełnieniom arytmetycznym podczas sprawdzania rozmiaru bufora TX.

W jądrze Linux w sterowniku sieciowym ena (Amazon Elastic Network Adapter) wykryto podatność na użycie po zwolnieniu (use-after-free) w funkcji get_timestamp. Problem wynika z braku synchronizacji przy sprawdzaniu flagi active i odczycie wskaźnika do pamięci DMA, co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux w podsystemie netfilter wykryto wyciek referencji do obiektu oczekiwania (expectation) w funkcji nft_ct_expect_obj_eval(). Funkcja alokuje oczekiwanie, ale nie zwalnia lokalnej referencji przed zwróceniem wyniku.

W jądrze Linux wykryto podatność w funkcji kvm_reset_dirty_gfn() mechanizmu KVM. Brak sprawdzenia przepełnienia przy dodawaniu offsetu i maski pozwala na ominięcie walidacji zakresu przez zawinięcie liczby całkowitej (integer wrap). Atakujący może wykorzystać tę lukę do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze Linuxa w podsystemie KVM dla architektury s390 wykryto podatność polegającą na podwójnym skalowaniu wskaźników przy indeksowaniu tablicy GAIT. Funkcje kvm_s390_pci_aif_enable(), kvm_s390_pci_aif_disable() oraz aen_host_forward() ręcznie mnożyły indeks przez sizeof(struct zpci_gaite), co przy wskaźniku do struktury powodowało dostęp poza zakres dla aisb >= 32.

W jądrze Linux w podsystemie SMB/client wykryto podatność prowadzącą do nieskończonej pętli i odczytu poza zakresem w funkcji symlink_data(). Problem występuje na architekturach 32-bitowych, gdzie nieprawidłowa wartość ErrorDataLength może spowodować, że wskaźnik next wskazuje na początek struktury lub poza nią.

W jądrze Linux wykryto błąd logiczny w mechanizmie zmiany uchwytów (change handle) w podsystemie DRM. Nieprawidłowe zastąpienie wskaźnika IDR nowym obiektem prowadziło do ostrzeżenia i potencjalnego wycieku zasobów podczas zamykania pliku.

W jądrze Linux w podsystemie DRM TTM wykryto błąd powodujący nieskończoną pętlę podczas przeglądania listy LRU przy nieudanej operacji swapout. Po niepowodzeniu ttm_tt_swapout() przywracanie pozycji zasobu na liście LRU prowadzi do ponownego znalezienia tego samego zasobu, co skutkuje nieskończoną pętlą.

W jądrze Linux stwierdzono podatność w parserze USB MIDI 2.0, który nie sprawdza poprawności długości deskryptorów podczas skanowania dodatkowych danych punktu końcowego. Może to pozwolić na odczyt poza zakresem przez złośliwe urządzenie USB.

W jądrze Linuxa w sterowniku ALSA USB-audio wykryto podatność polegającą na nieprawidłowym ograniczeniu skanowania deskryptorów punktów końcowych MIDI. Funkcja snd_usbmidi_get_ms_info() nie sprawdzała, czy rozmiar deskryptora punktu końcowego nie przekracza pozostałych bajtów w skanie endpoint-extra, co mogło prowadzić do odczytu poza zakresem.

W jądrze Linux wykryto wyciek bufora w funkcji __ceph_setxattr() w systemie plików Ceph. Podczas ponawiania operacji zmienna old_blob przechowuje wartość ci->i_xattrs.prealloc_blob, ale nigdy nie jest zwalniana przez ceph_buffer_put(), co prowadzi do wycieku pamięci.

W jądrze Linux w systemie plików Ceph wykryto błąd prowadzący do paniki jądra (BUG_ON) w funkcji __ceph_build_xattrs_blob(). Problem wynika z wyścigu spowodowanego przez commit d93231a6bc8a, który przeniósł obliczenia rozmiaru blobu przed wywołanie __build_xattrs(), co pozwala na zmianę blobu przez handle_cap_grant() w międzyczasie.

W jądrze Linux w systemie plików Ceph wykryto podatność polegającą na braku zwalniania referencji do stron (folio) podczas operacji zapisu zwrotnego. Funkcja usuwająca strony z partii nie wywoływała `folio_put`, co prowadziło do wycieku pamięci.

W jądrze Linux w sterowniku sev-guest stwierdzono podatność polegającą na użyciu wartości kontrolowanej przez hosta do obliczenia rozmiaru strony podczas zwalniania bufora. Host może zwrócić oczekiwany rozmiar bufora, który jest następnie używany do wyliczenia rzędu stron, co może prowadzić do uszkodzenia alokatora stron.

W jądrze Linuxa w bibliotece libceph wykryto podatność polegającą na możliwości wywołania dereferencji pustego wskaźnika podczas dekodowania argumentów wyboru (choose_args) w mapie CRUSH. Problem występuje, gdy odebrana wiadomość zawiera indeks wiadra (bucket_index) wskazujący na nieistniejące wiadro (NULL), co może prowadzić do awarii systemu.

W jądrze Linux w bibliotece libceph wykryto podatność na dostęp poza zakresem w funkcji __ceph_x_decrypt(). Atakujący może wysłać specjalnie spreparowaną ramkę uwierzytelniającą, która powoduje odczyt poza przydzielonym buforem, co może prowadzić do ujawnienia informacji lub awarii systemu.

W jądrze Linux w funkcji decode_choose_args() w bibliotece libceph wykryto podatność polegającą na braku obsługi błędu przy wstawianiu do drzewa czerwono-czarnego. Potencjalnie uszkodzona wiadomość CEPH_MSG_OSD_MAP może zawierać dwa wpisy choose_args o tym samym indeksie, co powoduje wywołanie asercji i panikę jądra (kernel BUG).

W jądrze Linux wykryto podatność w sterowniku iommu/vt-d, która powoduje błąd Oops podczas zamykania procesu QEMU. Problem wynika z dostępu poza zakres struktury dmar_domain dla globalnego statycznego domeny zablokowanej, która jest domeną zastępczą bez odpowiedniej struktury.

W jądrze Linux wykryto podatność w podsystemie IOMMU, która powoduje fałszywy alarm WARN_ON podczas resetowania urządzenia. Problem wynika z nieprawidłowego blokowania operacji dołączania domeny w przypadku współdzielenia RID przez wiele urządzeń w grupie.

W jądrze Linux w sterowniku DRM dla GPU Intel Xe wykryto podatność związaną z obsługą buforów DMA-BUF. Problem dotyczy wyścigów (race conditions) prowadzących do użycia niezainicjalizowanego obiektu bufora (empty bo) oraz użycia pamięci po jej zwolnieniu (Use-After-Free, UAF) w funkcji invalidate_mappings. Atakujący może wykorzystać te luki do wywołania awarii systemu lub potencjalnie do eskalacji uprawnień.

W jądrze Linux w sterowniku DRM xe (dma-buf) występuje podatność use-after-free (UAF) w pętli ponawiania operacji. Po błędzie obiekt (bo) jest zwalniany, a pętla ponawia próbę na już zwolnionej pamięci, co może prowadzić do naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność w sterowniku TTM (Translation Table Manager) polegającą na nieskończonej pętli podczas przeglądania listy LRU w funkcji ttm_bo_shrink() w przypadku niepowodzenia tworzenia kopii zapasowej. Problem został rozwiązany przez przeniesienie operacji usuwania z listy bulk_move po pomyślnym zakończeniu kopii zapasowej.

W jądrze Linux wykryto podatność w sterowniku i2c-dev, gdzie funkcja ioctl I2C_TIMEOUT nieprawidłowo waliduje argument czasu oczekiwania. Użytkownik może przekazać wartość, która przechodzi kontrolę zakresu, ale powoduje przepełnienie liczby całkowitej przy mnożeniu przez 10, co prowadzi do ujemnego czasu oczekiwania i awarii stanu maszyny SMBus.

W jądrze Linux w module qrtr wykryto podatność polegającą na przedwczesnym zmniejszeniu licznika referencji gniazda przed usunięciem go z tablicy XArray i zakończeniem okresu RCU. Prowadzi to do wyścigu, w którym czytelnik RCU może uzyskać wskaźnik do gniazda z zerowym licznikiem referencji, powodując nasycenie licznika i potencjalne użycie po zwolnieniu (UAF).

W jądrze Linux wykryto błąd w funkcjach send_sigio() i send_sigurg() związany z niebezpieczną kolejnością blokad w kontekście SOFTIRQ. Podczas wysyłania sygnałów do grupy procesów (PIDTYPE_PGID) używano read_lock(&tasklist_lock), co przy jednoczesnym działaniu write_lock w fork()/exit() i przerwaniu przez softirq (np. TCP URG) prowadzi do zakleszczenia. Poprawka zastępuje tasklist_lock przez rcu_read_lock(), co eliminuje problem.

W jądrze Linuxa wycofano commit włączający domyślnie wątkowy NAPI w sterowniku WireGuard, ponieważ powodował on całkowite zatrzymanie odszyfrowywania ruchu dla konkretnych peerów w środowiskach Kubernetes z Cilium. Problem występował rzadko, ale prowadził do trwałego blokowania ruchu E/W między podami a niektórymi węzłami.

W jądrze Linuxa w systemie plików ksmbd (SMB) wykryto brak kontroli dostępu dla operacji FSCTL_SET_SPARSE. Funkcja fsctl_set_sparse() modyfikuje atrybut rozrzedzenia pliku bez sprawdzania, czy udział jest tylko do odczytu, ani czy klient ma odpowiednie uprawnienia (FILE_WRITE_DATA lub FILE_WRITE_ATTRIBUTES).

W jądrze Linuxa wykryto podatność w funkcjach pskb_carve_inside_header() i pskb_carve_inside_nonlinear(), które podczas kopiowania struktury skb_shared_info nie zwiększają licznika referencji dla wskaźnika destructor_arg (uarg) używanego przez MSG_ZEROCOPY. Prowadzi to do przedwczesnego zwolnienia pamięci ubuf_info_msgzc, co może być wykorzystane do eskalacji uprawnień.

W jądrze Linux wykryto podatność w mechanizmie logowania netfilter (nf_log), gdzie funkcja dump_mac_header() nie sprawdza, czy nagłówek MAC został ustawiony przed jego odczytem. Atakujący może wysłać specjalnie spreparowany pakiet przez AF_PACKET z flagą PACKET_QDISC_BYPASS, co powoduje odczyt poza dozwolonym buforem (slab-out-of-bounds) i potencjalny wyciek danych do logów jądra.

W jądrze Linux wykryto podatność w mechanizmie SMC (Shared Memory Communications). Punkt śledzenia (tracepoint) smc_msg_event bezwarunkowo wyłuskuje wskaźnik conn->lnk, który dla połączeń SMC-D jest NULL, co prowadzi do dereferencji pustego wskaźnika i awarii systemu (kernel panic) przy pierwszym wywołaniu sendmsg() lub recvmsg() na gnieździe SMC-D, gdy śledzenie jest włączone.

W jądrze Linux w funkcji tun_put_user() struktura virtio_net_hdr_v1_hash_tunnel na stosie nie jest zerowana. Dla pakietów nietunelowych inicjalizowane jest tylko 10 pierwszych bajtów, a pozostałe 14 bajtów zawiera śmieci ze stosu. Nieuprzywilejowany użytkownik może ustawić rozmiar nagłówka vnet na 24 bajty, co powoduje wyciek 14 bajtów danych ze stosu jądra do przestrzeni użytkownika przy każdym odczycie pakietu nietunelowego.

W jądrze Linux wykryto podatność w sterowniku RDS/IB, gdzie funkcja rds_ib_send_cqe_handler() wywołuje dereferencję wskaźnika NULL podczas obsługi zakończenia operacji atomowej maskowanej. Problem wynika z braku obsługi kodów operacji maskowanych (IB_WR_MASKED_ATOMIC_CMP_AND_SWP i IB_WR_MASKED_ATOMIC_FETCH_AND_ADD) w funkcji rds_ib_send_unmap_op(), co prowadzi do zwrócenia NULL i paniki jądra w kontekście przerwania miękkiego.

W jądrze Linux wykryto błąd w mechanizmie BPF, który prowadzi do dereferencji pustego wskaźnika w funkcjach bpf_sk_storage_clone i bpf_sk_storage_diag_put_all. Problem występuje, gdy współbieżny czytelnik RCU obserwuje element pamięci (selem) na liście, ale jego wskaźnik do mapy (smap) został już wyzerowany przez bpf_selem_unlink_nofail().

W jądrze Linux w sterowniku tap wykryto wyciek danych ze stosu jądra przez ioctl SIOCGIFHWADDR. Funkcja tap_ioctl() kopiuje 16 bajtów niezainicjalizowanej struktury sockaddr_storage do przestrzeni użytkownika, podczas gdy netif_get_mac_address() zapisuje tylko 6 bajtów adresu MAC, pozostawiając 8 bajtów niezainicjalizowanych. Te 8 bajtów może zawierać wrażliwe dane, takie jak wskaźniki jądra, co umożliwia obejście mechanizmu KASLR.