Podatności Linux kernel

W jądrze Linuxa w mechanizmie kryptograficznym jitterentropy zastąpiono długo utrzymywaną blokadę spinlock na mutex. Poprzednio blokada spinlock była utrzymywana podczas kosztownego generowania entropii i kondycjonowania SHA3, co powodowało blokowanie procesorów przez równoległych czytelników.

W jądrze Linux w module xfrm/espintcp wykryto podatność polegającą na ponownym wykorzystaniu stanu częściowego wysyłania (ctx->partial) przed jego zakończeniem. Funkcja espintcp_sendmsg() może nadpisać aktywny stan wysyłania, co prowadzi do użycia nieaktualnego przesunięcia w nowym komunikacie i potencjalnego odczytu poza zakresem pamięci.

W jądrze Linux w module batman-adv wykryto podatność polegającą na przepełnieniu bufora podczas przetwarzania pakietów TVLV. Funkcja obliczająca rozmiar listy kontenerów TVLV używała typu u16, co powodowało zawijanie wartości przy sumie przekraczającej 65535 bajtów, prowadząc do alokacji zbyt małego bufora i zapisu poza jego granice.

W jądrze Linux wykryto podatność w mechanizmie io_uring/poll, gdzie błędne porównanie ze znakiem w funkcji io_poll_get_ownership() uniemożliwiało wejście na ścieżkę wolną (slowpath) po ustawieniu flagi anulowania (IO_POLL_CANCEL_FLAG). Powodowało to, że operacje anulowania nie były prawidłowo obsługiwane.

W jądrze Linux w module xfrm/ipcomp wykryto podatność polegającą na braku zwalniania stron docelowych (destination pages) w przypadku błędów w kompresji asynchronicznej (acomp). Błąd powoduje wyciek pamięci, ponieważ lista SG (scatter-gather) dla miejsc docelowych nie jest czyszczona przy niepowodzeniu.

W jądrze Linux wykryto podatność w mechanizmie IPC Shared Memory (shm). Funkcja czyszcząca porzucone segmenty (shm_destroy_orphaned) nie synchronizuje poprawnie odczytu licznika shm_nattch z operacjami aktualizującymi go, co może prowadzić do przedwczesnego usunięcia segmentu pamięci współdzielonej.

W jądrze Linux wykryto podatność w implementacji SCTP, gdzie odmowa dodania strumieni wyjściowych (ADD_OUT_STREAMS) powoduje niepełne wycofanie zmian. Pozostawione metadane usuniętych strumieni mogą prowadzić do dereferencji wskaźnika null w schedulerze przy ponownym dodaniu strumienia.

W jądrze Linuxa wykryto podatność w implementacji gniazd AF_UNIX. Funkcja SIOCATMARK, która informuje o pozycji znacznika pilnych danych (MSG_OOB), była dostępna dla wszystkich typów gniazd, mimo że MSG_OOB jest obsługiwane tylko dla SOCK_STREAM. Dla gniazd SOCK_DGRAM i SOCK_SEQPACKET, które odrzucają MSG_OOB, zwracany jest teraz błąd -EOPNOTSUPP.

W jądrze Linux wykryto podatność w module ebtables, gdzie funkcja compat_mtw_from_user() nie sprawdza poprawności rozmiaru danych dostarczonych przez użytkownika. Może to prowadzić do odczytu poza dozwolonym obszarem pamięci (OOB read) podczas konwersji rozszerzeń ebtables z 32-bitowych struktur użytkownika na natywne struktury jądra.

W jądrze Linuxa w module batman-adv wykryto podatność polegającą na nieczyszczeniu wskaźnika do aktualnie wybranej bramy (gateway) podczas zamykania siatki mesh. Powoduje to pozostawienie nieaktualnego stanu bramy, co może zakłócić późniejsze ponowne utworzenie siatki.

W jądrze Linux w podsystemie VRF wykryto podatność na wyłuskanie pustego wskaźnika (NPD) podczas usuwania portu z VRF. RCU czytelnicy mogą założyć, że urządzenie sieciowe jest portem VRF, a następnie wywołać operacje l3mdev na nowym urządzeniu nadrzędnym (np. mostku), które ich nie posiada, co prowadzi do dereferencji NULL.

W jądrze Linux wykryto podatność w mechanizmie alokacji identyfikatorów IPC SysV. Funkcja `ipc_idr_alloc()` w ścieżce checkpoint/restore może przydzielić identyfikator poza dozwolonym zakresem (`ipc_mni`), co prowadzi do błędnego mapowania w IDR i pozostawienia wiszących wskaźników. Skutkuje to możliwością naruszenia integralności danych i potencjalnego wykonania kodu przez dereferencję zwolnionej pamięci.

W jądrze Linuxa w module batman-adv (Distributed ARP Table) brakuje sprawdzenia wyniku funkcji pskb_copy_for_clone(). Nieudana alokacja pamięci prowadzi do dereferencji wskaźnika NULL w batadv_send_skb_prepare_unicast_4addr(), co powoduje awarię systemu.

W jądrze Linuxa w podsystemie netfilter/ipset znaleziono podatność w iteracji zakresów IPv4 dla zestawów hash:ip,mark, hash:ip,port, hash:ip,port,ip oraz hash:ip,port,net. Iterator 32-bitowy może po przetworzeniu ostatniego adresu w żądanym zakresie przesunąć stan przejścia poza koniec żądania, co przy ponownej próbie może prowadzić do kontynuacji z nieprzewidzianej pozycji.

W jądrze Linuxa wykryto podatność w module netfilter xt_policy, dotyczącą ścisłego dopasowania polityk dla ruchu przychodzącego. Funkcja match_policy_in() przetwarza wpisy sec_path w odwrotnej kolejności, co powoduje nieprawidłowe dopasowanie reguł składających się z wielu elementów.

W jądrze Linux w module batman-adv wykryto podatność polegającą na niedomiarze licznika w mechanizmie tp_meter podczas zamykania sesji. Gdy wiele ścieżek (np. timeout, anulowanie przez użytkownika, normalne zakończenie) wywołuje funkcję batadv_tp_sender_shutdown(), licznik atomowy 'sending' może spaść poniżej zera, co prowadzi do nieskończonej pętli wątku nadawcy. Powoduje to użycie po zwolnieniu pamięci (use-after-free) przy usuwaniu interfejsu.

W jądrze Linuxa wykryto podatność w stosie Bluetooth polegającą na braku synchronizacji dostępu do kolejki accept_q. Funkcja bt_sock_poll() przegląda tę kolejkę bez blokady, podczas gdy proces zamykania gniazda potomnego może jednocześnie usunąć je z kolejki i zwolnić ostatnie referencje, co prowadzi do wyścigu (race condition). Problem istnieje od początku implementacji Bluetooth w jądrze.

W jądrze Linux wykryto podatność w mechanizmie SCTP sock_diag, gdzie funkcja dump_one może przetwarzać nieaktualne asocjacje. Po zablokowaniu na lock_sock() i zakończeniu sctp_association_free(), asocjacja jest oznaczana jako martwa, a jej lista adresów bind jest zwalniana, co prowadzi do odczytu poza zakresem pamięci.

W jądrze Linux w module batman-adv wykryto podatność polegającą na możliwości rekurencyjnego przetwarzania fragmentów pakietów BATADV_UNICAST_FRAG. Złośliwy nadawca może wysłać pakiet, którego złożona treść sama jest pakietem BATADV_UNICAST_FRAG, co prowadzi do nieograniczonej rekurencji i wyczerpania stosu jądra.

W jądrze Linuxa w module netfilter ip6t_hbh wykryto podatność polegającą na braku walidacji rozmiaru listy opcji Hop-by-Hop. Użytkownik może przekazać z przestrzeni użytkownika wartość optsnr większą niż dozwolona (IP6T_OPTS_OPTSNR = 16), co prowadzi do odczytu lub zapisu poza zakresem tablicy opts. Problem został zgłoszony przez UBSAN jako naruszenie granic tablicy.

W jądrze Linuxa w module batman-adv (B.A.T.M.A.N. Advanced) wykryto podatność na dereferencję wskaźnika NULL. Gdy interfejs sieciowy jest wyłączany, wskaźnik do struktury mesh_iface jest zerowany, ale funkcja batadv_v_ogm_send_meshif() może nadal wysyłać pakiety OGMv2 przez wyłączony interfejs, co prowadzi do próby odczytu z adresu NULL i awarii systemu.

W jądrze Linux wykryto podatność w mechanizmie kolejkowania netfilter (NFQUEUE) dla mostkowanych pakietów. Funkcja br_pass_frame_up() zmienia skb->dev na interfejs mostka przed zakolejkowaniem, ale NFQUEUE nie przechowuje referencji do tego urządzenia, co prowadzi do użycia po zwolnieniu (use-after-free) podczas ponownego wstrzyknięcia pakietu po usunięciu mostka.

W jądrze Linuxa w systemie plików ksmbd wykryto podatność polegającą na tym, że flaga conn->binding pozostawała ustawiona po zakończeniu SESSION_SETUP, co umożliwiało wyszukiwanie globalne sesji dla połączeń, które nie były z nimi powiązane. Poprawka zawęża globalne wyszukiwanie tak, aby zwracana sesja musiała mieć zarejestrowane połączenie w swoim kanale xarray.

W jądrze Linux wykryto podatność w mechanizmie BPF dotyczącą grupy gniazd reuseport. cBPF program był zwalniany natychmiastowo bez oczekiwania na zakończenie fazy RCU, co prowadziło do odczytu poza zakresem pamięci (use-after-free) podczas wyboru gniazda w funkcji reuseport_select_sock.

W jądrze Linuxa stwierdzono podatność w sterowniku ip6_vti, gdzie urządzenie fallback (ip6_vti0) nie ma ustawionej flagi netns_immutable. Inne podobne sterowniki tuneli (np. ip6_tunnel, sit) poprawnie ustawiają tę flagę, aby zapobiec przenoszeniu urządzenia do innej przestrzeni nazw sieciowych.

W jądrze Linuxa znaleziono podatność w mechanizmie ponownej rejestracji regionów pamięci (MR) w sterownikach RDMA. Podczas zmiany uprawnień dostępu z tylko do odczytu (RO) na odczyt i zapis (RW) nie była weryfikowana spójność mapowania pamięci użytkownika (umem), co mogło prowadzić do nieprawidłowego przypinania stron.

Podatność w jądrze Linux w module net/sched (pedit) powoduje uszkodzenie pamięci podręcznej stron z powodu niepełnego COW przy edycji pakietów.

W sterowniku MANA dla Linuksa wykryto podatność use-after-free, która umożliwia autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

W jądrze Linux w sterowniku rockchip rkcif dla mediów naprawiono błędy off-by-one, które mogły powodować dostęp poza zakres tablicy.

W jądrze Linuxa w systemie plików 9p wykryto podatność polegającą na tym, że flagi trybu dostępu są dodawane (OR) zamiast zastępować poprzednie ustawienia. Powoduje to, że przy montowaniu z opcją 'access=user' obie flagi (V9FS_ACCESS_CLIENT i V9FS_ACCESS_USER) są ustawione, co uniemożliwia poprawne działanie operacji takich jak chown.

W jądrze Linuxa, w podsystemie DAMON, brak sprawdzenia czy min_region_sz jest potęgą dwójki w funkcji damon_start() może prowadzić do nieprawidłowych zakresów adresów regionów. Problem został naprawiony przez dodanie odpowiedniego sprawdzenia.

W jądrze Linuxa, w sterowniku Nouveau (drm/nouveau), niepowodzenie aperture_remove_conflicting_pci_devices() podczas inicjalizacji powoduje wyciek obiektu nvkm_device, ponieważ ścieżka błędu nie zwalnia go przed zwróceniem. Problem został naprawiony przez skok do etykiety fail_nvkm.

W jądrze Linuxa w sterowniku greybus gb-beagleplay występuje podatność przepełnienia bufora w funkcji cc1352_bootloader_rx(). Brak sprawdzenia, czy przychodzący fragment danych mieści się w pozostałym miejscu bufora, może prowadzić do przepełnienia bufora i potencjalnego wykonania kodu.

W jądrze Linux wycofano wsparcie TCP ULP dla SMC, ponieważ implementacja naruszała niezmienniki VFS, stwarzając ryzyko użycia po zwolnieniu i niestabilności systemu.

W jądrze Linuxa, w systemie plików EROFS, żądania I/O poza końcem systemu plików dla montowań plikowych nie są zerowane, co może prowadzić do wycieku danych. Problem został naprawiony przez odpowiednie zerowanie takich żądań.

W jądrze Linux w module AppArmor naprawiono obsługę limitów zasobów dla timerów CPU POSIX, dodając warunkową aktualizację timerów.

W jądrze Linuxa w menedżerze woluminów logicznych (device mapper) wykryto podatność w funkcji dm_blk_report_zones, która sprawdza stan zawieszenia urządzenia bez trzymania blokady. Urządzenie może zostać zawieszone tuż po teście, co prowadzi do wyścigu.

W jądrze Linux, w sterowniku ciśnienia MPRLS0025PA (iio: pressure), stwierdzono brak inicjalizacji struktury spi_transfer przed użyciem. Może to prowadzić do nieprzewidywalnego zachowania lub błędów podczas komunikacji SPI.

W jądrze Linuxa w podsystemie netfilter nf_tables funkcje nft_netdev_unregister_hooks i __nft_unregister_flowtable_net_hooks nie używały list_del_rcu() do usuwania elementów z listy hooków netlink. Ponieważ lista ta może być jednocześnie przeglądana przez zrzuty (dumpers), brak synchronizacji RCU mógł prowadzić do wyścigu danych.

W jądrze Linuxa wykryto podatność w mechanizmie GRO (Generic Receive Offload), która pozwala na łączenie pakietów zerocopy bez sprawdzania flagi SKBFL_MANAGED_FRAG_REFS. Może to prowadzić do użycia po zwolnieniu (UAF) poprzez nieprawidłowe zarządzanie referencjami stron. Podatność występuje, gdy ostatni pakiet w łańcuchu GRO lub źródłowy pakiet jest zerocopy.

W jądrze Linux, w sterowniku tun (tun), stwierdzono wyciek pamięci w funkcji tun_xdp_one() przy niepowodzeniu build_skb(). Strona przydzielona przez vhost_net_build_xdp() nie była zwalniana, co prowadziło do wyczerpania pamięci. Każde niepowodzenie w partii powoduje wyciek fragmentu strony.

W jądrze Linux, w sterowniku tun (tun), stwierdzono wyciek pamięci w funkcji tun_xdp_one() przy odrzucaniu ramek krótszych niż ETH_HLEN. Strona przydzielona przez vhost_net_build_xdp() nie była zwalniana, co prowadziło do wyczerpania pamięci. Lokalny atakujący może wykorzystać tę podatność do wywołania paniki OOM.

W jądrze Linuxa w funkcji tap_get_user_xdp() występuje wyciek pamięci, ponieważ strony nie są zwalniane na ścieżkach błędów, co prowadzi do utraty fragmentów stron.

W jądrze Linuxa w module net/sched: act_ct wykryto podatność polegającą na użyciu po zwolnieniu (UAF) podczas wyszukiwania tabeli przepływów. Funkcja rhashtable_lookup_fast() zwalnia blokadę RCU przed inkrementacją licznika referencji, co pozwala na równoczesne zwolnienie obiektu ct_ft i prowadzi do eskalacji uprawnień.

W jądrze Linux wycofano łatkę dotyczącą hugetlbfs, która nieprawidłowo obsługiwała alokację blokady VMA w fazie mmap_prepare, co mogło prowadzić do wycieku blokady. Wycofanie przywraca poprzednie zachowanie, aby umożliwić przeprojektowanie mechanizmu.

W jądrze Linux w KVM dla ARM64 występuje podatność polegająca na użyciu po zwolnieniu (use-after-free) tablicy nested_mmus. Tablica ta jest ponownie alokowana bez odpowiedniego blokowania, co może prowadzić do odwołania do zwolnionej pamięci przez inne wątki.

W jądrze Linuxa operacja IORING_OP_WAITID nie inicjalizuje struktury przechowującej wyniki przed skopiowaniem jej do przestrzeni użytkownika. Jeśli operacja zakończy się bez zgłoszenia zdarzenia dziecka, do użytkownika mogą zostać skopiowane niechciane dane z poprzedniego użycia pamięci.

W jądrze Linux w sterowniku graficznym v3d wykryto podatność na nieskończoną pętlę. Lokalny użytkownik może przesłać samoodnoszące się rozszerzenie ioctl z zerową liczbą synchronizacji, co omija istniejące zabezpieczenia i powoduje zablokowanie wątku jądra oraz przeciążenie rdzenia procesora.

W sterowniku Intel IPU6 w jądrze Linuxa wystąpił błąd dereferencji wskaźnika błędu. W ścieżce obsługi błędu zmienna isp->psys jest wskaźnikiem błędu, a nie NULL, co prowadzi do dereferencji tego wskaźnika. Poprawka ustawia isp->psys na NULL przed przejściem do czyszczenia.

W jądrze Linux w podsystemie videobuf2 brakowało ustawienia flag VMA (VM_DONTEXPAND i VM_DONTDUMP) w funkcji vb2_dma_sg_mmap, co powodowało ostrzeżenie WARN_ON podczas mapowania pamięci dma-buf w sterowniku Apple ISP. Problem został rozwiązany przez dodanie tych flag, aby zachować spójność z zachowaniem vb2_dma_contig.