Podatności Linux kernel

W jądrze Linux w sterowniku amdgpu naprawiono problem z dostępem do nieaktualnego mapowania wskaźnika zapisu (wptr), co mogło prowadzić do naruszenia bezpieczeństwa podczas tworzenia kolejki.

W sterowniku Renesas VSP1 w jądrze Linuxa podczas wyładowywania modułu na generacji 4 dochodzi do dereferencji wskaźnika NULL. Kod czyszczący wywołuje vsp1_drm_cleanup() zamiast vsp1_vspx_cleanup() dla odpowiedniej wersji IP. Poprawka sprawdza wersję IP i wywołuje odpowiednią funkcję.

W sterowniku DRM dla GPU Intel (xe) w jądrze Linux brakuje walidacji indeksu PAT dla pamięci z buforowaniem CPU. Użycie trybu koherencji XE_COH_NONE z pamięcią buforowaną przez CPU może prowadzić do wycieku danych.

W jądrze Linuxa w sterowniku pmdomain dla Mediatek, funkcja scpsys_get_bus_protection_legacy() wywołuje of_node_put() na węźle urządzenia przed sprawdzeniem błędu z syscon_regmap_lookup_by_phandle(). Jeśli wystąpi błąd, dev_err_probe() dereferencjonuje już zwolniony węzeł, co prowadzi do podatności use-after-free.

W jądrze Linuxa w sterowniku ath5k występuje błąd odczytu/zapisu poza zakresem tablicy. Indeks 'ts->ts_final_idx' może przyjąć wartość 3 dla układu 5212, co prowadzi do zapisu poza tablicą 'rates' o rozmiarze 4. Problem został zgłoszony przez UBSAN. Łatka dodaje warunek sprawdzający, czy indeks jest mniejszy od rozmiaru tablicy przed ustawieniem wartownika.

W jądrze Linux wykryto podatność w mechanizmie flow_dissector, który nieprawidłowo obsługuje ramki PPPoE z kompresją pola protokołu (PFC). Wysyłka spreparowanej ramki PPPoE PFC do interfejsu sieciowego na architekturze MIPS może spowodować wyjątek dostępu do niezaładowanej pamięci, prowadząc do awarii systemu.

W sterowniku rtl8723bs w jądrze Linux brakuje sprawdzenia poprawności alokacji pamięci w funkcji rtw_cbuf_alloc, co może prowadzić do dereferencji wskaźnika NULL i awarii systemu.

W jądrze Linux wykryto podatność w podsystemie NVMe over Fabrics (NVMe-oF) target, gdzie funkcja nvmet_ctrl_free() wywołuje flush_work na tej samej kolejce roboczej nvmet-wq, co prowadzi do potencjalnego zakleszczenia (deadlock) i ostrzeżenia lockdep o rekurencyjnym blokowaniu.

W jądrze Linuxa wykryto podatność w systemie plików ISO 9660 (isofs) związaną z walidacją rozszerzeń Rock Ridge. Funkcja rock_continue() odczytuje numer bloku extentu z rekordu CE bez sprawdzania, czy mieści się on w granicach zamontowanego woluminu, co może prowadzić do odczytu danych spoza zakresu lub z sąsiedniego systemu plików. Mimo że nie powoduje to naruszenia bezpieczeństwa pamięci, może umożliwić wyciek informacji przez readlink().

W jądrze Linux usunięto ograniczenie uniemożliwiające wielokrotne otwieranie pliku /sys/fs/selinux/policy, które pozwalało dowolnemu procesowi blokować innym odczyt polityki SELinux. Poprawka eliminuje flagę policy_opened i skraca sekcję krytyczną z mutexem.

W sterowniku SPI topcliff-pch w jądrze Linuxa występuje podatność use-after-free podczas odłączania sterownika (unbind). Kolejka SPI nie jest opróżniana przed zwolnieniem buforów DMA, co może prowadzić do użycia już zwolnionej pamięci.

W jądrze Linux w systemie plików HFS+ wykryto błąd polegający na zwolnieniu struktury danych z wciąż zablokowaną blokadą. Funkcja hfsplus_fill_super() nie zwalnia blokady tree->tree_lock na ścieżce błędu po nieudanym wywołaniu hfsplus_cat_build_key(), co prowadzi do ostrzeżenia o zwolnieniu zablokowanej blokady.

W jądrze Linuxa wykryto problem wyścigu w module pseries/papr-hvpipe, który może prowadzić do zakleszczenia podczas obsługi przerwań w trakcie wykonywania procedur ioctl lub release.

W sterowniku libwx w jądrze Linuxa dla przerwań VF misc używano request_threaded_irq() z główną procedurą obsługi, ale bez procedury wątku, oraz z flagą IRQF_ONESHOT. Ta kombinacja powoduje ostrzeżenie jądra. Poprawka zamienia to na request_irq() i usuwa zbędną flagę.

W sterowniku SPI s3c64xx w jądrze Linuxa podczas odłączania sterownika dochodzi do dereferencji wskaźnika NULL. Zmiana przenosząca alokację kanałów DMA z probe() do s3c64xx_spi_prepare_transfer() nie usunęła odpowiadającej dealokacji z remove(). Poprawka usuwa zbędne zwalnianie kanałów DMA z remove().

W jądrze Linux wykryto błąd w KVM dla architektury x86, polegający na pomijaniu skanowania IRR (Interrupt Request Register) w funkcji __kvm_apic_update_irr, gdy PID.ON jest ustawiony, ale PIR (Posted Interrupt Register) jest pusty. Powoduje to wyświetlenie fałszywego ostrzeżenia WARNING w vmx_check_nested_events() oraz niepotrzebne przełączanie między L2 a L1.

W jądrze Linuxa wykryto przepełnienie bufora w funkcji retrieve_status w sterowniku dm-ioctl. Błąd wynika z braku sprawdzenia przepełnienia podczas wyrównywania wskaźnika outptr do granicy 8 bajtów, co może prowadzić do zapisu poza buforem. Jednak podatność nie ma implikacji bezpieczeństwa, ponieważ tylko root może wydawać ioctl device mapper, a biblioteki używają buforów wyrównanych do 8 bajtów.

W sterowniku zegara Microchip MPFS-CCC w jądrze Linux występuje dostęp poza zakresem podczas rejestracji wyjść PLL. Tablica hws jest za mała, co prowadzi do odczytu/zapisu poza przydzieloną pamięcią.

W jądrze Linux w frameworku PM domain (genpd) brakuje wywołania pm_runtime_disable() podczas odłączania urządzeń wirtualnych. Powoduje to, że zarządzanie energią (runtime PM) pozostaje włączone dla tych urządzeń, co może prowadzić do krytycznych błędów, takich jak dereferencja wskaźnika NULL lub niepotrzebne utrzymywanie żądań stanu wydajności.

W jądrze Linux w sterowniku kryptograficznym CAAM (caam) funkcja hash_digest_key() używa print_hex_dump() do wyświetlania kluczy HMAC, co może ujawnić poufne dane, gdy włączone jest CONFIG_DYNAMIC_DEBUG. Poprawka zmienia to na print_hex_dump_devel(), które jest bezpieczniejsze.

W jądrze Linux stwierdzono podatność w mechanizmie obsługi błędów stron podczas wywołań usług runtime EFI. Zmiana w kodzie FPU (d02198550423) powoduje, że kernel_fpu_begin() wyłącza miękkie przerwania (softirq) za pomocą local_bh_disable(), co ustawia flagę SOFTIRQ_OFFSET w preempt_count. Powoduje to, że funkcja efi_crash_gracefully_on_page_fault() błędnie interpretuje kontekst jako przerwanie i zamiast obsłużyć błąd strony, wywołuje panic(), prowadząc do całkowitego zawieszenia systemu zamiast planowanego odzyskiwania EFI_ABORTED.

W jądrze Linuxa wykryto błąd użycia po zwolnieniu (UAF) w funkcji of_unittest_changeset() w testach jednostkowych. Zmienna 'parent' wskazuje na to samo urządzenie co 'nchangeset', a wywołanie of_node_put(nchangeset) może zwolnić pamięć, po której następnie odwołuje się 'parent'. Błąd występuje tylko w kodzie testowym, ale może maskować poważniejsze problemy.

W sterowniku txgbe dla kart sieciowych z zewnętrznym PHY wykryto brak blokady RTNL podczas odłączania PHY przy usuwaniu modułu. Powoduje to ostrzeżenie asercji RTNL w funkcji phylink_disconnect_phy().

W jądrze Linux w sterowniku LED QCOM LPG (qcom-lpg) brakuje sprawdzenia granic tablicy przy wyborze wartości wysokiej rozdzielczości. Pole rejestru 3-bitowe jest używane do indeksowania tablicy zawierającej tylko 5 elementów, co może prowadzić do odczytu poza zakresem i ustawienia nieprawidłowych wartości.

W sterowniku MTD docg3 w jądrze Linux występuje podatność use-after-free w funkcji docg3_release(). Wskaźnik docg3 jest używany po zwolnieniu pamięci, co prowadzi do dereferencji wiszącego wskaźnika.

W jądrze Linux w module hugetlb (mm/hugetlb) parametry wiersza poleceń jądra (hugepages, hugepagesz, default_hugepagesz) podane bez separatora '=' powodują przekazanie wartości NULL do funkcji hugetlb_add_param(), która wywołuje strlen() na NULL, co prowadzi do awarii systemu podczas wczesnego rozruchu.

W jądrze Linux w sterowniku TPM (tpm) funkcja tpm_dev_release() używa kfree() zamiast kfree_sensitive() do zwolnienia struktury auth zawierającej poufne dane kryptograficzne (klucze sesji HMAC, nonce, hasła). Inne ścieżki kodu używają kfree_sensitive(), co prowadzi do niespójności i pozostawienia wrażliwych danych w pamięci.

W jądrze Linux w sterowniku IIO ADMV1013 (admv1013) funkcja odczytująca właściwość urządzenia może pozostawić zmienną str niezainicjalizowaną, jeśli device_property_read_string() zawiedzie. Następnie kod wywołuje strcmp(str, ...) na niezainicjalizowanym wskaźniku, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linuxa wykryto przepełnienie bufora w funkcji vrealloc_node_align() w alokatorze vmalloc. Podczas zmniejszania alokacji (size < old_size) kod kopiuje old_size bajtów do nowego bufora, co powoduje zapis poza jego granicami. Błąd został wprowadzony w commit 4c5d3365882d.

W teście HMM jądra Linux (test_hmm) występuje podatność use-after-free. Podczas zamykania pliku nie są migrowane strony urządzenia z powrotem do pamięci systemowej, co pozostawia wiszący wskaźnik zone_device_data.

W jądrze Linux wykryto podatność polegającą na braku inicjalizacji znacznika alokacji (codetag) dla stron przydzielonych przed inicjalizacją struktury page_ext. Powoduje to ostrzeżenia i potencjalne błędy podczas zwalniania takich stron, szczególnie w konfiguracjach z włączonym debugowaniem profilowania alokacji pamięci.

W jądrze Linux w sterowniku graficznym Imagination (powervr) wykryto błąd powodujący dereferencję wskaźnika NULL podczas aktualizacji maski śledzenia ftrace. Problem wynika z przekazania nieprawidłowych danych do wpisu debugfs, co prowadzi do błędu segmentacji (segfault) i awarii systemu.

W jądrze Linuxa w mm/zone_device, po wywołaniu funkcji ->folio_free() na folio urządzenia, jego zawartość może natychmiast ulec zmianie (folio może zostać ponownie przydzielone przez sterownik w innym rozmiarze). Kod dotykał folio ponownie po zwolnieniu, aby pobrać pgmap, co jest niebezpieczne. Poprawka używa lokalnej zmiennej stosowej do przechowania pgmap przed wywołaniem ->folio_free().

W jądrze Linux w sterowniku AMDGPU (amdgpu) na kartach RDNA4 (GFX 12) brakuje pamięci GDS, GWS i OA. Funkcja amdgpu_ttm_init_on_chip() jest wywoływana z rozmiarem zero, co prowadzi do wywołania drm_mm_init(mm, 0, 0) i aktywacji asercji DRM_MM_BUG_ON, powodującej awarię jądra podczas ładowania modułu amdgpu.

W jądrze Linuxa w sterowniku Bluetooth HCI UART wykryto podatności prowadzące do użycia po zwolnieniu (UAF) i wyścigów danych. Problem wynika z nieprawidłowego zarządzania kolejkami pracy i synchronizacji podczas zamykania oraz inicjalizacji, co może skutkować awarią systemu.

W jądrze Linuxa wykryto błąd w io-wq, który prowadzi do użycia po zwolnieniu (UAF) w funkcji io_wq_remove_pending(). Podczas anulowania haszowanej pracy w buckecie 0, jeśli poprzednik na liście nie jest haszowany, wskaźnik do niego jest przechowywany w wq->hash_tail[0], co po zwolnieniu pamięci prowadzi do zapisu przez zwolnioną pamięć.

W jądrze Linux zastąpiono niestandardowy timer vblank w sterowniku DRM vkms implementacją DRM. Usunięto odpowiedni hrtimer w strukturze vkms_output, a kod timeoutu jest teraz wywoływany przez DRM.

W jądrze Linuxa w sterowniku ibmveth wykryto problem z segmentacją pakietów GSO przy małych wartościach MSS (poniżej 224 bajtów). Próba wysłania takich pakietów powoduje zawieszenie adaptera, zatrzymując cały ruch do czasu ręcznego resetu.

W jądrze Linux wykryto błąd wyścigu w sterowniku CoreSight TMC-ETR, który występuje przy jednoczesnym użyciu trybu sysfs i perf. Problem powoduje ostrzeżenie WARN_ON() podczas próby włączenia sprzętu, gdy bufor został już zainicjalizowany przez tryb perf.

W jądrze Linuxa w sterowniku Wi-Fi ath12k występuje błąd powodujący awarię firmware WCN7850 podczas korzystania z WoW (Wake-on-WLAN) w przypadku połączeń wielolinkowych. Problem rozwiązano poprzez włączanie WoW tylko na łączu podstawowym.

W sterowniku zasilania rt9455 w jądrze Linux występuje podatność use-after-free w funkcji power_supply_changed(). Kolejność rejestracji przerwania i power_supply jest nieprawidłowa, co prowadzi do użycia zwolnionego wskaźnika.

W sterowniku pinctrl dla układu Canaan K230 w jądrze Linux występuje błąd dereferencji wskaźnika NULL podczas analizy drzewa urządzeń. Funkcja k230_pinctrl_parse_functions() próbuje uzyskać wskaźnik do urządzenia przez info->pctl_dev->dev, ale info->pctl_dev jest inicjalizowane dopiero po zakończeniu parsowania DT, co prowadzi do awarii.

W jądrze Linux, w mechanizmie PCI Peer-to-Peer DMA (P2PDMA), funkcja p2pmem_alloc_mmap() używa nieprawidłowego warunku ostrzegawczego. Po zmianie początkowej liczby odwołań strony z 1 na 0, warunek VM_WARN_ON_ONCE_PAGE(!page_ref_count(page)) fałszywie zgłasza ostrzeżenie, gdy strona ma refcount równy 0.

W jądrze Linuxa w podsystemie NFC HCI SHDLC występuje błąd polegający na braku zatrzymania timerów i pracy przed zwolnieniem kontekstu, co może prowadzić do użycia po zwolnieniu (UAF) i innych problemów związanych z wyścigami podczas zamykania.

W jądrze Linuxa wykryto problem w sterowniku RDMA hns, gdzie podczas resetowania wywołanego przez sunrpc, kolejka pracy (workqueue) hns_roce_irq_workq jest opróżniana, ale nie ma flagi WQ_MEM_RECLAIM, co powoduje ostrzeżenie i potencjalne problemy z alokacją pamięci. Problem występuje podczas niszczenia QP (Queue Pair), co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku DRM dla układów Intel Xe (xe) wykryto podatność związaną z nieprawidłową inicjalizacją sysfs dla funkcji SR-IOV PF. W przypadku niepowodzenia devm_add_action_or_reset() funkcja czyszcząca była wywoływana na niezainicjalizowanym obiekcie kobject, co prowadziło do ostrzeżeń jądra i potencjalnego use-after-free. Problem został naprawiony poprzez rozdzielenie wywołań kobject_init() i kobject_add() oraz rejestrację akcji czyszczącej dopiero po pełnej inicjalizacji kobject.

W sterowniku graficznym jądra Linux (drm/amd/display) wykryto podatność na odczyt poza zakresem tablicy stream_enc_regs[]. Indeks eng_id może być ujemny lub równy 5 (ENGINE_ID_DIGF), podczas gdy tablica ma tylko 5 elementów (indeksy 0-4). Brak sprawdzenia granic przed indeksowaniem prowadzi do dostępu do pamięci poza tablicą.

W jądrze Linuxa wycofano łatkę dla ASoC fsl_xcvr, która próbowała dodać brakujące blokady w fsl_xcvr_mode_put(). Oryginalna łatka powodowała zakleszczenie (deadlock) i zawieszenie zadania, ponieważ funkcja ta jest już wywoływana z trzymaną blokadą.

W jądrze Linux w sterowniku SPI wpcm-fiu wykryto potencjalne wyłuskanie wskaźnika NULL w funkcji wpcm_fiu_probe(). Funkcja platform_get_resource_byname() może zwrócić NULL, co prowadzi do awarii przy próbie użycia go w resource_size(). Poprawka przenosi przypisanie fiu->memory_size po sprawdzeniu błędu dla devm_ioremap_resource(), aby zapobiec problemowi.

W jądrze Linux wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci w funkcji fib6_add_rt2node(). Problem występuje podczas dodawania trasy IPv6 z identyfikatorem RTA_NH_ID, gdy struktura fib6_info nie zawiera końcowej struktury fib6_nh. Brak sprawdzenia wskaźnika iter->nh przed dostępem do iter->fib6_nh prowadzi do błędu KASAN i potencjalnego naruszenia bezpieczeństwa.