Podatności Linux kernel

W jądrze systemu Linux zidentyfikowano podatność związaną z nieprawidłowym zarządzaniem blokadami w obsłudze zdarzeń EEH. Zmiany wprowadzone w sterowniku EEH spowodowały, że funkcja pci_lock_rescan_remove() została przeniesiona poza zamierzony zakres, co prowadziło do problemów z raportowaniem błędów PCI oraz nieprawidłowego wyzwalania zdarzeń EEH.

W jądrze systemu Linux zidentyfikowano podatność związaną z nieprawidłowym oznaczeniem flag dostępu do pamięci w prototypach funkcji pomocniczych BPF. Brak odpowiednich flag MEM_RDONLY lub MEM_WRITE prowadzi do błędnych założeń weryfikatora, co może skutkować problemami z poprawnością działania.

W jądrze Linuxa naprawiono podatność typu use-after-free w funkcji power_supply_changed(). Problem występował z powodu niewłaściwej kolejności alokacji i rejestracji uchwytu zasilania, co prowadziło do wyścigu, w którym handler przerwania mógł zostać wywołany z zwolnionym uchwytem.

W jądrze systemu Linux zidentyfikowano podatność związaną z użyciem commit_mutex w ścieżce resetu w netfilter. Problem ten prowadzi do cyklicznej zależności blokad między commit_mutex, nfnl_subsys_ipset oraz nlk_cb_mutex podczas jednoczesnego uruchamiania nft reset, ipset list i reguły iptables-nft z '-m set'.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy dostępu do tablicy regionów przed ustawieniem liczby regionów. Problem ten prowadzi do błędu przekroczenia indeksu tablicy.

W jądrze systemu Linux zidentyfikowano podatność związaną z nieprawidłowym usuwaniem wpisów PASID w tabeli Intel VT-d. Podczas usuwania wpisu, istnieje ryzyko, że sprzęt może odczytać niespójną wartość, co prowadzi do nieprzewidywalnego zachowania systemu.

W jądrze systemu Linux zidentyfikowano podatność związana z użyciem po zwolnieniu (use-after-free) w funkcji power_supply_changed(). Problem ten występuje, gdy uchwyt power_supply jest zwalniany przed zarejestrowaniem obsługi przerwania, co może prowadzić do awarii systemu lub uszkodzenia pamięci.

W jądrze Linuxa zidentyfikowano podatność związana z użyciem po zwolnieniu (use-after-free) w funkcji power_supply_changed(). Problem ten występuje, gdy uchwyt power_supply jest zwalniany przed rejestracją obsługi przerwania, co może prowadzić do awarii systemu lub uszkodzenia pamięci.

W jądrze systemu Linux zidentyfikowano podatność związana z użyciem po zwolnieniu (use-after-free) w funkcji power_supply_changed(). Problem ten występuje, gdy obsługa przerwań jest rejestrowana przed zarejestrowaniem uchwytu power_supply, co prowadzi do wywołania funkcji z zwolnionym uchwytem.

W jądrze Linuxa zidentyfikowano podatność związana z użyciem po zwolnieniu pamięci w funkcji `power_supply_changed()`. Problem występuje, gdy obsługa przerwań jest rejestrowana przed zarejestrowaniem uchwytu `power_supply`, co prowadzi do wyścigu, w którym przerwanie może wywołać funkcję z już zwolnionym uchwytem.

W jądrze Linuxa zidentyfikowano podatność typu use-after-free w funkcji caif_serial ldisc_close(). Problem występuje, gdy handle_tx() uzyskuje dostęp do ser->tty po jego zwolnieniu, co prowadzi do niebezpiecznego wskaźnika.

W jądrze systemu Linux rozwiązano podatność związaną z tabelą PASID, która mogła być używana przez sprzęt IOMMU w niezgodny sposób. Problem polegał na niewłaściwym kolejności flushowania pamięci podręcznej przed zapisaniem adresu nowo przydzielonej tabeli PASID.

W jądrze Linuxa rozwiązano podatność w netfilter, która powodowała, że pakiety były odrzucane zamiast kolejkowane, gdy aplikacja nie ustawiła flagi 'F_GSO' i otrzymała pakiet GSO z niepotwierdzonym wpisem nf_conn.

W jądrze systemu Linux zidentyfikowano podatność w funkcji ib_uverbs_post_send(), która nie weryfikuje wartości wqe_size przed jej użyciem. Umożliwia to odczyt danych poza przydzielonym buforem, co może prowadzić do wycieku wrażliwych informacji z pamięci jądra.

W jądrze Linuxa zidentyfikowano podatność w funkcji amdgpu_gmc_get_nps_memranges(), która używa kfree() do zwalniania pamięci alokowanej przez vmalloc(). Może to prowadzić do uszkodzenia pamięci.

W jądrze Linux w sterowniku RDMA/rxe wykryto podwójne zwolnienie pamięci w funkcji rxe_srq_from_init. Wskaźnik kolejki 'q' jest przypisywany do 'srq->rq.queue' przed skopiowaniem numeru SRQ do przestrzeni użytkownika, a w przypadku błędu copy_to_user() dochodzi do podwójnego wywołania rxe_queue_cleanup().

W jądrze systemu Linux zidentyfikowano podatność w funkcji reserve_unaccepted(), która błędnie oblicza rozmiar rezerwacji pamięci dla tabeli niezaakceptowanej. Problem ten może prowadzić do nadpisania tabeli lub jej niedostępności, co skutkuje paniką jądra.

W jądrze Linuxa naprawiono podatność związaną z dostępem do pamięci poza stosu w funkcji is_bprm_creds_for_exec(). Problem ten występował w wyniku błędnego obliczenia offsetu przy użyciu wskaźnika *file.

W jądrze Linuxa w stosie Bluetooth L2CAP brakuje sprawdzenia NULL w funkcji l2cap_sock_get_sndtimeo_cb(), co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linuxa w stosie Bluetooth L2CAP brakuje sprawdzenia NULL w funkcji l2cap_sock_new_connection_cb(), co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux naprawiono błąd null-ptr-deref w funkcji l2cap_sock_state_change_cb() w stosie Bluetooth L2CAP. Dodano brakującą kontrolę NULL, podobną do tej w l2cap_sock_resume_cb() i l2cap_sock_ready_cb().

W jądrze Linuxa podczas łączenia pakietów w funkcji skb_try_coalesce() nie jest propagowany znacznik SKBFL_SHARED_FRAG, co narusza niezmiennik wymagany przez późniejsze operacje zapisu w miejscu. Może to prowadzić do błędów w przetwarzaniu ESP, gdzie dane są odszyfrowywane w miejscu na fragmencie pamięci podręcznej stron.

W jądrze Linuxa wykryto podatność w funkcjach pomocniczych do przenoszenia fragmentów pakietów sieciowych. Funkcje __pskb_copy_fclone() i skb_shift() nie propagują flagi SKBFL_SHARED_FRAG, co powoduje, że docelowy bufor sieciowy nie informuje o współdzielonych stronach pamięci. Może to prowadzić do zapisu do pamięci podręcznej stron plików tylko do odczytu przez nieuprzywilejowanego użytkownika.

W jądrze Linuxa w podsystemie net/rds występuje problem z czyszczeniem zerocopy send przed zakolejkowaniem wiadomości. Nieprawidłowe rozróżnianie stanu zerocopy może prowadzić do nieprawidłowego czyszczenia stron użytkownika.

W jądrze Linuxa występuje podatność w funkcji remove_waiter() w mechanizmie rtmutex. Funkcja ta używa current zamiast waiter::task, co powoduje problemy przy wycofywaniu blokady proxy w rt_mutex_start_proxy_lock() wywoływanym z futex_requeue(). Prowadzi to do braku blokady pi_lock, nieczyszczenia stanu pi_blocked_on (ryzyko UAF) oraz błędnego działania rt_mutex_adjust_prio_chain().

W jądrze Linux naprawiono lukę w sterowniku accel/ivpu, która uniemożliwia ponowny eksport zaimportowanych obiektów GEM. Ponowny eksport powoduje utratę ustawień flag bufora, prowadząc do nieprawidłowego dostępu do urządzenia i uszkodzenia danych.

W sterowniku fbdev udlfb w jądrze Linux dodano vm_ops do dlfb_ops_mmap, aby zapobiec użyciu po zwolnieniu (use-after-free). Brak vm_ops umożliwiał utrzymywanie starych mapowań pamięci po zmianie bufora, co prowadziło do dostępu do zwolnionych stron.

W jądrze Linuxa w podsystemie sieciowym wykryto podatność w dyscyplinie kolejkowania RED. Gdy RED ma dzieci (np. qfq), a rodzic (np. tbf) wywołuje dequeue po peek(), może dojść do dereferencji pustego wskaźnika i paniki jądra. Problem rozwiązano zastępując bezpośrednie wywołanie dequeue przez qdisc_dequeue_peeked().

W jądrze Linuxa w sterowniku WWAN t7xx funkcja t7xx_port_enum_msg_handler() używa dostarczonego przez modem pola port_count jako granicy pętli bez sprawdzania, czy bufor wiadomości zawiera wystarczające dane. Wysyłanie port_count=65535 w 12-bajtowym buforze powoduje odczyt poza zakresem (slab-out-of-bounds) do 262140 bajtów. Dodano odpowiednie sprawdzenia rozmiaru.

W jądrze Linuxa w stosie RDS, gdy iov_iter_get_pages2() zawiedzie w rds_message_zcopy_from_user(), zwalniane są strony, ale pole rm->data.op_nents nie jest resetowane. Późniejsze wywołanie rds_message_purge() iteruje po nieprawidłowej liczbie op_nents i ponownie zwalnia strony, co prowadzi do podwójnego zwolnienia.

Funkcja ptrace(PT_SC_REMOTE) nieprawidłowo waliduje parametry dla wywołań systemowych syscall(2) i __syscall(2), co pozwala użytkownikowi z możliwością debugowania procesu na wywołanie dowolnego kodu w jądrze, nawet jeśli debugowany proces nie ma specjalnych uprawnień. Brak walidacji umożliwia nieuprzywilejowanemu użytkownikowi lokalnemu eskalację uprawnień i potencjalne przejęcie pełnej kontroli nad systemem.

Podatność w systemie wywołania setcred(2) w jądrze Linuxa. Przed sprawdzeniem uprawnień wywołującego, lista grup uzupełniających jest kopiowana do bufora stosu jądra o stałym rozmiarze bez walidacji długości. Może to prowadzić do przepełnienia bufora stosu, co może zostać wykorzystane przez nieuprzywilejowanego użytkownika lokalnego.

W jądrze Linux stwierdzono podatność w mechanizmie ptrace związaną z logiką 'get_dumpable()'. Funkcja ta, używana do sprawdzania uprawnień dostępu, działała nieprawidłowo dla wątków bez własnej przestrzeni adresowej (mm), co mogło prowadzić do nieautoryzowanego dostępu do szczegółów wątków jądra.

W jądrze Linux wykryto podatność w mechanizmie bondingu, gdzie funkcja bond_setup_by_slave() bezpośrednio kopiuje wskaźnik header_ops z urządzenia podrzędnego (np. tunelu GRE) do urządzenia bond. Powoduje to pomieszanie typów, ponieważ funkcje nagłówkowe, takie jak ipgre_header(), używają netdev_priv() do dostępu do prywatnych danych urządzenia, a w przypadku bonda zwracają one strukturę bondingu zamiast oczekiwanej struktury tunelu IP, co prowadzi do odczytu śmieciowych wartości i awarii jądra.

W jądrze systemu Linux naprawiono podatność związaną z cyklem życia urządzenia sieciowego, które przetrwało odłączenie od urządzenia gadżetu, co prowadziło do problemów z wskaźnikami w sysfs oraz dereferencją wskaźnika null.

W jądrze Linux wykryto podatność w sterowniku czujnika światła bh1780, która powoduje wyciek licznika referencyjnego zarządzania energią (PM runtime) na ścieżce błędu. Problem polega na tym, że funkcja pm_runtime_put_autosuspend() nie jest wywoływana, gdy operacja odczytu zakończy się niepowodzeniem, co prowadzi do nieprawidłowego stanu zarządzania energią.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy przetwarzania SID w kontekście NFS. Problem polega na tym, że funkcja parse_dacl() może odczytać dane poza granicami ACE, co może prowadzić do nieautoryzowanego dostępu.

W jądrze Linuxa zidentyfikowano podatność związaną z funkcją load_segments(), która unieważnia bazę GS, na której opiera się KCOV. W przypadku włączonej opcji CONFIG_KCOV, wywołania kodu C mogą prowadzić do awarii jądra w nieskończonej pętli.

W jądrze Linux w podsystemie netfilter flowtable występuje problem z maksymalną liczbą akcji offloadu sprzętowego. Dla IPv6 liczba wymaganych akcji może przekroczyć dotychczasowe maksimum 16, co powoduje błędy. Łatka zwiększa limit do 24 i dodaje ścisłe sprawdzanie.

W jądrze systemu Linux zidentyfikowano podatność związaną z wywołaniem funkcji generic_handle_irq() w kontekście nieprzerwanego. Problem ten występuje podczas wznawiania systemu z trybu uśpienia na platformach Tegra, co prowadzi do ostrzeżenia w logach.

W jądrze Linuxa zidentyfikowano podatność, która została naprawiona poprzez wyczyszczenie wartości page->private w funkcji free_pages_prepare(). Problem ten prowadził do użycia po zwolnieniu pamięci w subsystemie swap, co mogło skutkować awarią systemu.

W jądrze Linuxa w sterowniku graficznym panthor (DRM) wykryto naruszenie zasad bezpiecznego dostępu do dma-fence. Funkcja drm_sched_fence_get_timeline_name może wyścigać się z group_free_queue, co prowadzi do potencjalnego use-after-free.

W jądrze Linux wycofano (revert) commit dodający węzeł OP-TEE do drzewa urządzeń ZynqMP. Ręczne zdefiniowanie węzła optee w zynqmp.dtsi blokuje automatyczne wstrzykiwanie węzła pamięci zarezerwowanej przez U-Boot, co prowadzi do naruszeń dostępu do pamięci w czasie wykonania.

W jądrze systemu Linux zidentyfikowano podatność, która została naprawiona. Problem dotyczy sytuacji, gdy drugi etap jądra jest uruchamiany za pomocą kexec z ograniczonymi parametrami, co może prowadzić do paniki jądra z powodu błędów w zakresie pamięci.

W jądrze Linux wykryto podatność w sterowniku sieciowym cpsw_new, która może prowadzić do próby wyrejestrowania interfejsu sieciowego, który nie został jeszcze zarejestrowany. Problem występuje, gdy podczas rejestracji pierwszego MAC-a wystąpi błąd, a drugi MAC pozostaje niezmieniony, co może skutkować nieprawidłowym wywołaniem unregister_netdev().

W jądrze Linuxa usunięto blokadę (lock) w funkcji skb_may_tx_timestamp(), która mogła prowadzić do zakleszczenia (deadlock) podczas obsługi znaczników czasu TX w kontekście przerwania. Funkcja ta mogła przejmować blokadę sock::sk_callback_lock, która nie może być używana w kontekście IRQ. Poprawka usuwa blokadę i używa READ_ONCE() do odczytu wskaźników, dodając WRITE_ONCE() przy ich czyszczeniu.

W jądrze Linux wykryto podatność w funkcji do_procmap_query() w procfs, która może prowadzić do podwójnego wywołania mmput() na strukturze mm_struct. Problem występuje, gdy użytkownik poda nieprawidłowo mały bufor dla identyfikatora build ID, co powoduje błąd -ENAMETOOLONG po zwolnieniu blokad i wykonaniu mmput(), a następnie ponowne wywołanie mmput() w ścieżce błędu.

W jądrze Linux wykryto podatność w implementacji KVM dla nested SVM (nSVM). Funkcje VMLOAD/VMSAVE podczas emulacji dla gościa L2 błędnie używały vmcb02 zamiast vmcb01, co może prowadzić do nieprawidłowego stanu maszyny wirtualnej.

W jądrze Linuxa zidentyfikowano podatność, która występuje podczas uruchamiania drugiego etapu jądra za pomocą kexec z ograniczającą linią poleceń. Problem polega na tym, że bufor IMA z poprzedniego jądra może znajdować się poza adresowalną pamięcią RAM, co prowadzi do błędu strony.

W jądrze Linux w systemie plików JFS występuje przepełnienie licznika dowiązań (nlink) podczas operacji zmiany nazwy (rename). Gdy nlink katalogu osiągnie maksymalną wartość (-1), wykonanie rename dla podkatalogu powoduje zawinięcie do 0 i wywołanie ostrzeżenia.