Podatności Linux kernel

W jądrze Linuxa, w systemie plików NTFS3, błędy zwracane przez funkcję attr_set_size() podczas zmniejszania rozmiaru pliku są po cichu ignorowane, co może pozostawić i-węzeł (inode) w niespójnym stanie.

W jądrze Linux w sterowniku ASoC SOF (Sound Open Firmware) dla topologii IPC4 występuje błąd alokacji pamięci dla kontrolek bajtowych. Alokacja nie uwzględniała rozmiaru struktury sterującej, co prowadziło do zbyt małego przydziału pamięci.

W jądrze Linux w podsystemie rpmsg wykryto błąd wyścigu w funkcji driver_override_show(). Odczytuje ona łańcuch driver_override bez blokady device_lock, podczas gdy funkcja modyfikująca zwalnia go z tą blokadą, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w stosie Bluetooth (hci_sync) występuje wyścig danych (data race) na polu hdev->req_status. Różne funkcje odczytują i zapisują to pole bez odpowiedniego blokowania, co może prowadzić do błędów.

W jądrze Linuxa w systemie plików SMB/CIFS (klient) występuje odczyt poza zakresem w funkcji cifs_sanitize_prepath. Gdy funkcja jest wywoływana z pustym ciągiem lub ciągiem zawierającym tylko ograniczniki (np. "/"), próbuje sprawdzić *(cursor2 - 1) przed przesunięciem cursor2, co prowadzi do odczytu poza zakresem.

W jądrze systemu Linux zidentyfikowano podatność w ścieżkach eksportowych PF_KEY, gdzie ostatnie 4 bajty struktury sockaddr_in6 pozostają niezainicjowane. Problem ten dotyczy tylko niektórych komunikatów PF_KEY, które nie są odpowiednio zerowane przed wypełnieniem danymi.

W jądrze Linuxa naprawiono podatność związaną z niezwalnianiem kolejki roboczej przy zwalnianiu obiektu dla urządzenia DSA/IAA.

Podatność powoduje uszkodzenie pamięci podczas kopiowania danych ze zwolnionego źródła w trakcie operacji deselekcji licznika wydajności. Błąd występuje w momencie, gdy dane są kopiowane z obszaru pamięci, który został już zwolniony, co może prowadzić do nieprzewidywalnego zachowania systemu.

W jądrze Linux wykryto podatność w mechanizmie GSO dla ruchu tunelowanego z flagą IPV6_CSUM. Nieprawidłowe sprawdzanie długości nagłówka sieciowego powodowało, że pakiety tunelowane z rozszerzeniami IPv6 nie przechodziły na programowe sumy kontrolne, co mogło prowadzić do błędów przetwarzania.

W jądrze Linuxa podczas przetwarzania opcji użytkownika w komunikatach Router Advertisement (RA) dla IPv6, struktura nduseroptmsg wysyłana w komunikacie netlink RTM_NEWNDUSEROPT nie zeruje pól wyrównania (padding), co może prowadzić do wycieku danych z jądra. Luka została załatana przez inicjalizację tych pól zerami.

W jądrze Linux wykryto podatność polegającą na wycieku informacji z pamięci sterty jądra do przestrzeni użytkownika. Funkcja tc_chain_fill_node() nie inicjalizuje pola tcm_info struktury tcmsg przed wysłaniem komunikatu netlink, co powoduje wyciek 4 bajtów niezainicjalizowanej pamięci.

W jądrze Linuxa w module kryptograficznym authencesn wykryto podatność polegającą na niepotrzebnym umieszczaniu wysokiego rzędu bitów sekwencji (hiseq) na końcu bufora docelowego podczas deszyfrowania danych poza miejscem (src != dst). Powoduje to nieprawidłowe przetwarzanie danych do haszowania.

W jądrze Linux wykryto podatność w funkcji regsafe() dotyczącą wskaźników do pakietów. Błąd powoduje, że stan z prawidłowym zakresem pakietu może nie zostać zbadany, co prowadzi do potencjalnych problemów bezpieczeństwa.

W jądrze Linux w module netfilter x_tables stwierdzono brak sprawdzania, czy nazwy są zakończone znakiem null. Brak tego sprawdzenia może prowadzić do przekazania nieprawidłowych danych do funkcji oczekujących ciągów C, co może skutkować błędami lub potencjalnym naruszeniem bezpieczeństwa.

W jądrze Linux w podsystemie netfilter wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w funkcji nf_conntrack_helper_unregister(). Podczas usuwania oczekiwań (expectations) dla rejestrowanego helpera przekazywany był wskaźnik NULL zamiast wskaźnika do helpera, przez co oczekiwania nie były usuwane, a następnie zwalniana struktura helpera była nadal używana.

W jądrze Linux wykryto podatność w module netfilter ctnetlink, gdzie przy braku atrybutu CTA_EXPECT_NAT w komunikacie netlink, pola saved_addr i saved_proto w strukturach oczekiwań nie są zerowane. Powoduje to wyciek starych danych z poprzednich alokacji do przestrzeni użytkownika podczas zrzutu oczekiwań.

W jądrze Linux wykryto podatność w module netfilter ctnetlink, polegającą na braku weryfikacji pomocnika (helper) dla nowych oczekiwań (expectations). Atakujący może podać dowolny pomocnik przez przestrzeń użytkownika, co prowadzi do odczytu poza zakresem bufora (slab-out-of-bounds) i potencjalnego wycieku pamięci jądra.

W jądrze Linux stwierdzono podatność w podsystemie netfilter nf_tables, polegającą na możliwości natychmiastowego wydania werdyktu NF_QUEUE. Taki werdykt nie jest używany przez narzędzia użytkownika nftables, a w rodzinie ARP brakuje obsługi kolejkowania, co może prowadzić do nieoczekiwanego zachowania.

W jądrze systemu Linux zidentyfikowano podatność, która została naprawiona. Dotyczy ona potencjalnego użycia po zwolnieniu (UAF) w funkcji set_cig_params_sync związanej z połączeniami Bluetooth.

W jądrze Linux stwierdzono podatność w mechanizmie BPF, która pozwalała na dołączanie programów kprobe.multi z flagą sleepable do kontekstów atomowych/RCU. Brak walidacji w funkcji bpf_kprobe_multi_link_attach() umożliwiał wywoływanie funkcji uśpionych (np. bpf_copy_from_user()) w kontekście, w którym nie jest to dozwolone, co prowadziło do błędu krytycznego (splat).

W jądrze Linux w sterowniku ti-adc161s626 dla przetwornika ADC znaleziono podatność polegającą na użyciu pamięci stosu w funkcji spi_read(). Wszystkie bufory SPI muszą być bezpieczne dla DMA, co nie było spełnione. Poprawka dodaje dedykowany bufor DMA-safe i zmienia funkcje konwersji.

W jądrze Linux w sterowniku żyroskopu MPU3050 (IIO) funkcja iio_device_register() była wywoływana przed zakończeniem inicjalizacji urządzenia, co mogło prowadzić do wyścigów (race conditions). Poprawka przenosi rejestrację urządzenia na koniec funkcji probe, a wyrejestrowanie odpowiednio dostosowuje.

W jądrze Linuxa w sterowniku USB cdns3 dla trybu gadget wykryto podatność na dereferencję pustego wskaźnika w funkcji ep_queue. Gdy punkt końcowy (endpoint) jest wyłączony lub nieskonfigurowany, wskaźnik ep->desc może być NULL, co prowadzi do awarii jądra przy wywołaniu __cdns3_gadget_ep_queue().

W jądrze Linux wykryto podatność w funkcji br_nd_send() mostka sieciowego, która przetwarza opcje Neighbor Discovery (ND). Brak walidacji długości opcji może pozwolić na odczyt poza zakresem bufora lub użycie zbyt krótkiej opcji źródłowego adresu LLADDR.

W jądrze Linux w sterowniku ftgmac100 wykryto podatność polegającą na wycieku pamięci podczas alokacji pierścieni (ringów) w przypadku niepowodzenia otwarcia interfejsu sieciowego. Funkcja ftgmac100_alloc_rings() nie zwalniała wcześniej zaalokowanych zasobów (rx_skbs, tx_skbs, rxdes, txdes, rx_scratch) przy błędzie, co prowadziło do wycieku pamięci.

W jądrze Linuxa w funkcji gpiochip_add_data_with_key() wykryto wyciek zasobów na ścieżkach obsługi błędów. Po zmianie z commit aab5c6f20023, pole `gdev->dev.release` nie jest ustawiane, co powoduje, że licznik odwołań do `gdev->dev` nie jest zmniejszany przy błędach. Łatka dodaje odpowiednie zwalnianie referencji oraz porządkuje kod, aby uniknąć podwójnego zwolnienia pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do dereferencji wskaźnika NULL w funkcji eth_get_drvinfo. Problem występuje podczas zapytania narzędzia użytkownika o interfejs, gdy urządzenie jest odłączone.

W jądrze systemu Linux zidentyfikowano podatność w funkcji smb_check_perm_dacl(), która pozwala na odczyt danych poza przydzielonym buforem (OOB) z powodu niewłaściwej walidacji rozmiaru ACE. Atakujący mogą wykorzystać tę lukę, aby uzyskać dostęp do pamięci, co prowadzi do potencjalnej korupcji stanu jądra.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do wycieku liczby aktywnych połączeń w przypadku niepowodzenia alokacji transportu w funkcji ksmbd_tcp_new_connection(). Problem ten może być wykorzystany przez nieautoryzowanego zdalnego atakującego do wywołania presji pamięci, co skutkuje odrzuceniem wszystkich kolejnych prób połączeń.

W jądrze Linux wykryto podatność w implementacji CIFS (Common Internet File System), gdzie funkcje build_sec_desc() i id_mode_to_cifs_acl() nieprawidłowo walidują strukturę DACL (Discretionary Access Control List) pochodzącą z serwera. Złośliwy serwer może dostarczyć obciętą listę DACL, która zawiera nagłówek z fałszywą liczbą wpisów ACE (Access Control Entries), co prowadzi do odczytu poza zakresem podczas przepisywania deskryptora bezpieczeństwa.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na odczyt danych poza granicami bufora w funkcji smb2_ioctl_query_info. Problem występuje, gdy serwer zwraca długość bufora większą niż rzeczywista odpowiedź QUERY_INFO, co może prowadzić do ujawnienia pamięci jądra użytkownikowi.

W jądrze Linux wykryto podatność use-after-free w funkcji inode_switch_wbs_work_fn() w mechanizmie writeback. Pętla przetwarzająca elementy listy może spowodować, że obiekt wb zostanie zwolniony, podczas gdy oczekująca praca (work) nadal istnieje, co prowadzi do użycia po zwolnieniu pamięci.

W jądrze Linuxa zidentyfikowano podatność w funkcji tpacket_snd(), która pozwala na wyścig TOCTOU przy użyciu mmap'd vnet_hdr. W wyniku tego, wątek użytkownika może zmodyfikować pola vnet_hdr pomiędzy walidacją a użyciem, omijając wszystkie kontrole bezpieczeństwa.

W jądrze Linux w systemie plików FUSE wykryto podatność polegającą na braku walidacji rozmiaru wpisów katalogowych (dirent) przed ich kopiowaniem do pamięci podręcznej strony. Złośliwy serwer FUSE może wysłać wpis o rozmiarze przekraczającym rozmiar strony (PAGE_SIZE), co prowadzi do przepełnienia bufora podczas kopiowania (memcpy) i nadpisania sąsiednich stron jądra.

Podatność na wyścig (race condition) w jądrze systemu może umożliwić atakującemu przepełnienie sterty jądra, co potencjalnie prowadzi do eskalacji uprawnień lokalnych i uzyskania dostępu na poziomie systemu.

W jądrze Linux wykryto podatność w mechanizmie etykiet przepływu IPv6 (flowlabel). Funkcja `ip6fl_seq_show()` odczytuje dane z globalnej tablicy mieszającej pod osłoną bloku RCU, ale etykiety ekskluzywne zwalniały opcje (`fl->opt`) natychmiast po spadku licznika referencji do zera, podczas gdy struktura `ip6_flowlabel` pozostawała widoczna w tablicy. Prowadziło to do wyścigu, w którym równoczesny odczyt z `/proc/net/ip6_flowlabel` mógł uzyskać dostęp do już zwolnionej pamięci, powodując awarię systemu.

W jądrze Linux wykryto podatność w module netfilter ip6t_rt, gdzie brak walidacji pola addrnr w regułach dopasowania rt może prowadzić do odczytu poza zakresem tablicy rtinfo->addrs[]. Atakujący może zainstalować złośliwą regułę, która podczas przetwarzania ruchu IPv6 spowoduje dostęp do pamięci poza dozwolonym obszarem.

W jądrze Linux wykryto wyciek informacji w funkcji build_report() w podsystemie xfrm_user. Struktura xfrm_user_report zawiera niezerowane bajty wyrównania, które są kopiowane do przestrzeni użytkownika, co może ujawniać dane z pamięci jądra.

W jądrze Linux stwierdzono podatność w mechanizmie rfkill, która pozwala użytkownikowi na tworzenie nieograniczonej liczby zdarzeń rfkill bez ich odbierania z deskryptora pliku. Może to prowadzić do wyczerpania pamięci (out-of-memory).

W jądrze Linux wykryto podatność use-after-free w module netfilter podczas niszczenia obiektu limitu czasu. Funkcja nft_ct_timeout_obj_destroy() zwalnia pamięć obiektu bez oczekiwania na okres ochronny RCU, co umożliwia równoczesny dostęp do już zwolnionej pamięci przez inne rdzenie procesora.

W jądrze Linux wykryto lukę w funkcji build_polexpire() w podsystemie xfrm. Nie czyści ona bajtów dopełnienia po polu 'hard' w strukturze xfrm_user_polexpire, co powoduje wyciek niezainicjalizowanej pamięci sterty do przestrzeni użytkownika przez multicast netlink.

W jądrze Linux wykryto podatność w podsystemie xfrm, gdzie po asynchronicznym zakończeniu operacji kryptograficznych funkcja xfrm_input_resume() natychmiast zwalniała referencję do urządzenia sieciowego (dev_put()) przed przekazaniem pakietu do dalszego przetwarzania w NF_HOOK. Powodowało to wyścig (race condition) z procesem usuwania interfejsu sieciowego, ponieważ wskaźnik skb->dev był używany po zwolnieniu referencji.

W jądrze Linuxa w sterowniku altera-tse wykryto wyciek pamięci. Funkcja tse_start_xmit() nie zwalniała bufora skb po niepowodzeniu mapowania DMA, co prowadziło do wycieku pamięci przy każdym błędzie DMA.

W jądrze Linux w sterowniku vub300 dla kart MMC/SD przez USB wykryto podatność polegającą na wyłuskaniu wskaźnika NULL (NULL-deref) podczas odłączania urządzenia. Problem wynika z braku wyrejestrowania kontrolera przed zwolnieniem danych sterownika, co może prowadzić do awarii systemu.

W jądrze Linuxa w podsystemie RxRPC wykryto podatność na przepełnienie bufora sterty podczas ładowania tokenów RxGK. Funkcja rxrpc_preparse_xdr_yfs_rxgk() nieprawidłowo zaokrągla długości klucza i biletu, co przy wartościach >= 0xfffffffd prowadzi do zawinięcia do zera i pominięcia walidacji, umożliwiając kopiowanie ~4 GB danych do małego bufora. Luka może być wykorzystana przez nieuprzywilejowanego użytkownika za pomocą wywołania add_key().

W jądrze Linux wykryto wyciek licznika referencji w funkcji rxrpc_server_keyring(). Problem występuje, gdy pole rx->securities jest już ustawione, co prowadzi do nieprawidłowego zarządzania pamięcią.

W jądrze Linux wykryto podatność w procesorach AMD Zen1, gdzie sprzętowy dzielnik może pozostawiać częściowe wyniki poprzednich operacji, które mogą zostać ujawnione przez wątek atakującego. Problem został załatany przez ustawienie odpowiedniego bitu zabezpieczającego.

W jądrze Linux w sterowniku USB f_ncm (funkcja sieciowa CDC NCM) wykryto podatność polegającą na braku walidacji minimalnej długości bloku (block_len) w funkcji ncm_unwrap_ntb(). Gdy block_len jest mniejszy niż rozmiar NDP, operacje arytmetyczne na indeksach powodują niedomiar (underflow), co umożliwia złośliwemu hostowi USB ominięcie kontroli granic i skopiowanie danych z pamięci jądra do sieciowego bufora skb.

W jądrze Linuxa wykryto podatność w ksmbd (implementacja serwera SMB w jądrze) polegającą na wycieku pamięci mechToken, gdy dekodowanie SPNEGO nie powiedzie się po alokacji tokena. Dekoder ASN.1 BER wywołuje funkcje zwrotne podczas przetwarzania danych. Gdy ksmbd_decode_negTokenInit() dotrze do elementu mechToken, alokuje pamięć dla conn->mechToken. Jeśli późniejszy element blobu jest nieprawidłowy, dekoder zwraca błąd, ale pamięć pozostaje zaalokowana. Funkcja decode_negotiation_token() ustawia conn->use_spnego = false, a czyszczenie w smb2_sess_setup() jest uzależnione od use_spnego, więc pamięć nie jest zwalniana. Nieuwierzytelnieni klienci mogą powodować powolne wycieki pamięci na serwerze.

W jądrze Linux wykryto podatność w sterowniku RDMA/irdma prowadzącą do zakleszczenia podczas resetowania interfejsu sieciowego przy aktywnych połączeniach RDMA. Reset netdev powoduje usunięcie sterownika pomocniczego irdma, co wyzwala oczekiwanie na zwolnienie referencji QP, które nigdy nie następuje z powodu cyklicznej zależności z cma_client.