Podatności Linux kernel

W jądrze Linux w sterowniku MACB (Cadence MACB/GEM) wykryto podatność polegającą na wywołaniu funkcji napi_consume_skb() w kontekście z wyłączonymi przerwaniami (IRQ disabled). Powoduje to ostrzeżenie i potencjalne problemy z synchronizacją, ponieważ funkcja ta nie jest przeznaczona do użycia w takim kontekście. Problem został rozwiązany przez zastąpienie jej funkcją dev_consume_skb_any().

W jądrze Linux wykryto błąd w mechanizmie futex_lock_pi(), gdzie po ponownej próbie blokady nie był zerowany lokalny wskaźnik do wychodzącego wątku. Prowadziło to do ostrzeżenia WARN_ON_ONCE() przy przekazaniu nieaktualnego wskaźnika do wait_for_owner_exiting().

W jądrze Linuxa w sterowniku bondingu wykryto podatność na dereferencję wskaźnika NULL w funkcji bond_debug_rlb_hash_show. Funkcja ta wyświetla zawartość tablicy haszującej RLB, ale nie sprawdza, czy pole slave w strukturze client_info nie jest NULL, co może prowadzić do awarii systemu.

W jądrze Linuxa wykryto podatność polegającą na braku walidacji indeksu sekcji ELF w funkcji simplify_symbols(). Nieprawidłowa wartość st_shndx (np. 0xffff) może prowadzić do paniki jądra przez odwołanie do pamięci poza zakresem.

W jądrze Linuxa wykryto podatność w implementacji ESP over TCP (espintcp) z asynchronicznym szyfrowaniem. Gdy kolejka transmisyjna jest pełna, funkcja esp_output_tail_tcp zwraca błąd, ale nie zwalnia bufora skb, co prowadzi do wycieku pamięci. W przypadku synchronicznego szyfrowania problem nie występuje, ponieważ kod xfrm automatycznie odrzuca pakiet.

W jądrze Linux w module af_key (PF_KEY) funkcja pfkey_send_migrate() nie sprawdza poprawności rodzin adresów (old/new families), co prowadzi do przepełnienia bufora skb (skb_over_panic) i awarii systemu. Problem został zgłoszony przez narzędzie syzbot.

W jądrze Linux w module openvswitch wykryto podatność polegającą na zwolnieniu interfejsu sieciowego przed zakończeniem procesu jego wyrejestrowania. Problem występuje, gdy funkcja ovs_netdev_detach_dev() czyści flagę IFF_OVS_DATAPATH, a następnie zostaje wywłaszczona (np. w jądrze z PREEMPT_RT), co pozwala funkcji netdev_destroy() na zakończenie i zwolnienie urządzenia przed pełnym wyrejestrowaniem.

W jądrze Linux w module SMC (Shared Memory Communications) wykryto podwójne zwolnienie pamięci struktury smc_spd_priv podczas duplikowania bufora potoku przez wywołanie tee(). Operator .get dla buforów potoku nie obsługiwał wskaźnika smc_spd_priv, co prowadziło do współdzielenia tego samego obiektu przez oryginalny i sklonowany bufor. Po zwolnieniu obu potoków dochodziło do podwójnego wywołania kfree() na tym samym obiekcie, co skutkowało użyciem po zwolnieniu (UAF) i paniką jądra.

W jądrze Linux wykryto podatność w mechanizmie fanout dla gniazd packet. Funkcja `packet_release()` nie zeruje pola `po->num` w sekcji chronionej blokadą `bind_lock`, co umożliwia współbieżnemu zdarzeniu `NETDEV_UP` ponowne zarejestrowanie zamykanego gniazda w tablicy fanout grupy. Prowadzi to do pozostawienia wiszącego wskaźnika w tablicy `arr[]` i naruszenia bezpieczeństwa pamięci (Use-After-Free).

W jądrze Linux wykryto podatność w implementacji UDP, która powoduje pomijanie sprawdzania kolizji przy wiązaniu gniazda do adresu rozgłoszeniowego (wildcard) po przekroczeniu progu 10 gniazd w buckecie haszującym. Błąd występuje, gdy używana jest druga tablica haszująca (hash2) zamiast pierwszej (hash), co pozwala na pomyślne związanie adresu rozgłoszeniowego, mimo że istnieją już gniazda związane do konkretnych adresów na tym samym porcie.

W jądrze Linuxa wykryto podatność polegającą na pomyleniu typów (type confusion) w funkcji team_setup_by_port() dla nie-Ethernetowych portów. Kopiowanie wskaźników header_ops z portu niższego poziomu może prowadzić do błędnej interpretacji struktury prywatnej net_device, co skutkuje awarią (crash).

W jądrze Linuxa w module netfilter wykryto podatność polegającą na tym, że przez interfejs /proc możliwe było wyświetlanie oczekiwań (expectations) połączeń z innych przestrzeni nazw sieciowych (netns). Poprawka dodaje filtrowanie, które pomija oczekiwania nie należące do bieżącej przestrzeni nazw.

W jądrze Linuxa w podsystemie netfilter znaleziono podatność w ctnetlink, która pozwalała na akceptowanie nieprawidłowych wartości dla atrybutów protokołu TCP, co mogło prowadzić do niezdefiniowanego zachowania przy użyciu ich jako przesunięcia bitowego. Poprawka zastępuje ręczne walidacje zakresów i masek adnotacjami polityki netlink, odrzucając nieprawidłowe wartości na wcześniejszym etapie.

W sterowniku sieciowym macb jądra Linux wykryto podatność polegającą na zapisie poza dozwolonym obszarem pamięci (OOB write) podczas pobierania statystyk przez narzędzie ethtool. Problem wynika z niezgodności między liczbą kolejek aktywnych a maksymalną liczbą kolejek używaną przy kopiowaniu danych statystyk.

W jądrze Linuxa zidentyfikowano podatność związaną z podwójnym zwolnieniem referencji w funkcji usuwania kontrolera SPI. Problem występuje w funkcji meson_spicc_remove(), gdzie ponowne wywołanie spi_controller_put() prowadzi do błędu podwójnego zwolnienia.

W jądrze Linux w sterowniku amdgpu wykryto błąd powodujący wyciek pamięci i użycie po zwolnieniu (use-after-free) podczas walidacji DSC w trybie atomic. Problem występuje, gdy zmiana konfiguracji DSC jest przetwarzana razem z inną, niezwiązaną zmianą trybu wyświetlania, co prowadzi do nieprawidłowego resetowania flagi mode_changed.

W sterowniku SPI dla układów Freescale LPSPI (spi-fsl-lpspi) w jądrze Linux wykryto błąd kolejności wyłączania prowadzący do użycia po zwolnieniu (UAF). Rejestracja kontrolera SPI za pomocą devm_spi_register_controller() opóźniała jego wyrejestrowanie, podczas gdy funkcja fsl_lpspi_remove() natychmiast usuwała kanały DMA, co przy aktywnym transferze SPI powodowało dereferencję wskaźnika NULL.

W jądrze Linux w podsystemie CAN ISO-TP wykryto podatność use-after-free w funkcji isotp_sendmsg(). Problem wynika z nieprawidłowej synchronizacji dostępu do bufora so->tx.buf, co pozwala na jego zwolnienie podczas zamykania gniazda, gdy inny wątek wciąż go używa.

W sterowniku virtio_net jądra Linux wykryto podatność na use-after-free (UAF) w strukturze dst_ops. Problem występuje, gdy flaga IFF_XMIT_DST_RELEASE jest wyczyszczona, a napi_tx jest wyłączone, co prowadzi do użycia zwolnionej pamięci podczas zwalniania buforów w kolejce transmisyjnej.

W jądrze Linux wykryto podatność w funkcji softleaf_to_folio() w pliku mm/huge_memory.c. Brak bariery pamięciowej (smp_rmb) powoduje, że podczas wyścigu między dzieleniem folio a operacją zap_nonpresent_ptes() może zostać odczytany nieprawidłowy stan folio, co prowadzi do ostrzeżenia VM_WARN_ON_ONCE lub BUG_ON.

W jądrze Linuxa zidentyfikowano podatność, która występuje podczas rozdzielania wpisu PUD w funkcji walk_pud_range(). Może ona prowadzić do błędu jądra, gdy wątek próbuje odczytać num_map procesu w trakcie konfigurowania DMA przez VFIO-PCI.

W jądrze Linux wykryto podatność w systemie plików ext4, gdzie podczas operacji truncate() zwiększającej rozmiar pliku poza pojemność danych inline nie następuje konwersja do formatu extent. Prowadzi to do niespójnego stanu, w którym flaga inline pozostaje ustawiona, a rozmiar pliku przekracza możliwości przechowywania inline, co skutkuje BUG_ON() przy próbie zapisu.

W jądrze Linux w systemie plików ext4 zastąpiono BUG_ON() poprawną obsługą błędów w funkcji ext4_read_inline_folio. Gdy rozmiar danych inline przekracza PAGE_SIZE, zamiast paniki jądra zgłaszany jest błąd, zwalniany jest bufor i zwracany kod -EFSCORRUPTED.

W jądrze Linux w systemie plików ext4 wykryto podatność polegającą na publikowaniu wskaźnika do struktury jinode przed jej pełną inicjalizacją. Może to prowadzić do dereferencji niezainicjalizowanego pola i_vfs_inode, co skutkuje awarią systemu (kernel panic) podczas operacji szybkiego zatwierdzania (fast commit).

W jądrze Linuxa zidentyfikowano podatność w funkcji ext4_ext_correct_indexes, która nie weryfikuje poprawności wskaźnika p_idx przed dostępem do indeksów. Może to prowadzić do odczytu poza przydzielonym buforem w przypadku uszkodzonego nagłówka extent na dysku.

W jądrze Linux wykryto podatność w systemie plików ext4, która powoduje odrzucenie montowania partycji z włączoną funkcją bigalloc, gdy parametr s_first_data_block jest różny od zera. Taka konfiguracja nie jest obsługiwana i może prowadzić do nieprawidłowego działania systemu plików.

W jądrze Linux w systemie plików ext4 wykryto podatność use-after-free w funkcji update_super_work podczas wyścigu z odmontowaniem. Problem pojawił się po przeniesieniu wywołania ext4_unregister_sysfs() przed opróżnieniem kolejki s_sb_upd_work, co powoduje dostęp do zwolnionego obiektu kernfs_node przez sysfs_notify().

W jądrze Linuxa wykryto podatność w sterowniku idxd, powodującą wyciek pamięci podczas resetowania kolejki zadań (workqueue). Problem wynika z przedwczesnego ustawienia typu kolejki na NONE przed zwolnieniem jej zasobów.

W jądrze Linux w module netfilter nfnetlink_log wykryto wyciek niezainicjalizowanych danych sterty do przestrzeni użytkownika. Funkcja __build_packet_message() ręcznie konstruuje atrybut NFULA_PAYLOAD, kopiując tylko dane ładunku, ale nie zerując bajtów dopełnienia (padding), co prowadzi do wycieku poufnych informacji.

W jądrze Linux w module netfilter nf_conntrack_sip wykryto podatność polegającą na użyciu niezainicjalizowanej zmiennej rtp_addr w funkcji process_sdp. Gdy treść SDP nie zawiera aktywnych opisów mediów, zmienna pozostaje niezainicjalizowana, co prowadzi do nadpisania adresów IP w sesji SDP przypadkowymi danymi z pamięci stosu.

W jądrze Linux wykryto podatność w podsystemie netfilter x_tables, gdzie rozszerzenia xt_match i xt_target zarejestrowane jako NFPROTO_UNSPEC mogą być ładowane przez rodzinę protokołów ARP. Z powodu niezgodności masek haków (NF_INET_* vs NF_ARP) dochodzi do błędnej walidacji, co prowadzi do dereferencji wskaźnika NULL i paniki jądra.

W jądrze Linux w schedulerze sieciowym HFSC (sch_hfsc) wykryto podatność na dzielenie przez zero w funkcji rtsc_min(). Problem występuje, gdy różnica dwóch 64-bitowych wartości skalowanych przekracza 2^32 i jest przechowywana w 32-bitowej zmiennej, co prowadzi do jej obcięcia do zera i błędu dzielenia.

W jądrze Linux wykryto podatność w klasyfikatorze przepływu (cls_flow) dla współdzielonych bloków QoS. Funkcja flow_change() wywołuje tcf_block_q() i dereferencuje wskaźnik q->handle, który dla współdzielonych bloków jest NULL, co prowadzi do dereferencji pustego wskaźnika i awarii systemu.

W jądrze Linux wykryto błąd w klasyfikatorze cls_fw, który powoduje dereferencję pustego wskaźnika (NULL pointer dereference) podczas używania filtrów na współdzielonych blokach (shared blocks). Problem występuje, gdy filtr cls_fw jest pusty i pakiet z niezerowym znacznikiem skb jest klasyfikowany, co prowadzi do awarii systemu.

W jądrze Linux wykryto podatność use-after-free w funkcji bond_xmit_broadcast() sterownika bonding. Podczas iteracji po liście slave'ów chronionej RCU, współbieżne dodawanie/usuwanie slave'ów może zmienić, który slave jest ostatni, co prowadzi do podwójnego zwolnienia oryginalnego bufora skb. Problem został naprawiony przez zastąpienie wywołania bond_is_last_slave() stabilnym porównaniem indeksów.

W jądrze Linuxa w podsystemie netfilter: ipset wykryto podatność polegającą na nieprawidłowym usuwaniu logicznie pustych zasobników (bucket) w funkcji mtype_del. Funkcja ta nie zwalniała zasobnika, gdy wszystkie wpisy zostały usunięte, ale wskaźnik n->pos wskazywał na pozycję poza usuniętymi slotami.

W jądrze Linux wykryto podatność w protokole X.25, która pozwala na przepełnienie licznika `fraglen` podczas akumulacji pakietów. Brak odpowiedniego sprawdzenia może prowadzić do nieprzewidzianego zachowania systemu.

W jądrze Linuxa w podsystemie netfilter (nfnetlink_log) wykryto błąd w obliczaniu rozmiaru wiadomości NLMSG_DONE. Pomijany jest nagłówek netlinka, co może prowadzić do ostrzeżenia WARN i odrzucenia wiadomości.

W jądrze Linux wykryto podatność w funkcji ip6_datagram_send_ctl() dla IPv6, gdzie 16-bitowy akumulator opt_flen może ulec przepełnieniu przy wielokrotnym przesyłaniu komunikatów sterujących IPV6_DSTOPTS. Prowadzi to do niedoszacowania rozmiaru nagłówka i wywołania paniki jądra przez skb_under_panic(), co skutkuje lokalnym atakiem DoS.

W jądrze Linuxa wykryto podatność w sterowniku ATM (tryb sigd_send), gdzie wskaźnik vcc pochodzący z przestrzeni użytkownika nie był walidowany. Złośliwy proces może wysłać fałszywy wskaźnik przez sendmsg(), co prowadzi do dereferencji nieprawidłowej pamięci i awarii systemu.

Poprawka w jądrze Linux dotycząca ksmbd: używa UUID woluminu w FS_OBJECT_ID_INFORMATION zamiast poprzedniego rozwiązania. Dla systemów plików bez UUID stosowane jest stfs.f_fsid z vfs_statfs().

W jądrze Linuxa w module ksmbd występuje podatność polegająca na nieczyszczeniu flagi conn->binding po nieudanym żądaniu powiązania sesji wielokanałowej. Powoduje to, że połączenie pozostaje w stanie powiązania, a wszystkie kolejne wywołania ksmbd_session_lookup_all() korzystają z globalnej tabeli sesji, co może prowadzić do błędów autoryzacji.

W jądrze Linuxa w podsystemie Bluetooth SCO występuje podatność use-after-free w funkcji sco_recv_frame(). Funkcja odczytuje conn->sk pod blokadą sco_conn_lock(), ale zwalnia blokadę bez utrzymywania referencji do gniazda, co pozwala współbieżnemu wywołaniu close() na zwolnienie gniazda przed dostępem do sk->sk_state.

W jądrze Linux brak walidacji atrybutów netlink w netfilter conntrack dla SCTP i ctnetlink. Atakujący może spowodować odczyt poza zakresem (slab-out-of-bounds) przez podanie nieprawidłowej wartości stanu SCTP lub kierunku.

W jądrze Linuxa występuje podatność w funkcji xfrm_nat_keepalive_net_fini(), gdzie po anulowaniu zaplanowanej pracy (cancel_delayed_work_sync()) może dojść do ponownego zaplanowania pracy nat_keepalive_work przez xfrm_state_fini(). Prowadzi to do wyścigu, w którym praca może zostać wykonana na już zwolnionej strukturze sieciowej, co może skutkować użyciem po zwolnieniu (use-after-free).

W NFSD (jądro Linuxa) brakowało referencji do przestrzeni nazw sieciowych (struct net) podczas otwierania pliku /proc/fs/nfs/exports. Po zniszczeniu przestrzeni nazw (np. przy usuwaniu kontenera) odczyt z otwartego deskryptora pliku prowadził do użycia po zwolnieniu (use-after-free) w pamięci podręcznej eksportów.

W jądrze Linux stwierdzono podatność przepełnienia bufora w funkcji hid_hw_request w HID BPF. Zwracana wartość może być dowolnie duża, ponieważ pochodzi z dispatch_hid_bpf_raw_requests(), która wywołuje struct_ops bez gwarancji poprawności wartości. Może to prowadzić do przepełnienia bufora.

W jądrze Linuxa wykryto wyciek pamięci w funkcji cache_release w podsystemie sunrpc. Gdy deskryptor pliku czytelnika jest zamykany podczas odczytu cache_request (rp->offset != 0), cache_release() zmniejsza licznik czytelników, ale nie sprawdza, czy należy zwolnić żądanie. Może to prowadzić do wycieku pamięci, jeśli CACHE_PENDING jest wyczyszczone, a czytelnicy spadną do zera.

W jądrze Linuxa w podsystemie nvdimm/bus występuje potencjalne użycie po zwolnieniu (use-after-free) podczas asynchronicznej inicjalizacji. Jeśli device_add() zakończy się niepowodzeniem, może dojść do dostępu do zwolnionej pamięci.

W jądrze Linux wykryto podatność w funkcji move_pages_huge_pmd() obsługującej operację UFFDIO_MOVE dla dużych stron THP i zerowych. Dla strony zerowej src_folio jest ustawiane na NULL, co prowadzi do przekazania NULL do folio_mk_pmd(), powodując w modelu SPARSEMEM_VMEMMAP utworzenie PMD wskazującego na nieistniejącą pamięć fizyczną, a w innych modelach dereferencję NULL. Dodatkowo, rekonstrukcja PMD w gałęzi zerowej usuwa flagę pmd_special(), przez co vm_normal_page_pmd() może traktować przeniesioną stronę zerową jako normalną i uszkodzić jej licznik odwołań.