Podatności Linux kernel

W jądrze Linuxa wykryto podatność use-after-free w sterowniku MACB (Cadence). Zegar PTP jest rejestrowany przy otwarciu interfejsu i niszczony przy zamknięciu, ale może być dostępny przez wywołanie ethtool get_ts_info, gdy interfejs jest obecny w systemie, co prowadzi do odczytu po zwolnieniu pamięci.

W sterowniku bnxt_en jądra Linux stwierdzono podatność na dostęp poza zakresem w procedurze obsługi zdarzeń asynchronicznych DBG_BUF_PRODUCER. Wartość 'type' pochodząca od firmware'u jest używana bez walidacji jako indeks tablicy, co może prowadzić do odczytu/zapisu poza dozwolonym obszarem pamięci jądra.

W jądrze Linuxa w podsystemie mac80211 występuje błąd powodujący crash przy zmianie kanału (CSA) dla stacji na interfejsach AP_VLAN (np. klienci WDS 4addr). Funkcja ieee80211_chan_bw_change() używa sta->sdata wskazującego na VLAN, który nie ma rezerwacji kanału, co prowadzi do dereferencji pustego wskaźnika.

W jądrze Linuxa w stosie Bluetooth L2CAP wykryto podatność na odczyt poza zakresem w funkcji l2cap_information_rsp(). Nieprawidłowa walidacja długości ładunku w odpowiedzi L2CAP_INFO_RSP może prowadzić do odczytu danych poza buforem.

W kliencie SMB jądra Linuxa naprawiono błąd polegający na ponownym użyciu sesji SMB z pierwszego montowania dla kolejnych montowań z różnymi nazwami użytkownika przy użyciu Kerberos. Teraz klient poprawnie dopasowuje opcję username w match_session() nawet dla Kerberos.

W jądrze Linuxa w sterowniku atmel-sha204a (kryptografia) wykryto wyciek licznika ->tfm_count. Jeśli alokacja pamięci się nie powiedzie, licznik nie jest dekrementowany, co może blokować przyszłe odczyty.

W jądrze Linuxa w sterowniku drm/xe występuje wyciek pamięci w funkcji xe_vm_madvise_ioctl. Gdy walidacja check_bo_args_are_sane() nie powiedzie się, funkcja nie zwalnia wcześniej zaalokowanych zasobów, co prowadzi do wycieku pamięci.

W sterowniku SPI jądra Linux stwierdzono podatność use-after-free podczas rejestracji kontrolera. W przypadku niepowodzenia alokacji statystyk per-CPU, nie jest wykonywana deregisteracja z rdzenia sterownika, co prowadzi do użycia po zwolnieniu i niekontrolowanych dostępów do rejestrów.

W jądrze Linuxa w podsystemie SPI statystyki na procesor są alokowane dopiero po zarejestrowaniu kontrolera w rdzeniu sterownika, co pozostawia okno, w którym dostęp do atrybutów sysfs może wywołać dereferencję wskaźnika NULL. Poprawka przenosi alokację statystyk do momentu alokacji kontrolera.

W jądrze Linuxa występuje błąd w parserze tablic partycji RedBoot, który przy włączonym CONFIG_FORTIFY_SOURCE i nowym kompilatorze powoduje ostrzeżenie o przepełnieniu bufora i oops. Problem wynika z użycia memcmp() zamiast strcmp() do porównania łańcuchów.

W jądrze Linux wykryto podatność w sterowniku szeregowym (serial core), która powoduje nieskończoną pętlę w funkcji handle_tx() dla portów typu PORT_UNKNOWN. Funkcja uart_write_room() zwraca wartość większą od zera, podczas gdy uart_write() zwraca 0, gdy buport transmisyjny (xmit_buf) jest niezainicjalizowany, co prowadzi do zakleszczenia systemu.

W sterowniku graficznym Imagination w jądrze Linux występuje zakleszczenie podczas sekwencji miękkiego resetu, ponieważ funkcja disable_irq() jest wywoływana z kontekstu obsługi przerwania, co prowadzi do oczekiwania na samego siebie.

W jądrze Linuxa w sterowniku DRM dla układów graficznych Imagination stwierdzono brak synchronizacji przerwań przed zawieszeniem GPU. Procedura wywołania zwrotnego zawieszenia w ramach runtime PM nie sprawdzała, czy procedura obsługi przerwań (IRQ) jest w trakcie wykonywania na innym rdzeniu CPU i nie czekała na jej zakończenie. Może to prowadzić do awarii jądra podczas próby dostępu do rejestrów GPU po jego zawieszeniu.

W jądrze Linuxa w sterowniku drm/amdgpu wprowadzono ograniczenie liczby wpisów na listę BO do 128k, aby zapobiec wyczerpaniu zasobów. Użytkownik mógł przekazać dowolną liczbę wpisów, co mogło prowadzić do nadmiernej alokacji pamięci i długiego czasu przetwarzania.

W jądrze Linux w sterowniku i915/DMC wykryto podatność prowadzącą do dereferencji wskaźnika NULL podczas inicjalizacji. Problem występuje, gdy funkcja intel_dmc_update_dc6_allowed_count() jest wywoływana przed inicjalizacją DMC, co może skutkować awarią systemu (oops).

W sterowniku DRM/XE jądra Linuxa ochrona dostępu MMIO do GGTT opierała się na hotplug (drm_dev_enter), co nie działało poprawnie przy nieudanym załadowaniu sterownika. Dodano własną flagę chronioną blokadą GGTT, która wyłącza dostęp MMIO podczas zamykania.

W jądrze Linuxa w systemie plików btrfs wykryto błąd w logowaniu nowych wpisów katalogu podczas logowania katalogu nadrzędnego konfliktującego i-węzła. Jeśli katalog nadrzędny jest później synchronizowany (fsync) bez nowych zmian, nowe wpisy katalogu mogą zostać utracone po awarii zasilania.

W jądrze Linuxa w sterowniku soc: microchip: mpfs wykryto wyciek pamięci w funkcji mpfs_sys_controller_probe(). Jeśli of_get_mtd_device_by_node() się nie powiedzie, funkcja zwraca bez zwalniania zaalokowanej pamięci dla sys_controller, co prowadzi do wycieku pamięci.

W sterowniku qbman dla układów Freescale w jądrze Linux występuje wyścig w funkcji qman_destroy_fq, który może prowadzić do fałszywego ostrzeżenia WARN_ON przy tworzeniu kolejki, gdy flaga QMAN_FQ_FLAG_DYNAMIC_FQID jest ustawiona.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność Use-After-Free (UAF). Problem wynika z niezwalniania referencji do struktury l2cap_conn podczas wywoływania funkcji zwrotnej user->remove, co może prowadzić do awarii systemu.

W jądrze Linuxa w stosie Bluetooth L2CAP występuje podatność use-after-free w funkcji l2cap_unregister_user. Brak synchronizacji (conn->lock) między l2cap_conn_del() a funkcjami rejestracji/użytkownika prowadzi do wyścigu, który może skutkować użyciem po zwolnieniu i uszkodzeniem list.

W jądrze Linuxa w protokole ROSE występuje dereferencja wskaźnika NULL w rose_transmit_link podczas ponownego łączenia. Gdy rose_connect() jest wywoływane drugi raz, gdy pierwsze połączenie jest w toku (TCP_SYN_SENT), nadpisuje rose->neighbour, a jeśli rose_get_neigh() zwróci NULL, socket pozostaje w stanie ROSE_STATE_1 z rose->neighbour == NULL. Zamknięcie gniazda prowadzi do dereferencji wskaźnika NULL. Brakuje sprawdzenia stanu TCP_SYN_SENT.

W jądrze Linuxa w funkcji iptunnel_xmit_stats() występuje podatność związana z nieprawidłowym wsparciem dla NETDEV_PCPU_STAT_DSTATS. Funkcja zakładała, że tunele używają tylko NETDEV_PCPU_STAT_TSTATS, co powoduje różnice w offsetach syncp między pcpu_sw_netstats a pcpu_dstats, prowadząc do uszkodzeń lub zawieszeń na 32-bitowych jądrach.

W jądrze Linux wykryto podatność use-after-free w funkcji ctnetlink_dump_exp_ct() w podsystemie netfilter. Problem polega na tym, że wskaźnik do struktury conntrack jest przechowywany w danych wywołania zwrotnego netlink, ale referencja do niego jest zwalniana natychmiast po rozpoczęciu zrzutu, co prowadzi do użycia zwolnionej pamięci przy kolejnych wywołaniach recvmsg().

W jądrze Linuxa w module netfilter nf_conntrack_sip występuje podatność polegająca na obcięciu wartości Content-Length z unsigned long do unsigned int w funkcji sip_help_tcp(). Na systemach 64-bitowych wartości przekraczające UINT_MAX są obcinane, co prowadzi do błędnego obliczania granic wiadomości SIP i może skutkować przetworzeniem dodatkowych danych jako drugiej wiadomości SIP.

W jądrze Linux stwierdzono podatność na odczyt poza zakresem (OOB) w module netfilter nf_conntrack_h323 w funkcji decode_int() w przypadku CONS. Brak sprawdzenia granic dla długości odczytu może pozwolić na odczyt 1-4 bajtów poza przydzielonym buforem przez spreparowany pakiet H.323/RAS.

W sterowniku MANA jądra Linux stwierdzono podatność use-after-free w funkcji mana_hwc_destroy_channel(). Kolejność wywołań podczas zamykania kanału powoduje, że pamięć hwc->caller_ctx jest zwalniana przed zniszczeniem kolejek CQ i EQ, co umożliwia obsłudze przerwań dostęp do zwolnionej pamięci.

W jądrze Linuxa w sterowniku sieciowym TI ICSSG PRUETH (net: ti: icssg-prueth) występuje wyciek pamięci w ścieżce XDP_DROP dla trybu non-zero-copy. Recykling stron został usunięty ze ścieżki XDP_DROP w emac_run_xdp(), aby uniknąć konfliktów z trybem AF_XDP zero-copy, ale powoduje to wyciek pamięci podczas uruchamiania programów XDP, które odrzucają pakiety w trybie non-zero-copy (standardowy tryb page pool). Strony nigdy nie wracają do page pool, co prowadzi do warunków OOM (Out Of Memory). Poprawka polega na obsłudze czyszczenia w wywołującym, emac_rx_packet(), który teraz recyklinguje stronę z powrotem do page pool, gdy emac_run_xdp() zwraca ICSSG_XDP_CONSUMED dla XDP_DROP.

W jądrze Linux wykryto błąd wyścigu (race condition) w mechanizmie zarządzania energią (PM runtime). Funkcja pm_runtime_work() może odwoływać się do wskaźnika dev->parent po zwolnieniu pamięci urządzenia nadrzędnego, co prowadzi do użycia po zwolnieniu (use-after-free). Problem został rozwiązany przez dodanie wywołania flush_work() w pm_runtime_remove().

W jądrze Linuxa występuje potencjalna nieskończona pętla w funkcji bond_header_parse() podczas konfiguracji stosu dwóch urządzeń bondingowych. Dodano parametr 'dev' do metody parse() w header_ops, aby ograniczyć rekurencję i zapewnić wywołanie właściwej metody liścia.

W jądrze Linux wykryto podatność w mechanizmie TEQL (trivial link equalizer) w stosie sieciowym. Błąd polega na braku synchronizacji podczas resetowania kolejki dyscypliny (qdisc) dla urządzeń TEQL z bezzamkową kolejką główną, co prowadzi do podwójnego zwolnienia bufora (double-free) i może skutkować awarią systemu.

W sterowniku cdc_ncm (jądro Linuxa) w funkcji cdc_ncm_rx_verify_ndp16() brakowało uwzględnienia przesunięcia ndpoffset w drugim sprawdzeniu granic dla tablicy DPE. Gdy NDP znajduje się blisko końca bufora, może dojść do odczytu poza zakresem.

W sterowniku cdc_ncm (jądro Linuxa) w funkcji cdc_ncm_rx_verify_ndp32() brakowało uwzględnienia ndpoffset w sprawdzeniu granic dla tablicy DPE, co pozwala na odczyt poza zakresem, gdy NDP32 znajduje się blisko końca bufora.

W jądrze Linux, sterownik aqc111 (net: usb) wywołuje funkcję zarządzania energią (PM) w swoim wywołaniu zwrotnym suspend, co prowadzi do zakleszczenia (task hung) w rpm_resume. Problem występuje, gdy aqc111_suspend wywołuje wariant PM swojej procedury write_cmd, co powoduje oczekiwanie na zmianę stanu, która nigdy nie nastąpi, blokując inny wątek posiadający rtnl_lock i cały stos sieciowy.

W sterowniku igc (jądro Linuxa) podczas zamykania kolejki TX z XDP i żądaniem znaczników czasu, wskaźniki xsk_meta nie były czyszczone, co prowadziło do błędu strony (page fault) w procedurze obsługi przerwań przy próbie dostępu do nich.

W jądrze Linuxa w funkcji ieee80211_tx_prepare_skb() (mac80211) jedna ze ścieżek błędu nie zwalniała skb, co prowadziło do wycieku pamięci. Dodano brakujące kfree_skb() i usunięto zbędne zwalnianie w wywołujących (ath9k, mt76, mac80211_hwsim).

W jądrze Linuxa w module ACPI processor poprzednia poprawka dla acpi_processor_errata_piix4() wprowadziła problem use-after-free. Wskaźniki urządzeń mogą być dereferencjonowane po zwolnieniu referencji do obiektów urządzeń. Ponadto komunikaty debugowania o włączaniu erraty mogą być drukowane, gdy flagi erraty nie są ustawione. Poprawka przenosi drukowanie komunikatów do miejsc, gdzie ustawiane są flagi.

W jądrze Linuxa w ścieżkach SRv6 dla IPv6 brakuje sprawdzeń NULL dla wskaźnika idev zwracanego przez __in6_dev_get(). Może to prowadzić do wyłuskania pustego wskaźnika, gdy urządzenie sieciowe nie ma skonfigurowanego IPv6.

W sterowniku mlx5e w jądrze Linux występuje wyścig podczas dostępu do kontekstu ASO dla IPsec, ponieważ blokada spinlock jest zwalniana przed zakończeniem operacji WQE, co pozwala na nadpisanie współdzielonego kontekstu DMA.

W sterowniku MLX5 dla jądra Linux wykryto błąd wyścigu podczas aktualizacji ESN (Extended Sequence Number) w trybie pełnego odciążania IPSec. Po zdarzeniu zawinięcia ESN sterownik potwierdzał zdarzenie zbyt późno, co mogło prowadzić do ponownego przetworzenia tego samego zdarzenia i nieprawidłowego zwiększenia bitów ESN.

W jądrze Linux wykryto podatność w funkcji udp_sock_create6, która przy wyłączonym CONFIG_IPV6 zwraca sukces (0) bez utworzenia gniazda. Powoduje to dereferencję niezainicjalizowanego wskaźnika gniazda przez wywołującego (np. fou_create), prowadzącą do błędu NULL pointer dereference.

W sterowniku mvpp2 dla układów Marvell PP2/CP11X w systemie Linux wykryto podatność na awarię spowodowaną dereferencją wskaźnika NULL. Funkcja mvpp2_bm_switch_buffers() wywołuje aktualizację przepływu sterowania (flow control) bez sprawdzenia, czy zasób CM3 SRAM jest dostępny, co prowadzi do paniki jądra przy zmianie MTU.

W jądrze Linuxa w mechanizmie kształtowania ruchu (net: shaper) odczyty hierarchii po przejściu z referencji do zablokowanego net_device nie sprawdzały, czy urządzenie nie zostało wyrejestrowane. Może to prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w mechanizmie shapera sieciowego występuje wyścig (race condition) między operacjami Netlink a wyrejestrowaniem urządzenia sieciowego. Może to prowadzić do przecieku hierarchii shapera, jeśli hierarchia zostanie utworzona po już wykonanym flush.

W jądrze Linux wykryto błąd w obsłudze PMU (Performance Monitoring Unit) dla procesorów AMD EPYC. Problem polega na tym, że w funkcji x86_pmu_enable() wskaźnik zdarzenia (event) jest ustawiany zbyt późno, co prowadzi do wyścigu (race condition) i w konsekwencji do dereferencji pustego wskaźnika (NULL pointer dereference) w handlerze NMI (Non-Maskable Interrupt). Skutkuje to awarią systemu (kernel crash).

W jądrze Linuxa w sterowniku MTD NAND brakowało synchronizacji operacji blokowania/odblokowywania z innymi operacjami NAND. Funkcje nand_lock() i nand_unlock() wywoływały operacje na kontrolerze bez trzymania blokady urządzenia, co mogło prowadzić do wyścigów z jednoczesnymi operacjami zapisu/wymazywania UBI/UBIFS.

W jądrze Linuxa w sterowniku arm_mpam występuje błąd dereferencji pustego wskaźnika podczas przywracania liczników przepustowości pamięci. Gdy MSC jest wyłączane i włączane, funkcja mpam_restore_mbwu_state() nie ustawia wartości mbwu_arg.val, co prowadzi do paniki jądra.

W sterowniku mshv jądra Linux stwierdzono podatność use-after-free w ścieżce błędów funkcji mshv_map_user_memory(). Bezpośrednie wywołanie vfree() na regionie pozostawia zarejestrowany notyfikator MMU, który po odmapowaniu pamięci przez użytkownika uzyskuje dostęp do zwolnionego obszaru.

W sterowniku SPI dla układów Amlogic (amlogic-spisg) w jądrze Linuxa występuje wyciek pamięci w funkcji aml_spisg_probe(). Po alokacji kontrolera przez spi_alloc_target() lub spi_alloc_host(), w kilku ścieżkach błędów nie jest wywoływana funkcja zwalniająca spi_controller_put().

W sterowniku graficznym vmwgfx (dla VMware) w jądrze Linuxa występuje wyciek pamięci spowodowany nadpisywaniem trackera brudnych powierzchni (surface dirty tracker) w trybie KMS.