Podatności Linux kernel

W jądrze Linuxa w podsystemie IOMMU SVA występował błąd w funkcji iommu_sva_unbind_device(). Po wywołaniu iommu_domain_free() struktura mm mogła zostać zwolniona, a późniejszy dostęp do domain->mm->iommu_mm prowadził do dereferencji zwolnionej pamięci i awarii systemu.

W sterowniku graficznym logicvc w jądrze Linuxa występuje wyciek referencji do węzła urządzenia (device node reference leak) w funkcji logicvc_drm_config_parse(). Funkcja of_get_child_by_name() nie zwalnia referencji do znalezionego węzła 'layers'.

W KVM dla ARM64 naprawiono problem inicjalizacji rejestrów ID dla niechronionych gości pKVM. W trybie chronionym hipervisor kopiował flagę KVM_ARCH_FLAG_ID_REGS_INITIALIZED bez inicjalizacji danych id_regs, co powodowało, że rejestry ID były zerowane. To z kolei prowadziło do błędów w wykrywaniu funkcji, takich jak TCR2_EL1, i potencjalnego uszkodzenia stanu.

W sterowniku accel/amdxdna jądra Linux stwierdzono brak walidacji pola licznika ładunku w nagłówku komendy. Może to pozwolić na określenie rozmiaru ładunku przekraczającego dostępny bufor, prowadząc do odczytu/zapisu poza zakresem.

W systemie plików Btrfs w jądrze Linuxa występuje wyciek pamięci w funkcji btrfs_uring_read_extent(). Obiekt 'pages' nie jest zwalniany w ścieżkach błędów, gdy poprzednie alokacje się nie powiodą lub gdy funkcja btrfs_encoded_read_regular_fill_pages() nie zwróci -EIOCBQUEUED.

W sterowniku dpaa2-switch jądra Linux stwierdzono, że po odebraniu nieprawidłowego identyfikatora if_id w procedurze obsługi przerwań, stan przerwania nie jest czyszczony, co prowadzi do burzy przerwań.

W jądrze Linuxa w sterowniku drm/xe/configfs występuje wyciek pamięci. Funkcja xe_config_device_release() zwalnia tylko ctx_restore_post_bb, ale nie ctx_restore_mid_bb, co prowadzi do wycieku alokacji przy usuwaniu urządzenia configfs.

W sterowniku wlcore dla układów Wi-Fi w jądrze Linux wykryto błąd blokowania, polegający na odblokowaniu mutexu wl->mutex bez jego wcześniejszego zablokowania.

W jądrze Linux wykryto problem cyklicznej zależności blokad w funkcji rds_tcp_tune, gdzie wywołanie sk_net_refcnt_upgrade() podczas trzymania blokady gniazda może prowadzić do zakleszczenia. Poprawka przenosi to wywołanie poza sekcję krytyczną.

W jądrze Linuxa w sterowniku drm/xe/reg_sr występuje wyciek pamięci. Gdy funkcja xa_store() nie powiedzie się, nowo zaalokowany wpis nie jest zwalniany, co prowadzi do wycieku pamięci na ścieżce błędu.

W jądrze Linuxa w module TLS wykryto wyciek pamięci związany z kolejką async_hold. Funkcja tls_decrypt_async_wait() nie czyściła tej kolejki, co prowadziło do przetrzymywania buforów skb po zakończeniu operacji szyfrowania AEAD. Łatka przenosi operację czyszczenia do tej funkcji, centralizując zarządzanie i zapobiegając wyciekom.

W jądrze Linux w podsystemie KVM dla architektury x86 wykryto podatność polegającą na tym, że podczas instalacji emulowanego wpisu MMIO SPTE nie jest usuwany istniejący wpis shadow-present. Może to prowadzić do ostrzeżenia i potencjalnie nieprawidłowego działania, gdy host userspace modyfikuje pamięć gościa.

W jądrze Linux wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji icmp_tag_validation(). Gdy włączony jest tryb hardened PMTU (ip_no_pmtu_disc=3) i odebrany zostanie pakiet ICMP Fragmentation Needed z wewnętrznym nagłówkiem IP zawierającym niezarejestrowany numer protokołu, dochodzi do paniki jądra w kontekście softirq.

W jądrze Linux wykryto podatność w module nfnetlink_osf, gdzie brak walidacji długości poszczególnych opcji w odciskach palców TCP (fingerprints) może prowadzić do dereferencji wskaźnika NULL lub odczytu poza zakresem. Atakujący może dostarczyć złośliwy odcisk palca z zerową długością opcji lub nieprawidłową długością opcji MSS, co powoduje awarię systemu (Oops) lub potencjalnie inne skutki.

W jądrze Linux w podsystemie netfilter/nf_tables wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w ścieżce błędu podczas rejestracji flowtable. Po nieudanej rejestracji hooków, flowtable jest zwalniana bez synchronizacji z okresem RCU, co może prowadzić do dostępu do już zwolnionej pamięci przez ścieżkę pakietów lub płaszczyznę sterowania nfnetlink_hook.

W jądrze Linux wykryto podatność w module netfilter xt_CT, gdzie szablony (templates) mogą być usuwane, podczas gdy pakiety wciąż oczekują w kolejce nfqueue. Może to prowadzić do problemów przy usuwaniu modułów pomocniczych (helper) lub polityk timeoutu. Łatka usuwa oczekujące pakiety przy usuwaniu reguły szablonu.

W jądrze Linuxa w podsystemie netfilter/nf_tables wykryto podatność polegającą na niepotrzebnym klonowaniu zbiorów (set) podczas operacji flush. Błąd alokacji pamięci z flagą GFP_KERNEL wywołuje ostrzeżenie WARN i może prowadzić do awarii systemu.

W jądrze Linux wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji br_do_suppress_nd() mostka sieciowego. Problem występuje, gdy IPv6 jest wyłączone parametrem ipv6.disable=1, a do mostka dociera pakiet ICMPv6 Neighbor Discovery, co prowadzi do awarii systemu.

W jądrze Linux w harmonogramie sieciowym ETS (Enhanced Transmission Selection) wykryto podatność na dzielenie przez zero w ścieżce offload. Problem wynika z przepełnienia liczb całkowitych bez znaku (unsigned int) podczas obliczania wag WRR, co może prowadzić do awarii systemu (kernel panic).

W jądrze Linuxa w module net/sched/act_ife wykryto podatność polegającą na nieprawidłowym zachowaniu podczas zastępowania listy metadanych (metalist). Zamiast zastąpić stare dane, nowe metadane są dodawane, co prowadzi do niekontrolowanego wzrostu listy i może skutkować błędem odczytu/zapisu poza dozwolonym obszarem pamięci (slab-out-of-bounds) podczas kodowania.

W jądrze Linux w sterowniku dell-wmi-sysman funkcja set_new_password() zrzucała heksadecymalnie cały bufor zawierający hasła w postaci jawnego tekstu. Usunięto ten zrzut, aby zapobiec wyciekowi danych uwierzytelniających.

W jądrze Linux wykryto zakleszczenie AB-BA podczas rejestracji triggerów LED dla PHY. Problem występuje, gdy oba moduły LEDS_TRIGGER_NETDEV i LED_TRIGGER_PHY są włączone, co prowadzi do wzajemnego blokowania się przy próbie uzyskania dostępu do listy triggerów i globalnego muteksu RTNL.

W sterowniku kalmia dla urządzeń USB w jądrze Linux brakuje walidacji punktów końcowych USB. Podatność umożliwia atakującemu podłączenie złośliwego urządzenia USB, które nie ma oczekiwanych punktów końcowych, co prowadzi do awarii systemu (crash) przy próbie ich dostępu.

W jądrze systemu Linux zidentyfikowano podatność związaną z porównywaniem MAC-ów, która mogła prowadzić do ataków czasowych. Została ona rozwiązana poprzez zastąpienie funkcji memcmp() odpowiednią funkcją crypto_memneq().

W jądrze Linux wykryto podatność polegającą na zapisie poza stosem w funkcji get_upper_ifindexes() w devmap. Funkcja iteruje po wszystkich górnych urządzeniach sieciowych i zapisuje ich indeksy do tablicy bez sprawdzania granic, co może prowadzić do przepełnienia bufora na stosie.

W jądrze Linux wykryto podatność Use-After-Free w typie zbioru pipapo netfilter. Problem wynika z długotrwałego działania odśmiecania (GC) w kontekście niepodlegającym wywłaszczeniu przy dużej liczbie wygasłych elementów, co prowadzi do miękkiego zawieszenia i raportów o zastoju RCU. Konieczne jest rozdzielenie GC na fazę odłączenia i zwolnienia, aby uniknąć dostępu do zwolnionej pamięci.

W jądrze Linuxa zidentyfikowano podatność w funkcji ioremap_prot(), która może prowadzić do błędów odczytu pamięci z poziomu jądra na systemach arm64 z włączonym PAN. Problem polega na zwracaniu nowego mapowania użytkownika, które jest niedostępne dla jądra.

W jądrze Linux wykryto podatność w mechanizmie XDP, gdzie nieprawidłowe obliczenie rozmiaru frag_size w sterownikach sieciowych (np. ixgbevf) prowadzi do ujemnej wartości tailroom, która jest interpretowana jako bardzo duża liczba dodatnia. Powoduje to niekontrolowane zwiększanie ogona pakietu i uszkodzenie pamięci, objawiające się segfaultami i ogólnym błędem ochrony.

W jądrze Linux wykryto podatność w mechanizmie kolejkowania sieciowego (qdisc) dla kolejek bez blokad (lockless). Podczas zmniejszania liczby rzeczywistych kolejek transmisyjnych, funkcja qdisc_reset_all_tx_gt() może działać równocześnie z procesem dequeue, co prowadzi do użycia po zwolnieniu (UAF) i potencjalnego przejęcia systemu.

W sterowniku irdma jądra Linux wykryto wyciek danych ze stosu jądra w funkcji irdma_create_user_ah(). Pole rezerwowe struktury odpowiedzi nie jest zerowane przed wysłaniem do przestrzeni użytkownika, co powoduje wyciek 4 bajtów pamięci stosu.

W jądrze Linuxa wykryto podatność w mechanizmie MPTCP (Multipath TCP) dotyczącą zarządzania punktami końcowymi. Błąd powoduje wyzwolenie ostrzeżenia (warning) podczas usuwania punktu końcowego z flagami 'signal' i 'subflow', gdy limit podprzepływów MPTCP jest ustawiony na 0. Problem wynika z nieprawidłowego oznaczania punktu końcowego jako użytego, co prowadzi do niespójności stanu.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji bpf_trampoline_link_cgroup_shim. Problem wynika z wyścigu, w którym po zmniejszeniu licznika referencji shim_link do zera, zasób jest nadal dostępny przez listę tr->progs_hlist, a jego faktyczne czyszczenie jest opóźnione. Atakujący może wykorzystać to okno czasowe do uzyskania dostępu do już zwolnionej pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na zmianę polityki haszowania transmisji na vlan+srcmac, gdy program XDP jest załadowany na bondzie w trybie 802.3ad lub balance-xor. To może prowadzić do niezgodności i błędów podczas usuwania bondów.

W jądrze Linux wykryto błąd powodujący dereferencję pustego wskaźnika w funkcji ip6_rt_get_dev_rcu(). Problem występuje, gdy urządzenie podrzędne jest odłączane od VRF, a funkcja l3mdev_master_dev_rcu() zwraca NULL, co prowadzi do awarii systemu.

W jądrze Linuxa wykryto podatność związaną z wyścigami danych wokół wskaźników sk->sk_data_ready i sk->sk_write_space. Warstwa skmsg (i prawdopodobnie inne) modyfikuje te wskaźniki, podczas gdy inne rdzenie mogą je jednocześnie odczytywać, co prowadzi do nieokreślonego zachowania.

W jądrze Linux wykryto podatność powodującą panikę systemu, gdy trasa IPv4 odwołuje się do obiektu następnego skoku IPv6 skonfigurowanego na interfejsie pętli zwrotnej (loopback). Problem wynika z błędnej klasyfikacji takiego obiektu jako trasy odrzucającej (reject), co pomija inicjalizację struktury danych nhc_pcpu_rth_output, prowadząc do dereferencji wskaźnika NULL.

W jądrze Linux wykryto podatność w sterowniku VXLAN, która powoduje dereferencję wskaźnika NULL w tablicy sąsiedztwa IPv6 (nd_tbl) podczas uruchamiania systemu z parametrem 'ipv6.disable=1'. Atakujący może wysłać spreparowany pakiet IPv6 do interfejsu VXLAN, wywołując funkcję route_shortcircuit(), która prowadzi do błędu Oops i potencjalnego zawieszenia systemu.

W sterowniku pegasus dla USB w jądrze Linux brakuje walidacji punktów końcowych USB. Złośliwe urządzenie USB może spowodować awarię sterownika przez brak wymaganych punktów końcowych.

W jądrze Linuxa w sterowniku irqchip/sifive-plic wykryto podatność powodującą zamrożenie przerwań. Problem występuje, gdy zmiana ustawienia powinowactwa (affinity) przerwania jest wykonywana w trakcie jego obsługi przez dany rdzeń, co prowadzi do ignorowania komunikatu o zakończeniu przerwania przez kontroler PLIC. Skutkuje to całkowitym zablokowaniem przerwań dla danego urządzenia.

W jądrze Linux w sterowniku mtk_eth_soc wykryto podatność polegającą na nieprawidłowym zarządzaniu wskaźnikiem programu eBPF w funkcji mtk_xdp_setup(). W przypadku błędu podczas wywołania mtk_open wskaźnik nie jest resetowany do old_prog, a licznik odwołań jest nieprawidłowo zmniejszany.

W jądrze Linux wykryto podatność w podsystemie netfilter nf_tables, polegającą na niepełnym przetwarzaniu wszystkich oczekujących elementów catchall podczas transakcji. W przypadku usuwania mapy zawierającej takie elementy, tylko pierwszy z nich był poprawnie obsługiwany, co prowadziło do ostrzeżenia i potencjalnego błędu w funkcji nft_data_release.

W jądrze Linuxa w schedulerze sieciowym TEQL (Trivial Equalizer) wykryto podatność polegającą na wywołaniu dereferencji wskaźnika NULL podczas transmisji przez urządzenie podrzędne TEQL. Funkcja teql_master_xmit() nie aktualizuje pola skb->dev przed wywołaniem netdev_start_xmit(), co powoduje, że tunel gretap używa nieprawidłowego urządzenia nadrzędnego teql0, które nie ma zaalokowanych statystyk tstats, prowadząc do błędu strony.

W jądrze Linuxa w module netfilter xt_IDLETIMER wykryto podatność polegającą na możliwości ponownego użycia etykiet timerów ALARM przez reguły rewizji 0. Reguły rewizji 0 wywołują mod_timer() na niezainicjalizowanym timer_list, co może prowadzić do ostrzeżeń debugobjects i paniki jądra przy panic_on_warn=1.

W jądrze Linux w sterowniku macvlan wykryto błąd wyścigu (race condition) w ścieżce błędu funkcji macvlan_common_newlink(). Podczas tworzenia interfejsu macvlan w trybie źródłowym (source mode) może dojść do sytuacji, w której urządzenie sieciowe zostanie udostępnione przed wykryciem błędu, a następnie zwolnione bez zachowania okresu RCU. Prowadzi to do użycia po zwolnieniu (use-after-free) w funkcji macvlan_forward_source(), co może zostać wykorzystane do naruszenia bezpieczeństwa systemu.

W jądrze Linux w podsystemie netfilter nf_tables wykryto podatność polegającą na publikowaniu nowego elementu w pełnym zbiorze przed jego usunięciem, bez oczekiwania na okres RCU. Może to prowadzić do sytuacji, w której czytelnik RCU przetwarza już opublikowany element, co stwarza ryzyko nieprawidłowego działania.

W jądrze Linux wykryto błąd w mechanizmie obsługi zdarzeń wydajnościowych (perf). Funkcja __perf_event_overflow() może być wywołana z wyłączonym tylko wywłaszczaniem, ale bez wyłączenia przerwań, co prowadzi do wyścigu z funkcją perf_event_exit_event(). W wyniku tego wyścigu może dojść do użycia już zwolnionej pamięci, np. programu BPF.

W jądrze Linux wykryto podatność w module act_ct (Connection Tracking) dla sieciowego planisty (net/sched). Problem wynika z możliwości użycia act_ct w ścieżce egress, co może prowadzić do użycia po zwolnieniu (Use-After-Free) z powodu nieprawidłowego obsłużenia stanu TC_ACT_CONSUMED przez większość kolejek dyscyplin. Łatka ogranicza wiązanie act_ct wyłącznie do kolejek clsact/ingress oraz współdzielonych bloków.

W systemie plików btrfs jądra Linux podczas tworzenia inline extent z powodu -ENOSPC następuje przejście do ścieżki COW. Błędnie zwalniano zarezerwowane dane qgroup, mimo że dane będą użyte. Poprawka zwalnia je tylko w przypadku braku fallbacku.

W systemie plików btrfs jądra Linux w funkcji __cow_file_range_inline() nie zwalniano zarezerwowanych danych qgroup w przypadku błędu alokacji ścieżki lub transakcji, co prowadzi do wycieku.

W jądrze systemu Linux zidentyfikowano podatność dotyczącą wycieku portów źródłowych TCP poprzez boczny kanał SYN cookie. Wprowadzono poprawkę, która przywraca porty TCP do losowania offsetu znaczników czasu.