Podatności Linux kernel

W jądrze Linuxa w mechanizmie kolejkowania sieciowego act_gate (gate action) występuje podatność polegająca na braku synchronizacji dostępu do listy harmonogramu podczas zastępowania akcji. Wywołanie zwrotne timera high-resolution lub zrzut stanu mogą przetwarzać listę w tym samym czasie, co prowadzi do potencjalnego wyścigu (race condition).

W jądrze Linux wykryto podatność w sterowniku RDMA/umad, gdzie funkcja ib_umad_write obliczała długość danych (data_len) na podstawie kontrolowanych przez użytkownika wartości, co mogło prowadzić do ujemnej wartości. Ujemna data_len powodowała błędne obliczenia wypełnienia w alloc_send_rmpp_list, prowadząc do zapisu poza dozwolonym obszarem pamięci (slab-out-of-bounds).

W jądrze Linux w sterowniku RDMA/siw wykryto potencjalne wyłuskanie pustego wskaźnika podczas przetwarzania nagłówków. Jeśli funkcja siw_get_hdr() zwróci -EINVAL przed wywołaniem set_rx_fpdu_context(), wskaźnik qp->rx_fpdu może być NULL, a ścieżka błędu w siw_tcp_rx_data() odwołuje się do niego bez sprawdzenia.

W systemie plików NTFS3 jądra Linux wykryto błąd prowadzący do nieskończonej pętli. Atakujący może dostarczyć spreparowany obraz NTFS z atrybutem ATTR_LIST o zerowym rozmiarze danych, co powoduje zawieszenie procesu montowania i blokadę wątku jądra.

W systemie Linux w systemie plików ntfs3 wykryto błąd prowadzący do nieskończonej pętli podczas operacji wyszukiwania. Złośliwie spreparowany wpis katalogu (dentry) może spowodować zawieszenie jądra i wyczerpanie pamięci (OOM).

W jądrze Linux w systemie plików NTFS3 odkryto błąd prowadzący do nieskończonej pętli. Niespójne metadane NTFS, gdzie atrybut zgłasza pustą listę uruchomień (evcn=-1), ale katalog oczekuje danych, powodują, że funkcja attr_load_runs_range() zapętla się, wyczerpując zasoby systemu.

W jądrze Linux w podsystemie netfilter nf_tables wykryto podatność use-after-free w funkcji nf_tables_addchain(). Łańcuch (chain) jest publikowany na liście przed rejestracją hooków, a w przypadku błędu rejestracji jest usuwany i niszczony bez oczekiwania na zakończenie trwających operacji RCU, co prowadzi do dwóch scenariuszy use-after-free: w ścieżce sterowania (zrzut łańcuchów) oraz w ścieżce pakietów (przejściowy hook IPv4).

W sterowniku qla2xxx jądra Linuxa wykryto podatność polegającą na dereferencji wskaźnika NULL podczas zwalniania pamięci. Problem występuje w funkcji qla_fab_async_scan, gdy wskaźnik sp (srb_t) jest pusty, co prowadzi do awarii systemu (kernel panic).

W jądrze Linuxa w module klasyfikatora sieciowego cls_u32 wykryto podatność polegającą na braku pełnej walidacji ujemnych wartości przesunięcia (offset) w funkcji skb_header_pointer(). Może to prowadzić do odczytu poza dozwolonym obszarem pamięci (slab-out-of-bounds) podczas przetwarzania pakietów przez u32_classify().

W jądrze Linux w sterowniku iwlwifi (podsystem MLD) nie anulowano zadania mlo_scan_start_wk podczas rozłączenia. Może to prowadzić do inicjalizacji po kolejce (init-after-queue) lub użycia po zwolnieniu (use-after-free), gdy zadanie zostanie wykonane po zwolnieniu interfejsu wirtualnego (vif).

W jądrze Linux wykryto błąd w sterowniku DMA MMP PDMA prowadzący do wyścigu danych. Funkcja mmp_pdma_residue() nie posiada odpowiedniego blokowania, co umożliwia dostęp do zwolnionej pamięci (use-after-free) podczas iteracji po liście deskryptorów.

W jądrze Linux w systemie plików SMB serwera wykryto wyciek licznika odwołań w funkcji parse_durable_handle_context(). Gdy polecenie jest operacją replay i zwracany jest błąd -ENOEXEC, licznik odwołań obiektu ksmbd_file nie jest zwalniany.

W jądrze Linux naprawiono błąd w segmentacji GSO dla pakietów GRO z listą frag_list, który powodował niską przepustowość podczas translacji protokołów IPv4/IPv6 przez XLAT. Problem polegał na tym, że funkcja skb_segment_list nieprawidłowo przetwarzała pakiety GRO po translacji, ponieważ XLAT tłumaczy tylko nagłówek głównego skb, pozostawiając skb w frag_list nietknięte. Łata wymusza ustawienie flagi SKB_GSO_DODGY dla pakietów GSO w helperach translacji, co powoduje użycie bezpieczniejszej funkcji skb_segment zamiast skb_segment_list.

W jądrze Linuxa dodano nowy interfejs IOMMU do opróżniania wpisów IOTLB dla przestrzeni adresowej jądra CPU. Rozwiązuje to główny problem z vfree(), który może być wywołany przez nieuprzywilejowanych użytkowników, ale nie dotyczy bardzo rzadkich przypadków odłączania pamięci zarezerwowanej przy starcie.

W jądrze Linuxa wykryto podatność w mechanizmie netfs, gdzie przedwczesne odblokowanie strony (folio) przy trafieniu na koniec pliku (EOF) może pozwolić aplikacji na odczyt niezerowanych danych przez mmap. Problem występuje, gdy zbieranie wyników odczytu wyprzedza zakończenie podzapytań, a podzapytanie zerujące (ZERO) jest wykonywane po odblokowaniu strony.

W jądrze Linuxa w podsystemie io_uring/io-wq występuje problem, który może prowadzić do długotrwałego blokowania procesu wyjścia (exit) wątków roboczych io-wq. Podczas przetwarzania dużych operacji odczytu (np. 2GB - 4096b) z plików /dev/msr*, które nie obsługują interfejsu ->read_iter(), każdy odczyt może trwać nawet 20 sekund, co przy wielu oczekujących zadaniach powoduje przekroczenie limitu czasu (140 sekund) i zgłoszenie błędu przez mechanizm hung_task.

W jądrze Linux wykryto podatność w module netfilter nf_tables, polegającą na odwróconym sprawdzaniu maski generacji w funkcji nft_map_catchall_activate(). Powoduje to, że podczas abortowania transakcji elementy catchall map nie są poprawnie reaktywowane, co prowadzi do naruszenia licznika referencji chain->use i w konsekwencji do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto błąd w warstwie SCSI, który powoduje, że mechanizm obsługi błędów nie budzi się, gdy ostatnie komendy kończą się jednocześnie. Problem wynika z błędnej kolejności operacji pamięciowych i braku synchronizacji między zliczaniem aktywnych komend a zwiększaniem licznika błędów. W efekcie system I/O na hoście SCSI może utknąć w stanie błędu, ponieważ procedura naprawcza nie zostaje uruchomiona.

W jądrze Linux w sterowniku ipvlan wykryto problem synchronizacji związany z blokadą addrs_lock. Poprawka przenosi blokadę na poziom portu zamiast urządzenia ipvlan, co eliminuje potencjalne wyścigi przy dodawaniu/usuwaniu adresów IPv6 bez RTNL.

W jądrze Linux wykryto błąd w funkcji hugetlb_pmd_shared(), która nieprawidłowo wykrywa współdzielenie tablic PMD dla stron olbrzymich (hugetlb). Zamiast używać dedykowanego licznika współdzielenia (pt_share_count), funkcja nadal opierała się na liczbie odwołań (refcount), co powodowało, że współdzielone tablice PMD nie były rozpoznawane jako współdzielone. Skutkuje to błędnym działaniem migracji stron (np. mbind) oraz nieprawidłowym raportowaniem w interfejsach smaps i pagemap.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy ograniczenia BOND_MODE_8023AD do urządzeń Ethernet. Problem ten został rozwiązany, jednak wcześniej mógł prowadzić do błędów związanych z dostępem do pamięci.

W jądrze Linux wykryto wyciek pamięci w implementacji GUE (Generic UDP Encapsulation) spowodowany błędnym przetwarzaniem pakietów z wewnętrznym protokołem IP o wartości 0. Funkcja gue_udp_recv() zwraca wartość -proto_ctype dla ponownego przekazania, co nie działa dla protokołu 0, prowadząc do wycieku skb.

W jądrze Linux wykryto podatność w sterowniku Xen scsiback, gdzie pamięć alokowana dla struktury vscsiblk_info w funkcji scsiback_probe() nie jest zwalniana w scsiback_remove() ani w ścieżkach błędów scsiback_probe(), co prowadzi do potencjalnego wycieku pamięci.

W jądrze Linuxa w sterowniku vsock/virtio odkryto podatność polegającą na tym, że kredyt TX był oparty wyłącznie na wartości peer_buf_alloc pochodzącej od zdalnego punktu końcowego. Złośliwy gość lub host mógł zadeklarować duży bufor i czytać dane powoli, zmuszając drugą stronę do alokacji nadmiernej ilości pamięci sk_buff, co prowadziło do wyczerpania pamięci (OOM).

W jądrze Linux wykryto podatność w sterowniku be2net, polegającą na możliwości wyłuskania wskaźnika NULL w funkcji be_cmd_get_mac_from_list. Problem występuje, gdy funkcja jest wywoływana z parametrem pmac_id_valid ustawionym na false oraz wskaźnikiem pmac_id równym NULL, co prowadzi do próby zapisu pod adresem NULL.

W jądrze Linux wykryto podatność w module FOU (Foo-over-UDP). Gdy atrybut FOU_ATTR_IPPROTO jest ustawiony na 0, funkcja fou_udp_recv() nie zwalnia bufora skb ani nie przekazuje go dalej, co prowadzi do wycieku pamięci.

W jądrze Linux wykryto podatność w mechanizmie kolejkowania teql (TrueLink Equalizer). Brak wymuszenia, aby teql był używany wyłącznie jako nadrzędna dyscyplina kolejkowania (root qdisc), umożliwia atakującemu skonfigurowanie go jako podrzędnego, co prowadzi do naruszenia spójności danych i potencjalnego użycia po zwolnieniu (Use-After-Free).

W jądrze Linuxa wykryto podatność w module kryptograficznym authencesn, która pozwala na wywołanie paniki jądra (DoS) przez przesłanie zbyt krótkiego AAD (assoclen<8). Brak walidacji długości danych uwierzytelniających powoduje odczyt poza zakresem listy rozproszenia i dereferencję wskaźnika NULL.

W jądrze Linux w sterowniku hv_netvsc wykryto podatność polegającą na braku sprawdzania obecności tablicy przekierowania RX podczas programowania klucza RSS. Gdy urządzenie zgłasza pojedynczą kolejkę odbioru, tablica nie jest alokowana, a próba aktualizacji klucza RSS prowadzi do zawieszenia systemu.

W jądrze Linux wykryto podatność w mechanizmie ftrace, gdzie błędne obliczenia liczby wpisów na stronę (ENTRIES_PER_PAGE) prowadzą do nadmiernego przydzielania pamięci. Problem występuje, gdy rozmiar strony (PAGE_SIZE) nie jest wielokrotnością rozmiaru wpisu (ENTRY_SIZE), co powoduje ostrzeżenia jądra i potencjalne marnotrawstwo zasobów.

W jądrze Linux wykryto podatność w sterowniku w1 termometru (w1: therm) polegającą na błędzie off-by-one w funkcji alarms_store. Bufor przekazywany z sysfs jest alokowany z 'size + 1' bajtami, ale funkcja alokuje tylko 'size' bajtów, a następnie używa strcpy(), co powoduje zapis o jeden bajt poza przydzieloną pamięć. Poprawka polega na bezpośrednim parsowaniu parametru 'buf' za pomocą simple_strtoll() bez alokacji pamięci.

W jądrze Linux w module ALSA AC97 wykryto podwójne zwolnienie pamięci (double free) w funkcji snd_ac97_controller_register(). Jeśli ac97_add_adapter() zawiedzie, użycie kfree() zamiast put_device() prowadzi do podwójnego zwolnienia.

W jądrze Linux wykryto wyciek pamięci w funkcji nfs4_ff_alloc_deviceid_node() w sterowniku pnfs/flexfiles. Gdy alokacja dla ds_versions nie powiedzie się, funkcja przechodzi do etykiety out_scratch bez zwalniania już zaalokowanej listy dsaddrs, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku DMA QCOM GPI wykryto wyciek pamięci w funkcji gpi_peripheral_config(). Problem występuje, gdy funkcja krealloc() zwróci NULL, co powoduje utratę referencji do poprzednio zaalokowanej pamięci.

W jądrze Linuxa w sterowniku sieciowym Marvell Prestera wykryto podatność polegającą na wyłuskaniu wskaźnika NULL. Funkcja devlink_alloc() może zwrócić NULL w przypadku niepowodzenia alokacji, ale kod wywołujący bezwarunkowo używa devlink_priv() na zwróconym wskaźniku, co prowadzi do awarii systemu.

W jądrze Linuxa w sterowniku at_hdmac wykryto wyciek referencji urządzenia podczas przetwarzania of_dma_xlate(). Problem polega na tym, że referencja pobrana podczas wyszukiwania platformowego urządzenia DMA nie jest zwalniana po pomyślnej alokacji kanału, co prowadzi do wycieku pamięci.

W jądrze Linux wykryto podatność w sterowniku DMA BCM-SBA-RAID, która powoduje wyciek referencji urządzenia podczas inicjalizacji. Problem polega na braku zwolnienia referencji do urządzenia mailbox po niepowodzeniu inicjalizacji lub odwiązaniu sterownika.

W jądrze Linux wykryto podatność w sterowniku DMA dw_dmamux, polegającą na wycieku referencji do węzła OF (Device Tree) podczas alokacji trasy DMA. Błąd powoduje, że referencja pobrana do węzła nadrzędnego DMA nie jest zwalniana w przypadku późnego niepowodzenia alokacji trasy.

W jądrze Linuxa w sterowniku STM32 DMA MUX wykryto wyciek referencji urządzenia podczas alokacji trasy DMA. Funkcja alokująca trasę nie zwalniała referencji pobranej podczas wyszukiwania urządzenia platformowego DMA MUX.

W jądrze Linux wykryto wyciek referencji urządzenia w sterowniku DMA crossbar dla układów TI AM335x. Podczas alokacji trasy DMA nie zwalniano referencji do urządzenia platformowego crossbar, co prowadziło do wycieku pamięci.

W jądrze Linux wykryto podatność w sterowniku IP over GRE (ip_gre), która umożliwia awarię systemu przez wywołanie paniki jądra. Problem wynika z braku odpowiedniego sprawdzenia dostępnego miejsca w buforze sieciowym (skb) przed dodaniem nagłówka GRE, co może być wykorzystane przez atakującego do wywołania błędu skb_under_panic.

W jądrze Linux wykryto podatność use-after-free w funkcji inet6_addr_del() dla IPv6. Błąd powstał przez przypadkowe przeniesienie wywołania ipv6_del_addr() przed odczytaniem flag ifp->flags dla adresów tymczasowych, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linux wykryto podatność w mechanizmie XSAVE/XRSTOR dla maszyn wirtualnych KVM. Gdy stan XSTATE_BV wskazuje na włączenie funkcji wyłączonej przez XFD, próba przywrócenia tego stanu przez XRSTOR powoduje błąd #NM i panikę jądra. Problem występuje przy ładowaniu stanu gościa przez KVM_SET_XSAVE lub przy aktualizacji XFD w odpowiedzi na WRMSR gościa.

W jądrze Linuxa w funkcji __ip6_tnl_rcv() dla tuneli IPv6 brakowało obsługi ramek z enkapsulacją VLAN, co prowadziło do użycia niezainicjalizowanej pamięci. Problem został zgłoszony przez narzędzie syzbot i objawiał się błędem KMSAN w mechanizmie dekapsulacji ECN.

W jądrze Linuxa naprawiono podatność w funkcji qfq_change_class(), która mogła prowadzić do błędów związanych z używaniem po zwolnieniu (UAF). Problem dotyczył niewłaściwego zwalniania istniejącej klasy w przypadku błędu.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do dereferencji wskaźnika NULL w funkcji nvmet_tcp_build_pdu_iovec. Problem ten występuje, gdy dane komendy nie są odpowiednio zainicjowane przed przetwarzaniem H2C_DATA PDU.

W jądrze systemu Linux zidentyfikowano podatność, która została naprawiona. Problem dotyczy funkcji j1939_xtp_rx_rts_session_active(), która nie dezaktywuje sesji po otrzymaniu drugiego RTS, co prowadzi do wycieku liczby referencji dla j1939_session.

W jądrze Linux stwierdzono podatność w sterowniku DMA idxd, powodującą wycieki referencji urządzenia podczas operacji wiązania i odwiązania w trybie zgodności (compat). Brak zwalniania referencji prowadzi do nieprawidłowego zarządzania pamięcią.

W sterowniku Tegra ADMA w jądrze Linux wykryto podatność use-after-free. Problem występuje podczas przerywania strumieni audio, gdy bufor DMA jest zwalniany przed zakończeniem działania taskleta obsługującego zakończenie transferu, co prowadzi do dostępu do już zwolnionej pamięci.

W jądrze Linux wykryto wyciek licznika referencji w funkcji bpf_prog_test_run_xdp(). Problem pojawia się, gdy ścieżka obsługi błędów nie wywołuje xdp_convert_buff_to_md(), co prowadzi do blokowania interfejsu sieciowego (np. sit0) i uniemożliwia jego zwolnienie.