Podatności Linux kernel

W jądrze Linux wykryto wyciek licznika referencji w funkcji bpf_prog_test_run_xdp(). Problem pojawia się, gdy ścieżka obsługi błędów nie wywołuje xdp_convert_buff_to_md(), co prowadzi do blokowania interfejsu sieciowego (np. sit0) i uniemożliwia jego zwolnienie.

W jądrze Linuxa w bibliotece libceph wykryto podatność, w której błąd z ceph_auth_handle_reply_done() nie jest poprawnie propagowany z mon_handle_auth_done(). Powoduje to, że wyższe warstwy mogą reagować na problemy z uwierzytelnianiem, podczas gdy msgr2 w tle próbuje kontynuować sesję, co w trybie bezpiecznym może prowadzić do ostrzeżenia WARN w setup_crypto() i dereferencji wskaźnika NULL w prepare_auth_signature().

W sterowniku sieciowym ocelot dla układów Microsemi występuje błąd powodujący awarię (crash) podczas dodawania interfejsu do grupy LAG. Problem wynika z wyłuskania wskaźnika NULL w funkcji ocelot_set_aggr_pgids(), gdy port nie jest zarejestrowany (dotyczy frontendu ocelot_vsc7514.c).

W jądrze Linuxa w systemie plików NFSD wykryto podatność polegającą na wyścigu podczas zapisu do pliku v4_end_grace. Może to prowadzić do użycia pamięci po jej zwolnieniu (use-after-free), szczególnie w tablicy mieszającej reclaim_str_hashtbl. Problem został rozwiązany przez dodanie mechanizmu blokowania z użyciem flagi client_tracking_active i spinlocka.

W jądrze Linux wykryto wyciek pamięci w funkcji skb_segment_list() używanej do segmentacji pakietów GRO. Problem wynika z nieaktualnej logiki księgowania rozmiaru (truesize) po zmianie sposobu orphania fragmentów w commit ed4cccef64c1. Powoduje to trwałe blokowanie zwalniania gniazd sieciowych.

W jądrze Linux w module dm-verity wykryto podatność związaną z rekurencyjną korekcją błędów (FEC). Rekurencyjne wywołania mogą prowadzić do przeciążenia systemu (DoS) z powodu ogromnej liczby iteracji (nawet 4 miliardów) oraz do nadpisywania współdzielonych buforów, co uniemożliwia poprawną korekcję.

W sterowniku GPIO MPSSE jądra Linux brakuje prawidłowego zakończenia pracownika IRQ podczas odłączania urządzenia. Uruchomiony pracownik IRQ powoduje awarię (crash) przy odłączaniu urządzenia, które nie było wcześniej hotpluggable.

W jądrze Linux w module ksmbd wykryto wyciek licznika odwołań podczas wyszukiwania sesji. Gdy znaleziono sesję, ale jej stan nie jest SMB2_SESSION_VALID, brakuje dekrementacji licznika odwołań uzyskanego przez wyszukiwanie sesji.

W module netfilter nf_conncount jądra Linuxa wykryto wyciek obiektu ct (connection tracking) w ścieżkach błędów. Niektóre ścieżki błędów pomijały sprawdzenie referencji i zwracały natychmiast, powodując wyciek.

W jądrze Linux wykryto podatność powodującą panikę systemu przy próbie kopiowania danych z bufora sk_buff.cb do przestrzeni użytkownika przez funkcję sock_recv_errqueue. Problem wynika z braku zdefiniowanego regionu dozwolonego kopiowania (usercopy whitelist) w pamięci podręcznej skbuff_fclone_cache, co przy włączonej opcji CONFIG_HARDENED_USERCOPY prowadzi do błędu BUG(). Łatka stosuje lokalną zmienną stosową jako bufor pośredniczący, aby ominąć to sprawdzenie.

W sterowniku adv7842 w jądrze Linux wykryto możliwość odczytu poza zakresem tablicy w funkcji adv7842_cp_log_status(). Funkcje cp_read() i hdmi_read() mogą zwrócić -EIO, które jest następnie używane jako indeks do tablicy.

W sterowniku smc91x dla jądra Linuxa z PREEMPT_RT wykryto problem z kontekstem przerwań. Funkcja smc_special_trylock() wyłączała przerwania nawet w PREEMPT_RT, ale smc_special_unlock() nie przywracała ich poprawnie, co powodowało błąd w pracy kolejki.

W jądrze Linuxa w module seqiv wykryto podatność polegającą na odwoływaniu się do pola req->iv po wywołaniu funkcji crypto_aead_encrypt. Po jej zakończeniu żądanie może zostać zwolnione przez asynchroniczne zakończenie, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linux w podsystemie DRM dla układów Intel (i915) wykryto podatność polegającą na niezainicjowaniu tablicy eb.vma zerami w funkcji i915_gem_do_execbuffer. Brak inicjalizacji może prowadzić do dereferencji wskaźnika NULL podczas obsługi błędów w eb_lookup_vmas(), co skutkuje awarią systemu.

W jądrze Linux w kodzie ERSPAN dla tuneli GRE wykryto błąd polegający na braku inicjalizacji pola options_len przed użyciem tablicy elastycznej options w strukturze ip_tunnel_info. Powoduje to panikę jądra przy kompilacji z GCC 15+ i włączonym FORTIFY_SOURCE.

W jądrze Linux wykryto podatność w podsystemie mac80211, polegającą na akceptowaniu ramek Beacon wysyłanych na adres niebrodkastowy. Zgodnie ze standardem IEEE 802.11 ramki Beacon powinny być wysyłane wyłącznie na adres rozgłoszeniowy, a unicastowe ramki Beacon mogą być wykorzystane w ataku typu CSA do przeniesienia stacji na inny kanał. Problem jest szczególnie krytyczny przy włączonej ochronie Beacon (BIGTK), ponieważ obecna logika nie odrzuca unicastowych ramek z ustawionym bitem ochrony, co pozwala na obejście ochrony.

W jądrze Linux wykryto zakleszczenie (deadlock) w implementacji MPTCP podczas przełączania na tryb fallback. Problem występuje, gdy scheduler pakietów próbuje ponownie wstrzyknąć dane po otrzymaniu MP_FAIL, zanim nieskończona mapa zostanie przesłana, co prowadzi do próby podwójnego zablokowania tego samego locka (fallback_lock).

W jądrze Linux w systemie plików ext4 wykryto podatność polegającą na nieprawidłowym kopiowaniu łańcuchów znaków w funkcji parse_apply_sb_mount_options(). Użycie strscpy_pad() na łańcuchu niezakończonym znakiem null może prowadzić do odczytu poza buforem i wywołania ostrzeżenia jądra.

W jądrze Linuxa w podsystemie SUNRPC w funkcji gss_read_proxy_verf stwierdzono podatność na wyłuskanie wskaźnika NULL. Token GSS o zerowej długości powoduje, że strony pamięci są puste, a odwołanie do page_address(in_token->pages[0]) prowadzi do dereferencji NULL, nawet gdy długość kopii wynosi 0.

W sterowniku VIA watchdog (via_wdt) w jądrze Linux stwierdzono podatność powodującą krytyczne zawieszenie systemu podczas uruchamiania. Problem wynika z braku nadania nazwy alokowanemu zasobowi MMIO, co skutkuje pojawieniem się wpisu "<BAD>" w drzewie zasobów jądra.

W jądrze Linuxa w mechanizmie kryptograficznym af_alg wykryto podatność polegającą na braku zerowania pamięci alokowanej przez sock_kmalloc(). Niezainicjalizowane struktury kontekstów i żądań mogą prowadzić do użycia przypadkowych danych, co w przypadku nowo dodanego pola 'inflight' powoduje losowe błędy -EBUSY przy wielowątkowych żądaniach AIO.

W jądrze Linux w sterowniku sieciowym HNS3 wykryto podatność polegającą na braku walidacji identyfikatora VLAN przed jego użyciem. Odebranie z maszyny wirtualnej (VF) komunikatu konfiguracyjnego z nieprawidłowym VLAN ID może prowadzić do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux dla architektury MIPS w mechanizmie ftrace występuje podatność na uszkodzenie pamięci, gdy jądro znajduje się powyżej 32 bitów. Makro UASM_i_LA_mostly może generować więcej niż 2 instrukcje, podczas gdy kod ftrace zakłada maksymalnie 2, co prowadzi do przepełnienia bufora i uszkodzenia zmiennych w sekcji __read_mostly.

W jądrze Linux wykryto podatność w KVM dla architektury x86, powodującą twarde zawieszenie (hard lockup) maszyny wirtualnej po długim okresie bezczynności z użyciem periodycznego timera HV. Problem występuje przy błędnym obliczaniu czasu wygaśnięcia timera APIC w trybie periodycznym, co prowadzi do generowania nadmiernej liczby przerwań i potencjalnego zawieszenia hosta.

W sterowniku hp-bioscfg w jądrze Linux wykryto podatność na odczyt poza zakresem tablicy podczas parsowania pakietów ACPI. Funkcje hp_populate_*_elements_from_package() nie sprawdzają poprawnie indeksów przy dostępie do elementów tablicy z przesunięciem.

W jądrze Linux stwierdzono podatność w funkcji ip6gre_header() w sterowniku ip6_gre. Błąd powoduje panikę jądra (kernel BUG) z powodu niedostatecznej rezerwy bufora (headroom) w pakiecie skb, co może być wykorzystane przez atakującego do wywołania awarii systemu.

W jądrze Linux wykryto wyciek licznika referencji podczas usuwania obiektu nexthop dla tras błędów (np. blackhole) w IPv4. Trasy błędów nie były usuwane wraz z martwym nexthopem, co powodowało, że utrzymywały referencję na obiekcie nexthop i urządzeniu sieciowym, uniemożliwiając jego zwolnienie.

W serwerze NFS (nfsd) wykryto wyciek referencji nfsd_file w funkcji nfsd4_add_rdaccess_to_wrdeleg(). Nadpisywanie wskaźnika bez zwalniania poprzedniego oraz nieprawidłowe zarządzanie referencjami prowadzi do wycieków pamięci i potencjalnych konfliktów otwarcia plików. Podczas zamykania serwera może wystąpić BUG() w kmem_cache_destroy().

W jądrze Linux wykryto błąd w implementacji MPTCP, który powoduje wyścig podczas jednoczesnego nawiązywania połączenia (simult-connect). Problem prowadzi do niespójnego stanu mechanizmu fallback, co może skutkować ostrzeżeniem WARNING i awarią systemu.

W jądrze Linux w podsystemie ROSE wykryto podatność polegającą na użyciu nieprawidłowego indeksu tablicy w funkcji rose_kill_by_device(). Pętla przetwarzająca gniazda używa indeksu cnt zamiast i, co prowadzi do odczytu niezainicjalizowanych danych lub odczytu poza zakresem tablicy.

W jądrze Linux wykryto błąd w funkcji calipso_skbuff_setattr() dla IPv6, który prowadzi do awarii systemu (kernel oops) przez wywołanie BUG_ON w pskb_expand_head(). Problem wynika z niejawnego rzutowania liczb całkowitych w __skb_cow(), które pozwala na przekazanie ujemnej wartości headroom do skb_cow(), gdy headroom przekracza INT_MAX.

W sterowniku Bluetooth btusb w jądrze Linux wycofano użycie funkcji devm_kzalloc. Użycie devm_kzalloc wiązało czas życia danych btusb z jednym interfejsem (INTF), co powodowało problemy przy zwalnianiu innych interfejsów (ISOC, DIAG).

W jądrze Linux w funkcji rt6_get_pcpu_route() dla IPv6 wykryto błąd powodujący BUG na jądrach z PREEMPT_RT. Po zwróceniu NULL przez rt6_get_pcpu_route(), zadanie może zostać wywłaszczone, a inne zadanie może zainstalować wpis pcpu_rt, co powoduje niepowodzenie cmpxchg() i wyzwolenie BUG_ON.

W jądrze Linuxa wykryto zakleszczenie (deadlock) między funkcjami nfc_unregister_device a rfkill_fop_write. Problem wynika z odwróconej kolejności blokowania muteksów: device_lock i rfkill_global_mutex, co prowadzi do blokady wątków.

W systemie Linux z jądrem wykorzystującym MMU hash, podatność w mechanizmie wstępnego ładowania SLB (ang. SLB preload) może prowadzić do błędu wielokrotnego trafienia SLB (SLB multi-hit). Problem występuje, gdy proces migruje między rdzeniami CPU bez wykonania switch_mmu_context(), co powoduje rozsynchronizowanie sprzętowego bufora SLB z programową pamięcią podręczną preload.

W sterowniku aic94xx dla Linuksa wykryto podatność use-after-free w ścieżce usuwania urządzenia. Funkcja asd_pci_remove() nie synchronizuje się z oczekującymi taskletami przed zwolnieniem struktury asd_ha, co może prowadzić do wyścigu. Dodanie tasklet_kill() przed zwolnieniem struktury rozwiązuje problem.

W jądrze Linux w podsystemie functionfs wykryto błąd wyścigu między otwieraniem a usuwaniem plików. ffs_epfile_open() może zakończyć się sukcesem, mimo że plik został już usunięty, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w systemie plików shmem wykryto problem z odzyskiwaniem po nieudanych operacjach zmiany nazwy. Błędy wstawiania do drzewa klonowego (maple_tree) mogą prowadzić do nieprawidłowego stanu, a funkcja shmem_whiteout() zakłada, że po jej sukcesie nie wystąpią dalsze błędy.

W jądrze Linux w module ublk wykryto podatność polegającą na wycieku licznika referencji (reference count) dla żądań ublk, gdy proces serwera ublk zamyka plik urządzenia znakowego. Dotyczy to trybu kopiowania danych UBLK_F_USER_COPY, co prowadzi do nieprawidłowych operacji kopiowania i ostrzeżeń.

W jądrze Linux w harmonogramie sieciowym ETS (Enhanced Transmission Selection) występuje błąd wyścigu między funkcjami `ets_qdisc_dequeue` i `ets_qdisc_change`. Prowadzi to do użycia po zwolnieniu (UAF) na obiekcie `struct Qdisc`, co może umożliwić atakującemu przejęcie kontroli nad przepływem wykonania.

W sterowniku sieciowym HNS3 dla jądra Linux wykryto podatność polegającą na nieprawidłowym przydzielaniu zasobów w sterowniku VF. Tablice hdev->htqp i kinfo->tqp były alokowane z różnymi rozmiarami, co prowadziło do pozostawienia niektórych elementów niezainicjowanych.

W jądrze Linux wykryto podatność use-after-free w sterowniku ALPS dla touchpadów. Problem wynika z braku synchronizacji opóźnionego zadania dev3_register_work podczas odłączania urządzenia, co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w systemie plików ext4 wykryto podatność polegającą na dereferencji pustego wskaźnika w funkcji ext4_raw_inode(). Jeśli wywołanie ext4_get_inode_loc() zakończy się niepowodzeniem (np. z powodu uszkodzenia systemu plików), struktura bufora pozostaje niezainicjowana, a brak sprawdzania błędów w ext4_xattr_inode_dec_ref_all() prowadzi do awarii systemu.

W sterowniku dtv5100 (dvb-usb) w jądrze Linux występuje podatność na odczyt poza zakresem w funkcji dtv5100_i2c_msg(). Wartość rlen jest kontrolowana przez użytkownika i nie jest sprawdzana, co pozwala na ustawienie jej większej niż rozmiar bufora st->data, prowadząc do naruszenia pamięci.

W jądrze Linuxa wycofano łatkę dla sterownika qla2xxx, która wprowadziła wywołanie zwrotne bez blokady w ścieżce przerywania. Brak sprawdzenia typu polecenia (sp->cmd_type) powodował dereferencję wskaźnika NULL w trybie target, prowadząc do awarii systemu.

W jądrze Linux w sterowniku MLX5 (fw_tracer) brakowało walidacji parametrów łańcucha formatującego. Nieprawidłowe specyfikatory formatu (%s, %p, %n) z firmware'u mogły prowadzić do awarii lub nieokreślonego zachowania.

W jądrze Linux w harmonogramie sieciowym ETS (Enhanced Transmission Selection) wykryto błąd polegający na tym, że podczas zmiany klasy DRR (Deficit Round Robin) na klasę strict nie jest ona usuwana z listy aktywnych klas. Prowadzi to do podwójnego dodania tej klasy do listy przy późniejszej zmianie z powrotem na DRR, co wywołuje ostrzeżenie o podwójnym dodaniu (list_add double add) i może destabilizować system.

W jądrze Linux w podsystemie io_uring wykryto wyciek pamięci w funkcji __io_openat_prep(). Podczas alokacji struktury filename za pomocą getname(), w przypadku gdy plik jest instalowany w stałej tablicy plików i ma ustawioną flagę O_CLOEXEC, funkcja kończy działanie bez ustawienia flagi REQ_F_NEED_CLEANUP, co uniemożliwia zwolnienie zaalokowanej pamięci.

W jądrze Linux wykryto podatność w KVM, która pozwala na wyłączenie flagi KVM_MEM_GUEST_MEMFD dla istniejącego slotu pamięci, co prowadzi do użycia po zwolnieniu (use-after-free). Problem wynika z braku walidacji przy zmianie flagi, co umożliwia atakującemu wywołanie błędu krytycznego.

W sterowniku vidtv w jądrze Linux występuje podatność use-after-free i double-free w funkcji vidtv_channel_si_init(). Po przeniesieniu własności pamięci do tablic PAT/SDT/EIT, lokalne wskaźniki nie są zerowane, co prowadzi do ponownego zwolnienia już zwolnionej pamięci w przypadku błędu.