Podatności Linux kernel

W jądrze Linux w module ksmbd wykryto podatność w funkcji smb2_set_ea, która nieprawidłowo waliduje bufory dla rozszerzonych atrybutów (EA). Brak uwzględnienia znaku null terminatora (+1 bajt) w długości nazwy EA może prowadzić do błędów walidacji.

W jądrze Linux w module FUSE (Filesystem in Userspace) wykryto podatność polegającą na uszkodzeniu listy (list corruption) w mechanizmie io-uring dla żądań, które zostały zakończone przed zatwierdzeniem (committed). Nieusunięcie żądania z listy kolejki prowadzi do użycia po zwolnieniu (use-after-free).

W systemie Linux, w podsystemie NFSD, podczas tworzenia pliku przez klienta NFSv4 z ustawioną listą ACL (Access Control List) zawierającą nazwanego principala, serwer nie stosuje tej listy ACL. Zamiast tego, po utworzeniu pliku, klient otrzymuje domyślną listę ACL opartą na bitach trybu, co narusza specyfikację RFC 8881.

W jądrze Linux wykryto podatność use-after-free w sterowniku mlxsw (Mellanox Spectrum). Problem polega na przechowywaniu wskaźnika do sąsiada (neighbour) bez odpowiedniego zwiększenia licznika referencji, co prowadzi do odwołania do zwolnionej pamięci. Luka została załatana poprzez uproszczenie schematu zliczania referencji.

W jądrze Linux w sterowniku mlxsw (Mellanox Spectrum) wykryto podatność use-after-free podczas aktualizacji statystyk tras multicast. Brak synchronizacji mutexem przy usuwaniu wpisu z listy tras może prowadzić do odwołania do już zwolnionej pamięci.

W jądrze Linux w module caif wykryto podatność na niedomiar liczby całkowitej w funkcji cffrml_receive(). Gdy FCS jest wyłączone, funkcja odejmuje 2 od długości pakietu bez sprawdzenia, czy długość jest co najmniej 2, co może prowadzić do niedomiaru.

W jądrze Linuxa wykryto podatność w sterowniku AMD PMU (Performance Monitoring Unit). W wyniku subtelnego wyścigu (race condition) między obsługą NMI a funkcją throttle, wskaźnik cpuc->events[idx] może stać się NULL, co prowadzi do dereferencji pustego wskaźnika i błędu ogólnej ochrony (GPF) podczas wywołania amd_pmu_enable_all(). Problem dotyczy wyłącznie architektury AMD.

W jądrze Linuxa wykryto podatność w mechanizmie ethtool, która może prowadzić do przepełnienia bufora przestrzeni użytkownika podczas zapytań o statystyki. Problem wynika z wyścigu między trzema wywołaniami ioctl, gdy liczba statystyk zmienia się dynamicznie (np. przez rekonfigurację urządzenia). Łagodzenie polega na niezwracaniu danych w przypadku niezgodności rozmiaru, co zapobiega przepełnieniu, ale może skutkować tymczasowym brakiem statystyk.

W jądrze Linux w sterowniku amdgpu wykryto podatność na użycie po zwolnieniu (UAF) podczas odzyskiwania GPU. Problem wynika z wyścigu między funkcją zwrotną timeoutu a kolejką pracy TDR, gdzie dostęp do pola pasid zadania może nastąpić po jego zwolnieniu.

W jądrze Linux w module tpm2-sessions wykryto podatność na indeksowanie poza zakresem w polu 'name_size'. Brak walidacji zakresu może prowadzić do uszkodzenia pamięci przy użyciu nieznanych wartości TPM_ALG_ID.

W jądrze Linuxa wykryto podatność w mechanizmie fsnotify, która umożliwiała generowanie zdarzeń ACCESS/MODIFY dla plików specjalnych (np. /dev/null) podczas odczytu/zapisu przez innych użytkowników. Poprawka wyłącza generowanie tych zdarzeń dla plików specjalnych, co zamyka potencjalne kanały boczne do wycieku informacji.

W jądrze Linux wykryto wyciek pamięci w funkcji nr_sendmsg() stosu sieciowego NET/ROM. Gdy funkcja nr_output() zwraca NULL z powodu niepowodzenia alokacji bufora przez sock_alloc_send_skb(), oryginalny skb nie jest zwalniany, co prowadzi do wycieku pamięci.

W jądrze Linux w module openvswitch wykryto podatność polegającą na braku walidacji środkowego atrybutu w akcji push_nsh(). Atakujący może wysłać specjalnie spreparowany pakiet Netlink, który omija walidację i powoduje odczyt poza dozwolonym obszarem pamięci (slab-out-of-bounds) podczas wykonywania akcji.

W jądrze Linux wykryto podatność w podsystemie SCSI target, gdzie w przypadku błędu alokacji pamięci dla wskaźnika t_task_cdb pozostaje on wartością NULL, co prowadzi do jego późniejszego wyłuskania w ścieżce obsługi błędu. Problem został rozwiązany poprzez zresetowanie wskaźnika do domyślnego bufora o stałym rozmiarze.

W jądrze Linux w funkcji prp_get_untagged_frame() modułu HSR/PRP brakuje sprawdzenia wyniku alokacji pamięci przez __pskb_copy(). Jeśli alokacja się nie powiedzie, wywołanie skb_clone() z pustym wskaźnikiem prowadzi do dereferencji NULL i awarii systemu.

W jądrze Linuxa w systemie plików HFS+ wykryto podatność polegającą na braku inkrementacji licznika referencji (hfs_bnode_get()) w funkcji __hfs_bnode_create(). Gdy dwa wątki jednocześnie wywołują sync() i link(), oba mogą próbować utworzyć ten sam węzeł B-drzewa, co prowadzi do podwójnego zwolnienia i wywołania BUG_ON.

W jądrze Linuxa w sterowniku fsl-cpm dla SPI wykryto podatność polegającą na braku weryfikacji parzystości długości transferu przed przełączeniem w tryb 16-bitowy. Powoduje to przepełnienie bufora przy nieparzystej długości transferu, co może prowadzić do naruszenia stabilności systemu.

W jądrze Linux w sterowniku bnxt_en wykryto podatność w ścieżce XDP_TX. Nieprawidłowe czyszczenie flag zdarzeń może prowadzić do sytuacji, w której sterownik nie wywołuje dzwonka TX, powodując zatrzymanie pierścienia RX i utratę pakietów.

W jądrze systemu Linux zidentyfikowano podatność, która prowadziła do sporadycznych zakleszczeń związanych z operacjami na semaforach. Problem występował podczas ładowania modułów, takich jak ipvlan, co prowadziło do zablokowania zadania.

W jądrze Linuxa stwierdzono podatność polegającą na tym, że automatycznie montowane systemy plików NFS nie dziedziczą flag montowania ustawionych przez użytkownika, takich jak 'ro', 'noexec', 'nodev' i 'sync'. Brak dziedziczenia może prowadzić do ignorowania polityk bezpieczeństwa dotyczących tylko do odczytu lub ograniczeń wykonywania.

W jądrze Linux w systemie plików HFS funkcja hfs_correct_next_unused_CNID() wywołuje hfs_bnode_put(node) przed użyciem wskaźnika node, co może prowadzić do użycia po zwolnieniu (use-after-free). Poprawiono kolejność operacji.

W jądrze Linux w sterowniku ALSA firewire-motu brakowało sprawdzenia granic w pętli put_user dla zdarzeń DSP. Może to prowadzić do zapisu poza przydzielony bufor, gdy rozmiar bufora użytkownika nie jest wyrównany do 4 bajtów.

W jądrze Linuxa zidentyfikowano podatność, która prowadzi do dereferencji wskaźnika NULL w funkcji blk-iocost. Problem ten występuje, gdy blkg_policy_data jest instalowane przed jego inicjalizacją, co może prowadzić do awarii systemu.

W jądrze Linuxa występuje podatność w sterowniku RDMA/rxe, która prowadzi do dereferencji pustego wskaźnika (NULL-ptr-deref) w funkcji rxe_qp_do_cleanup(), gdy tworzenie gniazda w rxe_qp_init_req() nie powiedzie się. Problem może zostać wywołany podczas montowania CIFS przez RDMA. Poprawka przenosi wywołanie rxe_qp_do_cleanup() po sprawdzeniu wskaźnika NULL.

W jądrze Linux w funkcji tcp_add_backlog() występuje błąd przepełnienia liczby całkowitej ze znakiem. Zmienne sk_rcvbuf i sk_sndbuf są typu int, a limit obliczany jako ich suma plus 64 * 1024 może przekroczyć maksymalną wartość int. Poprawka zmniejsza limit poprzez zmniejszenie o połowę sndbuf.

W jądrze Linuxa występuje podatność w serwerze NFSD, która powoduje wysyłanie niepotrzebnych danych (śmieci) poza końcem komunikatu odpowiedzi dla żądań NFSv2 GETACL. Wynika to z pozostałego kodu ustawiającego page_len bufora wysyłki, który nie jest już potrzebny po konwersji na enkoder strumienia XDR. Klienci zazwyczaj ignorują te dane, ale NFSD nie powinien ich wysyłać, ponieważ wyciekają one z pamięci.

W akceleratorze ivpu w jądrze Linux wykryto błąd wyścigu podczas odłączania obiektów BO. Funkcja ivpu_gem_bo_free() usuwa BO z listy przed jego odmapowaniem, co powoduje ostrzeżenie 'Memory manager not clean during takedown'.

W jądrze Linux w sterowniku drm/panthor występuje podatność use-after-free (UAF) między odłączeniem urządzenia a przetwarzaniem zdarzeń firmware'u. Funkcja panthor_fw_unplug() zwalnia sekcje pamięci firmware'u, ale mogą istnieć oczekujące zdarzenia, które próbują uzyskać dostęp do już zwolnionej pamięci.

W jądrze Linux w sterowniku drm/panthor występuje podatność use-after-free (UAF) na węzłach VA (Virtual Address) bufora jądra. Gdy MMU jest wyłączona, panthor_vm_unmap_range() może zwrócić błąd, ale kod nie kontynuuje czyszczenia, pozostawiając va_node w drm_mm, co prowadzi do UAF przy usuwaniu sąsiednich węzłów.

W jądrze Linux w sterowniku spi-tegra210-quad wykryto podatność w obsłudze timeoutów. Gdy CPU obsługujące przerwania QSPI jest przeciążone, może dojść do timeoutu transferu, a pole curr_xfer wskazuje na nieaktualną pamięć, co może prowadzić do błędów.

W jądrze Linux wykryto podatność w mechanizmie BPF, gdzie nieudana aktualizacja programów (update_effective_progs) może prowadzić do dostępu do nieprawidłowej pamięci. Błąd pojawia się, gdy po awarii program zastępowany jest fikcyjnym (dummy_bpf_prog), a następnie w kontekście przerwania miękkiego (softirq) następuje odczyt statystyk z nieprawidłowego wskaźnika.

W jądrze systemu Linux naprawiono podatność związaną z obsługą odłączonych katalogów. Problem polegał na tym, że prawa dostępu do plików lub katalogów otwartych przez odłączony katalog były zbierane bez uwzględnienia punktu montowania, co mogło prowadzić do niespójnych wyników dostępu.

W jądrze Linux w sterowniku drm/panthor wykryto podatność na use-after-free w funkcji GROUP_CREATE. Złośliwy użytkownik może wywołać GROUP_DESTROY z innego wątku przed zakończeniem GROUP_CREATE, prowadząc do użycia zwolnionej pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy odczytu rozszerzonych atrybutów w systemie plików NTFS. Funkcja ntfs_read_ea nie zwraca poprawnego kodu błędu dla niespójnych atrybutów, co może prowadzić do nieprzewidywalnych dostępów do pamięci.

W jądrze Linuxa w sterowniku Bluetooth HIDP występuje wyścig (race condition) w funkcji hidp_session_thread, który może prowadzić do użycia po zwolnieniu (use-after-free). Problem pojawia się, gdy timer jest aktywny podczas wywołania hidp_del_timer, a po zwolnieniu sesji może dojść do paniki jądra. Rozwiązaniem jest użycie del_timer_sync zamiast del_timer.

W jądrze Linuxa występuje podatność polegająca na dereferencji wskaźnika NULL w funkcji subflow_syn_recv_sock() podczas wczesnego przejścia na TCP w ścieżce fastopen. W przypadku wczesnego fallbacku kontekst subflow jest usuwany, a ścieżka fastopen nie radzi sobie z tym, co prowadzi do błędu.

W jądrze Linux w sterowniku accel/ivpu występuje błąd strony (page fault) w funkcji ivpu_bo_unbind_all_bos_from_context(). BO jest dodawane do vdev->bo_list w ivpu_gem_create_object(), ale gdy drm_gem_shmem_create() zawiedzie, BO nie jest w pełni utworzone, a callback ivpu_gem_bo_free() nie jest wywoływany, pozostawiając usunięty BO na liście.

W jądrze Linux stwierdzono podatność w mechanizmie testowym BPF, która pozwalała na generowanie nieprawidłowych pakietów GSO (Generic Segmentation Offload) i wysyłanie ich do stosu sieciowego. Problem występował, gdy program BPF używał funkcji bpf_clone_redirect() do przekierowania pakietu na interfejs loopback, co powodowało ostrzeżenie skb_warn_bad_offload() i wyłączenie funkcji GSO.

W jądrze Linux wykryto podatność w funkcji asymmetric_key_generate_id, która może prowadzić do przepełnienia liczb całkowitych podczas dodawania długości binarnych obiektów i rozmiaru struktury asymmetric_key_id. Atakujący może wykorzystać to poprzez dostarczenie złośliwych pól certyfikatu X.509, takich jak numery seryjne ASN.1 INTEGER lub nazwy wystawców, co może skutkować przepełnieniem bufora.

W jądrze Linux w sterowniku RDMA/rxe wykryto podatność na dereferencję wskaźnika NULL. Błąd występuje, gdy dwukrotnie wywołano ibv_modify_srq() w określonych warunkach błędu – pierwsze wywołanie może ustawić srq->rq.queue na NULL, a drugie powoduje crash przy próbie dostępu do tego wskaźnika.

W jądrze Linux w sterowniku smartpqi wykryto podatność polegającą na wyścigu podczas usuwania urządzenia. Zadanie resetowania LUN mogło być wykonywane po usunięciu urządzenia, co prowadziło do użycia po zwolnieniu (use-after-free) i nieprawidłowego dostępu do zasobów.

W jądrze Linux w sterowniku coresight tmc brakuje obsługi zdarzenia (handle) w ścieżce. Handle jest niezbędny do pobrania AUX_EVENT każdego CPU w trybie perf. Brak powoduje błąd strony (oops) podczas próby użycia perf record z cs_etm.

W jądrze Linux w systemie plików ntfs3 wykryto podatność polegającą na braku inicjalizacji blokady run_lock dla i-węzła $Extend. Po ustawieniu trybu i-węzła na zwykły plik, wywołanie truncate może prowadzić do błędu niezainicjalizowanej blokady.

W jądrze Linux w systemie plików NTFS3 (ntfs3) alokowana pamięć nie jest inicjalizowana przed użyciem. Funkcja __getname() używa kmem_cache_alloc(), która nie zeruje pamięci, co prowadzi do użycia niezainicjalizowanych wartości i potencjalnych problemów bezpieczeństwa.

W jądrze Linuxa wykryto podatność w pomocniku BPF `bpf_skb_check_mtu`. Gdy używana jest flaga `BPF_MTU_CHK_SEGS`, pomocnik wymaga ustawionego pola `transport_header` w strukturze `skb`, co nie zawsze ma miejsce. Brak tego ustawienia powoduje ostrzeżenie WARN_ON_ONCE i może prowadzić do nieprawidłowego działania, szczególnie podczas testów z `bpf_prog_test_run`.

W sterownikach WiFi mt76 jądra Linux wykryto błąd powodujący crash systemu podczas korzystania z interfejsu wed_hif2 (np. dla łącza 6GHz). Problem wynika z nieprawidłowego odwołania do urządzenia WED w funkcjach zwrotnych, które zawsze zakładały użycie podstawowego urządzenia WED.

W sterowniku SPI układu CH341 w jądrze Linux stwierdzono podatność na odczyt i zapis poza dozwolonym obszarem pamięci. Problem wynika z błędnego obliczenia długości kopiowanych danych, które uwzględnia bajt nagłówka komendy, co prowadzi do przekroczenia bufora.

W jądrze Linux wykryto podatność w systemie plików NFSv4/pNFS, która powoduje awarię (crash) podczas próby odwołania do pustego układu (layout) w funkcji pnfs_layoutcommit_inode. Problem wynika z braku wyczyszczenia flagi NFS_INO_LAYOUTCOMMIT, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku ALSA firewire-motu stwierdzono podatność na przepełnienie bufora w funkcji hwdep_read() podczas obsługi zdarzeń DSP. Gdy użytkownik przekaże bufor mniejszy niż 8 bajtów, może dojść do zapisu większej ilości danych niż żądano, co może prowadzić do ujawnienia danych lub awarii.

W jądrze Linuxa zidentyfikowano podatność, która występuje podczas dodawania urządzenia portowego do urządzenia typu team, gdy port jest już aktywny. Modyfikacja nagłówka urządzenia team może prowadzić do nieprawidłowego wskazywania danych prywatnych, co skutkuje błędami w działaniu systemu.