Podatności Linux kernel

W jądrze Linux w systemie plików ext4/jbd2 wykryto podatność polegającą na wywołaniu BUG_ON w funkcji jbd2_journal_get_create_access() w przypadku uszkodzenia systemu plików. Błąd występuje, gdy niespójne dane (np. nieustawiony bitmap bloku) prowadzą do ponownego przydzielenia bloku w trakcie zatwierdzania transakcji, co powoduje crash jądra.

W jądrze Linux wykryto wyścig danych w funkcji do_raw_write_lock. Problem dotyczy braku spójnego użycia WRITE_ONCE() dla obu części debug_write_lock_before i debug_write_lock_after. Może to prowadzić do nieprzewidywalnego zachowania przy jednoczesnym dostępie do blokady.

W jądrze Linux, w menedżerze puli stron (page_pool), domyślnie dodano flagę GFP_NOWARN dla alokacji ATOMIC. Ma to na celu uniknięcie irytujących komunikatów OOM dla użytkowników, gdy sieć napotka błędy alokacji stron podczas braku pamięci.

W jądrze Linux w sterowniku lan966x wykryto błąd polegający na użyciu mutexu w kontekście atomowym, co prowadziło do ostrzeżenia o wywołaniu funkcji uśpienia w nieprawidłowym kontekście. Problem został rozwiązany poprzez zastąpienie mutexu spinlockiem.

W jądrze Linux w io_uring/zctx występuje problem z łączeniem kontekstów notyfikacji. Send zc powinien łączyć ubuf_info tylko dla żądań pochodzących z tego samego kontekstu. Istnieją niejednoznaczne raporty syz, więc dodano sprawdzenie przy zakończeniu notyfikacji.

W jądrze Linux w sterowniku drm/msm pole last_fence nie było aktualizowane w ścieżce vm-bind, co powodowało, że przy zamykaniu kontekstu nie czekano na zakończenie pracy, prowadząc do błędów przy zwalnianiu zasobów. Dodano aktualizację last_fence w ścieżce vm-bind.

W jądrze Linux dla procesorów AMD Zen5 występuje problem z instrukcją RDSEED w wariantach 16-bitowych i 32-bitowych, które zwracają wartość 0 z nieprawidłowym sygnałem sukcesu (CF=1). Dodano poprawkę sprawdzającą rewizje mikrokodu.

W jądrze Linux wykryto podatność w podsystemie Bluetooth (hci_sock) polegającą na wyścigu między operacją zapisu do gniazda a operacją bind. Wyścig może prowadzić do użycia po zwolnieniu (UAF) w funkcji mgmt_pending_remove, co potwierdził raport syzbot. Problem rozwiązano poprzez synchronizację obu operacji za pomocą hci_dev_lock.

W jądrze Linux w stosie Bluetooth wykryto podatność na użycie po zwolnieniu (UAF) w ścieżce odbioru pakietów. Brak odpowiedniego blokowania przy wyszukiwaniu struktury hci_conn pozwala na jej współbieżną modyfikację lub usunięcie, co może prowadzić do awarii systemu.

W sterowniku Intel PUNIT IPC w jądrze Linux wykryto błąd powodujący uszkodzenie pamięci. Zamiast przekazać wskaźnik do struktury punit_ipcdev, przekazano adres wskaźnika, co prowadzi do zapisu pod nieprawidłowy adres pamięci.

W sterowniku sieciowym sxgbe w jądrze Linux wykryto potencjalne wyłuskanie wskaźnika NULL w funkcji sxgbe_rx(). Gdy skb jest NULL, drukowany jest błąd, a następnie skb jest wyłuskiwany, co może prowadzić do paniki jądra.

W jądrze Linuxa w systemie plików AFS występuje podatność polegająca na opóźnionym przydzielaniu anonimowego klucza dla komórki (cell). W wyniku tego, podczas wyszukiwania klucza może dojść do użycia niezainicjalizowanego deskryptora, co prowadzi do błędu (oops). Problem został zaostrzony przez wcześniejszą poprawkę dotyczącą dynamicznego wyszukiwania.

W jądrze Linuxa rozwiązano podatność związaną z warunkiem wyścigu w konfiguracji fbcon, co mogło prowadzić do dostępu poza granice w funkcji fbcon_remap_all(). Zmiana polega na zabezpieczeniu funkcji vga_switcheroo_client_fb_set() przy użyciu blokady konsoli.

W jądrze Linuxa w podsystemie io_uring/net występuje błąd, gdzie dla wektoryzowanych zarejestrowanych buforów import używa niewłaściwego obiektu 'req' zamiast 'sr->notif'. Może to prowadzić do problemów z czasem życia obiektów.

W jądrze Linux w funkcji mptcp_do_fastclose() dla MPTCP nie inicjalizowano pola rcv_mss przed wywołaniem tcp_send_active_reset(), co prowadziło do dzielenia przez zero w __tcp_select_window(). Problem został zgłoszony przez syzbot i jest analogiczny do wcześniejszej podatności w czystym TCP (CVE-2025-68291).

W jądrze Linux w sterowniku amdgpu dla wyświetlaczy AMD brakuje sprawdzenia wskaźnika NULL przed dereferencją w funkcji dc_stream_get_scanoutpos. Powoduje to błąd dereferencji NULL podczas testu IGT kms_cursor_legacy, co prowadzi do awarii systemu.

W bibliotece libceph w jądrze Linux zastąpiono BUG_ON sprawdzeniem granic dla map->max_osd. Indeksy OSD pochodzą z niezaufanych pakietów sieciowych, więc dodano walidację, aby zapobiec potencjalnym awariom.

W jądrze Linux wykryto podatność w systemie plików BFS, polegającą na tym, że bity S_IFMT w i_mode mogą być uszkodzone podczas ładowania z dysku. Problem wynika z braku inicjalizacji górnych 23 bitów pola 'mode' oraz braku walidacji pola 'attributes', co może prowadzić do błędnego określenia typu pliku.

W jądrze Linux wykryto podatność use-after-free w sterowniku NVMe. Problem wynika z nieprawidłowego zarządzania czasem życia kolejki żądań administracyjnych kontrolera, która może być używana przez przestrzenie nazw po zakończeniu pracy kontrolera. Naprawa polega na przesunięciu zwalniania referencji do kontrolera po uwolnieniu wszystkich referencji do przestrzeni nazw.

W jądrze Linux w systemie plików ext4 wykryto błąd wyścigu (race condition) dotyczący rozmiaru danych inline. Buforowana wartość ei->i_inline_size może być nieaktualna w momencie zapisu, co prowadzi do awarii systemu (BUG_ON).

W jądrze Linux wykryto podatność w systemie plików ext4, polegającą na braku synchronizacji (brak blokady i_data_sem) podczas niszczenia danych inline. Prowadzi to do wyścigu między wątkiem modyfikującym strukturę i-węzła a wątkiem mapującym bloki, co może skutkować błędem jądra (kernel BUG).

W jądrze Linuxa w sterowniku Rust Binder wykryto wyścig danych na liście death_list. Niebezpieczna operacja usuwania elementu z listy może być wykonywana równolegle z przenoszeniem elementów do lokalnej listy, co prowadzi do uszkodzenia wskaźników prev/next i awarii systemu.

W sterowniku staging rtl8723bs w jądrze Linux wykryto odczyt poza zakresem w parserze IE rtw_get_ie(). Długość IE nie była walidowana, co pozwala na odczyt poza buforem ramki lub nieskończoną pętlę przy złośliwych ramkach.

W sterowniku staging rtl8723bs w jądrze Linux wykryto przepełnienie bufora stosu podczas parsowania ramki Association Request. Długość pola Supported Rates IE z ramki była używana bezpośrednio jako argument memcpy() do kopiowania do 16-bajtowego bufora na stosie, co pozwala złośliwej stacji na spowodowanie przepełnienia stosu poprzez podanie długości IE większej niż 16 bajtów.

W sterowniku staging rtl8723bs w jądrze Linux wykryto odczyt poza zakresem podczas parsowania IE Extended Supported Rates (ESR) w funkcji OnBeacon. Brak sprawdzenia granic może prowadzić do paniki jądra przy złośliwych ramkach beacon.

W jądrze Linuxa mechanizm śledzenia blokerów zakładał, że wskaźniki blokad są wyrównane co najmniej do 4 bajtów, aby wykorzystać ich niższe bity do kodowania typu. Na architekturach takich jak m68k, które gwarantują tylko 2-bajtowe wyrównanie dla 32-bitowych wartości, to założenie jest łamane, powodując ostrzeżenia WARN_ON_ONCE. Poprawka dostosowuje sprawdzenia w czasie wykonania, aby cicho ignorować blokady niewyrównane do 4 bajtów, wyłączając tę funkcję w takich przypadkach.

W jądrze Linuxa w module ksmbd występuje wyciek gniazda sieciowego, gdy limit połączeń na IP jest przekroczony. Zaakceptowane gniazdo nie jest zamykane, co umożliwia zdalne DoS.

W kliencie NFS (jądro Linux) wykryto brak sprawdzania pól cert_serial i privkey_serial w funkcji nfs_match_client() przy użyciu polityki bezpieczeństwa TLS typu RPC_XPRTSEC_TLS_X509. Może to prowadzić do błędnej identyfikacji klienta.

W jądrze Linux wykryto podatność w stosie IPv4, gdzie funkcja rt_bind_exception() może związać nowe gniazdo dst z nieaktualnym wpisem fnhe (exception route) podczas wyścigu z fnhe_remove_oldest(). Prowadzi to do trwałego wycieku referencji dst i urządzenia sieciowego, objawiającego się blokowaniem odinstalowania interfejsu (np. sit).

W jądrze Linuxa, w podsystemie io_uring dla poleceń sieciowych, funkcja skb_queue_splice() otrzymywała odwrócone argumenty podczas ponawiania próby pobrania znacznika czasu. Powodowało to składanie pakietów w niewłaściwym kierunku, do lokalnej listy na stosie zamiast do kolejki gniazda. Poprawka odwraca argumenty, aby przywrócić prawidłowe działanie.

W jądrze Linux wykryto błąd w sterowniku veth, który powoduje trwałe zablokowanie kolejki transmisyjnej (TXQ) w wyniku wyścigu. Problem występuje na systemach ARM64 (Ampere Altra Max) i prowadzi do całkowitego zatrzymania ruchu sieciowego.

W jądrze Linuxa w kliencie SMB występuje niekompletny backport poprawki, który pomija wywołanie kref_put() w cfids_invalidation_worker(). Może to prowadzić do użycia po zwolnieniu (UAF).

W sterowniku NVMe multipath w jądrze Linux wykryto ostrzeżenie lockdep spowodowane pracą skanowania partycji. Zależność między open_mutex, kolejką kblockd i skanowaniem partycji może prowadzić do zakleszczenia.

W sterowniku ice dla jądra Linux wykryto podatność polegającą na nieprawidłowym czyszczeniu zasobów PTP podczas usuwania sterownika w ścieżce błędu. Brak wywołania funkcji ice_ptp_cleanup_pf oraz deinicjalizacji mutexu 'ps_lock' prowadzi do ostrzeżenia i śladu wywołań przy zwalnianiu obiektu ice_adapter.

W jądrze Linuxa w funkcji statmount_string() występuje niezainicjalizowany wskaźnik 'offp' dla flag STATMOUNT_MNT_UIDMAP i STATMOUNT_MNT_GIDMAP, co może prowadzić do dereferencji niezainicjalizowanej pamięci.

W jądrze Linuxa w funkcji widen_imprecise_scalars() w BPF występuje błąd polegający na nieuwzględnianiu różnicy w głębokości stosu między stanami. Może to prowadzić do odczytu poza dozwolonym zakresem pamięci stosu.

W sterowniku DRM dla GPU Intel Xe (drm/xe/guc) brak synchronizacji przy odłączaniu urządzenia – wątek Dead CT może działać po zwolnieniu zasobów, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w podsystemie netfilter wykryto podatność polegającą na braku dodania rozszerzenia seqadj dla połączeń z translacją adresów (NAT) podczas przypisywania helpera FTP. Powoduje to ostrzeżenia jądra i nieprawidłowe działanie translacji dla ruchu FTP w trybach PASV/EPSV, co może prowadzić do zerwania połączenia.

W jądrze Linuxa dla procesorów AMD Zen5 brakuje terminatora w tablicy zen5_rdseed_microcode, co powoduje odczyt poza zakresem podczas uruchamiania x86_match_min_microcode_rev().

W jądrze Linux naprawiono podatność w sterowniku DRM dla układów MSM (Qualcomm), która powodowała ostrzeżenie (splat) podczas zwalniania zaimportowanych buforów DMA (dma-buf). Problem występował, gdy funkcja msm_gem_free_object nieprawidłowo obsługiwała przypadek _NO_SHARE dla obiektów z zewnętrznym rezerwacją (resv).

W sterowniku DRM dla układów Mediatek w jądrze Linux wykryto błąd w obsłudze AFBC (ARM Frame Buffer Compression). Funkcjonalność ta, dodana w commit c410fa9b07c3, powoduje na platformie MT8188 (Genio 700 EVK) timeouty oczekiwania na VBlank i zniekształcone renderowanie, gdy AFBC jest używane domyślnie przez Mesa od wersji 25.0. W rezultacie wyłączono wsparcie AFBC do czasu naprawy.

W jądrze Linuxa w module IMA wykryto błąd, który powodował resetowanie flagi IMA_DIGSIG podczas ustawiania lub usuwania innych atrybutów rozszerzonych (xattr) niż security.ima. W trybie naprawy (fix) IMA i EVM prowadziło to do zastąpienia podpisu IMA zwykłym hashem, co uniemożliwiało wygenerowanie prawidłowego podpisu referencyjnego.

W sterowniku iwlwifi w jądrze Linuxa występuje potencjalne użycie po zwolnieniu (UAF) w funkcji iwl_mld_remove_link(), gdzie po zwolnieniu struktury 'link' odczytywane jest pole 'fw_id'.

W sterowniku DRM radeon usunięto wywołania drm_put_dev(), ale pozostały one w ścieżkach błędu i usuwania urządzenia, co powoduje podwójne zwolnienie i ostrzeżenia o użyciu po zwolnieniu.

Na architekturze s390 włączona optymalizacja HVO (ARCH_WANT_OPTIMIZE_HUGETLB_VMEMMAP) powoduje awarie, ponieważ modyfikacje tablic stron jądra nie są zgodne z wymaganiami architektury – zastępowanie wpisów bez użycia specjalnych instrukcji prowadzi do uszkodzenia danych.

W sterowniku Linuxa dla układu NXP i.MX8 ISI wykryto podatność, w której funkcja zwalniania zasobów (release) nieprawidłowo wywołuje czyszczenie strumienia nawet wtedy, gdy strumień jest aktywny. Powoduje to błędy i ostrzeżenia jądra, gdy podczas odtwarzania strumienia wykonywane są operacje odczytu parametrów urządzenia (np. przez v4l2-ctl).

W jądrze Linux w sterowniku amd/amdkfd wykryto wyścig (race condition) między procesem zwalniania struktury kfd_process a przełączaniem partycji. Problem powoduje dzielenie przez zero w funkcji kfd_get_num_sdma_engines, co prowadzi do błędu krytycznego (oops). Łatka dodaje atomowy licznik kfd_processes_count, który synchronizuje tworzenie i usuwanie procesów KFD.

W jądrze Linuxa podczas dostarczania sygnału do zadania niekorzystającego z AMX, po wywłaszczeniu przez zadanie z AMX, stan XFD w CPU nie jest synchronizowany, co powoduje ostrzeżenie i potencjalne problemy.

W sterowniku DRM radeon struktura rdev jest zarządzana przez devres, ale w ścieżkach błędu wywoływano kfree(), co prowadzi do podwójnego zwolnienia i awarii.

W menedżerze transakcji systemu plików JFS w jądrze Linux wykryto niezainicjalizowaną kolejkę oczekiwania. Powoduje to crash systemu przy odmontowywaniu systemu plików zamontowanego tylko do odczytu.