Podatności Linux kernel

W bibliotece gpiolib w jądrze Linuxa w funkcji debugfs gpiolib_seq_start() brak inicjalizacji s->private przed alokacją pamięci, co prowadzi do dereferencji nieprawidłowego wskaźnika w gpiolib_seq_stop().

W jądrze Linuxa w systemie plików Ceph wykryto podatność polegającą na nieprawidłowym sprawdzaniu uprawnień MDS (Metadata Server) w konfiguracji wielosystemowej (multifs). Brak walidacji nazwy systemu plików (fsname) powoduje, że uprawnienia nadane dla jednego systemu plików są błędnie stosowane do innych, co umożliwia użytkownikowi wykonanie operacji zapisu lub usunięcia plików w systemie, do którego ma tylko uprawnienia do odczytu.

W jądrze Linux dla architektury RISC-V wykryto problem, w którym KASAN (Kernel Address Sanitizer) fałszywie zgłaszał błąd odczytu poza zakresem podczas rozwinięcia stosu dla zadania innego niż bieżące. Problem został rozwiązany przez wyłączenie kontroli KASAN dla takich zadań, analogicznie do wcześniejszej łatki dla x86.

W sterowniku SPI rockchip-sfc w jądrze Linuxa występuje nieprawidłowe użycie API DMA, gdzie zamiast dma_map_single() używana jest funkcja virt_to_phys(). Powoduje to ostrzeżenia debugowania DMA-API i potencjalne problemy z synchronizacją.

W sterowniku graficznym AMD dla jądra Linux zwiększono maksymalną liczbę łączy (linków) z 12 do 14, aby obsłużyć rzeczywistą liczbę połączeń. Dodatkowo naprawiono dostęp do wskaźnika NULL dla LINK_ENC w przypadku urządzeń DPIA niebędących punktami końcowymi wyświetlania.

W jądrze Linuxa w systemie plików HFS+ odkryto podatność polegającą na braku walidacji przesunięcia i długości rekordu w funkcji hfsplus_bmap_alloc. Może to prowadzić do odczytu poza dozwolonym zakresem pamięci (slab-out-of-bounds), co skutkuje awarią systemu.

W jądrze Linux w sterowniku ASoC Intel avs stwierdzono podatność na użycie po zwolnieniu (use-after-free) podczas zamykania strumienia PCM. Funkcja avs_dai_fe_shutdown() zwalnia kontekst prywatny DAI, podczas gdy praca okresowa (period-elapsed work) wciąż może być aktywna, co może prowadzić do błędów pamięci.

W jądrze Linux w sterowniku NVMe over Fabrics (nvme-fc) brak synchronizacji przy dostępie do stanu portu i rportu. Funkcja nvme_fc_unregister_remote może usuwać zdalny port w trakcie próby ponownego połączenia, co prowadzi do wyścigu.

W jądrze Linux w sterowniku stmmac (sieciowy kontroler MAC) stwierdzono podatność polegającą na nieprawidłowym obsługiwaniu błędów sum kontrolnych (checksum) w funkcji stmmac_rx. Mimo że sprzęt zgłasza błąd sumy kontrolnej, pakiet był oznaczany jako CHECKSUM_UNNECESSARY, co mogło prowadzić do przepuszczenia uszkodzonych pakietów do stosu sieciowego.

W jądrze Linux w podsystemie DRM (drm/gpusvm) stwierdzono nieprawidłowe użycie funkcji hmm_pfn_to_map_order(). W przypadku, gdy zakres hmm częściowo pokrywa dużą stronę (np. 2 MB), może dojść do mapowania pamięci poza zakresem, co może prowadzić do niepożądanych skutków. Poprawka opiera się na kodzie userptr z sterownika xe.

W jądrze Linux w sterowniku drm/amdgpu stwierdzono brak walidacji adresu wirtualnego i rozmiaru bufora użytkownika (userq object) przed jego użyciem. Należy sprawdzić, czy obiekt userq znajduje się w prawidłowym mapowaniu VM.

W jądrze Linux w protokole SCTP występuje podatność TOCTOU (time-of-check time-of-use) w funkcji sctp_diag_dump. Lista adresów może ulec zmianie między alokacją bufora a zapisem, co prowadzi do zapisu poza zakresem.

W jądrze Linux w systemie plików SMB (klient) wykryto potencjalną podatność use-after-free (UAF) w funkcji smb2_close_cached_fid(). Problem wynika z możliwości uzyskania nowego referencji przez find_or_create_cached_dir() po tym, jak kref_put() zobaczył spadek licznika referencji do zera, ale przed przejęciem cfid_list_lock. Zastosowano kref_put_lock(), aby cfid_release() była wywoływana z trzymanym cfid_list_lock, zamykając tę lukę.

W jądrze Linux w module Bluetooth L2CAP wykryto użycie po zwolnieniu w funkcjach l2cap_disconnect_{req,rsp}. Problem występuje, gdy kanał jest zwalniany, a następnie odwoływano się do niego bez odpowiedniego zabezpieczenia.

W jądrze Linux w sterowniku ath11k wystąpił błąd powodujący awarię podczas przetwarzania fragmentów pakietów od niezainicjalizowanego peera. Gdy maksymalna liczba wirtualnych interfejsów AP jest skonfigurowana we wszystkich pasmach z ACS i hostapd jest restartowany co 60 sekund, może dojść do awarii z powodu niezainicjalizowanej listy fragmentów.

W jądrze Linuxa, w podsystemie RDS, wykryto problem z blokadą (lockdep) w funkcji rds_tcp_reset_callbacks(). Funkcja cancel_delayed_work_sync() jest wywoływana w sekcji chronionej lock_sock(), co może prowadzić do zakleszczenia.

W jądrze Linuxa, w podsystemie RDMA/rxe, wykryto błąd prowadzący do wyłuskania pustego wskaźnika (NULL pointer dereference). Gdy inicjalizacja kolejki w rxe_qp_init_req zawiedzie, pola qp->req.task.func i qp->req.task.arg nie są inicjalizowane, co może prowadzić do awarii.

W jądrze Linux w ext4 występuje zakleszczenie spowodowane niespójnością wpisu w mbcache, gdzie bit e_reusable jest ustawiany nieatomowo, co prowadzi do nieskończonej pętli w ext4_xattr_block_set(). Poprawka używa atomowych operacji bitowych.

W jądrze Linuxa w bibliotece lib/mpi funkcja mpi_cmp_ui() może wywołać dereferencję pustego wskaźnika, gdy przekazana jest wartość 1 jako drugi parametr. Atakujący może wykorzystać to podczas uwierzytelniania NVMeTCP, podając grupę Diffie-Hellmana o długości 8192 bitów i wyzerowaną wartość.

W jądrze Linux w sterowniku NFC pn533 występuje podatność polegająca na odczycie poza granicami pamięci (slab-out-of-bounds). Problem wynika z nieprawidłowej inicjalizacji struktury nfc_target, która może zawierać śmieciowe wartości, co prowadzi do zbyt dużej wartości sensb_res_len.

W jądrze Linuxa w sterowniku ath11k wystąpiła podatność powodująca awarię (crash) podczas uruchamiania interfejsu w trybie monitora. Problem wynika z wyłuskania typu pakietu dla pakietów RAW w ścieżce dostarczania ramek, co prowadzi do dereferencji wskaźnika NULL. Poprawka polega na pominięciu tej ekstrakcji dla pakietów monitora poprzez dodanie flagi RX_FLAG_ONLY_MONITOR.

W jądrze Linuxa w NFSD brakuje obsługi nowych atrybutów time_deleg FATTR4 dla żądań GETATTR. Serwer może ulec awarii, gdy klient wyśle nieprawidłowe żądanie GETATTR dla tych atrybutów. Zgodnie ze specyfikacją RFC, takie użycie jest nieprawidłowe, a NFSD zwróci błąd nfserr_inval.

W jądrze Linux wykryto podatność use-after-free w sterowniku fbcon. Podczas wyrejestrowywania bufora ramki zwalniana jest pamięć listy trybów (modelist), ale wskaźnik w tablicy fb_display[] nie jest zerowany, co prowadzi do odwołania do zwolnionej pamięci przy kolejnych operacjach na innych buforach ramki.

W podsystemie fbdev (bitblit) jądra Linux stwierdzono brak sprawdzania zakresu indeksu glifu czcionki. Może to prowadzić do odczytu poza tablicą wbudowanej czcionki.

W jądrze Linux wykryto wyścig w mechanizmie BPF ring buffer, gdzie irq_work mogło być zakolejkowane przed zwolnieniem bufora, prowadząc do użycia po zwolnieniu (use-after-free). Naprawa polega na synchronizacji irq_work przed zwolnieniem bufora.

W jądrze Linux w stosie Bluetooth (hci_sync) wykryto wyścig w funkcji hci_cmd_sync_dequeue_once, gdzie wyszukiwanie i anulowanie wpisu odbywało się w osobnych sekcjach blokady, co mogło prowadzić do podwójnego usunięcia z listy i użycia po zwolnieniu (UAF). Naprawa polega na utrzymaniu blokady podczas obu operacji.

W jądrze Linuxa wykryto błąd w inicjalizacji regmap dla magistrali SLIMbus, gdzie użyto nieprawidłowego wskaźnika bus_context. Problem ujawnił się po zmianie w kodzie sterownika kodeka WCD934x, powodując błąd strony pamięci podczas odtwarzania dźwięku na płytce Dragonboard 845c.

W jądrze Linux wykryto podatność use-after-free w sterowniku Bluetooth SCO. Funkcja sco_conn_free może zostać wywołana na już zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linux w systemie plików exfat brakowało walidacji bitów alokacji klastrów w bitmapie alokacji. Atakujący mógł stworzyć obraz exfat z nieprawidłową bitmapą, co prowadziło do nadpisania istniejących wpisów podczas tworzenia katalogu. Naprawa dodaje walidację, że klastry używane dla bitmapy są oznaczone jako zajęte.

W sterowniku systemu plików OrangeFS (orangefs) w jądrze Linux wykryto podatność prowadzącą do przepełnienia bufora podczas obsługi atrybutów rozszerzonych (xattr). Funkcja pomocnicza `xattr_key()` nieprawidłowo sprawdza warunek pętli, co powoduje nieskończoną pętlę i potencjalne zawieszenie systemu. Dodatkowo, nieprawidłowe użycie makra `hash_add` prowadziło do wycieków pamięci i braku możliwości zwolnienia alokacji.

W podsystemie fbdev (bit_putcs) jądra Linux brakuje sprawdzania granic przy renderowaniu tekstu w pobliżu krawędzi ekranu. Może to prowadzić do zapisu poza przydzielony bufor ramki.

W jądrze Linux wykryto podatność w systemie plików Btrfs, gdzie brudne metadane mogą być zapisywane po wystąpieniu błędu, prowadząc do użycia po zwolnieniu (use-after-free) w przypadku metadanych RAID56. Problem wynika z braku odrzucania zapisów metadanych, gdy system plików jest w stanie błędu, co powoduje kolejkowanie nowych zadań do już zatrzymanych kolejek roboczych.

W jądrze Linuxa w sterowniku videobuf2 brakuje zabezpieczenia przed wywołaniem ioctl remove_bufs podczas aktywnego trybu legacy fileio. Może to prowadzić do nadpisania wskaźników używanych przez fileio i naruszenia stanu wewnętrznego kolejki.

W jądrze Linux w stosie Bluetooth (hci_event) brakowało sprawdzenia długości skb przed odczytem danych dla nieznanego kodu operacji (opcode) w zdarzeniu zakończenia komendy. Mogło to prowadzić do użycia niezainicjalizowanej pamięci. Naprawa dodaje sprawdzenie długości skb.

W jądrze Linux w podsystemie mostkowania sieciowego (net/bridge) wykryto użycie-po-zwolnieniu (use-after-free) podczas usuwania wygasłego wpisu FDB. Problem wynika z wyścigu między uczeniem się FDB a usuwaniem portu, gdy włączone jest MST (Multiple Spanning Tree) i wyłączone filtrowanie VLAN. MST omija stan portu, co pozwala na uczenie się FDB w nieodpowiednim momencie.

W sterowniku virtio-net jądra Linux stwierdzono nieprawidłowe sprawdzanie długości odebranych pakietów dla dużych ramek. Może to prowadzić do dereferencji wskaźnika NULL i awarii systemu.

W jądrze Linux w podsystemie io_uring wykryto problem z obcinaniem liczby segmentów w funkcji io_estimate_bvec_size, co prowadziło do uszkodzenia danych. Naprawa polega na sprawdzeniu, czy obliczona liczba nie przekracza zakresu typu int.

W jądrze Linux wykryto podatność w mechanizmie XSK (AF_XDP), gdzie przechowywanie numeru deskryptora w bloku sterowania skb (skb control block) prowadzi do uszkodzenia danych. Po transmisji inne podsystemy mogą nadpisać ten blok, co skutkuje dereferencją pustego wskaźnika i paniką jądra.

W jądrze Linux w stosie Bluetooth (MGMT) nie anulowano timera mesh_send_done po usunięciu urządzenia (hdev), co prowadziło do użycia po zwolnieniu (use-after-free) po wyzwoleniu timera. Naprawa anuluje timer podczas usuwania hdev.

W sterowniku Bluetooth btusb w jądrze Linux stwierdzono podatność use-after-free (UAF) podczas odłączania urządzenia. Problem wynika z nieprawidłowej kolejności zwalniania zasobów.

W jądrze Linux w stosie Bluetooth 6lowpan brakuje wywołania skb_reset_mac_header() dla nieskompresowanej ścieżki odbioru IPv6. Powoduje to crash jądra podczas odbierania pakietów przez gniazda AF_PACKET SOCK_RAW.

W jądrze Linux w sterowniku drm/panthor brakuje flushowania zapisów do pamięci współdzielonej (shmem) przed mapowaniem buforów jako CPU-uncached. Może to prowadzić do pozostawienia brudnych linii cache, co grozi wyciekiem danych lub uszkodzeniem bufora.

W jądrze Linux wykryto podatność w KVM guest_memfd, polegającą na odwoływaniu się do zwolnionej pamięci (use-after-free) podczas usuwania powiązań między memslotem a instancją guest_memfd. Problem występuje, gdy memslot jest usuwany przed całkowitym zwolnieniem pliku guest_memfd, co prowadzi do zapisu do już zwolnionej pamięci.

W jądrze Linuxa wykryto podatność w NFSD, gdzie stan kopii powiadomienia (copynotify stateid) nie jest zwalniany podczas usuwania stanu nadrzędnego (parent stateid) w funkcji nfs4_free_ol_stateid(). Prowadzi to do ostrzeżenia i potencjalnego uszkodzenia listy, gdy proces prania (laundromat) próbuje później zwolnić ten stan, co może skutkować awarią systemu (Oops).

W jądrze Linux w mechanizmie secretmem występuje błąd use-after-free w obsłudze błędów strony. Przy współbieżnych błędach strony dwa zadania mogą alokować folio, ale tylko jedno dodaje je do mapowania pliku; drugie zwalnia folio przed przywróceniem strony do mapy bezpośredniej, co umożliwia dostęp do zwolnionej pamięci.

W jądrze Linuxa w mechanizmie VMA readahead dla swap istnieje potencjalna podatność Use-After-Free (UAF). Podczas zamiany urządzeń swap może dojść do odwołania do zwolnionej pamięci, gdy VMA readahead próbuje odczytać wpisy swap z innego urządzenia bez odpowiedniego referencji.

W sterowniku ALSA USB-audio w jądrze Linux, rozmiar pakietu PCM może przekroczyć limit wMaxPacketSize z deskryptora USB, co prowadzi do przepełnienia bufora transferu. Brakuje walidacji rozmiaru pakietu przed użyciem.

W jądrze Linux w KVM dla ARM64 brakuje walidacji offsetu w operacji FF-A memory share. Niezaufana duża wartość offsetu może prowadzić do odczytu/zapisu poza zakresem bufora hipernadzorcy.

W jądrze Linux w sterowniku s390/ctcm wykryto podwójne zwolnienie pamięci (double-free) w funkcji ctcmpc_unpack_skb. Funkcja mpc_rcvd_sweep_req zwalnia przekazany jej wskaźnik mpcginfo, a następnie funkcja ctcmpc_unpack_skb ponownie go zwalnia, co prowadzi do podwójnego zwolnienia.

W jądrze Linux w sterowniku gpio/cdev istnieje ryzyko użycia deskryptora pliku po jego zwolnieniu (use-after-free). Zdarzenie GPIO może zostać wysłane do przestrzeni użytkownika po tym, jak licznik odwołań deskryptora spadł do zera, ale przed wywołaniem .release().