Podatności Linux kernel

W jądrze Linux dla architektury nios2 brakuje ustawienia memblock.current_limit przed określeniem granic pamięci. Może to prowadzić do błędów stronicowania jądra i panic systemu.

W jądrze Linux wykryto błąd niezainicjalizowanej wartości w funkcji __hfsplus_ext_cache_extent() systemu plików HFS+. Problem został zgłoszony przez narzędzie KMSAN i może prowadzić do paniki jądra podczas operacji zapisu na partycji HFS+.

W jądrze Linuxa wykryto podatność w systemie plików HFS, gdzie funkcja hfs_find_set_zero_bits() odczytuje niezainicjalizowaną pamięć z bufora bitmapy. Problem wynika z użycia kmalloc() zamiast kzalloc() przy alokacji bitmapy, co może prowadzić do nieprzewidywalnego zachowania.

W jądrze Linux w systemie plików GFS2 występuje wyścig (race condition) w funkcji gdlm_put_lock. Między ustawieniem flagi DFL_UNMOUNT a zwolnieniem lockspace, DLM może wywołać callbacki na już zwolnionym obiekcie glock, prowadząc do use-after-free.

W jądrze Linux w systemie plików EROFS brakuje walidacji zakodowanych zakresów (encoded extents). Specjalnie spreparowane obrazy mogą powodować przepełnienie licznika i dostęp poza zakresem tablicy compressed_bvecs[], prowadząc do awarii systemu.

W jądrze Linux w protokole SCTP występuje podatność na dereferencję wskaźnika NULL. Gdy chunk->skb jest NULL, a chunk->head_skb nie, kod sprawdza frag_list zamiast skb, co może prowadzić do awarii systemu.

W jądrze Linux w systemie plików OCFS2 występuje podatność polegająca na nieczyszczeniu pamięci podręcznej mapy extentów po przeniesieniu lub defragmentacji. Prowadzi to do użycia nieaktualnych flag extentów i wyzwolenia BUG_ON.

W jądrze Linuxa wykryto podatność związaną z wyścigiem między włączaniem/wyłączaniem SR-IOV a gorącym podłączaniem. Poprzednia próba naprawy przez blokadę w sriov_del_vfs() i sriov_add_vfs() powodowała zakleszczenie przy usuwaniu funkcji fizycznych (PF) z włączonym SR-IOV. Nowa łatka przenosi blokadę do sriov_numvfs_store(), co eliminuje wyścig bez ryzyka deadlocka.

W jądrze Linuxa w io_uring/rsrc występuje problem z obliczaniem offsetu pierwszej strony w folio po koalescencji. Kod używa nieprawidłowej logiki maski bitowej, która nie uwzględnia braku gwarantowanego wyrównania wskaźników użytkownika.

W jądrze Linux w podsystemie xfrm/IPsec stany fallback (ipcomp) nie są usuwane z list i tablic haszujących, gdy ostatni stan użytkownika jest usuwany, ale dopiero gdy znika ostatnie odwołanie. Może to prowadzić do ostrzeżenia WARN w xfrm_state_fini i potencjalnego wycieku pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na błędne zidentyfikowanie stanu gniazdka w kontekście zbierania śmieci. Problem wynika z braku inicjalizacji indeksu SCC w funkcji unix_add_edge(), co prowadzi do nieprawidłowego grupowania gniazd w cyklicznych referencjach.

W jądrze Linux w stosie Bluetooth MGMT występują crash w funkcjach set_mesh_sync i set_mesh_complete. Pierwszy wynika z odczytu poza zakresem stosu (stack out-of-bounds), drugi z podwójnego usunięcia z listy (double list_del).

W jądrze Linux w serwerze NFS (NFSD) usunięto limit liczby operacji w żądaniu NFSv4 COMPOUND, co pozwala atakującemu na umieszczenie dowolnie dużej liczby operacji. Powoduje to ogromną alokację pamięci (np. 1.2 TB) i awarię systemu.

W jądrze Linux w netfilter brakuje walidacji wyrażeń objref i objrefmap. Odwołanie do obiektu synproxy z haka OUTPUT powoduje nieskończoną rekurencję i crash jądra.

W jądrze Linux w systemie plików Btrfs funkcja btrfs_encode_fh() może zapisać dane poza dozwolony obszar bufora (out-of-bounds write). Dzieje się tak, gdy rozmiar uchwytu pliku (FH) jest większy niż pierwotnie zgłoszony.

W jądrze Linux funkcja listmount() wywołuje path_put() pod semaforem namespace, co może prowadzić do zakleszczenia (deadlock) lub awarii, jeśli jest to ostatnie odwołanie.

W jądrze Linux w sterowniku IPMI występuje problem z limitem wiadomości użytkownika, prowadzący do nieprawidłowego zliczania i use-after-free. Restrukturyzacja kodu naprawia te problemy.

W jądrze Linux w sys_prlimit64() występuje wyścig (race condition) przy użyciu task_lock(tsk->group_leader). Proces może się zakończyć lub wykonać exec, co prowadzi do użycia zwolnionej pamięci (use-after-free) lub przejęcia niewłaściwego zamka.

W jądrze Linux w page_pool maska PP_MAGIC_MASK jest zbyt szeroka na niektórych 32-bitowych architekturach, co powoduje fałszywie pozytywne wyniki w page_pool_page_is_pp() i crash systemu.

W jądrze Linux w systemie plików ext4 funkcja parse_apply_sb_mount_options() może odczytać dane poza zakresem bufora (buffer over-read). Pole s_mount_opts w superbloku może nie być zakończone znakiem NULL.

W jądrze Linux wykryto błąd w mechanizmie limitów dyskowych (quota), który powoduje panikę jądra, gdy włączona jest opcja panic_on_warn. Problem pojawia się, gdy kolejka zdarzeń 'events_unbound' (bez flagi WQ_MEM_RECLAIM) jest używana do pracy quota_release_work, a następnie jest opróżniana przez kolejkę 'writeback' z flagą WQ_MEM_RECLAIM, co prowadzi do naruszenia zależności i wywołania WARN_ONCE.

W jądrze Linux w systemie plików ext4 brakuje zabezpieczenia przed niedomiarem licznika odwołań i-węzła atrybutów rozszerzonych (EA). Może to prowadzić do niedomiaru i błędów systemu plików.

W jądrze Linux w protokole SCTP w funkcji sctp_sf_do_5_1D_ce() może wystąpić dereferencja NULL wskaźnika. Gdy zmienna ai_ev pozostaje zerowa, jest przekazywana do sctp_ulpevent_free(), co prowadzi do awarii.

W jądrze Linux wykryto podatność w implementacji TCP Fast Open (TFO). Gdy gniazdo nasłuchujące jest zamykane podczas przetwarzania połączenia TFO, dochodzi do podwójnego zwolnienia struktury żądania (reqsk) i przepełnienia licznika referencji gniazda nasłuchującego, co może prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcjach __bpf_redirect_neigh_v{4,6} wykryto wyciek obiektu metadata_dst. Problem występuje, gdy BPF używa bpf_redirect_neigh() do przekierowania pakietów po dekapsulacji VXLAN w trybie collect md. VXLAN alokuje metadata_dst i dołącza go przez fałszywy wpis dst do skb, ale bpf_redirect_neigh() ustawia nowy wpis dst przez skb_dst_set() bez uprzedniego zwolnienia istniejącego, co prowadzi do narastającego wycieku pamięci.

W jądrze Linux w crypto skcipher użycie cra_reqsize zamiast crypto_skcipher_set_reqsize() powoduje uszkodzenie pamięci i crash. Funkcje inicjalizujące nie ustawiają poprawnie reqsize.

W jądrze Linux w architekturze x86 w funkcji switch_mm_irqs_off() brakuje bariery pamięciowej (smp_mb()) między zapisem loaded_mm a odczytem tlb_gen. Może to spowodować, że przełączanie kontekstu nie zauważy aktualizacji tlb_gen i nie opróżni TLB, prowadząc do użycia nieaktualnych danych.

W jądrze Linux w tunelu IPv6 (ip6_tunnel) brakuje ograniczenia wzrostu nagłówka (headroom), co prowadzi do nieograniczonego powiększania się tunelu. Podobny problem w IPv4 został już naprawiony.

W sterowniku accel/qaic w jądrze Linux stwierdzono podatność polegającą na tym, że funkcja find_and_map_user_pages() może zwrócić 0 przed alokacją struktury sgt, gdy długość żądania DMA wynosi 0 lub gdy urządzenie żąda kontynuacji po przesłaniu wszystkich bajtów. Prowadzi to do błędu ogólnej ochrony (general protection fault) przy próbie dostępu do niezainicjalizowanego sgt.

W jądrze Linux w podsystemie NVMe over Fabrics (nvmet-fc) występuje wyciek referencji do portu docelowego (tgtport). Gdy wiele poleceń LS jest w locie, tylko jeden element pracy (work item) jest kolejkowany, co prowadzi do nierozliczonych referencji.

W jądrze Linux w stosie sieciowym funkcja sk_setup_caps() używa niechronionego dostępu do dst->dev, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka wprowadza użycie RCU do ochrony dostępu.

W weryfikatorze BPF jądra Linux stwierdzono podatność polegającą na tym, że funkcja check_alu_op() akceptuje ujemne wartości pola 'offset' w instrukcjach ALU, ponieważ warunek 'insn->off > 1' przepuszcza wszystkie wartości ujemne. Poprawka zaostrza walidację, wymagając, aby offset wynosił dokładnie 0 lub 1.

W jądrze Linux w podsystemie SMC (Shared Memory Communications) funkcja smc_clc_prfx_match() używa sk_dst_get(sk)->dev bez odpowiedniego blokowania RCU lub RTNL, co może prowadzić do use-after-free na strukturze device.

W jądrze Linux w systemie plików ext4 brakuje walidacji nieprawidłowej kombinacji flag INLINE_DATA i EXTENTS w i-węźle. Taka kombinacja może prowadzić do BUG_ON w ext4_es_cache_extent() z powodu niedomiaru liczb całkowitych.

W sterowniku drm/xe/guc jądra Linux stwierdzono podatność polegającą na tym, że podczas wymuszonego odłączenia sterownika (unbind) kolejka exec może być nadal uruchomiona, a próba jej deregisteracji przez GuC kończy się niepowodzeniem, ponieważ komunikacja CT jest już wyłączona. Prowadzi to do wycieku zasobów i błędów w zarządzaniu pamięcią.

W jądrze Linux w sterowniku NXP i.MX8 ISI (Image Sensor Interface) wykryto podatność polegającą na nieprawidłowym czyszczeniu strumieniowania w trybie M2M (memory-to-memory). Niezbalansowane wywołania streamon/streamoff, np. przy nagłym zamknięciu aplikacji (Ctrl+C), powodują, że licznik użycia nie osiąga zera, a kanał ISI nie jest zwalniany. Dodatkowo, gdy szerokość linii wejściowej przekracza 2K, generowane jest ostrzeżenie WARN_ON().

W jądrze Linuxa naprawiono podatność związaną z używaniem funkcji smp_processor_id() w kodzie, który może być przerywany. Zgłoszenie błędu dotyczyło ostrzeżenia generowanego przez dhcpcd, które wskazywało na niewłaściwe użycie tej funkcji w kontekście przerywalnym.

W podsystemie XSK (AF_XDP) jądra Linux stwierdzono podatność polegającą na tym, że funkcje walidujące xdp_desc nie odrzucają pewnych nieprawidłowych wartości, takich jak desc->len bliskie U32_MAX z niezerowym tx_metadata_len, co może prowadzić do przepełnienia liczb całkowitych i wysyłania nieprawidłowych ramek.

W jądrze Linux w stosie IPv6 funkcja ip6_output() nie używała RCU, co umożliwiało użycie po zwolnieniu (UAF) przy dostępie do urządzenia przez dst_dev_rcu(). Poprawka dodaje RCU i usuwa zbędne pary rcu_read_lock/unlock z ip6_finish_output2().

W jądrze Linux w sterowniku iommu/vt-d w trybie legacy (starym) występuje błąd w logice zrzutu tablic stron. Gdy pole TT (Translation Type) nie ma wartości 00b lub 01b, odczytywany jest niezainicjalizowany rejestr SSPTPTR, co prowadzi do błędu ogólnej ochrony (general protection fault) i paniki systemu (oops).

W jądrze Linux dla architektury LoongArch wykryto podatność w implementacji BPF, która nie obsługuje argumentów strukturalnych w programach trampolinowych. Próba uruchomienia testu bpf selftest 'tracing_struct' powoduje błąd Oops i potencjalne zawieszenie systemu.

W jądrze Linux wykryto podatność w mechanizmie TLS, gdzie funkcja get_netdev_for_sock() podczas wywołania setsockopt() nie działała w kontekście RCU, co mogło prowadzić do użycia po zwolnieniu (UAF) przez dostęp do sk_dst_get(sk)->dev. Poprawka zastępuje wywołania na __sk_dst_get() i dst_dev_rcu(), aby zapewnić bezpieczny dostęp do struktury docelowej.

W jądrze Linux w sterowniku USB rtl8150 funkcja rtl8150_set_multicast wywołuje netif_stop_queue i netif_wake_queue, co zakłóca synchronizację kolejki TX. Może to prowadzić do podwójnego zgłoszenia URB i ostrzeżenia w rtl8150_start_xmit.

W podsystemie SMC jądra Linux stwierdzono podatność polegającą na tym, że funkcja smc_clc_prfx_set() używa sk_dst_get(sk)->dev bez ochrony RCU ani RTNL, co może prowadzić do użycia po zwolnieniu (UAF) podczas wywołania connect().

W jądrze Linuxa w funkcji ip6_xmit() brakowało mechanizmu RCU, co umożliwiało potencjalny dostęp do zwolnionej pamięci (UAF). Poprawka wprowadza RCU, aby zabezpieczyć dostęp do struktury urządzenia sieciowego.

W jądrze Linux w podsystemie MPTCP funkcja mptcp_active_enable() może użyć sk_dst_get(sk)->dev bez ochrony RCU, co prowadzi do podatności na użycie po zwolnieniu (UAF).

W jądrze Linux w funkcji xdr_stream_decode_opaque_auth() (moduł sunrpc) wykryto dereferencję wskaźnika NULL (NPD) przy zerowej długości sumy kontrolnej (checksum.len). Gdy checksum.len wynosi 0, checksum.data jest ustawiane na NULL, co powoduje NPD przy dostępie do checksum.data w gss_krb5_verify_mic_v2(). Poprawka zapewnia, że checksum.len nie jest mniejsze niż XDR_UNIT.

W jądrze Linux w architekturze SPARC dla procesorów UltraSPARC III wykryto błąd w funkcjach copy_from_user i copy_to_user. Obsługa wyjątków nieprawidłowo obliczała pozostałe bajty do skopiowania, co mogło prowadzić do zwracania niemożliwie dużych wartości i powodować BUG_ON w systemach plików takich jak ext4.

W jądrze Linux wykryto podatność w podsystemie BPF, gdzie funkcja bpf_prog_test_run_xdp() może prowadzić do dereferencji wskaźnika NULL. Problem wynika z braku wymuszenia zgodności pola expected_attach_type podczas wykonywania tailcalli, co pozwala programom BPF na dostęp do nieuprawnionych danych.

W sterowniku SCSI pm80xx w jądrze Linux wykryto błąd polegający na odczycie poza zakresem tablicy podczas usuwania modułu (rmmod). Dla urządzeń za ekspanderem, identyfikator dołączonego portu (attached_phy) może być większy niż liczba fizycznych portów kontrolera, co prowadzi do indeksowania poza tablicą phy.