Podatności Linux kernel

W jądrze Linuxa w module net/sched/sch_fq_codel występuje podatność polegająca na wywołaniu funkcji qdisc_tree_reduce_backlog podczas operacji peek przed przywróceniem licznika qlen. Może to prowadzić do błędnej dezaktywacji klasy nadrzędnej, a w konsekwencji do dzikiego dostępu do pamięci w schedulerze qfq, co objawia się błędem ogólnej ochrony (general protection fault).

W jądrze Linux w sterowniku sieciowym airoha występuje przepełnienie bufora sterty w funkcji foe_check_time. Tablica jest deklarowana jako wskaźnik u16, ale alokowana jest tylko ppe_num_entries bajtów zamiast ppe_num_entries * sizeof(u16), co prowadzi do zapisu poza przydzielony obszar.

W jądrze Linuxa odkryto podatność w mechanizmie LWT (Lightweight Tunnels). Podczas enkapsulacji tuneli LWT, metadane skb (przekazywane między XDP a TC) znajdujące się w headroom pakietu są nadpisywane lub usuwane, co prowadzi do ostrzeżeń i błędów w działaniu, szczególnie w przypadku pakietów przekazywanych dalej (forwarded) z metadanymi XDP. Problem dotyczy wszystkich typów enkapsulacji LWT (mpls, seg6, ioam6, BPF) i wszystkich trybów przekierowania LWT.

W jądrze Linuxa sterownik qede miał błąd polegający na sprawdzaniu zakresu poza tablicą cqe->len_list[] po jej użyciu. Poprawka przenosi sprawdzenie indeksu przed dostęp do elementu, co zapobiega odczytowi poza zakresem.

W jądrze Linuxa funkcja parse_dcc() w netfilter nf_conntrack_irc miała błąd off-by-one prowadzący do odczytu poza zakresem (OOB). Traktowała wskaźnik końcowy jako inkluzywny, podczas gdy wywołujący przekazywał wskaźnik o jeden za ostatnim bajtem. Poprawka zmienia pętlę na ścisłe mniejsze niż, zgodnie z konwencją wywołującego.

W jądrze Linux w module batman-adv funkcja dat nie odświeża wskaźnika do źródłowego adresu ARP po realokacji bufora przez pskb_may_pull(). Może to prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w podsystemie block, gdzie podczas zwalniania dysku, który nigdy nie został dodany (np. po nieudanym probe), nie zatrzymywano timera limitu czasu kolejki żądań. Prowadzi to do użycia po zwolnieniu (use-after-free) w mechanizmie timerów, co może skutkować awarią systemu lub eskalacją uprawnień.

W jądrze Linuxa w module MPTCP wykryto podatność polegającą na braku odrzucania wzajemnie wykluczających się podopcji MPTCP w przychodzących pakietach. Atakujący może wysłać pakiet z kombinacją podopcji, które według RFC 8684 nie mogą występować razem, co może prowadzić do nieoczekiwanego zachowania stosu sieciowego. Poprawka wprowadza walidację zgodną z regułami stosowanymi przy wysyłaniu, ignorując nieprawidłowe kombinacje.

W jądrze Linux w module MPTCP zdalny peer może wysłać nieprawidłowy DSS z błędnym rozmiarem, co prowadzi do ignorowania pierwszej podopcji, ale pozostawienia niektórych pól zapisanych, co może powodować niespójność lub dostęp do niezainicjalizowanych danych. Poprawka polega na jawnym resetowaniu pól, które mogły zostać zmodyfikowane w przypadku nieoczekiwanego rozmiaru.

W jądrze Linux w module MPTCP funkcja mptcp_fastopen_subflow_synack_set_params() ustawiała flagę is_mptfo przed sprawdzeniem, czy w kolejce znajdują się dane SYN. To powodowało, że SYN bez danych (TFO) wywoływał ostrzeżenie WARN i pozostawiał nieaktualny stan MPTFO, co mogło prowadzić do błędu stanu w check_fully_established(). Poprawka polega na oznaczaniu subflow jako MPTFO dopiero po potwierdzeniu, że SKB został zakolejkowany.

W jądrze Linux w funkcji decode_locker() w cls_lock_client.c wykryto trzy niebezpieczne operacje dekodowania, które pozwalają złośliwemu lub skompromitowanemu OSD na wywołanie odczytów poza granicami (slab-out-of-bounds). Brak kontroli granic przed kopiowaniem nazwy, niekontrolowane przesunięcie wskaźnika oraz nieograniczona długość danych mogą doprowadzić do naruszenia pamięci. Poprawka polega na zastąpieniu niebezpiecznych operacji ich bezpiecznymi odpowiednikami i zwróceniu błędu -EINVAL w przypadku naruszenia granic.

W jądrze Linux w libceph nieprawidłowe indeksy OSD z primary_temp w uszkodzonej mapie osdmap mogą prowadzić do odczytów poza zakresem tablic. Poprawka dodaje walidację indeksów w get_temp_osds().

W jądrze Linux w libceph funkcja decode_watchers() nie sprawdzała granic przed odczytem 32-bitowej wartości, co przy struct_len=0 prowadzi do odczytu poza zakresem bufora. Poprawka używa bezpiecznej wersji ceph_decode_32_safe.

W jądrze Linux w podsystemie s390/vfio_ccw brakuje limitu liczby segmentów programu kanałowego. Przetwarzanie jest rekurencyjne, co może prowadzić do przekroczenia globalnego limitu i potencjalnych problemów.

W jądrze Linux w podsystemie s390/vfio_ccw brakuje weryfikacji, czy pierwszy IDAW pozostaje stały między odczytami. Może to prowadzić do niespójnego zestawu IDAW-ów.

W jądrze Linux w sterowniku ovpn funkcja zwrotna kryptograficzna utrzymuje referencje do slotu klucza i peera. Jeśli referencja peera jest zwalniana przed zakończeniem funkcji zwrotnej, może to prowadzić do użycia po zwolnieniu lub wywołania callbacku RCU po zakończeniu rcu_barrier, co grozi awarią.

W jądrze Linux w protokole SCTP podczas przywracania stanu z ciasteczka COOKIE_ECHO nie są poprawnie walidowane pola AUTH (RANDOM, HMACS, CHUNKS) pochodzące z danych kontrolowanych przez nadawcę. Sfałszowane długości lub identyfikatory mogą prowadzić do odczytów poza zakresem, a nawet zapisu poza bufor, co może umożliwić eskalację uprawnień lokalnych.

W jądrze Linux dla architektury RISC-V zoptymalizowana funkcja strnlen (ZBB) może czytać słowo poza granicą zadanego licznika, gdy adres początkowy jest wyrównany, a licznik jest wielokrotnością rozmiaru słowa. Może to spowodować błąd strony, jeśli następna strona jest nieodwzorowana.

W jądrze Linuxa w module netfilter flowtable występuje podatność polegająca na opublikowaniu węzła w kierunku oryginalnym przed węzłem odpowiedzi, co pozwala mechanizmowi GC (Garbage Collector) obserwować i zwolnić przepływ w trakcie jego instalacji. Może to prowadzić do użycia po zwolnieniu (use-after-free) w ścieżce flowtable/rhashtable, wykrywanego przez KASAN.

W jądrze Linuxa interfejsy ipvlan nie dziedziczą wartości needed_headroom i needed_tailroom z urządzenia fizycznego, co może prowadzić do niedostatecznej rezerwacji miejsca na nagłówki i stopki. Skutkuje to przekroczeniami bufora, niedomiarem headroom lub awariami KASAN (slab-use-after-free).

W jądrze Linuxa interfejsy macvlan nie dziedziczą wartości needed_headroom i needed_tailroom z urządzenia niższego poziomu, co może prowadzić do niedostatecznej rezerwacji miejsca na nagłówki i stopki. Skutkuje to przekroczeniami bufora, niedomiarem headroom lub awariami KASAN (slab-use-after-free).

W jądrze Linuxa w sterowniku am65-cpsw-nuss występuje błąd w ekstrakcji identyfikatora portu z tagu źródłowego. Używane są pełne 16 bitów, podczas gdy tylko dolne 8 bitów reprezentuje ID portu, co może prowadzić do dostępu poza pamięć i awarii systemu.

W jądrze Linux w NFS, operacja FREE_STATEID mogła być opóźniona, co prowadziło do użycia po zwolnieniu (use-after-free) obiektu 'struct nfs_server'. Poprawka zwiększa licznik referencji tego obiektu na czas trwania operacji FREE_STATEID, aby nie został usunięty podczas trwających operacji.

W jądrze Linux w podsystemie ovpn wykryto wyścig (race condition) między operacjami usuwania i ponownego haszowania peerów. Umożliwia to wskrzeszenie już usuniętego peera w tablicach haszujących, co prowadzi do użycia po zwolnieniu (UAF).

W jądrze Linux w systemie plików btrfs wykryto podatność w dekompresji LZO dla inline extentów. Specjalnie spreparowany obraz btrfs może wywołać odczyt poza granicami pamięci (KASAN: slab-out-of-bounds) podczas odczytu pliku, co prowadzi do awarii systemu lub potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku vdpa/mlx5 wykryto podatność prowadzącą do odczytu poza przydzielonym buforem (slab-out-of-bounds). Problem wynika z nieprawidłowego obliczenia rozmiaru bufora wejściowego w funkcji create_direct_keys(), co powoduje odczyt 16 bajtów poza przydzielony obszar pamięci.

W jądrze Linux w funkcji __skb_udp_tunnel_segment() stwierdzono potencjalną podatność use-after-free. Funkcja pobiera nagłówek UDP przed upewnieniem się, że nagłówek tunelu znajduje się w skb head. Jeśli operacja pull ponownie alokuje skb->head, zapisany wskaźnik do nagłówka UDP staje się nieprawidłowy.

W jądrze Linux w protokole SCTP wykryto podatność use-after-free. Funkcja sctp_make_heartbeat_ack() przechowuje wskaźnik do transportu bez zwiększania referencji, a gdy transport jest usuwany, zakolejkowany chunk kontrolny może zachować zwisający wskaźnik, co prowadzi do naruszenia pamięci.

W jądrze Linuxa w IPVS po przetworzeniu błędów ICMP w tunelu nie są czyszczone opcje IPv4, co może prowadzić do zapisu poza stosem przez __ip_options_echo().

W jądrze Linux w generycznym XDP po dostosowaniu fragmentów skb, skb->len nie jest aktualizowany, co powoduje, że skb_headlen() jest większe niż rzeczywisty obszar liniowy. W ścieżce odbioru UDP może to prowadzić do kopiowania danych poza obszar liniowy do przestrzeni użytkownika.

W jądrze Linux w funkcji inet_frag_create() timer kolejki fragmentów jest uzbrajany przed opublikowaniem kolejki w tablicy haszującej. Jeśli limit czasu fragmentacji jest zerowy lub ujemny, timer może zadziałać przed publikacją, co prowadzi do wyścigu i pozostawienia nieaktualnego węzła w tablicy.

W jądrze Linuxa w protokole X.25 występuje błąd użycia po zwolnieniu (use-after-free) gniazda przez jego timery. Timery są uzbrajane za pomocą mod_timer() i anulowane za pomocą timer_delete(), więc oczekujący timer nie trzyma referencji na gniazdo, a anulowanie nie czeka na wywołanie zwrotne już działające na innym CPU. x25_heartbeat_expiry() również bezwarunkowo ponownie uzbraja timer, co może prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w module dibs inicjalizacja blokady dibs->lock odbywa się zbyt późno, bo dopiero w dibs_dev_add(), podczas gdy przerwania mogą wystąpić wcześniej. To może prowadzić do użycia niezainicjalizowanej blokady w obsłudze przerwań.

W jądrze Linuxa funkcja xdpf_clone() tworzy klony ramek XDP, ale nie sprawdza wystarczająco, czy dane mieszczą się w obszarze tailroom skb_shared_info. Może to prowadzić do nadpisania danych podczas konwersji klonu na skb.

W jądrze Linux wykryto podatność w interfejsie veth, gdzie po dostosowaniu fragmentów XDP nieprawidłowo aktualizowano długość skb. Prowadziło to do kopiowania danych poza faktyczny obszar liniowy, w tym do wycieku wskaźników jądra do przestrzeni użytkownika. Dodatkowo, funkcja bpf_xdp_pull_data() mogła wywołać asercję SKB_LINEAR_ASSERT() z powodu nieprawidłowego zarządzania wskaźnikiem ogona.

W jądrze Linuxa w TLS RX, podczas optymistycznej próby TLS 1.3 zero-copy, wskaźnik msg_iter nie jest przywracany po nieudanej próbie, co może prowadzić do nadpisania danych w buforze odbiorcy.

W jądrze Linuxa w kliencie SMB, funkcja cifs_try_adding_channels() może użyć po zwolnieniu pamięci interfejsu, gdy tworzenie kanału nie powiedzie się, a lista interfejsów jest odświeżana równolegle.

W jądrze Linux w funkcji ip6ip6_err() stwierdzono, że klon skb (skb2) przenosi metadane zewnętrznego pakietu IPv6 (w tym wskaźnik dsthao) do odpowiedzi ICMPv6. Może to prowadzić do odczytu poza zakresem cytowanego pakietu wewnętrznego i uszkodzenia struktury skb_shared_info.

W jądrze Linux wykryto podatność w funkcji __filemap_add_folio() w module mm/filemap. Podczas ponawiania próby wstawienia strony (folio) do xarray, indeks nie był przywracany do pierwotnej wartości, co mogło prowadzić do umieszczenia folio pod błędnym (zaokrąglonym w dół) indeksem. Problem objawiał się rzadkimi błędami SIGILL i SIGSEGV w produkcji, gdyż kod wykonywalny znajdował się w niewłaściwej stronie pamięci.

W jądrze Linuxa w protokole SCTP występuje błąd polegający na tym, że chunk nie jest aktualizowany przy przenoszeniu na listę innego transportu. Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy transport zostanie usunięty, a wskaźnik chunk->transport pozostanie nieaktualny. Poprawka ustawia chunk->transport podczas przenoszenia.

W jądrze Linuxa w protokole SCTP występuje podatność na użycie po zwolnieniu (use-after-free) w mechanizmie ASCONF. Zbuforowany chunk ASCONF nie jest poprawnie czyszczony po zwolnieniu, co może prowadzić do dostępu do nieaktualnej pamięci. Poprawka czyści wskaźnik addip_last_asconf po zwolnieniu i zabezpiecza przed wyścigiem z wygaśnięciem timera T4.

W jądrze Linux w podsystemie SCTP wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Zdalny, uwierzytelniony peer SCTP może w jednym żądaniu ASCONF dodać i usunąć transport, pozostawiając wskaźnik new_transport wskazujący na usunięty obiekt. Późniejsze operacje (np. wysyłka HEARTBEAT) mogą odczytać zwolnioną pamięć, co w raporcie KASAN objawia się jako slab-use-after-free w funkcji sctp_outq_select_transport.

W jądrze Linuxa w funkcji fib6_rule_suppress() (IPv6 routing) nie jest czyszczony wskaźnik res->rt6 po usunięciu trasy, co może prowadzić do użycia zwolnionego obiektu rt6_info i wywołania rcuref_put_slowpath() podczas zwalniania.

W jądrze Linuxa w podsystemie iommu/arm-smmu-v3-iommufd występuje podatność polegająca na tym, że funkcja arm_vsmmu_vsid_to_sid() mapuje vSID gościa do pojedynczego fizycznego Stream ID, zakładając, że urządzenie ma dokładnie jeden strumień. Urządzenia z wieloma strumieniami mają mapowany tylko pierwszy, co powoduje, że unieważnienia vSID nie docierają do pozostałych wpisów ATC i IOTLB; urządzenia bez strumieni powodują odczyt poza zakresem. Poprawka dodaje operację arm_vsmmu_vdevice_init() odrzucającą vDEVICE z -EOPNOTSUPP, gdy master->num_streams nie jest równe jeden.

W jądrze Linux w systemie plików NTFS występuje podatność związana z niebezpiecznymi obliczeniami rozmiaru przy realokacji listy przebiegów (runlist). Dodano wspólny pomocnik do bezpiecznego konwertowania liczby elementów na rozmiar bajtowy z kontrolą przepełnienia, używany w funkcjach ntfs_rl_realloc() i ntfs_rl_realloc_nofail().

W jądrze Linux w module netfilter nf_conntrack_sip występuje podatność polegająca na przepełnieniu licznika zmian rozmiaru wiadomości SIP (s16) podczas przepisywania NAT. Pojedyncza wiadomość może urosnąć o więcej niż 32767 bajtów, co powoduje zawinięcie licznika i odczyt poza buforem (use-after-free).

W jądrze Linux w podsystemie KVM/arm64 (VGIC) występuje wyścig (race condition) między zwalnianiem struktury LPI a jej ponowną rejestracją. Może to prowadzić do usunięcia nowo zarejestrowanego LPI z tablicy xarray lub do wycieku pamięci (memory leak) starej struktury. Problem dotyczy operacji DISCARD i MAPTI wykonywanych przez gościa.

W jądrze Linux w module libiscsi_tcp brakowało sprawdzenia rozmiaru segmentu danych w odpowiedziach SCSI, co mogło doprowadzić do przepełnienia bufora conn->data (8192 bajtów) przez złośliwy serwer iSCSI. Podatność dotyczy ścieżki obsługi ISCSI_OP_SCSI_CMD_RSP, gdzie segment danych (dane sense/response) był kopiowany bez odpowiedniego ograniczenia.

W jądrze Linux w sterowniku rtase występuje podwójne zwolnienie (double free) pakietu skb z wieloma fragmentami w przypadku błędu mapowania DMA. Gdy mapowanie DMA głównego bufora nie powiedzie się po zmapowaniu fragmentów, ścieżka błędu zwalnia skb dwukrotnie, co prowadzi do awarii.

W jądrze Linux w serwerze SMB (ksmbd) wykryto podatność polegającą na nieprawidłowym porównywaniu identyfikatorów ClientGUID. ClientGUID jest binarną wartością o stałym rozmiarze i może zawierać wbudowane bajty NUL. Użycie strncmp() powoduje zatrzymanie porównania na pierwszym bajcie NUL, co może prowadzić do błędnego uznania różnych identyfikatorów za równe.