Podatności Linux kernel

W jądrze Linux wykryto podatność w sterowniku asix_devices dla urządzeń USB Ethernet. Podczas inicjalizacji magistrali MDIO adres PHY nie był maskowany do 5 bitów, co mogło prowadzić do użycia nieprawidłowych adresów i wywołać błąd przesunięcia poza zakres (shift-out-of-bounds).

W sterowniku GVE w jądrze Linux stwierdzono podatność umożliwiającą wywołanie operacji ethtool po wywołaniu funkcji shutdown(). Powoduje to dereferencję zwolnionych wskaźników i prowadzi do paniki jądra.

W jądrze Linux dla architektury s390 wykryto podatność polegającą na tym, że tożsamościowe mapowanie pamięci (identity mapping) zawsze obejmuje obszar lowcore, nawet gdy ustawiono opcję relocate_lowcore. Powoduje to podwójne mapowanie lowcore i umożliwia powodzenie operacji na wskaźniku NULL, zamiast wywołania wyjątku.

W jądrze Linux wykryto wyciek referencji do struktury dst (destination cache) dla pakietów pętli zwrotnej (loopback) w module netfilter nf_reject. Problem pojawia się, gdy funkcja nf_reject_fill_skb_dst próbuje zastąpić wpis dst w pakiecie, który już go posiada (np. dla ruchu loopback), co prowadzi do ostrzeżenia WARN() i potencjalnego wycieku pamięci.

W jądrze Linux w sterowniku DRM dla GPU Intel Xe (drm/xe) wykryto błąd podwójnego zwalniania pamięci w funkcji xe_vm_bind_ioctl. Podczas wiązania tablicy, jeśli sprawdzenie argumentów zakończy się niepowodzeniem, struktury bind_ops są zwalniane dwukrotnie, co prowadzi do awarii systemu.

W jądrze Linux w podsystemie io_uring/net stwierdzono podatność polegającą na tym, że bufory dostarczane przez pierścień mogą być przechowywane między ponownymi próbami, co prowadzi do potencjalnego użycia nieprawidłowych wskaźników lub uszkodzenia danych przy współdzieleniu grup buforów.

W jądrze Linux wykryto podatność w mechanizmie netlink, która powoduje nieskończoną pętlę ponawiania w funkcji netlink_unicast(). Problem wynika z nieprawidłowego sprawdzenia ograniczeń pamięci odczytu gniazda, co prowadzi do zawieszenia procesora (RCU stall) i braku odpowiedzi systemu.

W jądrze Linuxa w sterowniku asix_devices dla układów USB Ethernet ASIX AX88772 brakowało ustawienia maski PHY (phy_mask) dla magistrali MDIO. Powodowało to tworzenie do 32 fikcyjnych urządzeń PHY, z których tylko jedno faktycznie wiązało się ze sterownikiem sieciowym. Podczas zawieszania/wznawiania systemu dochodziło do dereferencji wskaźnika NULL w funkcji phy_state_machine(), co prowadziło do awarii (crash).

W sterowniku habanalabs w jądrze Linux wykryto podatność use-after-free (UAF) w funkcji export_dmabuf(). Po wstawieniu referencji do pliku do tablicy deskryptorów inny wątek mógł zamknąć ten plik, a następnie funkcja kontynuowała dostęp do obiektów, które mogły zostać już zniszczone.

W jądrze Linux wykryto wyciek licznika referencji w funkcji ctnetlink_dump_table() w podsystemie netfilter. W rzadkich przypadkach, gdy ct == last, podwójne zwiększenie licznika uniemożliwia zwolnienie obiektu conntrack, co blokuje demontaż przestrzeni nazw sieciowych (netns) lub usunięcie modułu conntrack.

W jądrze Linux wykryto podatność w stosie SCTP polegającą na niebezpiecznym dostępie do współdzielonych fragmentów buforów (fraglist) w sklonowanych pakietach GSO. Sklonowany nagłówek skb współdzieli fragmenty z oryginałem, co prowadzi do odczytu niezainicjalizowanej pamięci. Problem został załatany przez linearyzację sklonowanych pakietów GSO w funkcji sctp_rcv().

W jądrze Linux w module KCM (Kernel Connection Multiplexor) wykryto błąd wyścigu w funkcji kcm_unattach(). Brak sprawdzenia flagi kcm->tx_stopped przed wywołaniem queue_work() może prowadzić do ponownego zakolejkowania pracy tx_work po zwolnieniu gniazda, co skutkuje użyciem po zwolnieniu (use-after-free).

W systemie plików HFS w jądrze Linux stwierdzono podatność umożliwiającą odczyt poza zakresem pamięci (slab-out-of-bounds) w funkcji hfs_bnode_read(). Brak walidacji przesunięcia i długości może prowadzić do dostępu poza przydzieloną pamięć.

W jądrze Linux wykryto podatność w systemie plików HFS+ polegającą na odczycie poza dozwolonym obszarem pamięci (slab-out-of-bounds) w funkcji hfsplus_bnode_read(). Problem może zostać wykorzystany podczas usuwania plików lub atrybutów, prowadząc do awarii systemu lub potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność w systemie plików HFS+, która pozwala na odczyt poza dozwolonym obszarem pamięci (slab-out-of-bounds) w funkcji hfsplus_uni2asc(). Problem występuje podczas wywołania operacji odczytu katalogu (readdir) i może prowadzić do awarii systemu.

W jądrze Linux wykryto podatność w mechanizmie RCU NOCB, gdzie nieprawidłowe sprawdzanie wskaźnika `nocb_cb_kthread` może prowadzić do dostępu do nieprawidłowej pamięci. Problem występuje podczas procesu wyłączania i ponownego włączania obsługi NOCB dla CPU, gdy tworzenie wątków `rcuop` nie powiedzie się.

W sterowniku DRM/Xe w jądrze Linux stwierdzono podatność polegającą na tym, że dma-fences mogą wskazywać na dane, które są zwalniane przed upływem okresu RCU, co prowadzi do użycia po zwolnieniu (use-after-free) przy dostępie z zewnątrz.

W jądrze Linux w systemie plików JFS funkcja dbAllocAG nie sprawdza, czy indeks drzewa nie wykracza poza rozmiar tablicy stree. Może to wystąpić przy uszkodzonych metadanych systemu plików.

W podsystemie iommufd w jądrze Linux stwierdzono podatność polegającą na przepełnieniu podczas wyrównywania zakresu IOVA za pomocą makra ALIGN(), co może prowadzić do zawinięcia wartości i utworzenia nakładającego się mapowania.

W sterowniku comedi jądra Linuxa wykryto wyścig między operacją poll a odłączaniem urządzenia. Podczas odłączania usuwano obszar async, mimo że nadal aktywne były żądania poll na wait_queue_head, co prowadziło do use-after-free.

W jądrze Linux w sterowniku fbdev występuje podatność na zapis poza zakresem (out-of-bounds write) w funkcji fast_imageblit. Problem pojawia się, gdy operacja FBIOPUT_CON2FBMAP zawiedzie podczas zmiany rozmiaru konsoli, ale mimo to kontynuuje aktualizację ekranu z nieprawidłowymi referencjami, prowadząc do zapisu poza zakresem.

W jądrze Linux wykryto podatność polegającą na wyścigu (race condition) między funkcją ptdump_walk_pgd() a operacjami usuwania pamięci na gorąco (memory hot remove). Podczas gdy ptdump skanuje tablice stron jądra, współbieżne modyfikacje mogą prowadzić do użycia zwolnionej pamięci, co skutkuje potencjalnym naruszeniem bezpieczeństwa. Problem rozwiązano poprzez przeniesienie blokady hotplug pamięci do wewnątrz funkcji ptdump_check_wx(), co chroni zarówno ścieżkę dumpowania, jak i sprawdzania stron W+X.

W sterowniku venus (media) w jądrze Linux stwierdzono podatność polegającą na odczycie poza zakresem (OOB) w funkcji event_seq_changed() z powodu braku walidacji rozmiaru ładunku względem długości komunikatu.

W podsystemie netfilter (nf_tables) jądra Linux możliwe jest dodanie zduplikowanego urządzenia do łańcucha/flowtable w tej samej partii transakcji. Powoduje to, że ścieżka zdarzeń netdev usuwa tylko pierwsze urządzenie, pozostawiając niezarejestrowany hak zduplikowanego urządzenia, co wyzwala ostrzeżenie WARNING.

W jądrze Linux w systemie plików F2FS wykryto podatność polegającą na odczycie poza dozwolonym zakresem w stronie dnode. Problem występuje, gdy uszkodzony obraz systemu plików zawiera dnode o tym samym identyfikatorze co jego i-węzeł, co prowadzi do błędnego obliczenia adresu bloku i dostępu do pamięci poza granicami.

W jądrze Linuxa w funkcji xfrm_state_find wykryto problem z inicjalizacją state_ptrs. W przypadku wywłaszczenia, wyszukiwanie stanu mogło trafić na inny CPU, a jeśli znaleziono stan w cache, pomijano go i wchodzono w blok 'acquire', który używał niezainicjalizowanych state_ptrs.

W jądrze Linuxa w funkcjach `cpu_switch_to()` i `call_on_irq_stack()` na architekturze ARM64 manipulacja wskaźnikiem stosu (SP) i wskaźnikiem Shadow Call Stack (x18) nie jest atomowa. Przerwania (SErrors, Debug Exceptions, pseudo-NMI) mogą wystąpić w trakcie przełączania, prowadząc do niezgodności stosów i nadpisania wskaźnika SCS, co skutkuje awariami jądra.

W podsystemie IIO (Industrial I/O) w jądrze Linux wykryto podatność polegającą na potencjalnym zapisie poza zakresem (out-of-bound write). Bufor ma rozmiar 20 znaków, a funkcja simple_write_to_buffer obcina dane, ale brakuje sprawdzenia, czy dane wejściowe mieszczą się w buforze przed kopiowaniem.

W jądrze Linux w sterowniku ASoC dla Mediatek MT8365 wykryto podatność polegającą na przekazaniu nieprawidłowego rozmiaru struktury do funkcji mt8365_dai_set_priv. Powoduje to odczyt poza dozwolonym obszarem pamięci (global-out-of-bounds), co może prowadzić do awarii systemu.

W sterowniku platformy x86 alienware-wmi-wmax w jądrze Linux wykryto podatność polegającą na braku pustego elementu na końcu tablicy dmi_system_id o nazwie awcc_dmi_table. Może to prowadzić do odczytu poza zakresem podczas przetwarzania tablicy.

W jądrze Linux wykryto podatność w sterowniku NVMe over PCI Endpoint Function (nvmet-pci-epf), która powoduje podwójne zakończenie przetwarzania komend po nieudanym wywołaniu nvmet_req_init(). Prowadzi to do wysłania dwóch odpowiedzi do hosta i uszkodzenia stanu celu NVMe, co skutkuje błędem jądra (kernel oops).

W sterowniku rtw89 (karta WiFi) w jądrze Linuxa występuje podatność na przesunięcie bitowe (shift wrapping) w funkcji rtw89_core_mlsr_switch(). Wartość link_id pochodząca z debugfs może być większa niż BITS_PER_LONG, co prowadzi do nieprawidłowego przesunięcia i potencjalnego dostępu poza zakresem. Ograniczenie do IEEE80211_MLD_MAX_NUM_LINKS (15) rozwiązuje problem.

W jądrze Linux w sterowniku iwlwifi występuje błąd kodu, który powoduje zwrócenie ERR_PTR(0) (NULL) zamiast prawidłowego kodu błędu, gdy iwl_setup_deferred_work() zawiedzie. Może to prowadzić do użycia po zwolnieniu (use-after-free) związanego z debugfs.

W jądrze Linux stwierdzono podatność na użycie po zwolnieniu (UAF) w funkcji proc_reg_open(). Problem występuje, gdy sprawdzanie wskaźnika proc_lseek odbywa się bezpośrednio, co może prowadzić do naruszenia bezpieczeństwa podczas usuwania modułu.

W systemie plików F2FS w jądrze Linux występuje podatność na odczyt/zapis poza dozwolonym zakresem w tablicy devs.path. Gdy ścieżka urządzenia ma długość równą MAX_PATH_LEN, brak znaku null powoduje, że sąsiednie pola struktury są traktowane jako część ścieżki, co prowadzi do błędnego parsowania.

W jądrze Linux w podsystemie cfg80211 wykryto brak synchronizacji w funkcji cfg80211_check_and_end_cac(). Funkcja wdev_chandef() wymaga trzymania mutexu wiphy, ale worker cfg80211_propagate_cac_done_wk() nie przejmuje tego zamka, co prowadzi do ostrzeżenia i potencjalnego wyścigu.

W jądrze Linux stwierdzono podatność w funkcji nf_hook_run_bpf() w mechanizmie netfilter BPF. Program BPF może być wywoływany bez wyłączonej migracji w ścieżce transmisji pakietów, co powoduje naruszenie asercji w __bpf_prog_run() i błąd systemu.

W jądrze Linux w module netfilter xt_nfacct stwierdzono podatność na odczyt poza zakresem bufora (slab-out-of-bounds). Problem występuje, gdy funkcja nfacct_mt_checkentry() zakłada, że nazwa konta jest zakończona znakiem null, co nie zawsze jest prawdą.

W sterowniku j721e-csi2rx jądra Linux wykryto podatność polegającą na uszkodzeniu listy (list_del corruption). Gdy funkcja ti_csi2rx_start_dma() zakończy się niepowodzeniem w ti_csi2rx_dma_callback(), bufor jest oznaczany jako zakończony z błędem, ale nie jest usuwany z kolejki DMA. Powoduje to ponowne użycie tego samego bufora w następnej iteracji, prowadząc do podwójnego usunięcia z listy i jej uszkodzenia.

W jądrze Linux w module vsock występuje podatność na użycie po zwolnieniu (use-after-free) spowodowana możliwością autobindowania gniazda do VMADDR_PORT_ANY. Gniazdo zwrócone przez accept() również ma port VMADDR_PORT_ANY, ale nie znajduje się na liście niezwiązanych gniazd, co prowadzi do dodatkowego dekrementacji licznika referencji.

W jądrze Linuxa, w podsystemie net/packet, występuje wyścig (race condition) między funkcjami packet_set_ring() i packet_notifier(). Gdy packet_set_ring() zwalnia blokadę po->bind_lock, inny wątek może uruchomić packet_notifier() i przetworzyć zdarzenie NETDEV_UP. Łatka tymczasowo ustawia po->num na zero, aby utrzymać gniazdo odłączone do czasu ponownego przejęcia blokady.

W jądrze Linux w mechanizmie TLS ULP wykryto problem, gdy dane znikają z kolejki odbiorczej gniazda TCP. Może to prowadzić do błędnego stanu parsowania i potencjalnie do awarii jądra.

W jądrze Linux w systemie plików ntfs3 występuje podatność polegająca na oznaczaniu aktywnego i-węzła jako uszkodzonego (bad inode) po niepowodzeniu usunięcia nazwy pliku. Może to prowadzić do problemów z pamięcią podręczną i-węzłów (icache) i potencjalnie do użycia po zwolnieniu.

W jądrze Linux wykryto podatność w mechanizmie epoll, która umożliwia nieograniczoną rekurencję podczas sprawdzania pętli. Brak odpowiedniego ograniczenia głębokości grafu epoll może prowadzić do przepełnienia stosu jądra.

W jądrze Linux w mechanizmie BPF i KTLS stwierdzono podatność na uszkodzenie danych. Podczas wysyłania danych jawnych (plaintext) długość szyfrogramu (ciphertext) nie jest ponownie obliczana po zmniejszeniu danych jawnych przez politykę gniazda, co prowadzi do przesyłania niezainicjalizowanych danych.

W podsystemie BPF w jądrze Linux wykryto podatność polegającą na tym, że instrukcja BPF_JSET (skok warunkowy, jeśli a & b) nie była poprawnie obsługiwana w funkcji can_jump() podczas obliczania grafu przepływu sterowania (CFG). Prowadziło to do nieprawidłowego określenia żywych rejestrów i obliczeń SCC.

W jądrze Linux w sterowniku rtl818x występuje podatność na dereferencję wskaźnika NULL w funkcji rtl8187_tx_cb. Problem pojawia się, gdy w rtl8187_stop() kolejka stanu TX jest czyszczona przed zabiciem zakotwiczonych URBs, co pozwala na użycie już zwolnionego skb w callbacku.

W sterowniku ath11k dla kart Wi-Fi w jądrze Linuxa występuje błąd polegający na nieczyszczeniu flagi inicjalizacji list SRNG podczas deinicjalizacji. Po awarii i próbie odzyskania sterownika, ponowne wywołanie funkcji zrzucającej statystyki SRNG może odwoływać się do już zwolnionej pamięci, powodując błąd strony (page fault) i panikę jądra.

W sterowniku WiFi mt7925 w jądrze Linux występuje błąd off-by-one w funkcji mt7925_mcu_hw_scan(). Warunek >= zamiast > może prowadzić do odczytu poza zakresem tablicy.

W sterowniku mt76 (karta WiFi) w jądrze Linuxa występuje podatność na dostęp poza zakresem (OOB) w funkcji mt7996_tx(). Jeśli link_id jest ustawione na IEEE80211_LINK_UNSPECIFIED, może dojść do odczytu lub zapisu poza dozwolonym obszarem pamięci.