Podatności Linux kernel

W jądrze Linux, w podsystemie HID, funkcja hid_hw_raw_request() jest używana do walidacji bufora i długości, ale bezpośrednie wywołanie funkcji sterownika niższego poziomu omija te sprawdzenia, umożliwiając użycie nieprawidłowych parametrów.

W jądrze Linuxa w implementacji MPTCP wykryto podatność polegającą na braku atomowości między decyzją o przejściu na tryb fallback a samym działaniem fallback. Może to prowadzić do wyścigu (race condition) i wywołania ostrzeżenia (splat) w funkcji __mptcp_do_fallback podczas przetwarzania przychodzących opcji MPTCP.

W jądrze Linux wycofano commit 7796c97df6b1 dla sterownika soundwire qcom, który wprowadzał obsługę set_channel_map. Przywrócenie było konieczne, ponieważ oryginalna łatka powodowała krytyczny błąd jądra (kernel panic) na platformie Dragonboard 845c (sdm845) oraz zawierała trzy błędy: nieprawidłowe indeksowanie tablicy, przepełnienie pamięci i nadpisywanie danych TX danymi RX.

W sterowniku akcelerometru fxls8962af (IIO) w jądrze Linuxa występuje podatność use-after-free (UAF) w funkcji fxls8962af_fifo_flush(). Funkcja używa indio_dev->active_scan_mask bez sprawdzenia, czy urządzenie nadal jest w trybie bufora, co prowadzi do wyścigu (race condition) podczas wyłączania trybu bufora.

W podsystemie IIO backend w jądrze Linuxa występuje podatność na zapis poza zakresem (out-of-bound write). Bufor o rozmiarze 80 znaków jest zapisywany bez sprawdzenia granic po dodaniu terminatora ciągu, co pozwala na zapis poza przydzieloną pamięcią.

W podsystemie Comedi jądra Linuxa funkcje do_insn_ioctl() i do_insnlist_ioctl() alokują co najmniej 16 elementów danych dla instrukcji, ale nie inicjalizują wszystkich. Dla instrukcji zapisujących do podurządzenia, niekopiowane elementy pozostają niezainicjalizowane, co może prowadzić do odczytu niezainicjalizowanej pamięci przez procedurę obsługi.

W schedulerze sieciowym Linuxa (sch_qfq) wykryto wyścig podczas modyfikacji struktury 'agg' w qfq_change_agg. Inne wątki mogą jednocześnie odczytywać te dane, co prowadzi do dereferencji NULL w qfq_dump_class lub use-after-free w qfq_delete_class.

W jądrze Linux wykryto podatność w implementacji SMC (Shared Memory Communications) polegającą na pomyleniu typów struktur inet_sock i smc_sock. Brak struktury inet_sock jako pierwszego elementu w smc_sock prowadzi do błędnego interpretowania pól pamięci, co skutkuje podwójnym zwolnieniem pamięci i awariami systemu (oops).

W jądrze Linux wykryto podatność w module 8021q dotyczącą nieprawidłowego zarządzania referencjami VLAN ID 0 podczas przełączania filtrowania VLAN w czasie pracy. Problem prowadzi do wycieku pamięci lub błędu jądra (BUG_ON) przy usuwaniu VLAN 0, gdy funkcja rx-vlan-filter jest włączana/wyłączana podczas działania interfejsu.

W jądrze Linux stwierdzono, że uprobes mogą być używane destrukcyjnie, gdy są stosowane w środku instrukcji. Ponieważ jądro nie jest w stanie określić, czy dany bajt jest rzeczywiście instrukcją w kontekście wykonywanego strumienia, przywrócono wymóg posiadania CAP_SYS_ADMIN dla uprobes.

W jądrze Linux wykryto podatność use-after-free w funkcji tipc_conn_close() w module TIPC. Problem występuje podczas demontażu przestrzeni nazw sieciowych, gdy funkcja tipc_topsrv_stop() zwalnia blokadę IDR przed wywołaniem tipc_conn_close(), co pozwala równoczesnemu wątkowi roboczemu na zwolnienie struktury tipc_conn, prowadząc do odczytu po zwolnieniu pamięci.

W jądrze Linux wykryto podatność w obliczeniach dostępnego miejsca w buforze TCP (skb). Błąd konwersji typów powoduje, że zmienna 'copy' może przyjąć bardzo dużą dodatnią wartość, co prowadzi do przepełnienia licznika 'sk_forward_alloc' i potencjalnego wyczerpania pamięci.

W jądrze Linuxa w module vsock wykryto podatność TOCTOU (time-of-check time-of-use) przy przypisywaniu transportu. Przypisanie transportu mogło być wyścigowane z wyładowaniem modułu, prowadząc do użycia nieaktualnego wskaźnika.

W jądrze Linuxa w podsystemie ATM CLIP funkcja to_atmarpd() jest wywoływana bez blokady RTNL, co prowadzi do potencjalnej dereferencji wskaźnika NULL. Ochrona atmarpd przez RTNL jest niewystarczająca, ponieważ wywołania mogą pochodzić z kontekstów nieblokowalnych.

W jądrze Linuxa w podsystemie IPMI (msghandler) funkcja ipmi_create_user() używa iteratora listy "intf", który może być nieprawidłowym wskaźnikiem, jeśli nie znaleziono odpowiedniego intf->intf_num. Wywołanie atomic_dec(&intf->nr_users) na nieprawidłowym wskaźniku prowadzi do uszkodzenia pamięci.

W jądrze Linux wykryto podatność w KVM dla SVM, która pozwala na migrację stanu SEV{-ES} między hostami, gdy tworzenie vCPU jest w toku. Może to prowadzić do sytuacji, w której maszyna wirtualna SEV{-ES} zawiera vCPU nieobsługujący SEV{-ES}, co skutkuje awarią systemu przy próbie zwolnienia pamięci VMSA.

W jądrze Linuxa w podsystemie io_uring/msg_ring wykryto podatność polegającą na użyciu zwolnionej pamięci (use-after-free). Problem występuje, gdy operacja msg_ring dodaje zadanie do kolejki lokalnej, które zostało już zwolnione, co może prowadzić do awarii systemu lub potencjalnego wykorzystania przez atakującego.

W jądrze Linux wykryto podatność w podsystemie DRM/GEM, gdzie uchwyt GEM może zostać zwolniony, podczas gdy bufor GEM jest nadal przypisany do bufora ramki (framebuffer). Prowadzi to do zwolnienia dma-buf i awarii segmentacji przy próbie użycia bufora ramki w operacjach zmiany trybu wyświetlania.

W jądrze Linuxa w podsystemie mm/rmap logika wsadowego odmapowywania w try_to_unmap_one() może odczytywać dane poza tablicą PTE, gdy mapowania PTE dużego folio nie mieszczą się w całości w jednej tablicy stron. Może to prowadzić do odczytu poza zakresem.

W jądrze Linux w sterowniku zegara dla i.MX wykryto dostęp poza zakresem w funkcji dispmix_csr_clk_dev_data. Gdy liczba rodziców (num_parents) wynosi 4, funkcja __clk_register() odczytuje dane poza tablicą parent_names, co prowadzi do błędu KASAN.

W sterowniku mlx5e jądra Linux wykryto wyścig między wyłączeniem DIM (Dynamic Interrupt Moderation) a wywołaniem net_dim(). Jeśli NAPI sprawdzi bit stanu DIM i uzna go za aktywny, a następnie DIM zostanie wyłączony, wskaźnik do kontekstu DIM może być już NULL, co prowadzi do dereferencji NULL i paniki jądra.

W jądrze Linux dla architektury RISC-V z rozszerzeniem xtheadvector, zapis/odczyt kontekstu wektorowego jest nieprawidłowy – tylko rejestry v0-v7 są poprawnie obsługiwane, a v8-v31 są uszkadzane.

W jądrze Linux wycofano zmianę TASK_SIZE_MAX na LONG_MAX, która miała optymalizować funkcję access_ok(). Okazało się, że adresy pomiędzy TASK_SIZE a LONG_MAX, choć nie są prawidłowymi adresami użytkownika, są akceptowane przez get_user_pages_fast(), co prowadzi do problemów, np. w futex(). Poprawka przywraca domyślną wartość TASK_SIZE, kosztem wydajności.

W jądrze Linux wykryto błąd w kolejności zatrzymywania próbkowania perf podczas procesu do_exit(). Próby dostępu do przestrzeni użytkownika po jej zniszczeniu prowadziły do awarii. Poprawka zmienia kolejność, zatrzymując perf przed zniszczeniem mm, oraz wzmacnia PERF_SAMPLE_CALLCHAIN i PERF_SAMPLE_STACK_USER.

W sterowniku sieciowym lan743x dla urządzeń PCI1xxxx poprawiono rozmiary EEPROM i OTP. Maksymalny rozmiar OTP to 8 Kb, a EEPROM 64 Kb. Dostosowano definicje rozmiarów i zwracanie długości EEPROM w zależności od urządzenia, zapobiegając odczytowi/zapisowi poza zakresem.

W sterowniku amd-pmf (platform/x86/amd) zmieniono alokacje pamięci na zarządzane przez urządzenie, aby zapobiec podwójnemu zwolnieniu (double free) w przypadku niepowodzenia konfiguracji smart PC. Poprzednio dev->buf był zwalniany, ale nie zerowany, co prowadziło do ponownego zwolnienia w amd_pmf_remove().

W sterowniku NFC NCI UART w jądrze Linux występuje podatność polegająca na ustawianiu tty->disc_data przed pomyślnym otwarciem urządzenia NCI. Może to prowadzić do użycia nieprawidłowego wskaźnika, jeśli urządzenie zacznie wysyłać dane przed zakończeniem inicjalizacji.

W sterowniku virtio-net w jądrze Linux wykryto błąd w sprawdzaniu długości ramki w funkcji buf_to_xdp dla XSK (XDP Socket). Dla pierwszego bufora długość ramki była nieprawidłowo porównywana z wartością powiększoną o vi->hdr_len, co mogło prowadzić do przekroczenia rozmiaru alokowanego fragmentu.

W genirq/irq_sim (symulacja przerwań) naprawiono inicjalizację wskaźników kontekstu pracy. Użycie kmalloc() zamiast kzalloc() powodowało, że wskaźniki zawierały losowe dane, prowadząc do nieprawidłowego dereferencjonowania.

W nvmet (NVMe over Fabrics target) wykryto wyciek pamięci związany z integralnością bio (bi_integrity). Od wersji jądra, która wymaga wywołania bio_uninit po bio_init, nvmet nie wywoływał bio_uninit dla inline bios, co prowadziło do ciągłego wycieku pamięci (slab kmalloc-128).

W sterowniku mtk-sd (MediaTek SD/MMC) stwierdzono, że nieudane mapowanie DMA nie zatrzymuje operacji, co prowadzi do użycia poprzednich ustawień DMA i może skutkować uszkodzeniem pamięci. Poprawka zatrzymuje operację po niepowodzeniu msdc_prepare_data().

W podsystemie SCSI target (jądro Linux) naprawiono błąd dereferencji wskaźnika NULL w funkcji core_scsi3_decode_spec_i_port(). W ścieżce błędu, gdy dest_se_deve nie jest ustawiony, wywoływana jest core_scsi3_lunacl_undepend_item() z NULL, co prowadzi do paniki jądra.

W jądrze Linux w sterowniku spi-qpic-snand wykryto podatność polegającą na dostępie do pamięci poza przydzielonym zakresem. Problem wynika z nieprawidłowego alokowania struktur BAM transakcji przed poznaniem rzeczywistej liczby słów kodowych (codewords) układu NAND, co prowadzi do uszkodzenia pamięci, błędów mapowania swiotlb i paniki systemu.

W jądrze Linuxa dodano eksport funkcji anon_inode_make_secure_inode() oraz naprawiono obejście LSM w secretmem. Poprawka zapewnia prawidłowe ustawienie kontekstu bezpieczeństwa dla anonimowych i-węzłów używanych przez KVM guest_memfd. W secretmem usunięto flagę S_PRIVATE, która powodowała pomijanie kontroli LSM/SELinux.

W regulatorze GPIO w jądrze Linux stwierdzono dostęp poza zakresem do tablicy drvdata::gpiods. Alokowano pamięć tylko dla jednego wskaźnika, podczas gdy config::ngpios może być większe niż 1. Poprawka alokuje odpowiednią ilość pamięci.

W sterowniku NFSv4/pNFS jądra Linux wykryto wyścig dotyczący flagi NFS_LAYOUT_DRAIN. Zadania czekające na tę flagę w pnfs_update_layout() mogą nigdy się nie obudzić, mimo że licznik plh_outstanding wynosi zero, co prowadzi do zawieszenia systemu.

W ACPICA (ACPI Component Architecture) stwierdzono, że wywołanie metody z mniejszą liczbą argumentów niż oczekiwana prowadzi do use-after-free. Poprawka powoduje, że ACPICA odmawia wykonania metody, jeśli brakuje argumentów.

W systemie plików Btrfs podczas odtwarzania dziennika (log replay) występuje błąd w iteracji rozszerzonych referencji (extrefs). Niezainicjowane pole victim_name.len prowadzi do nieprawidłowego dostępu do pamięci i potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux w module CIFS/SMB wykryto błąd powodujący ostrzeżenie podczas ponownego łączenia kanału. Funkcja smb2_reconnect_server() przekazywała niezainicjalizowany tymczasowy tcon do smb2_reconnect(), co prowadziło do próby uruchomienia opóźnionego zadania na nieprawidłowym obiekcie.

W jądrze Linuxa w protokole ROSE wykryto dwa błędy w funkcji rose_rt_device_down() prowadzące do użycia po zwolnieniu (use-after-free). Błędy dotyczą nieprawidłowej iteracji tablicy sąsiadów, co może pozostawić wiszące wskaźniki.

W sterowniku virtio-net stwierdzono, że w funkcji xdp_linearize_page nie sprawdzano, czy odebrana długość nie przekracza rzeczywistego rozmiaru alokacji, co może prowadzić do odczytu poza zakresem. Poprawka dodaje brakujące sprawdzenie.

W jądrze Linux w sterowniku RDMA/mlx5 wykryto niebezpieczny dostęp do tablicy xarray w obsłudze niejawnego ODP (On-Demand Paging). Funkcje __xa_store() i __xa_erase() były wywoływane bez odpowiedniego blokowania, co powodowało ostrzeżenie lockdep o podejrzanym użyciu RCU.

W jądrze Linux dla architektury LoongArch w KVM, zmienna index jest modyfikowana i ponownie używana jako indeks tablicy przy modyfikacji rejestru EIOINTC_ENABLE, co może prowadzić do przepełnienia indeksu tablicy.

W jądrze Linux w architekturze LoongArch w module KVM brakuje walidacji liczby CPU przekazywanej z przestrzeni użytkownika. Może to prowadzić do przepełnienia wskaźnika tablicy.

W jądrze Linux wykryto podatność w systemie plików FUSE, która powoduje ostrzeżenie runtime podczas operacji truncate_folio_batch_exceptionals. Problem wynika z braku usunięcia wszystkich wpisów DAX przed odmontowaniem systemu plików, co zostało już naprawione dla XFS i ext4.

W jądrze Linuxa wykryto podatność w mechanizmie kolejkowania sieciowego (net/sched). Podczas operacji enqueue może dojść do nieoczekiwanego opróżnienia podrzędnej kolejki, co prowadzi do wywołania qlen_notify() i potencjalnego użycia po zwolnieniu (use-after-free) z powodu ponownej aktywacji klasy. Łatka rozwiązuje problem poprzez zapewnienie, że qdisc_tree_reduce_backlog zawsze powiadamia rodzica, gdy podrzędna klasa staje się pusta.

W jądrze Linuxa w mechanizmie eventpoll (epoll) wykryto podatność polegającą na zmniejszaniu licznika referencji struktury 'ep' przed zwolnieniem mutexu. Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy inny wątek jednocześnie zmniejszy swój licznik referencji i zwolni pamięć, podczas gdy pierwszy wątek wciąż operuje na mutexie.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w mechanizmie ftrace. Gdy moduł jądra wywoła błąd powodujący wyłączenie ftrace (ftrace_disable), a następnie zostanie usunięty, wpis w liście modułów ftrace pozostaje, ale pamięć modułu jest już zwolniona. Odczyt pliku /proc/kallsyms po takim zdarzeniu prowadzi do dostępu do zwolnionej pamięci i awarii systemu.

W sterowniku WiFi mt76 (mt7996) w jądrze Linux brakuje odrzucania fragmentów ramek z adresem multicast lub broadcast. Zgodnie ze standardem IEEE 802.11 fragmentacja dotyczy tylko ramek unicast.

W jądrze Linuxa węźle oprogramowania (software node) wykryto błąd sprawdzania granic (OOB) w funkcji software_node_get_reference_args(). Nieprawidłowe sprawdzenie może prowadzić do odczytu poza zakresem dla złośliwie spreparowanych właściwości.