Podatności Linux kernel

W jądrze Linux w dyscyplinie kolejkowania SFQ (Stochastic Fairness Queueing) wykryto brak walidacji okresu perturbacji (perturb_period). Brak zakresu sprawdzenia może prowadzić do przepełnienia licznika (overflow) przy mnożeniu przez HZ oraz umożliwiać wyścig (race condition).

W jądrze Linux stwierdzono podatność, w której program BPF wykonujący translację NAT46 (IPv4 na IPv6) może doprowadzić do dereferencji pustego wskaźnika i awarii systemu. Problem występuje, gdy po zmianie protokołu skb (z IPv4 na IPv6) nie jest czyszczona struktura dst, która nadal zawiera dane IPv4.

W jądrze Linuxa, w ksmbd, występuje błąd dereferencji wskaźnika null w funkcji destroy_previous_session. Jeśli klient ustawi PreviousSessionId podczas etapu konfiguracji sesji Kerberos, może wystąpić błąd, ponieważ sess->user nie jest jeszcze ustawiony. Łatka przenosi wywołanie destroy_previous_session() po ksmbd_krb5_authenticate(), gdzie sess->user jest ustawiany.

W jądrze Linux w sterowniku v3d (dla układów graficznych VideoCore) wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji `v3d_job_update_stats()`. Problem występuje, gdy deskryptor pliku zostanie zamknięty przed zakończeniem zadań GPU, co prowadzi do próby aktualizacji statystyk dla już zwolnionej struktury `v3d_file_priv`, powodując panikę jądra.

W sterowniku graficznym nouveau w jądrze Linux wykryto błąd use-after-free w funkcji r535_gsp_rpc_push(). Kontener RPC jest zwalniany przedwcześnie podczas wysyłania dużych żądań, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w module TIPC wykryto podatność null-ptr-deref podczas pobierania zdalnego adresu IP dla nośnika Ethernet. Gdy identyfikator nośnika (bid) jest niezerowy, a licznik pominięć (skip_cnt) niezerowy, dostęp do tablicy bearer_list[bid] może zwrócić NULL lub wskaźnik do innego nośnika, jeśli inny wątek go zmienił.

W jądrze Linux wykryto podatność w mechanizmie CALIPSO, prowadzącą do dereferencji pustego wskaźnika (null-ptr-deref) podczas alokacji opcji CALIPSO. Problem występuje, gdy struktura gniazda (sock) jest pusta z powodu braku ustawienia rsk_listener w przypadku użycia SYN Cookie.

W jądrze Linux wykryto podatność w kliencie CIFS/SMB, polegającą na przepełnieniu bufora w funkcji smb_extract_folioq_to_rdma(). Błąd powoduje zapis poza dozwolonym obszarem pamięci (slab-out-of-bounds) podczas przetwarzania żądań RDMA, co może prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W harmonogramie sieciowym HFSC w jądrze Linux funkcja hfsc_qlen_notify() nie jest idempotentna, co może powodować problemy przy wywołaniach z fq_codel_dequeue(). Poprawka dodaje sprawdzenia, aby funkcja była bezpieczna przy wielokrotnym wywołaniu.

W jądrze Linux wykryto podatność use-after-free w funkcji binderfs_evict_inode() systemu plików binderfs. Błąd wynika z braku odpowiedniej synchronizacji przy współbieżnym usuwaniu wpisów z listy 'binder_devices', co może prowadzić do uszkodzenia pamięci.

W jądrze Linux w podsystemie binder wykryto kolejny błąd use-after-free. Funkcja binder_free_proc() nie usuwa urządzenia z listy binder_devices przed zwolnieniem pamięci, co prowadzi do odwołania do już zwolnionej pamięci.

W sterowniku Thunderbolt w jądrze Linux wykryto błąd podwójnego usuwania z kolejki żądań konfiguracji. Funkcja tb_cfg_request_work() może być zaplanowana dwukrotnie, co prowadzi do podwójnego wywołania list_del() i awarii systemu.

W systemie plików EROFS w jądrze Linux wykryto błąd use-after-free przy używaniu wielu urządzeń różnych typów. Gdy główne urządzenie jest blokowe, a dodatkowe jest plikowe, funkcja erofs_init_device zwraca ENOTBLK, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux na architekturze ARM64 z włączonym SME, stan FPSIMD jądra może zostać przypadkowo nadpisany podczas przełączania kontekstu. Gdy CPU jest w trybie streaming SVE, przywrócenie stanu FPSIMD jądra przed wyjściem z tego trybu (SMSTOP) powoduje reset rejestrów i utratę danych.

W jądrze Linuxa, w sterowniku arm-ni, brak wyrejestrowania PMU (Performance Monitoring Unit) po nieudanej próbie inicjalizacji może prowadzić do uszkodzenia listy i paniki jądra. Gdy alokacja zasobów w jednej domenie zegara zawiedzie, wcześniej zarejestrowane PMU w innych domenach nie są poprawnie wycofywane.

W jądrze Linux wykryto błąd w mechanizmie BPF i sockmap prowadzący do paniki jądra podczas korzystania z kTLS. Problem występuje, gdy program BPF zwiększa rozmiar danych w msg_pl->sg, a następnie próbuje wycofać zmiany w msg_iter, co powoduje przekroczenie rzeczywistego rozmiaru iteratora i wywołanie BUG.

W jądrze Linux wykryto błąd w mechanizmie BPF sockmap, który powoduje panikę jądra podczas wywoływania funkcji skb_linearize. Problem pojawia się, gdy duży pakiet (powyżej 100KB) jest przetwarzany przez moduł strparser, a wcześniejsze dodanie skb_get() w celu uniknięcia wyścigów doprowadziło do naruszenia asercji BUG_ON(skb_shared(skb)).

W jądrze Linux w systemie plików F2FS wykryto niespójność między tablicami SIT i SSA podczas migracji bloków w otwartej sekcji. Problem występuje, gdy operacja fallocate na przypiętym pliku powoduje, że dane bloku SSA nie są aktualne, ponieważ ostatnie podsumowanie bloku znajduje się w pamięci podręcznej curseg.

W jądrze Linuxa w module netfilter wykryto podatność na przepełnienie liczb całkowitych podczas alokacji tablicy przeglądowej w zestawie pipapo. Brak odpowiedniego sprawdzenia mnożenia może prowadzić do przepełnienia, co potencjalnie umożliwia eskalację uprawnień lub awarię systemu.

W jądrze Linux w sterowniku RDMA/mlx5 wykryto błąd w obsłudze błędów podczas niszczenia kolejki RQ. Gdy polecenie firmware'u zawiedzie, niektóre zasoby programowe są już czyszczone, co prowadzi do wycieku pamięci i potencjalnego use-after-free. Poprawka przywraca obiekt do pierwotnego stanu w przypadku niepowodzenia.

W jądrze Linux wykryto podatność w mechanizmie BPF sockmap, gdzie funkcja skb_send_sock() w wątku backlogu może użyć wskaźnika sk_socket po jego zwolnieniu. Problem wynika z wyścigu między zamykaniem gniazda a wysyłaniem danych, co prowadzi do paniki jądra.

W jądrze Linux w podsystemie af_packet wykryto błąd powodujący wywołanie funkcji usypiającej (mutex) w sekcji krytycznej RCU. Problem pojawia się podczas wywołania PACKET_ADD_MEMBERSHIP na urządzeniu z blokadą ops-locked, co może uruchomić notyfikator NETDEV_UNREGISTER wymagający wyłączenia trybu promiscuous lub allmulti, a te operacje wymagają blokady netdev instance lock.

W jądrze Linux wykryto podatność w funkcji dm_blk_report_zones menedżera urządzeń (device mapper). Problem wynika z braku wywołania dm_put_live_table() gdy dm_get_live_table() zwraca NULL, niestabilnego odczytu wskaźnika md->zone_revalidate_map oraz potencjalnego use-after-free podczas współbieżnego dostępu do zasobów emulacji stref. Luka umożliwia nieprawidłowe zarządzanie pamięcią i może prowadzić do awarii systemu.

W jądrze Linux w sterowniku IIO ADC ad4851 wykryto błąd w obsłudze wskaźnika kanałów dla układu ad4858. Wskaźnik zwracany przez ad4851_parse_channels_common() był inkrementowany wewnętrznie, a następnie ponownie inkrementowany w ad4858_parse_channels(), co powodowało ustawienie indio_dev->channels na wskaźnik poza przydzieloną tablicą.

W jądrze Linux w sterowniku ice wykryto błąd w obsłudze błędów harmonogramu Tx podczas wywołania zwrotnego XDP. Nieprawidłowe wycofywanie zmian po nieudanej konfiguracji kolejki prowadziło do awarii systemu (general protection fault).

W jądrze Linux w sterowniku stmmac wykryto podatność polegającą na braku walidacji wartości ptp_rate przed użyciem jej w konfiguracji EST. Jeśli ptp_rate wynosi 0, dochodzi do dzielenia przez zero, co może spowodować awarię systemu.

W jądrze Linux wykryto podatność w obsłudze segmentacji UDP GSO dla pakietów z listą frag_list. Modyfikacje pakietów przez NAT lub BPF mogą naruszać założenia dotyczące geometrii frag_list, prowadząc do błędu jądra (kernel BUG) w funkcji skb_segment. Łatka rozwiązuje problem poprzez linearyzację pakietów niespełniających podstawowych niezmienników.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w stosie Bluetooth podczas operacji usuwania monitora reklam (MGMT_OP_REMOVE_ADV_MONITOR). Błąd wynika z nieprawidłowego użycia funkcji mgmt_pending_add, co prowadzi do odwołania do już zwolnionej pamięci.

W jądrze Linux wykryto podatność w stosie Bluetooth, gdzie lista oczekujących poleceń MGMT nie była odpowiednio chroniona przed równoczesnym dostępem. Brak własnej blokady (mutex) prowadził do użycia pamięci po jej zwolnieniu (use-after-free), co mogło skutkować awarią systemu.

W sterowniku WiFi ath12k w jądrze Linux występuje podatność use-after-free (UAF) podczas inicjalizacji. Jeśli funkcje ath12k_core_hw_group_assign() lub ath12k_core_hw_group_create() zakończą się niepowodzeniem, zarejestrowany łańcuch notyfikacji nie jest prawidłowo wyrejestrowany, a jego pamięć jest zwalniana po rmmod. Późniejszy dostęp do tego łańcucha może prowadzić do UAF.

W dyscyplinie kolejkowania SFQ (Stochastic Fairness Queueing) w jądrze Linux występuje podatność na awarię (crash) związaną z obsługą gso_skb. Po dodaniu pakietów do gso_skb, sch->q.len może być zawyżone, co powoduje natychmiastowe odrzucenie pakietu mimo pustej kolejki, prowadząc do nieprawidłowego stanu wskaźnika q->tail.

W podsystemie mdiobus w jądrze Linux występuje podatność na odczyt/zapis poza dozwolonym zakresem w tablicy statystyk. Funkcja ioctl nie weryfikuje adresu MDIO, co pozwala na przekazanie wartości większej niż PHY_MAX_ADDR (32), prowadząc do dostępu poza tablicą.

W jądrze Linux, w sterowniku mdiobus, brakuje walidacji adresu MDIO podczas operacji odczytu/zapisu w trybie Clause 45. Narzędzia takie jak 'mdio-tools' mogą przekazać adres większy niż PHY_MAX_ADDR (32), co prowadzi do odczytu/zapisu poza zakresem tablicy statystyk.

W harmonogramie sieciowym RED w jądrze Linux wykryto błąd wyścigu w funkcji __red_change(). Gdy timer perturb SFQ uruchomi się w nieodpowiednim momencie, może dojść do sytuacji wyścigu między operacjami flush i rehash, co prowadzi do niedomiaru kolejki rodzica (qlen).

W harmonogramie sieciowym ETS w jądrze Linux wykryto błąd wyścigu w funkcji ets_qdisc_change(). Gdy timer perturb SFQ uruchomi się w nieodpowiednim momencie, może dojść do sytuacji wyścigu między operacjami flush i rehash, co prowadzi do niedomiaru kolejki rodzica (qlen).

W jądrze Linux wykryto podatność use-after-free w funkcji __io_uring_show_fdinfo() dla mechanizmu io_uring. Problem polega na tym, że struktura zadania (task_struct) wskazywana przez sq->thread może zostać zwolniona podczas jej odczytu, ponieważ blokada ctx->uring_lock nie chroni przed zwolnieniem lub zakończeniem wątku.

W jądrze Linux wykryto błąd wyścigu w sterowniku VMCI między funkcjami vmci_host_setup_notify a vmci_ctx_unset_notify. Podczas operacji get_user_pages_fast może dojść do przedwczesnego zwolnienia strony przez put_page, co prowadzi do ostrzeżenia w try_grab_folio.

W ring-buffer w jądrze Linux stwierdzono problem z blokowaniem w funkcji ring_buffer_subbuf_order_set(). Rozszerzono sekcję krytyczną, aby obsługa błędów odbywała się z trzymanym mutexem, zapobiegając uszkodzeniu list i problemom współbieżności.

W sterowniku graficznym AMD w jądrze Linux, funkcja create_validate_stream_for_sink nieprawidłowo traktuje złącze writeback (wb_connector) jako fizyczne złącze amdgpu_dm_connector. Próba operacji na wb_connector jako na amdgpu_dm_connector może prowadzić do nieokreślonych błędów.

W jądrze Linux, w mechanizmie ESPINTCP, buforowanie gniazda enkapsulacji (encap_sk) może prowadzić do wycieku referencji. Gdy stan xfrm jest usuwany przed usunięciem przestrzeni nazw sieciowych (netns), referencja na gniazdo jest poprawnie zwalniana. Jednak jeśli netns jest usuwane jako pierwsze, stan xfrm nie może zostać usunięty, co powoduje wyciek referencji na gniazdo i uniemożliwia usunięcie netns.

W jądrze Linux w podsystemie dma-buf wykryto brak bariery pamięciowej przed aktualizacją licznika num_fences. Użycie smp_store_mb() powoduje wstawienie bariery po operacji zapisu, a nie przed nią, co może prowadzić do dereferencji wskaźnika null w przypadku przetasowania operacji pamięci.

W jądrze Linuxa, w module ksmbd (implementacja serwera SMB), funkcja opinfo_get_list() używa makra list_first_entry(), które nie sprawdza, czy lista jest pusta. W przypadku pustej listy zwracany jest nieprawidłowy wskaźnik, co może prowadzić do błędów.

W sterowniku RapidIO (rio_cm.c) jądra Linux wykryto podatność umożliwiającą zapis poza zaalokowanym buforem. Funkcja riocm_ch_send() nie sprawdzała, czy dane przesłane z przestrzeni użytkownika są wystarczające, co pozwalało na nadpisanie pól struktury rio_ch_chan_hdr poza granicami pamięci.

W harmonogramie sieciowym taprio (net/sched) jądra Linux występuje podatność use-after-free. Funkcja taprio_dev_notifier() nie była chroniona sekcją krytyczną RCU, co umożliwiało wyścig z funkcją advance_sched() i dostęp do już zwolnionej pamięci.

W jądrze Linux wykryto błąd wyścigu między huge_pmd_unshare() a GUP-fast. Funkcja huge_pmd_unshare() może usunąć współdzieloną tablicę stron, co w trakcie działania gup_fast() może spowodować przeglądanie tablic stron innego procesu. Poprawka dodaje jawny broadcast IPI.

W jądrze Linux, w mechanizmie hugetlb, oddzielanie tablic stron (VMA split) wyzwala usuwanie współdzielenia (unsharing) zbyt wcześnie, przed zablokowaniem VMA i rmap. Pozwala to na wyścigi z błędami stron i operacjami rmap, które mogą ponownie współdzielić tablice stron przed faktycznym podziałem. Łatka przenosi wywołanie unshare do momentu, gdy VMA i rmap są już zablokowane.

W jądrze Linux wykryto błąd wyścigu w dyscyplinie kolejkowania PRIO (net_sched). Wyścig między qdisc_tree_flush_backlog() a qdisc_tree_reduce_backlog() może prowadzić do niedomiaru licznika pakietów (qlen). Poprawka zastępuje qdisc_tree_flush_backlog() przez qdisc_purge_queue().

W jądrze Linux dla architektury LoongArch wykryto podatność powodującą ostrzeżenie runtime podczas wyświetlania /proc/cpuinfo, gdy włączone są opcje CONFIG_CPUMASK_OFFSTACK i CONFIG_DEBUG_PER_CPU_MAPS. Problem wynika z użycia stałej NR_CPUS zamiast zmiennej nr_cpu_ids do iteracji po CPU, co prowadzi do wywołania funkcji cpu_max_bits_warn(). Poprawka polega na użyciu nr_cpu_ids jako limitu runtime.

W jądrze Linux dla architektury ARM64 funkcja emulation_proc_handler() mogła być wywoływana współbieżnie, co prowadziło do wyłuskania wskaźnika NULL i awarii (Oops). Poprawka zmienia sposób przechowywania danych i dodaje mutex.

W jądrze Linux w sterowniku USB cdns3 występuje problem z nieprawidłowymi flagami GFP podczas alokacji pamięci, co powoduje ostrzeżenia przy ładowaniu sterownika. Flaga GFP_DMA32 jest niepotrzebna i może być bezpiecznie usunięta.