Podatności Linux kernel

W jądrze Linux dla architektury LoongArch wykryto podatność powodującą ostrzeżenie runtime podczas wyświetlania /proc/cpuinfo, gdy włączone są opcje CONFIG_CPUMASK_OFFSTACK i CONFIG_DEBUG_PER_CPU_MAPS. Problem wynika z użycia stałej NR_CPUS zamiast zmiennej nr_cpu_ids do iteracji po CPU, co prowadzi do wywołania funkcji cpu_max_bits_warn(). Poprawka polega na użyciu nr_cpu_ids jako limitu runtime.

W jądrze Linux dla architektury ARM64 funkcja emulation_proc_handler() mogła być wywoływana współbieżnie, co prowadziło do wyłuskania wskaźnika NULL i awarii (Oops). Poprawka zmienia sposób przechowywania danych i dodaje mutex.

W jądrze Linux w sterowniku USB cdns3 występuje problem z nieprawidłowymi flagami GFP podczas alokacji pamięci, co powoduje ostrzeżenia przy ładowaniu sterownika. Flaga GFP_DMA32 jest niepotrzebna i może być bezpiecznie usunięta.

W jądrze Linuxa występuje podatność w sterowniku RDMA/siw, która powoduje zduplikowane zgłaszanie zdarzenia IW_CM_EVENT_CONNECT_REPLY. Gdy funkcja siw_recv_mpa_rr zwraca -EAGAIN, oznacza to, że odpowiedź MPA nie została w pełni odebrana i nie powinna być zgłaszana. Może to wywołać błąd jądra w iw_cm. Poprawka zapobiega zgłaszaniu zdarzenia w takim przypadku.

W jądrze Linux wykryto wyciek licznika referencji w funkcji p9_read_work() w podsystemie 9p. Gdy pole rc.sdata w strukturze żądania jest puste, brakuje wywołania p9_req_put, co prowadzi do tymczasowego wycieku referencji.

W jądrze Linuxa w sterowniku SCSI qla2xxx występuje błąd prowadzący do awarii spowodowanej dostępem do nieaktualnego SRB (SCSI Request Block) podczas przekroczenia limitu czasu I/O. Problem może powodować naruszenie ochrony pamięci i awarię systemu. Poprawka zapewnia zwrócenie SRB podczas eskalacji błędu limitu czasu lub niepowodzenie tej ścieżki.

W jądrze Linuxa w systemie plików Ceph występuje problem wycieku semafora snap_rwsem w funkcji handle_cap_grant. Gdy funkcja jest wywoływana dla operacji IMPORT, semafor jest trzymany i powinien być zwolniony przed powrotem, ale nie jest, co może prowadzić do zakleszczenia.

W jądrze Linux w sterowniku USB cdns3 występuje podatność use-after-free w funkcji cdns3_wa2_remove_old_request(). Po zwolnieniu pamięci przez cdns3_gadget_ep_free_request(), nadal używana jest lista priv_req, co prowadzi do odczytu po zwolnieniu.

W jądrze Linux w sterowniku habanalabs dla układów Gaudi występuje podatność na przesunięcie poza zakres (shift out of bounds) podczas walidacji kolejek NIC. Obliczanie offsetu kolejki powinno być wykonywane tylko dla kolejek NIC.

W jądrze Linux w podsystemie ASoC SOF dla platform Intel CNL istnieje możliwość przetworzenia odpowiedzi IPC przed inicjalizacją firmware'u, co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux w podsystemie ASoC SOF dla platform Intel HDA IPC istnieje możliwość przetworzenia odpowiedzi IPC przed inicjalizacją firmware'u, co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux w systemie plików f2fs funkcja f2fs_new_node_page() mogła wywołać BUG_ON z powodu niespójności między wpisem NAT a bitmapą NAT. Poprawka usuwa użycie f2fs_bug_on() i dodaje odpowiednie sprawdzenia.

W jądrze Linux w systemie plików F2FS występuje podatność polegająca na odwołaniu do pustego wskaźnika (null-ptr-deref) w funkcji f2fs_get_dnode_of_data. Problem pojawia się podczas operacji zapisu atomowego, gdy nowo utworzony plik cow_inode nie ma prawidłowo ustawionego wskaźnika cow_inode, co prowadzi do awarii systemu.

W jądrze Linux w sterowniku udmabuf nie ustawiono jawnie maski DMA dla urządzenia. Powoduje to ostrzeżenie i potencjalne problemy, gdy przestrzeń użytkownika uzyskuje dostęp do bufora dma-buf przez CPU. Poprawka ustawia maskę DMA oraz dodaje obsługę błędu przy jej konfiguracji.

W jądrze Linux w sterowniku HID dla konsoli Nintendo występuje podatność na dereferencję wskaźnika null. Podczas odłączania urządzenia kolejka pracy (workqueue) jest niszczona, a następnie może być używana do planowania pracy wibracji, co prowadzi do błędu.

W jądrze Linux w podsystemie DRM dla wyświetlaczy AMD występuje problem z bitem underflow w optc, który nie jest czyszczony po wyłączeniu zegara ODM. Poprawka polega na wyczyszczeniu tego bitu przed wyłączeniem zegara.

W jądrze Linux w sterowniku DRM/AMD Power Management dla układu Sienna Cichlid brakuje interfejsu fini_microcode, co może prowadzić do wycieku pamięci.

W jądrze Linux, w sterowniku GPIO virtuser, brakuje sprawdzenia rozmiaru danych wejściowych przed zapisem do bufora. Funkcja simple_write_to_buffer obcina dane, ale nie sprawdza, czy rozmiar wejściowy nie przekracza rozmiaru bufora, co może prowadzić do zapisu poza zakresem.

W sterowniku graficznym AMD (drm/amd/display) jądra Linux tablica block_sequence była zbyt mała (50 elementów) dla konfiguracji z 6 potokami w jednym łańcuchu MPC, co prowadziło do przepełnienia bufora i awarii.

W jądrze Linux w implementacji algorytmu kryptograficznego algif_hash występuje podwójne zwolnienie pamięci w funkcji hash_accept. Gdy wywołanie accept(2) na gnieździe typu algif_hash z flagą MSG_MORE zakończy się niepowodzeniem w crypto_ahash_import, struktura sk2 jest zwalniana dwukrotnie – raz w tej funkcji i ponownie w af_alg_release, co prowadzi do błędu użycia po zwolnieniu (use-after-free).

W warstwie PCM OSS jądra Linux wywołanie snd_pcm_format_set_silence() z runtime->dma_area może prowadzić do use-after-free (UAF), ponieważ dma_area może być zwolniona współbieżnie poza blokadą dostępu do bufora.

W jądrze Linux w sterowniku vhost-scsi brakuje synchronizacji dostępu do vq->log_used za pomocą vq->mutex. Ścieżka zakończenia komend może odczytywać vq->log_base po tym, jak QEMU ustawi vq->log_used na false i zwolni pamięć vq->log_base, co prowadzi do zapisu do nieprawidłowej pamięci użytkownika QEMU.

W jądrze Linux, w implementacji kompresji LZO, brakuje sprawdzenia przepełnienia bufora wyjściowego. Funkcja kompresji zakłada, że caller zawsze dostarcza wystarczającą ilość miejsca, ignorując podany rozmiar bufora. Łatka dodaje bezpieczny interfejs kompresji, który sprawdza koniec bufora przed każdym zapisem.

W jądrze Linuxa, podczas wyłączania systemu (shutdown) lub kexec, urządzenia virtio nie są zatrzymywane ani resetowane. Może to prowadzić do zawieszenia systemu, ponieważ urządzenia (np. virtio-console) nadal zapisują do MMIO po resecie magistrali PCI, a IOMMU są resetowane przed urządzeniami.

W jądrze Linux wykryto podatność w mechanizmie MSI (Message Signaled Interrupts) związaną z przechowywaniem wskaźnika do cookie IOMMU w deskryptorze MSI. Brak odpowiedniego blokowania w warstwie przerwań umożliwia wyścig (race condition) między zmianą domeny IOMMU a kompozycją wiadomości MSI, co może prowadzić do użycia po zwolnieniu (UAF).

W jądrze Linuxa w podsystemie BPF wykryto podatność polegającą na niekopiowaniu pola 'loop_entry' podczas kopiowania stanu weryfikatora (copy_verifier_state). Powoduje to, że wartości 'loop_entry' z niepowiązanych stanów mogą zanieczyścić 'cur_state', a stany na stosie weryfikatora mogą zawierać nieprawidłowe wskaźniki. W efekcie weryfikator może zaakceptować programy BPF, które nie są bezpieczne.

W jądrze Linux w funkcji __legitimize_mnt() wykryto błąd wyścigu związany z flagą MNT_SYNC_UMOUNT. Sprawdzenie tej flagi odbywa się poza blokadą mount_lock, co może pozwolić na kradzież końcowego mntput z synchronizowanego odmontowania, prowadząc do nieprawidłowego zarządzania referencjami.

W jądrze Linux wykryto podatność use-after-free w funkcji tipc_aead_encrypt_done w module TIPC. Problem występuje, gdy po usunięciu przestrzeni nazw sieciowych (namespace) cryptd_queue_worker nadal odwiedza już zwolnioną strukturę tipc_crypto tx. Błąd może prowadzić do odczytu z zaalokowanego wcześniej obszaru pamięci.

W jądrze Linux wykryto błąd use-after-free w funkcji cifs_fill_dirent modułu CIFS. Podczas współbieżnego odczytu katalogu może dojść do dostępu do bufora odpowiedzi po jego zwolnieniu, co prowadzi do naruszenia pamięci.

W jądrze Linux w podsystemie NVMe over TCP (nvmet-tcp) występuje błąd polegający na próbie przywrócenia wskaźnika sk_state_change, który może być NULL, gdy połączenie TCP nie zostało jeszcze nawiązane. Prowadzi to do dereferencji wskaźnika NULL i awarii systemu (kernel panic).

W jądrze Linux wykryto błąd wyścigu w funkcji nfs_local_open_fh(). Po zwolnieniu blokady clp->cl_uuid.lock inny procesor może zwolnić strukturę nfsd_file, która została właśnie dodana.

W jądrze Linux w sterowniku RDMA/rxe występuje błąd użycia po zwolnieniu (use-after-free) w funkcji rxe_queue_cleanup. Podczas tworzenia kolejki CQ (rxe_create_cq), gdy rxe_cq_from_init zawiedzie, wywoływana jest rxe_cleanup, która ponownie zwalnia już wcześniej zwolnione zasoby pamięci, powodując błąd.

W jądrze Linuxa wykryto podatność use-after-free w funkcji ib_register_device. Problem występuje, gdy funkcja ib_device_rename() zmienia nazwę urządzenia pod blokadą, ale w tym samym czasie funkcja kobject_uevent() odczytuje tę nazwę bez blokady, co prowadzi do wyścigu i dostępu do zwolnionej pamięci.

W jądrze Linux w podsystemie TLS wykryto błąd powodujący panikę jądra przy nieudanej alokacji strony. Gdy funkcja alloc_page zawiedzie, wskaźnik frag_list jest ustawiany na NULL, co przy kolejnym wywołaniu tls_strp_read_sock prowadzi do dereferencji pustego wskaźnika.

W jądrze Linuxa wykryto podatność w implementacji HID-BPF, która powoduje dostęp do wyczyszczonej struktury SRCU po odłączeniu urządzenia HID. Problem występuje, gdy urządzenie ma diody LED, a sterownik nie implementuje funkcji request(), co prowadzi do wywołania funkcji dispatch_hid_bpf_output_report() lub dispatch_hid_bpf_raw_requests() po zniszczeniu urządzenia.

W jądrze Linux w schedulerze sched_ext wykryto błąd w funkcji bpf_iter_scx_dsq_new(). Gdy zwraca ona błąd, iterator nie jest inicjalizowany, co przy wywołaniu next() lub destroy() prowadzi do dereferencji śmieciowych danych.

W jądrze Linux w sterowniku DMA TI k3-udma brakowało synchronizacji dostępu do współdzielonych struktur danych, co powodowało ostrzeżenia o braku blokady przy włączonym validatorze blokad. Problem został rozwiązany przez dodanie brakującego blokowania.

W menedżerze transmisji CAN (BCM) jądra Linux wykryto brak synchronizacji przy aktualizacjach w czasie rzeczywistym. Licznik currframe i zmienna count mogły być modyfikowane jednocześnie z przestrzeni użytkownika i z kontekstu timera, co prowadziło do odczytu poza zakresem bufora.

W jądrze Linux, w podsystemie CAN (Broadcast Manager), generowanie zawartości procfs dla bcm_op, który jest w trakcie usuwania, może pokazywać niewiarygodne dane (use-after-free). Brakuje ochrony RCU podczas odczytu listy.

W jądrze Linux w podsystemie io_uring brakowało blokady uring_lock podczas wywoływania io_uring_show_fdinfo(). Funkcja ta odczytuje pola SQE, co może prowadzić do problemów, gdy pierścień jest jednocześnie zmieniany (resize). Poprawka dodaje próbę przejęcia blokady i zwraca pusty wynik w przypadku niepowodzenia.

W jądrze Linux wykryto podatność w schedulerze sieciowym HFSC, która umożliwia ponowne dodanie klasy do drzewa eltree pomimo wcześniejszej łatki. Problem wynika z niewystarczającego sprawdzenia flagi HFSC_RSC, co może prowadzić do nieskończonej pętli w hfsc_dequeue lub użycia po zwolnieniu (UAF) przy odpowiedniej konfiguracji TBF.

W jądrze Linux w dyscyplinie kolejkowania HFSC (sch_hfsc) występuje błąd w księgowaniu długości kolejki (qlen) podczas enqueowania pierwszego pakietu do klasy. Funkcja hfsc_enqueue() wywołuje operację peek() dziecka przed zwiększeniem qlen i backlog, co przy użyciu qdisc_peek_dequeued() może prowadzić do natychmiastowego dequeu i dropu, powodując niespójność i potencjalne użycie po zwolnieniu.

W jądrze Linux w module openvswitch wykryto niebezpieczne ręczne parsowanie atrybutów Netlink w funkcji output_userspace(). Zastąpiono je bezpieczną iteracją nla_for_each_nested(), która gwarantuje przetwarzanie tylko poprawnie sformowanych atrybutów.

W jądrze Linuxa w module netfilter/ipset wykryto błąd w makrach obsługujących blokady regionów dla typów hash. Nieprawidłowe działanie makra ahash_region() może prowadzić do wyścigu między garbage collectorem a dodawaniem nowych elementów, gdy zestaw ma zdefiniowany timeout.

W jądrze Linuxa w KVM dla ARM64 wykryto błąd polegający na użyciu niezainicjalizowanego wskaźnika memcache w funkcji user_mem_abort(). Może to prowadzić do awarii na ścieżkach wymagających alokacji w stage-2 bez przejścia przez permission fault lub dirty logging.

W jądrze Linux wykryto podatność w funkcji do_move_mount() dotyczącą obsługi flagi MNT_TREE_BENEATH. Problem wynika z wyścigu (race condition) podczas blokowania punktu montowania, gdzie wskaźnik do rodzica (mnt_parent) może zostać zmieniony bez odpowiedniego blokowania, co prowadzi do niestabilności systemu plików.

W implementacji ECDSA (crypto/ecdsa) jądra Linux makro DIV_ROUND_UP() mogło powodować przepełnienie liczb całkowitych, gdy funkcja ->key_size() zwracała nietypowo dużą wartość. Dodano nowe makro DIV_ROUND_UP_POW2() oraz zastosowano je w kluczowych miejscach.

W jądrze Linux wykryto wyciek zasobów w funkcji blk_register_queue() podczas obsługi błędów rejestracji kolejki. Jeśli rejestracja zakończy się sukcesem dla blk_mq_sysfs_register(), ale późniejszy błąd wystąpi, brakuje wywołania czyszczącego blk_mq_sysfs_unregister(), co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku ASoC dla Qualcomm sc7280 występuje potencjalne przepełnienie bufora. Wprowadzone w commit 5f78e1fb7a3e wartości case powodują dostęp poza zakres tablic w danych sterownika sc7280 (np. w przypadku RX_CODEC_DMA_RX_0 w sc7280_snd_hw_params()).

W jądrze Linux w sterowniku UFS Exynos brak sprawdzenia właściwości dma-coherent powoduje niekompatybilną konfigurację. Deskryptory stają się niebuforowane, a bity współdzielenia IOCC pozostają włączone, co prowadzi do losowych problemów ze stabilnością pamięci podręcznej.