Podatności Linux kernel

W jądrze Linux w module net/sched: sch_teql występuje podatność use-after-free. Funkcja teql_master_xmit() błędnie interpretuje kod zwrotny NET_XMIT_DROP jako niezużyty pakiet i wykonuje na nim operacje po zwolnieniu pamięci. Problem dotyczy konfiguracji z interfejsem VLAN i qdisc pfifo z limitem 0.

W jądrze Linux naprawiono lukę w mechanizmie tun/tap, która pozwalała procesom bez uprawnień CAP_NET_ADMIN dołączać się do trwałych urządzeń tun, które nie miały ustawionego właściciela ani grupy. Wystarczał dostęp do węzła /dev/net/tun, aby przechwycić lub wstrzykiwać ruch sieciowy. Poprawka wymaga teraz CAP_NET_ADMIN do dołączenia do urządzenia bez właściciela i grupy.

W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że niepowodzenie rejestracji sesji i czyszczenie połączenia mogą zwolnić referencję tabeli, gdy wpis procfs sesji jest nadal dostępny. Może to prowadzić do użycia po zwolnieniu (use-after-free) i problemów z współbieżnością.

W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że limit oczekujących sesji uwzględnia tylko sesje InProgress. Klient może wielokrotnie kończyć uwierzytelnianie i utrzymywać nieograniczoną liczbę sesji Valid na jednym połączeniu.

W jądrze Linux w sterowniku soc/tegra: pmc występuje problem z niezainicjalizowaną zmienną early_pmc->rate dla starszych 32-bitowych urządzeń Tegra. Zmienna nigdy nie jest ustawiana i pozostaje równa 0, co powoduje wyzwalanie ostrzeżenia w funkcji tegra_pmc_enter_suspend_mode(). Błąd pojawił się po zmianie sterownika PMC na dynamiczne tworzenie kontekstu, gdzie zaktualizowano rate tylko w nowym kontekście.

W jądrze Linux funkcja hv_apicid_to_vp_index() używa per-CPU stron wejściowych i wyjściowych hiperwywołań. W maszynie wirtualnej SEV-SNP CoCo bez paravisora strona wyjściowa nie jest alokowana, więc hipervisor zapisuje wynikowy indeks VP do niezaalokowanej pamięci gościa. Poprawka polega na użyciu tej samej strony wejściowej również jako wyjściowej.

W jądrze Linux mechanizm współdzielonych GPIO oparty na tablicach wyszukiwania platformy wymaga powiązanego struct device. Wywołanie wyszukiwania oparte na fwnode bez powiązanego urządzenia powoduje dereferencję wskaźnika NULL. Poprawka dodaje sprawdzenie, które pozwala jąderu łagodnie obsłużyć tę sytuację błędem.

W jądrze Linux moduł dm cache używał rw_semaphore do blokady background_work_lock, mimo że blokady zapisu rw_semaphore mają ścisłą semantykę właściciela. Proces blokujący nie zawsze był tym samym, który zwalniał blokadę, co przy CONFIG_DEBUG_RWSEMS wyzwalało ostrzeżenie podczas suspend/resume urządzenia cache. Poprawka zastępuje rw_semaphore spinlockiem i kolejką oczekujących.

W jądrze Linux funkcja init_vp_index() zawiera pętlę ponawiania, która usuwa CPU z danego węzła NUMA, jeśli są już w alokowanej masce cpumask lub poza maską housekeeping HK_TYPE_MANAGED_IRQ. Jeśli maska housekeeping nie zawiera żadnego CPU w danym węźle, pętla staje się nieskończona. Poprawka pomija węzły NUMA bez CPU housekeeping i wcześniej przerywa działanie, gdy brak jest online CPU housekeeping.

W jądrze Linux wątki jądra (kthreads) NBCON odpowiedzialne za drukowanie konsoli są uruchamiane bardzo wcześnie przez early_initcall(). Asynchroniczne włączanie i wyłączanie przerwań podczas wczesnego rozruchu może zakłócać konfigurację SMP na niektórych platformach sprzętowych, powodując zawieszanie się systemu. Poprawka opóźnia uruchomienie tych wątków do momentu zakończenia wszystkich arch initcalli.

W jądrze Linux funkcja zap_pid_ns_processes() oczekująca na zwolnienie PID-ów w przestrzeni nazw nie była przerywalna przez mechanizm zamrażania (freezer). Gdy tracer spoza przestrzeni nazw nie odbiera zombie, oczekiwanie nie ma górnej granicy, a każda próba zawieszenia systemu kończy się niepowodzeniem. Poprawka wprowadza stany TASK_FREEZABLE w pętlach oczekiwania, aby freezer mógł zamrozić zadania.

W jądrze Linux w sterowniku i2c: xiic przywrócono ręczne zarządzanie runtime PM zamiast wersji opartej na devres, aby naprawić lawinę ostrzeżeń clk. Zarządzane zwalnianie zasobów wyłączało runtime PM w niewłaściwej kolejności, co powodowało podwójne wyłączenie zegara i ostrzeżenia "clkN already disabled" przy każdym usuwaniu urządzenia.

W jądrze Linux, jeśli alokacja bufora śledzenia nie powiedzie się podczas wczesnego rozruchu, tracing_disabled pozostaje ustawione, a lista zdarzeń globalnego trace array pozostaje niezainicjalizowana. Funkcja tracer_init_tracefs_work_func() uruchamiana asynchronicznie nie sprawdza tego stanu i wywołuje event_trace_init() oraz init_tracer_tracefs(), co prowadzi do dereferencji NULL i Oops podczas rozruchu. Poprawka sprawdza tracing_disabled na początku funkcji roboczej.

W jądrze Linux w podsystemie power supply występuje luka use-after-free. Jeśli zasilacz zostanie wyrejestrowany (power_supply_unregister) w trakcie wykonywania callbacku external_power_changed(), sterownik może zwolnić dane, do których callback nadal próbuje uzyskać dostęp, co prowadzi do awarii jądra (NULL pointer dereference).

W sterowniku accel/rocket jądra Linux funkcja rocket_probe() zapisuje wynik rocket_device_init() w globalnym wskaźniku rdev przed sprawdzeniem, czy jest to wskaźnik błędu. Przy niepowodzeniu rdev pozostaje jako ERR_PTR, a późniejsza próba może pominąć inicjalizację i wyłuskać wskaźnik błędu przy odczycie rdev->num_cores.

W sterowniku drm/xe jądra Linux funkcja xe_evict_flags() odczytuje tbo->resource->mem_type, ale bufor BO może trafić do eksmisji bez ttm.resource, np. importowany dma-buf, którego zasób zwolniono podczas rozbierania. Prowadzi to do wyłuskania wskaźnika NULL i błędu jądra.

W sterowniku drm/xe/oa jądra Linux bufory BO typu ttm_bo_type_kernel nie są gwarantowanie zerowane przy alokacji i mogą zawierać dane z wcześniej zwolnionych stron. Ponieważ bufor OA jest mapowalny przez przestrzeń użytkownika, może to ujawnić nieaktualną zawartość pamięci jądra.

W jądrze Linux w podsystemie scsi: target funkcja target_do_delayed_work() pobierała blokadę delayed_cmd_lock za pomocą zwykłego spin_lock(), nie wyłączając przerwań, podczas gdy wszystkie inne miejsca używają spin_lock_irqsave(). Odkąd komendy mogą być kończone w kontekście przerwania (complete_type=1 z direct_compl_supp), może to prowadzić do zakleszczenia, gdy ukończenie komendy trafi na ten sam CPU, na którym work item trzyma blokadę.

W jądrze Linux w funkcji sched_change_end() występuje wyścig z __sched_setscheduler() dla zadań zakolejkowanych, ale nieuruchomionych. Po zmianie klasy zadania (np. z SCHED_OTHER na SCHED_RR) wskaźnik rq->next_class nie jest aktualizowany, a wskaźnik potrzeby przeplanowania nie jest ustawiany, co prowadzi do bezczynności CPU mimo obecności gotowego do uruchomienia zadania.

W jądrze Linux sterownik sieciowy hisi_femac (net: hisilicon) przypisuje netdev_ops dopiero po podłączeniu PHY. Gdy włączone jest CONFIG_NET_SHAPER, phy_attach_direct() odczytuje niezainicjowane netdev_ops, co powoduje panikę jądra z powodu dereferencji NULL.

W jądrze Linux sterownik hip04_eth (net: hisilicon) wywołuje of_phy_connect() przed przypisaniem ndev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik owl_emac (net: ethernet: actions) wywołuje owl_emac_phy_init(), która podłącza PHY, przed przypisaniem netdev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik mv643xx_eth podłącza PHY przed przypisaniem dev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik sieciowy au1000 wywołuje au1000_mii_probe() i podłącza PHY przed przypisaniem dev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik ethoc wywołuje ethoc_mdio_probe() i podłącza PHY przed przypisaniem netdev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje netdev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik aeroflex greth wywołuje greth_mdio_init() i podłącza PHY przed przypisaniem dev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik ti icssm-prueth wywołuje of_phy_get_and_connect() przed przypisaniem ndev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik GPIO mxc instaluje dołączony handler IRQ (mxc_update_irq_chained_handler()) przed skonfigurowaniem domeny IRQ, układu IRQ i wpisu listy portów. Przerwanie w tym oknie powoduje dereferencję NULL lub dostęp do niekompletnej listy, a błędy późniejszych kroków probe pozostawiają wiszący handler wskazujący na zwolnioną pamięć.

W jądrze Linux sterownik stmmac dwmac1000 od czasu usunięcia obsługi przerwań SGMII/RGMII/SMII nie odczytuje rejestru GMAC_RGSMIIIS, przez co status RGMII pozostaje oczekujący za GMAC_INT_MASK. Podczas stmmac_resume() reset MAC zeruje maskę i oczekujący status zalewa linię przerwań, powodując soft lockup, reset watchdoga lub zawieszenie.

W jądrze Linux w funkcji get_seg_reg_override_idx() doszło do przesłonięcia zmiennej indeksu pętli przez zmienną lokalną o tej samej nazwie. W efekcie nadpisania prefiksów segmentów FS/GS są ignorowane, a prefiks CS powoduje nieskończoną pętlę w jądrze podczas emulacji UMIP, co pozwala dowolnemu użytkownikowi zawiesić CPU aż do restartu systemu.

W jądrze Linux w sterowniku accel/rocket funkcja rocket_remove() zmniejsza liczbę rdzeni (num_cores) przed wyszukaniem slotu, przez co ostatni rdzeń nie jest odnajdywany i nie jest usuwany. Prowadzi to do wycieku stanu i w konsekwencji do zapisu poza tablicą rdev->cores przy ponownym bindowaniu rdzeni na RK3588.

W jądrze Linux moduł mshv_vtl sprawdza globalną flagę mshv_has_reg_page przed wyborem strony rejestrów żądanego CPU. Przy mieszanych wynikach konfiguracji na poszczególnych CPU sprawdzenie przechodzi nawet dla CPU bez strony rejestrów, co prowadzi do wywołania get_page(NULL) podczas błędu odwzorowania z przestrzeni użytkownika.

W podsystemie GPIO shared występuje błąd use-after-free podczas dodawania współdzielonych proxy. Nazwa urządzenia (dev_id) wskazuje na ciąg znaków obiektu kobject, który może zostać zwolniony wcześniej niż tablica wyszukiwania GPIO.

W jądrze Linux w drm/amd/display funkcje allocate_usb4_bandwidth_for_stream() i allocate_usb4_bandwidth() używają ASSERT(stream->sink) przed dereferencją stream->sink->link. Ponieważ ASSERT jest usuwany w buildach produkcyjnych, NULL stream->sink powoduje dereferencję NULL.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_gem_userptr_ioctl() przy niepowodzeniu amdgpu_hmm_range_alloc() zwraca -ENOMEM i pomija ścieżkę sprzątania. W efekcie wycieka obiekt GEM, referencja bo->parent na korzeniu VM oraz rejestracja notifiera MMU.

W jądrze Linux w sterowniku drm/i915/dmc dla nagłówka firmware DMC w wersji 3 adres ładowania firmware jest przechowywany w dmc_info->start_mmioaddr i używany przez dmc_load_program(). W przeciwieństwie do tablicy adresów MMIO adres ładowania nie jest walidowany, co może prowadzić do użycia nieprawidłowego adresu.

W jądrze Linux w sterowniku drm/xe funkcja xe_bo_set_purgeable_shrinker() bezwarunkowo przenosi strony między licznikami shrinkable i purgeable. Gdy stan purgeable przypiętego BO zmienia się (np. przez madvise DONTNEED na VMA BO przypiętego jako bufor scanout), jeden licznik ulega niedomiarowi, a drugi pozostaje trwale zawyżony po unpin.

W jądrze Linux w module sched_ext odroczone ponowne wstawienie do kolejki może odczytać zwolniony user DSQ. Żądanie pozostaje na liście odroczonej CPU do czasu przejęcia przez run_deferred(), a callback RCU zwalniający DSQ zakłada, że okres karencji go opróżnił, jednak run_deferred() rozpoczęty po rozpoczęciu karencji może odłączyć żądanie tuż przed sprawdzeniem i odczytać identyfikator zwolnionego DSQ.

W jądrze Linux występuje błąd w podsystemie ftrace, gdzie przełączanie na tracer bez zdefiniowanych flag (np. hwlat, irqsoff, wakeup) powoduje ustawienie wskaźnika current_trace_flags na NULL. Jeśli bufor pierścieniowy nadal zawiera wpisy function_graph z poprzedniego tracera, ich wyświetlenie (np. przez cat trace) prowadzi do dereferencji NULL i paniki jądra.

W jądrze Linux w podsystemie cifs funkcja cifs_do_truncate aktualizuje i_size bez ważnego uchwytu pliku. Gdy find_writable_file() zwróci null, rozmiar inode jest ustawiany na 0 mimo braku faktycznego obcięcia pliku na serwerze, co prowadzi do niespójności.

W jądrze Linux w module SELinux naprawiono błąd w sprawdzaniu uprawnień tokenów BPF. Wielokrotne wyszukiwanie SID twórcy bpffs przy użyciu deskryptora pliku tokenu mogło prowadzić do problemów typu TOCTOU, jeśli użytkownik zmienił deskryptor przekazany do jądra.

W jądrze Linux w podsystemie s390/pai naprawiono obsługę wielokrotnych wywołań callbacku zatrzymania PMU. Jądro chroni się przed wysokim obciążeniem próbkowania przez throttling, co może skutkować dwoma kolejnymi wywołaniami PMU->stop(); poprawka sprawdza bit PERF_HES_STOPPED i blokuje nieobsługiwane wywołanie ioctl PERF_EVENT_IOC_PERIOD.

W jądrze Linux naprawiono błąd w KVM (x86/mmu), gdzie nieoczekiwany bit SS w kodach błędów #NPF powodował dostęp poza zakresem w permission_fault(), co objawiało się ostrzeżeniami WARN lub raportami UBSAN. Problem występował podczas uruchamiania Hyper-V z Windows 11 i został rozwiązany poprzez odrzucanie nieznanych bitów oraz zachowanie bitu SS przy odzwierciedlaniu błędu do L1.

W jądrze Linux w sterowniku drm/amdgpu/userq poprawiono walidację buforów BO (buffer objects) dla userq. Wcześniej pętla nie iterowała po indywidualnej liście wywłaszczonych buforów, przez co bufory utworzone i wywłaszczone przed utworzeniem userq nigdy nie trafiały do ponownego uzbrojenia ogrodzenia ewakuacji. Dodano także brakujące referencje do BO przed operacjami drm_exec.

W jądrze Linux w kliencie SMB (cifs) naprawiono błąd powodujący uszkodzenie danych przy równoczesnych zapisach i operacji O_TRUNC. Funkcja cifs_do_truncate() opróżniała brudne strony i obcinała plik na serwerze bez blokady i_rwsem lub invalidate_lock, przez co równoczesny zapis mógł utworzyć nowe brudne strony, które następnie były po cichu odrzucane. Poprawka wprowadza blokady zapewniające atomowość sekwencji opróżniania, obcinania i zmiany rozmiaru.

W systemie plików NTFS jądra Linux funkcja ntfs_trim_fs() wyrównuje początek wolnego zakresu w górę do ziarnistości discard, ale długość discard oblicza przez wyrównanie w dół oryginalnej długości zakresu. Gdy początek zakresu nie jest wyrównany, wynikowy zakres discard może wykroczyć poza wolny obszar i objąć przydzielone klastry, które zostaną wyzerowane.

W schedulerze sched_ext jądra Linux funkcja scx_bypass() zgłasza roszczenie bypass dispatch tylko dla schedulera, którego głębokość zmienia się z zera na jeden, ale nie propaguje roszczenia do potomków. Powoduje to wyciek roszczenia przy włączaniu/wyłączaniu pod-schedulera w trakcie PM suspend, prowadząc do WARN_ON_ONCE lub zadań pozostawionych na DSQ bypass bez konsumenta.

W systemie plików NTFS jądra Linux funkcja ntfs_setattr_size() aktualizuje i_size i zmienia rozmiar atrybutu na dysku bez blokady mapping->invalidate_lock. Wyścig z obsługą page fault może spowodować fałszywy SIGBUS lub przeplot z epilogiem zmiany rozmiaru, prowadząc do niespójności.

W jądrze Linux w dm-integrity występuje błąd, który powoduje dereferencję wskaźnika NULL, gdy urządzenie ma ustawioną flagę SB_FLAG_DIRTY_BITMAP i jest aktywowane w trybie 'R'. Funkcja dm_integrity_resume próbuje odczytać dziennik zawierający bitmapę, co prowadzi do awarii. Poprawka pomija zapisy do urządzenia w trybie 'R' podczas wznawiania.

W jądrze Linux dm-integrity nie waliduje superbloku podczas wznawiania urządzenia, co pozwala użytkownikowi zmodyfikować superblok na nośniku podczas zawieszenia urządzenia. Może to prowadzić do niezgodności rozmiarów struktur w pamięci i zapisu poza dziennik, w tym zapisu 512 bajtów przez wskaźnik NULL. Poprawka zapisuje zwalidowany superblok w konstruktorze i odmawia wznowienia, jeśli geometria na dysku uległa zmianie.