Podatności Linux kernel

W jądrze Linuxa wykryto podatność use-after-free (UAF) w stosie Bluetooth. Problem występuje w funkcji l2cap_sock_cleanup_listen() podczas zamykania gniazda nasłuchującego, gdy jednocześnie następuje rozłączenie HCI, co prowadzi do wywołania l2cap_conn_del() i zwolnienia struktury gniazda potomnego, która jest później używana przez cleanup_listen().

W jądrze Linux w sterowniku drm/i915/gem wykryto błąd w funkcjach pread/pwrite dla buforów obiektów fizycznych (phys BO). Funkcja sg_page() zwraca wskaźnik do struktury page, a nie void*, co powoduje błędne skalowanie przesunięcia (offset) przy odczycie/zapisie. W rezultacie przy niezerowym przesunięciu dostępne są nieprawidłowe fragmenty bufora.

W jądrze Linux dla architektury ARM64 dodano mechanizm łagodzenia skutków errata dotyczących instrukcji TLBI na niektórych procesorach Arm. Błąd powoduje, że sekwencja TLBI;DSB może zakończyć się przed globalnym zaobserwowaniem zapisów tłumaczonych przez unieważnioną pozycję TLB. Mimo że unieważnienie TLB jest poprawne, dostęp do pamięci po unieważnieniu może być niekompletny.

W jądrze Linux usunięto ostrzeżenie WARN_ONCE() w funkcji hsr_addr_is_self(), które było wywoływane podczas usuwania interfejsu HSR. Problem wynikał z faktu, że wskaźnik hsr->self_node jest zerowany przed całkowitym wyrejestrowaniem urządzenia sieciowego, co prowadziło do fałszywego alarmu.

W jądrze Linux wykryto błąd w funkcji zap_other_threads(), która podczas wywołania execve() nie czyści flag JOBCTL_PENDING_MASK dla wątku wywołującego. Prowadzi to do fałszywego sygnału stopu po zakończeniu execve(), wywołującego ostrzeżenie jądra i potencjalnie destabilizującego system.

W jądrze Linux naprawiono ostrzeżenie podczas zrzutu rdzenia dla architektury RISC-V. Błąd dotyczył użycia niewłaściwego typu notatki rejestru dla REGSET_CFI.

W jądrze Linux w sterowniku wm_adsp występuje błąd dereferencji wskaźnika NULL podczas usuwania kontrolek firmware'u. Funkcja wm_adsp_control_remove() próbuje wyczyścić dane prywatne bez sprawdzenia, czy wskaźnik priv nie jest NULL.

W jądrze Linux wykryto podatność w module netfilter nf_conntrack, gdzie funkcja nf_ct_helper_expectfn_unregister() nie usuwa oczekujących oczekiwań (expectations) z tablicy, co prowadzi do pozostawienia wiszącego wskaźnika do zwolnionego kodu modułu. Po wyładowaniu modułu pomocnika NAT (np. nf_nat_h323) i nadejściu oczekiwanego połączenia, wywołanie tego wskaźnika powoduje crash jądra.

W jądrze Linux wykryto błąd w sterowniku ASoC SDCA prowadzący do dereferencji pustego wskaźnika (NULL pointer dereference) podczas wyrejestrowywania funkcji SDCA. Problem występuje, gdy rejestracja funkcji nie powiedzie się częściowo lub gdy czyszczenie urządzenia ściga się z odroczeniem próbkowania (probe deferral), pozostawiając wpisy func_dev jako NULL. Skutkuje to awarią jądra (kernel oops) z komunikatem BUG.

W jądrze Linux w sterowniku virtio-gpu występuje problem podczas usuwania sterownika, gdy KMS jest wyłączone. Inicjalizacja DRM atomic i modesetting nie jest przeprowadzana, co prowadzi do dostępu do niezainicjowanych danych i awarii jądra.

W jądrze Linux dla architektury ARM64 w kodzie Rust wykryto błąd związany z flagą uwtable modułu LLVM. Z powodu błędu w rustc, flaga -Cforce-unwind-tables=y nie emituje adnotacji uwtable dla modułu, co powoduje, że funkcje generowane przez kompilator (np. asan.module_ctor) nie mają prawidłowej adnotacji. Gdy włączone jest CONFIG_UNWIND_PATCH_PAC_INTO_SCS, prowadzi to do błędów podczas bootowania z powodu nieprawidłowego patcha instrukcji paciasp/autiasp.

W jądrze Linux usunięto fałszywie pozytywne ostrzeżenie WARN występujące podczas oznaczania strony jako brudnej, gdy maszyna wirtualna jest w trakcie wyłączania. Problem dotyczył maszyn gości SEV-ES, gdzie KVM utrzymywało zapisywalne mapowanie strony gościa po wyjściu do przestrzeni użytkownika, a następnie próbowało je usunąć przy niszczeniu vCPU, wyzwalając ostrzeżenie o braku aktywnego vCPU.

W jądrze Linux naprawiono błąd w sterowniku pinctrl mcp23s08. Inicjalizacja struktur mcp->dev i mcp->addr była wykonywana zbyt późno, co powodowało dereferencję wskaźnika NULL podczas inicjalizacji regmap.

W jądrze Linux dla architektury ARM występuje problem w funkcji __switch_to() związany z KASAN VMAP stack shadow. Użyto instrukcji ldr do odczytu cienia stosu, który jest granularny bajtowo i może nie być wyrównany do słowa, co powoduje błąd wyrównania na ARMv5.

W jądrze Linux na architekturze ARM64 brakowało wywołania pagetable_dtor() podczas zwalniania stron tabel stron usuwanych na gorąco (hot-removed). Powodowało to błędny stan strony, wycieki alokacji blokady tabeli stron (PTL) oraz nieprawidłowe statystyki NR_PAGETABLE. Łata dodaje brakujące wywołanie w funkcji free_hotplug_pgtable_page().

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji may_decode_fh() w mechanizmie fhandle. Problem wynika z odczytu pola mount::mnt_ns bez odpowiedniego blokowania, co umożliwia wyścig podczas odmontowywania i zwalniania przestrzeni nazw montowania. Poprawka polega na dodaniu rcu_read_lock() wokół dostępu do mnt_ns.

W sterowniku i2c-imx w jądrze Linux występuje niespójność między stanem zegara a stanem pinctrl w zarządzaniu energią w czasie rzeczywistym (runtime PM). Podczas wstrzymywania (suspend) zegar jest wyłączany przed zmianą stanu pinctrl, a błąd w pinctrl pozostawia zegar wyłączony, powodując awarię przy kolejnym dostępie do sprzętu.

W sterowniku i2c-qcom-cci w jądrze Linux występuje błąd dereferencji wskaźnika NULL w funkcji cci_remove(). Gdy tylko jeden z dwóch masterów I2C jest zainicjalizowany, wywołanie cci_halt() dla niezainicjalizowanego mastera prowadzi do awarii jądra podczas odłączania urządzenia lub usuwania sterownika.

W jądrze Linux w sterowniku sieciowym airoha brakuje sprawdzenia NULL dla wyniku funkcji of_reserved_mem_lookup(). Może to prowadzić do dereferencji wskaźnika NULL i awarii systemu, gdy wpis w drzewie urządzeń (DTS) jest nieprawidłowy.

W jądrze Linux w sterowniku bonding występuje błąd dereferencji wskaźnika NULL w funkcji bond_do_ioctl(). Wywołanie slave_dbg() przed sprawdzeniem NULL dla slave_dev może prowadzić do awarii systemu przy próbie dodania nieistniejącego interfejsu.

W jądrze Linux w sterowniku NVMEM onie-tlv występuje nieskończona pętla podczas napotkania nieznanego typu wpisu (np. 0x41). Powoduje to zawieszenie systemu.

W jądrze Linux w module mm/damon/lru_sort występuje podatność polegająca na braku obsługi błędu alokacji kontekstu (ctx). Funkcja damon_lru_sort_enabled_store() zakłada, że alokacja zawsze się powiedzie, co prowadzi do dereferencji pustego wskaźnika przy niepowodzeniu alokacji.

W jądrze Linux w module DAMON_RECLAIM występuje błąd polegający na dereferencji wskaźnika NULL. Funkcja damon_reclaim_enabled_store() zakłada, że alokacja kontekstu damon_ctx zawsze się powiedzie, co może prowadzić do próby użycia niezainicjalizowanego wskaźnika.

W jądrze Linux w funkcji mincore_swap() występuje błąd kolejności sprawdzania wpisów. Dla konfiguracji bez CONFIG_SWAP, ale z CONFIG_MIGRATION lub CONFIG_MEMORY_FAILURE, wpisy migracji/uszkodzeń są błędnie traktowane jako swap, co prowadzi do fałszywych ostrzeżeń i błędnych wyników.

W sterowniku slimbus qcom-ngd-ctrl w jądrze Linuxa występuje podatność polegająca na rejestracji callbacków przed utworzeniem NGD (Next Generation Device). Gdy remoteproc uruchamia się równolegle z procesem inicjalizacji sterownika, callbacki operują na niezainicjalizowanych danych, co prowadzi do awarii systemu.

W sterowniku slimbus dla układów Qualcomm (qcom-ngd-ctrl) wykryto potencjalny zakleszczenie (deadlock) spowodowane odwrotną kolejnością blokowania dwóch muteksów: tx_lock i ctrl->lock. Podczas procedury SSR/PDR down, blokada tx_lock jest przechwytywana przed ctrl->lock, podczas gdy w innych ścieżkach kodu kolejność jest odwrotna, co prowadzi do sytuacji ABBA i możliwego zawieszenia systemu.

W jądrze Linux w sterowniku drm/amd/display wykryto odczyt poza zakresem w funkcji dp_get_eq_aux_rd_interval(). Tablica aux_rd_interval w strukturze dc_lttpr_caps ma rozmiar MAX_REPEATER_CNT - 1 (7 elementów), ale parametr offset może wynosić do MAX_REPEATER_CNT (8), gdy sink zgłasza 8 repeaterów LTTPR. Prowadzi to do odczytu poza tablicą.

W jądrze Linux w sterowniku AMD Display (drm/amd/display) funkcja dal_vector_reserve() używa arytmetyki uint32_t do obliczenia rozmiaru alokacji, co może spowodować zawinięcie i przydzielenie mniejszego bufora niż oczekiwano, prowadząc do przepełnienia sterty.

W jądrze Linux wykryto ostrzeżenie WARN w funkcji scx_cgroup_move_task() podczas migracji zadań przez scheduler sched_ext. Problem występuje, gdy systemd modyfikuje subtree_control, a pole cgrp_moving_from jest NULL, co jest poprawnym scenariuszem migracji opartej na CSS, a nie błędem. Poprawka usuwa ostrzeżenie, pozostawiając pary ops.cgroup_prep_move() i ops.cgroup_move() nienaruszone.

W jądrze Linux w module debugobjects występuje problem na systemach z włączonym RT (Real-Time). Funkcja fill_pool() wywołuje rtlock_lock(), która sprawdza, czy current->pi_blocked_on jest ustawione, co może prowadzić do asercji i awarii.

W jądrze Linux naprawiono problem w debugobjects, gdzie wywołanie fill_pool() w kontekście przerwania sprzętowego podczas wczesnego rozruchu mogło prowadzić do zakleszczenia.

W sterowniku AMD64 AGP jądra Linux wykryto podatność polegającą na błędnym sprawdzaniu wartości zwracanej przez funkcję cache_nbs(). W przypadku braku fizycznego mostka AMD northbridge (np. w środowisku wirtualnym) funkcja zwraca -ENODEV, ale kod sprawdza tylko wartość -1, co maskuje błąd i prowadzi do dereferencji wskaźnika NULL w amd64_fetch_size().

W sterownikach audio jądra Linux wykryto podatność polegającą na użyciu pamięci po jej zwolnieniu (use-after-free). Gdy urządzenie audio jest zamykane, bufor audio może zostać zwolniony, mimo że mapowanie pamięci pozostaje ważne, co pozwala na dostęp do już zwolnionej pamięci.

W jądrze systemu operacyjnego, w obsłudze opcji IPV6_MSFILTER, występuje podatność use-after-free. Funkcja jądra zwalnia blokadę szeregującą podczas kopiowania listy filtrów źródłowych z przestrzeni użytkownika, a następnie ponownie ją przejmuje. W tym oknie czasowym inny wątek może zwolnić strukturę filtra multiemisji, pozostawiając funkcję ze starym wskaźnikiem do zwolnionej pamięci.

W funkcji dsp_mmap_single() stwierdzono podatność na przepełnienie liczby całkowitej podczas walidacji żądania mapowania pamięci. Duży offset i długość mogą spowodować zawinięcie sumy, co pozwala na ominięcie kontroli i mapowanie poza bufor audio do niezwiązanej pamięci jądra.

W jądrze Linux w sterowniku sieciowym MANA (Microsoft Azure Network Adapter) naprawiono błąd powodujący wyścig (race condition) przy tworzeniu katalogów debugfs. Poprzednia implementacja używała stałej nazwy "0" dla funkcji fizycznych (PF) oraz pci_slot_name() dla funkcji wirtualnych (VF), co prowadziło do dereferencji wskaźnika NULL dla VF w środowiskach takich jak VFIO passthrough lub zagnieżdżone KVM, a także do konfliktów nazw (błąd -EEXIST) przy wielu PF lub VF z różnych domen PCI.

W jądrze Linux wykryto martwe blokowanie (deadlock) w podsystemie DSA podczas korzystania z narzędzia ethtool. Problem wynika z nadmiarowego wywoływania blokad netdev_lock_ops() w funkcjach opakowujących ethtool dla interfejsu nadrzędnego (conduit), co prowadzi do zakleszczenia. Błąd został zaobserwowany na przykład podczas uruchamiania qemu z fbnic i CONFIG_NET_DSA_LOOP=y.

W jądrze Linuxa stwierdzono podatność w sterowniku vfio/pci, polegającą na nieprawidłowej kolejności operacji podczas zamykania urządzenia. Przed wyłączeniem funkcji PCI nie są czyszczone bufory DMABUF, co stwarza okno czasowe, w którym po wyczyszczeniu bitu MSE (Memory Space Enable) dostęp do BAR-ów jest nadal możliwy przez DMABUF.

W jądrze Linuxa w podsystemie io_uring/napi brakowało ograniczenia maksymalnego czasu sondowania (poll) w przypadku braku zdarzeń, co mogło prowadzić do komunikatów jądra o zablokowanym zadaniu z powodu braku warunkowego przeplanowania w pętli. Dodano ograniczenie do 10 ms, co zapobiega tym problemom.

W jądrze Linux w systemie plików nilfs2 wykryto podatność polegającą na braku odrzucenia zerowej wartości bd_oblocknr w funkcji nilfs_ioctl_mark_blocks_dirty(). Atakujący może wysłać spreparowane żądanie ioctl z polem bd_oblocknr ustawionym na 0, co prowadzi do pominięcia kontroli martwych bloków i wywołania nilfs_bmap_mark() na nieistniejącym bloku, powodując ostrzeżenie WARN_ON(ret == -ENOENT).

W jądrze Linux usunięto ostrzeżenie WARN_ON_ONCE z funkcji wbt_init_enable_default(), ponieważ obie ścieżki błędów (wbt_alloc() zwracający NULL przy braku pamięci oraz wbt_init() zwracający -EBUSY) są oczekiwane i nie stanowią krytycznego problemu. Zastąpiono je zwykłymi sprawdzeniami if oraz dodano pr_warn() dla diagnostyki.

W jądrze Linuxa w sterowniku mt76 dla układów mt7925 wykryto podatność polegającą na możliwym wyłuskaniu wskaźnika NULL w funkcji mt7925_tx_check_aggr(). Brak sprawdzenia wskaźnika 'sta' przed jego użyciem może prowadzić do awarii systemu.

W sterownikach Wi-Fi mt76 dla układów MT7921/MT7922 wykryto podatność, w której skonfigurowanie stacji klienckiej z identyfikatorem AID powyżej 20 powoduje awarię firmware'u. Problem występuje w trybie punktu dostępowego (AP) i może być wywołany przez zmodyfikowaną wersję hostapd.

W jądrze Linux wykryto podatność w sterowniku graficznym AMD (drm/amd/ras), która powoduje dereferencję wskaźnika NULL w funkcji ras_core_ras_interrupt_detected(). Problem występuje, gdy zmienna ras_core ma wartość NULL, a kod próbuje uzyskać dostęp do pola dev w ścieżce obsługi błędu.

W jądrze Linux wykryto podatność w sterowniku AMD GPU (drm/amd/ras), gdzie funkcja ras_core_get_utc_second_timestamp() może prowadzić do wyłuskania wskaźnika NULL. Problem występuje, gdy wskaźnik ras_core jest pusty, a funkcja próbuje uzyskać dostęp do pola dev w komunikacie błędu. Łatka dodaje wczesne sprawdzenie NULL i zwraca 0 w przypadku nieprawidłowego wskaźnika.

W jądrze Linux wykryto podatność w mechanizmie padata, gdzie funkcja wywołania zwrotnego dla wyłączenia procesora (CPU offline callback) była umieszczona w sekcji, która nie pozwala na błędy. Przeniesiono ją do sekcji ONLINE, gdzie błędy są dozwolone, aby zapobiec ostrzeżeniom i potencjalnym problemom.

W sterowniku graficznym jądra Linux (drm/amd/display) wykryto podatność na odwołanie do wskaźnika NULL w funkcjach dc_dmub_srv_log_diagnostic_data() i dc_dmub_srv_enable_dpia_trace(). Błędna kolejność sprawdzania warunków może prowadzić do dereferencji NULL podczas logowania błędu, co skutkuje awarią systemu.

W jądrze Linux w sterowniku IOMMU dla architektury RISC-V wykryto podatność polegającą na przepełnieniu licznika na ścieżce unieważniania translacji. Gdy wartość gather->end osiągnie ULONG_MAX, dochodzi do nieskończonej pętli z powodu przepełnienia. Dodatkowo, nieprawidłowe obliczanie długości (przesunięcie +1 na drugą stronę <) może prowadzić do błędów w działaniu.

W jądrze Linux wykryto podatność w systemie plików FUSE, gdzie funkcja fuse_dentry_revalidate() może zostać wywołana dla wpisu katalogu (dentry) z niezainicjalizowanym polem ->d_time. Problem został znaleziony przez narzędzie KMSAN i może prowadzić do odczytu niezainicjalizowanej pamięci.

W jądrze Linux w podsystemie SoC Tegra CBB wykryto podatność polegającą na użyciu nieprawidłowego adresu bazowego podczas wyszukiwania limitu czasu dla docelowego składnika w przypadku błędu na innym fabryku. Powoduje to błąd strony jądra i może doprowadzić do awarii systemu.