Podatności Linux kernel

W jądrze Linux w sterowniku max77705 wykryto podatność polegającą na wycieku pamięci przez niezwalnianie kolejki pracy (workqueue) oraz błędnej kolejności zwalniania zasobów. Rejestracja obsługi przerwań przez devm może spowodować, że po zniszczeniu kolejki pracy przerwanie zaplanuje zadanie na już zwolnionej pamięci.

W jądrze Linuxa w podsystemie pinctrl (pinconf-generic) wykryto podatność polegającą na braku pełnej walidacji właściwości 'pinmux' w drzewie urządzeń. Funkcja pinconf_generic_parse_dt_pinmux() zakłada, że właściwość 'pinmux' nie jest pusta, co może prowadzić do zwrócenia specjalnej wartości przez alokator zamiast NULL, a następnie do awarii przy próbie dostępu do nieprawidłowej pamięci.

W sterowniku hvc_iucv jądra Linux wykryto podatność polegającą na błędzie off-by-one w liczbie obsługiwanych urządzeń. Gdy licznik hvc_iucv_devices osiągnie wartość 8, kod może odwołać się do elementu tablicy hvc_iucv_table[8], który znajduje się poza jej zakresem (tablica ma 8 elementów indeksowanych od 0 do 7).

W jądrze Linuxa wykryto błąd w sterowniku USB Type-C PS883X, który powoduje wywołanie błędu Oops podczas odłączania urządzenia. Problem wynika z braku ustawienia danych klienta I2C w funkcji probe, co prowadzi do dereferencji pustego wskaźnika w funkcji remove.

W jądrze Linux wykryto podatność w sterowniku SCSI sg, która pozwala na wywołanie miękkiego zawieszenia systemu (soft lockup) poprzez ustawienie ujemnej wartości parametru def_reserved_size za pomocą sysfs. Problem wynika z braku walidacji wartości tego parametru przy bezpośredniej modyfikacji przez /sys/module/sg/parameters/def_reserved_size.

W jądrze Linux w systemie plików F2FS odkryto podatność polegającą na braku synchronizacji dostępu do listy rozszerzeń plików. Funkcja f2fs_sbi_show() odczytuje listę rozszerzeń, licznik extension_count i hot_ext_count bez trzymania blokady sb_lock, co przy równoczesnej modyfikacji przez sysfs może prowadzić do odczytu niespójnych danych, a w konsekwencji do dostępu poza zakres pamięci lub wyświetlania nieaktualnych informacji.

W jądrze Linuxa w sterowniku kryptograficznym EIP93 wykryto błąd w funkcji eip93_hmac_setkey(), która przy alokacji tymczasowego transformatu ahash używała maski CRYPTO_ALG_ASYNC, wykluczającej algorytmy asynchroniczne. Ponieważ algorytmy EIP93 są z natury asynchroniczne, wyszukiwanie zawsze kończyło się niepowodzeniem, pozostawiając niezainicjalizowane pola digestu, co prowadziło do dereferencji wskaźnika NULL i paniki jądra.

W jądrze Linuxa wykryto podatność w sterowniku resetowania dla układów Amlogic T7. Brak operacji resetowania (reset ops) powoduje dereferencję pustego wskaźnika w jądrze, co może prowadzić do awarii systemu. Na tę chwilę reset w tym SoC nie jest jeszcze używany.

W jądrze Linux wykryto podatność use-after-free w sterowniku sieciowym enetc, związaną z obsługą buforów DMA w mechanizmie NTMP. Błąd może prowadzić do cichego uszkodzenia pamięci, gdy zwolniony bufor DMA zostanie ponownie wykorzystany przez sprzęt.

W jądrze Linuxa wykryto podatność w sterowniku sieciowym airoha. Przedwczesna inicjalizacja zmiennej ndesc w funkcji airoha_qdma_init_tx_queue() powoduje, że w przypadku niepowodzenia alokacji listy wpisów kolejki, funkcja czyszcząca airoha_qdma_cleanup_tx_queue() wywołuje dereferencję wskaźnika NULL.

W sterowniku sieciowym Linux kernel dla układów Airoha wykryto podatność na dereferencję wskaźnika NULL. Problem występuje, gdy alokacja wpisu kolejki lub listy deskryptorów DMA w funkcji airoha_qdma_init_rx_queue() zakończy się niepowodzeniem, a następnie wywołana zostanie airoha_qdma_cleanup(), która próbuje usunąć NAPI dla kolejki RX, mimo że netif_napi_add() nie zostało wykonane. Przyczyną jest zbyt wczesna inicjalizacja zmiennej ndesc, która jest używana do sprawdzenia, czy kolejka jest poprawnie zainicjalizowana.

W jądrze Linuxa w sterowniku sieciowym MANA wykryto podatność polegającą na braku zabezpieczenia przed podwójnym wywołaniem funkcji mana_remove(). W przypadku niepowodzenia wznowienia z trybu uśpienia (PM resume) funkcja mana_probe() wywołuje mana_remove(), która zeruje wskaźniki kontekstu. Przy późniejszym odwiązaniu sterownika ponowne wywołanie mana_remove() prowadzi do dereferencji wskaźnika NULL i paniki jądra.

W jądrze Linuxa w sterowniku mailbox-test wykryto podatność polegającą na braku zwalniania kanałów w przypadku błędu podczas inicjalizacji. Prowadzi to do wycieku pamięci oraz potencjalnie do użycia po zwolnieniu (UAF), ponieważ struktura klienta jest usuwana automatycznie przez devm.

W jądrze Linuxa dodano sprawdzenie poprawności tablicy kanałów w sterowniku skrzynki pocztowej (mailbox). Brak takiego sprawdzenia mógł prowadzić do dereferencji wskaźnika i awarii systemu (OOPS), szczególnie gdy sterownik inicjalizował się bardzo wcześnie.

W jądrze Linuxa w sterowniku mailbox-test wykryto podatność polegającą na podwójnym zwalnianiu pamięci kanału. Gdy kanał RX jest aliasem kanału TX (różne MMIO), zwolnienie obu prowadzi do błędu.

W jądrze Linux w sterowniku amdgpu wykryto wiele błędów w funkcji AMDGPU_INFO_READ_MMR_REG. Problemy obejmują nieprawidłową kolejność blokad (reset semaphore i mm_lock), alokację pamięci podczas trzymania semafora resetu oraz użycie down_read_trylock() zamiast oczekiwania na zakończenie resetu.

W jądrze Linux wykryto podatność w podsystemie Phonet, gdzie funkcja pn_socket_autobind() wywołuje BUG_ON() po nieudanym wiązaniu gniazda. Błąd występuje, gdy pn_socket_bind() zwraca -EINVAL z powodu nieprawidłowego stanu gniazda, a port pozostaje zerowy, co prowadzi do paniki jądra z poziomu użytkownika.

W sterowniku dźwiękowym Conexant dla jądra Linux brakuje sprawdzenia błędu zwracanego przez funkcję rejestracji wykrywania jacka. Jeśli alokacja pamięci się nie powiedzie, sterownik kontynuuje działanie z niezarejestrowanym callbackiem, co może prowadzić do awarii jądra.

W jądrze Linux w sterowniku DRM dla GPU Intel Xe wykryto podatność use-after-free. Funkcja zamykająca strumień eustall wywoływała drm_dev_put() przed wyłączeniem strumienia i zwolnieniem zasobów, co mogło prowadzić do dostępu do już zwolnionej pamięci.

W sterowniku ice dla jądra Linux wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji ice_reset_all_vfs(). Gdy odbudowa VSI (Virtual Station Interface) nie powiedzie się, np. podczas aktualizacji firmware NVM, wskaźniki txq_map i rxq_map pozostają NULL, a późniejsze wywołanie ice_vf_post_vsi_rebuild() prowadzi do paniki jądra.

W jądrze Linux dla architektury ARM64 wykryto podatność polegającą na niewystarczającej liczbie stron zarezerwowanych na wczesne mapowanie jądra. Może to prowadzić do przepełnienia bufora i potencjalnego naruszenia stabilności systemu.

W jądrze Linuxa wykryto błąd w funkcji audit_log_capset(), który powoduje, że w rekordach audytu CAPSET pole cap_pi (dziedziczne uprawnienia) jest wypełniane wartością cap_effective (efektywne uprawnienia) zamiast cap_inheritable. Błąd wynika z copy-paste i występuje od 2008 roku.

W sterowniku idpf w jądrze Linux wykryto podatność prowadzącą do podwójnego zwolnienia pamięci (double free) i użycia po zwolnieniu (use-after-free) w ścieżkach błędów inicjalizacji urządzeń pomocniczych (aux device). Błąd występuje, gdy funkcja auxiliary_device_add() zawiedzie, a kod przechodzi przez etykiety err_aux_dev_add i err_aux_dev_init, co powoduje ponowne zwolnienie już zwolnionej struktury iadev.

W jądrze Linux w sterowniku AMD Display (DCN32) wykryto błąd powodujący crash jądra podczas alokacji pamięci dla phantom plane. Problem występuje, gdy funkcja dcn32_enable_phantom_plane() wywołuje kvzalloc() w kontekście z wyłączonymi przerwaniami (softirq), co prowadzi do naruszenia BUG_ON(in_interrupt()).

W jądrze Linux w systemie plików Btrfs wykryto błąd, w którym podczas zapisu transakcji, po nieudanym zapisie, przedwcześnie czyszczono strukturę danych śledzącą brudne strony (dirty_pages io tree). Powodowało to, że brudne bufory extent nie były poprawnie czyszczone podczas odmontowywania, co prowadziło do ostrzeżeń i potencjalnej utraty danych.

W jądrze Linux w sterowniku AMD IOMMU brakowało sprawdzania zakresu dla identyfikatora urządzenia (devid) w funkcji __rlookup_amd_iommu(). Powodowało to odczyt poza przydzieloną pamięcią i awarię systemu (GPF) podczas uruchamiania, gdy urządzenie PCI nie było opisane w tabeli IVRS.

W jądrze Linux stwierdzono podatność w mechanizmie kexec. Po zmianach w kodzie, w przypadku zwykłego kexec (nie kjump) na stos nie jest odkładany adres powrotu, co powoduje, że kod purgatory próbuje odczytać nieistniejący adres, prowadząc do błędu i potencjalnego zawieszenia systemu.

W jądrze Linux w podsystemie IOMMU dla Intel VT-d wykryto podatność polegającą na wywołaniu dereferencji wskaźnika NULL lub uszkodzeniu licznika referencji. Problem występuje, gdy funkcja teardown jest wykonywana bez sprawdzenia, czy struktura dev_pasid istnieje, co może prowadzić do awarii systemu lub naruszenia bezpieczeństwa pamięci.

W jądrze Linuxa wykryto podatność w funkcji pci_dev_reset_iommu_done(), gdzie grupa IOMMU może mieć pusty wskaźnik do domeny (group->domain == NULL), gdy alokacja domyślnej domeny nie powiedzie się podczas pierwszego wykrycia urządzenia. Prowadzi to do dereferencji pustego wskaźnika i awarii systemu (crash) podczas próby ponownego podłączenia urządzenia do domeny.

W jądrze Linux w sterowniku graficznym gma500 dla wyświetlaczy LVDS w platformie Oaktrail wykryto błąd prowadzący do zawieszenia systemu podczas inicjalizacji. Problem występuje, gdy kod inicjalizacji LVDS pobiera adapter I2C za pomocą i2c_get_adapter(), a następnie przy błędzie próbuje wyrejestrować i zwolnić również ten adapter, który nie został przez niego zaalokowany. Ponieważ i2c_get_adapter() zwiększa licznik referencji, oczekiwanie na zwolnienie adaptera nigdy nie następuje, co powoduje trwałe zawieszenie.

W jądrze Linux w podsystemie ARM MPAM wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji __destroy_component_cfg(). Problem występuje, gdy funkcja jest wywoływana z mpam_disable() przed alokacją tablicy konfiguracyjnej, co prowadzi do awarii systemu.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, gdzie funkcje odpowiedzialne za obsługę błędów strony i emulację AT nie zabezpieczały dostępu do tabel stron poprzez blokadę SRCU. Brak tej blokady mógł prowadzić do wyścigu danych podczas modyfikacji memslotów.

W jądrze Linux wykryto podatność use-after-free w stosie Bluetooth ISO. Funkcja iso_sock_rebind_bc() przechowuje wskaźnik do struktury hci_conn, a następnie zwalnia blokadę gniazda, co umożliwia współbieżne wywołanie close() i zwolnienie pamięci, prowadząc do dostępu po zwolnieniu.

W jądrze Linux wykryto podatność use-after-free podczas przetwarzania zapytań MLD. Wskaźnik do adresu grupy multicast jest pobierany przy parsowaniu pakietu, ale nie jest ponownie ładowany po realokacji nagłówka skb, co prowadzi do użycia po zwolnieniu pamięci.

W jądrze Linux w funkcji __smc_setsockopt() wykryto błąd logiczny, który pozwala lokalnemu nieuprzywilejowanemu użytkownikowi na wywołanie odmowy usługi (DoS) poprzez zablokowanie gniazda na czas nieokreślony. Problem polega na wywołaniu copy_from_sockptr() podczas trzymania blokady gniazda (lock_sock), co w połączeniu z monitorowaniem pamięci przez userfaultfd może zatrzymać wykonanie i zablokować wątki robocze jądra.

W jądrze Linux wykryto podatność use-after-free w sterowniku OP-TEE. Problem występuje, gdy klient kończy działanie przed dostawcą (supplicant), co prowadzi do wyścigu i użycia zwolnionej pamięci.

W jądrze Linux wykryto podatność use-after-free w systemie plików EROFS. Problem występuje, gdy funkcja z_erofs_decompress_kickoff() jest wywoływana asynchronicznie po zakończeniu operacji I/O i może konkurować z procesem odmontowania systemu plików, prowadząc do dostępu do już zwolnionej pamięci struktury sbi.

W jądrze Linux w module ksmbd wykryto podatność na zdalne wywołanie błędu NULL-dereference. Funkcje smb2_oplock_break_noti() i smb2_lease_break_noti() odczytują wskaźnik opinfo->conn bez użycia READ_ONCE() i bez sprawdzenia na NULL, co przy równoczesnym rozłączeniu sesji (SMB2 LOGOFF) prowadzi do zapisu przez wskaźnik NULL i paniki systemu.

W jądrze Linuxa w module IPVS wykryto podatność polegającą na tym, że podczas edycji usługi (ip_vs_edit_service) wskaźnik do starego schedulera (svc->scheduler) był czyszczony dopiero po zainicjowaniu przez moduł schedulera wywołań zwrotnych RCU. Może to prowadzić do użycia starego schedulera po zwolnieniu jego danych (sched_data) po upływie okresu RCU, co skutkuje błędami lub awariami.

W jądrze Linuxa wykryto podatność w mechanizmie synproxy, która wynika z braku synchronizacji przy rejestracji hooków netfilter na żądanie. Gdy wielu użytkowników jednocześnie dodaje pierwsze reguły iptables lub wyrażenia nftables, może dojść do wyścigu (race condition) w inkrementacji licznika referencji. Dodano mutex, który serializuje dostęp do bloków sterujących licznikiem referencji z obu frontendów.

W jądrze Linux w module netfilter conntrack_irc wykryto podatność umożliwiającą odczyt poza dozwolonym zakresem pamięci. Błąd występuje, gdy parsowanie nie powiedzie się po dopasowaniu ciągu polecenia, a system próbuje dopasować inne polecenie zamiast przerwać działanie.

W jądrze Linux wykryto podatność w module netfilter nft_ct, gdzie reguła ustawiająca strefę CT, a następnie odczytująca adres źródłowy oryginalnego połączenia, traktuje tymczasowy szablon CT jako prawdziwy wpis CT. Prowadzi to do przepełnienia bufora na stosie jądra podczas kopiowania adresu, co może skutkować awarią systemu lub potencjalną eskalacją uprawnień.

W jądrze Linux wykryto podatność w polityce cache SMQ menedżera urządzeń dm-cache. Brak synchronizacji przy sprawdzaniu flagi alokacji (e->allocated) poza blokadą mq->lock umożliwia wyścig (race condition) między współbieżnymi operacjami unieważniania, co może prowadzić do uszkodzenia struktur danych kolejki lub tablicy mieszającej.

W jądrze Linux wykryto błąd wyścigu (race condition) między operacjami NEWTFILTER i DELFILTER w podsystemie net/sched/act_api. Przy współbieżnym działaniu mogło dojść do użycia po zwolnieniu (UAF) struktury tc_action, ponieważ zwalnianie pamięci następowało natychmiast, bez opóźnienia wymaganego przez mechanizm RCU. Łatka przywraca opóźnione zwalnianie przez call_rcu(), co eliminuje podatność.

W jądrze Linux wykryto podatność w funkcji kompresji adresów multicast dla 6LoWPAN. Błąd off-by-one powoduje nadpisanie pola RIID i wyciek niezainicjalizowanej pamięci stosu jądra przez sieć.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w sterowniku L2TP dla protokołu PPPoL2TP. Funkcja pppol2tp_ioctl() odczytywała wskaźnik do sesji bez odpowiedniego blokowania i zliczania referencji, co umożliwiało wyścig podczas operacji kopiowania z przestrzeni użytkownika. Poprawka polega na bezpiecznym pobraniu referencji do sesji za pomocą funkcji RCU-safe z inkrementacją licznika referencji.

W jądrze Linuxa wykryto podatność w mechanizmie devlink, gdzie relacja zagnieżdżona (nested relation) nie jest zwalniana, gdy instancja devlinka ulegnie awarii przed rejestracją. Prowadzi to do wycieku pamięci (leak) struktury devlink->rel.

W jądrze Linux wykryto podatność w implementacji anycast IPv6, polegającą na użyciu pamięci po zwolnieniu (use-after-free) podczas wstawiania adresu anycast do globalnej tablicy mieszającej. Problem wynika z braku synchronizacji między dodawaniem wpisu do listy interfejsu a globalnej tablicy, co umożliwia równoczesne usunięcie urządzenia i zwolnienie pamięci przed jej pełnym opublikowaniem.

W jądrze Linux wykryto wyciek pamięci w podsystemie Wi-Fi podczas skanowania w paśmie 6 GHz. Obiekt rdev->int_scan_req nie jest zwalniany, gdy funkcja cfg80211_scan() zakończy się niepowodzeniem, ponieważ rdev->scan_req pozostaje NULL, co uniemożliwia poprawne zwolnienie pamięci w ___cfg80211_scan_done().

W jądrze Linux stwierdzono podatność w podsystemie cfg80211, która może prowadzić do awarii (crash) w mac80211, gdy ustawione jest pole eht_cap, ale brakuje eht_oper. Aby temu zapobiec, wprowadzono wymóg spójności elementów HE/EHT.