Podatności Linux kernel

W jądrze Linux wykryto podatność w podsystemie Bluetooth RFCOMM, polegającą na użyciu po zwolnieniu pamięci (use-after-free) w funkcji rfcomm_connect_ind(). Problem wynika z braku zabezpieczenia referencji do gniazda nasłuchującego po opuszczeniu sekcji krytycznej listy rfcomm_sk_list, co umożliwia wyścig (race condition) z zamykaniem gniazda i potencjalne wykorzystanie przez atakującego.

W jądrze Linuxa w stosie Bluetooth wykryto podatność polegającą na odczycie poza zakresem bufora w funkcji tlv_data_is_valid(). Złośliwie spreparowane żądanie MGMT_OP_ADD_ADVERTISING może spowodować odczyt jednego bajtu poza przydzieloną pamięcią, co zostało zgłoszone przez KASAN.

W jądrze Linux wykryto podatność w implementacji Bluetooth RFCOMM, gdzie procedury obsługi komunikatów MCC nie sprawdzają długości ramki przed odwołaniem do danych. Zdalny atakujący może wysłać skrócone ramki MCC, powodując odczyt poza dozwolonym obszarem pamięci.

W jądrze Linux wykryto podatność w podsystemie Bluetooth BNEP, polegającą na braku walidacji długości ramek przed ich parsowaniem. Zdalny atakujący może wysłać krótką ramkę BNEP SDU, co prowadzi do odczytu poza zakresem bufora (slab-out-of-bounds) i potencjalnie do naruszenia stabilności systemu.

W jądrze Linux wykryto wyciek pamięci w ścieżce błędu funkcji hci_alloc_dev(). Gdy inicjalizacja urządzenia Bluetooth HCI UART zakończy się niepowodzeniem przed rejestracją, flaga HCI_UNREGISTER nie jest ustawiana, co powoduje pominięcie funkcji hci_release_dev() i wyciek pamięci SRCU percpu. Poprawka polega na jawnym wywołaniu cleanup_srcu_struct() w gałęzi zwalniania niezarejestrowanego urządzenia.

W jądrze Linux w podsystemie Bluetooth ISO wykryto wyciek referencji do struktury hci_dev. Funkcja iso_conn_big_sync nie zwalnia referencji uzyskanej przez hci_get_route(), co prowadzi do wyczerpania pamięci.

W jądrze Linux wykryto podatność TOCTOU w funkcji xsk_skb_metadata() dotyczącą przetwarzania metadanych TX w mechanizmie XSK. Użytkownik może równocześnie modyfikować wartości csum_start i csum_offset w pamięci współdzielonej, co pozwala ominąć walidację granic i doprowadzić do odczytu poza zakresem podczas obliczania sumy kontrolnej.

W jądrze Linuxa ograniczono możliwość ustawiania opcji IP LSRR i SSRR tylko dla użytkowników z uprawnieniem CAP_NET_RAW. Zapobiega to nieuprzywilejowanym aplikacjom wymuszania trasowania pakietów przez węzły kontrolowane przez atakującego w celu wycieku numerów sekwencyjnych TCP i innych informacji protokołowych.

W sterowniku sieciowym airoha w jądrze Linux wykryto podatność use-after-free podczas usuwania metadanych dst. Funkcja metadata_dst_free() zwalniała pamięć bezpośrednio przez kfree(), z pominięciem okresu ochronnego RCU, co umożliwiało dostęp do już zwolnionej pamięci przez wskaźniki noref w ścieżce RX.

W jądrze Linux w podsystemie MRP (Multiple Registration Protocol) wykryto podatność w funkcji mrp_pdu_parse_vecattr(). Błędy w parsowaniu atrybutów wektorowych mogą prowadzić do nieprawidłowego przetwarzania pakietów, w tym stosowania fałszywych zdarzeń, pomijania pól FirstValue oraz nieprawidłowego inkrementowania wartości atrybutów.

W jądrze Linux wykryto podatność w funkcji nfsd4_create_file(), gdzie nieprawidłowe obsłużenie błędu z dentry_create() może prowadzić do braku zwolnienia blokady na katalogu nadrzędnym. Problem występuje, gdy system plików eksportowany przez NFSD używa atomic_create() i zwróci błąd.

W jądrze Linux wykryto podatność polegającą na użyciu niezainicjalizowanej zmiennej stosowej w funkcji rseq_exit_user_update(). Problem wynika z niezdefiniowanej kolejności inicjalizacji pól struktury w języku C, co powoduje wyciek informacji z jądra.

W jądrze Linux wykryto podatność w sterowniku ALSA PCM, gdzie funkcja snd_pcm_drain() może doprowadzić do uszkodzenia list oczekujących wątków podczas pracy z połączonymi strumieniami. Błąd wynika z nieprawidłowego zarządzania wpisami oczekiwania, co w skrajnym przypadku prowadzi do dereferencji wskaźnika NULL i paniki jądra.

W jądrze Linux w sterowniku ALSA seq dummy wykryto podatność polegającą na odczycie poza stosem podczas przetwarzania zdarzeń UMP. Kopiowanie zdarzenia do tymczasowej struktury o mniejszym rozmiarze niż struct snd_seq_ump_event powoduje, że przy dostarczaniu do subskrybentów odczytywane są dane spoza przydzielonego bufora.

W jądrze Linux wykryto podatność use-after-free w funkcji __input_process_payload modułu xfrm (IPsec). Problem występuje, gdy pierwszy pakiet (first_skb) jest przechowywany w xtfs->ra_newskb bez blokady, a następnie inny wątek może go zwolnić, prowadząc do użycia po zwolnieniu.

W jądrze Linux wykryto podatność use-after-free w mechanizmie XFRM policy. Błąd występuje w funkcji xfrm_policy_bysel_ctx() podczas usuwania polityki, gdy blokada xfrm_policy_lock jest zwalniana przed przycięciem nieprecyzyjnego koszyka (bin), co prowadzi do wyścigu i użycia zwolnionej pamięci.

W jądrze Linuxa wykryto podatność w mechanizmie etykietowania sieci (netlabel). Funkcja netlbl_unlabel_addrinfo_get() nie walidowała długości atrybutu maski dla nieoznaczonych adresów, co pozwalało na przesłanie spreparowanego żądania Generic Netlink z prawidłowym adresem IPv4/IPv6, ale zbyt krótką maską. Skutkowało to odczytaniem niekompletnych danych jako pełnej struktury adresu, co mogło prowadzić do nieprawidłowego działania lub potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność polegającą na dereferencji wskaźnika NULL w sterowniku GPIO dla układów Marvell Armada. Funkcje zawieszania i wznawiania systemu (suspend/resume) wywoływane są dla wszystkich banków GPIO, ale tylko niektóre z nich obsługują PWM. Próba dostępu do struktury mvpwm w banku bez funkcji PWM prowadzi do błędu i paniki jądra.

W jądrze Linuxa załatanie ogranicza możliwość używania opcji SO_ATTACH_FILTER (cBPF) na gniazdach TCP tylko do użytkowników z uprawnieniami CAP_NET_ADMIN. Zapobiega to atakom typu side-channel, w których nieuprzywilejowana aplikacja mogłaby wyciekać numery sekwencji TCP.

W jądrze Linux wykryto podatność w funkcji skb_gro_receive_list(), która wywołuje skb_pull() bez uprzedniego sprawdzenia dostępności danych w obszarze liniowym przez pskb_may_pull(). W przypadku pakietów przychodzących przez napi_gro_frags() może to prowadzić do naruszenia asercji BUG_ON(skb->len < skb->data_len) i awarii systemu.

W sterowniku sieciowym IBM EMAC dla jądra Linux wykryto podatność use-after-free podczas usuwania urządzenia. Użycie devm_register_netdev() powodowało opóźnione wywołanie unregister_netdev(), co prowadziło do dostępu do zwolnionych zasobów sprzętowych przez procedury obsługi przerwań.

W jądrze Linux wykryto podwójne zwolnienie pamięci w funkcji netdev_nl_bind_rx_doit(). Błąd występuje, gdy genlmsg_reply() zawsze przejmuje bufor skb, a ścieżka błędu nieprawidłowo wywołuje nlmsg_free(rsp), co prowadzi do podwójnego zwolnienia. Poprawka polega na propagowaniu błędu do użytkownika zamiast próby odwiązania.

W jądrze Linux stwierdzono podatność polegającą na braku wywołania sfp_bus_del_upstream() w ścieżce błędu podczas inicjalizacji sterownika PHY. Powoduje to pozostawienie wiszącego wskaźnika 'upstream' w strukturze sfp-bus, który może być później wykorzystany podczas zdarzeń SFP.

W jądrze Linux stwierdzono podatność polegającą na próbie konfiguracji klatek SFP sterowanych przez sterownik PHY podczas korzystania z ogólnego sterownika genphy. Prowadzi to do zakleszczenia (deadlock) na blokadzie RTNL, ponieważ dla genphy proces wykrywania PHY działa pod RTNL, co nie ma miejsca w przypadku innych sterowników.

W jądrze Linuxa w sterowniku mlx5 wykryto podatność na odczyt poza dozwolonym obszarem pamięci (slab-out-of-bounds) w funkcji mlx5_query_nic_vport_mac_list. Problem występuje, gdy bufor poleceń firmware'u jest alokowany na podstawie możliwości PF, a zapytanie dotyczy VF z większą konfiguracją, co prowadzi do przepełnienia bufora odpowiedzi.

W sterowniku mlx5e dla kart sieciowych Mellanox wykryto wyciek pamięci DMA i ramek XDP. Podczas wysyłania pakietu XDP_TX w trybie XSK, jeśli kolejka sprzętowa jest pełna, funkcja nie zwalnia zaalokowanej ramki ani nie usuwa mapowania DMA, co prowadzi do wycieku zasobów.

W jądrze Linux w module Open vSwitch (openvswitch) występuje podatność polegająca na możliwości wywołania kfree_skb na wskaźniku ERR_PTR. Problem pojawia się, gdy alokacja bufora odpowiedzi (reply) następuje po zamknięciu mutexa, a w przypadku błędu wskaźnik nie jest zerowany, co prowadzi do próby zwolnienia nieprawidłowego wskaźnika.

W sterowniku GPIO dla układów Rockchip w jądrze Linux wykryto wyciek pamięci struktur generic IRQ chip. Podczas usuwania sterownika nie są one zwalniane, co może prowadzić do użycia po zwolnieniu (use-after-free) i awarii systemu.

W jądrze Linux wykryto podatność w mechanizmie znaczników czasu (timestamp cmsgs) dla gniazd AF_PACKET. Błędne założenie, że znacznik PACKET_OUTGOING jednoznacznie identyfikuje pakiety z kolejki błędów, pozwala na odczytanie stanu bufora sterującego AF_PACKET jako struktury sock_exterr_skb, co może prowadzić do ujawnienia danych z pamięci lub wywołania paniki jądra.

W jądrze Linux w sterowniku ptp_ocp wykryto podatność polegającą na błędnej kolejności zwalniania zasobów. Zasoby pinów są zwalniane przed wywołaniem ptp_clock_unregister(), co prowadzi do użycia po zwolnieniu (use-after-free) podczas usuwania sterownika.

W jądrze Linux wykryto podatność w module netfilter, gdzie funkcja ebt_redirect_tg() nie sprawdzała wartości NULL zwracanej przez br_port_get_rcu(). Może to prowadzić do paniki jądra, gdy port mostka zostanie usunięty między wywołaniem haka a reiniekcją NFQUEUE. Dodatkowo, użytkownik może przenieść urządzenie do innego wirtualnego interfejsu, co wymaga porzucenia pakietu.

W jądrze Linux w podsystemie netfilter/x_tables wykryto podatność umożliwiającą wyciek wskaźnika do liczników per-CPU. Podczas kopiowania reguł do przestrzeni użytkownika, w przypadku błędu stronicowania (page fault) może dojść do pozostawienia surowego wskaźnika pamięci per-CPU w buforze użytkownika.

W jądrze Linux wykryto podatność w module netfilter nft_exthdr, gdzie funkcja nft_exthdr_init() oznacza w bitmapie rejestru więcej bajtów niż faktycznie zapisywane przy użyciu flagi F_PRESENT. Gdy długość danych (priv->len) przekracza 4 bajty, rejestry poza pierwszym nie są zapisywane, co prowadzi do wycieku niezainicjalizowanych danych ze stosu.

W jądrze Linuxa w sterowniku mvpp2 wykryto błąd synchronizacji DMA dla odebranych pakietów. Funkcja synchronizująca dane dla CPU rozpoczynała się od nieprawidłowego przesunięcia, pomijając część danych na końcu ramki i synchronizując nieużywany nagłówek. Na systemach bez spójności pamięci cache może to prowadzić do odczytu nieaktualnych danych przez CPU.

W jądrze Linux wykryto podatność w funkcji cleanup_prefix_route() dla IPv6. Funkcja addrconf_get_prefix_route() może zwrócić wpis fib6_null_entry z pustym wskaźnikiem fib6_table, co przy próbie ustawienia czasu wygaśnięcia trasy prowadzi do wyłuskania pustego wskaźnika (NPD). Problem został załatany przez dodanie sprawdzenia przed operacją na wpisie.

W sterowniku DRM vc4 jądra Linux wykryto wyciek pamięci związany z nieprawidłowym użyciem funkcji krealloc(). Bezpośrednie nadpisywanie oryginalnego wskaźnika bez sprawdzenia, czy zwrócona wartość nie jest NULL, powoduje utratę referencji do wcześniej zaalokowanej pamięci w przypadku niepowodzenia realokacji.

W jądrze Linux wykryto podatność use-after-free w module nft_tunnel. Funkcja nft_tunnel_obj_destroy() wywołuje metadata_dst_free(), które bezpośrednio zwalnia pamięć metadata_dst, ignorując licznik odwołań dst_entry. Pakiety, które przechowują referencję przez dst_hold() w nft_tunnel_obj_eval() i są nadal w kolejce (np. w netem qdisc), pozostają z wiszącym wskaźnikiem, co prowadzi do użycia po zwolnieniu przy ich dalszym przetwarzaniu.

W jądrze Linux wykryto podatność w module netfilter nft_meta_bridge, gdzie rejestr IIFHWADDR deklaruje 8 bajtów, ale kopiuje tylko 6 bajtów adresu MAC, pozostawiając 2 bajty niezainicjalizowane na stosie. To może prowadzić do wycieku danych ze stosu do przestrzeni użytkownika.

W jądrze Linux wykryto wyciek pamięci współdzielonej (shm) w funkcji register_shm_helper() sterownika TEE. Gdy iov_iter_npages() zwróci 0, funkcja przechodzi do etykiety err_ctx_put, pomijając zwolnienie wcześniej zaalokowanego shm. Problem można wywołać przez wywołanie TEE_IOC_SHM_REGISTER z zerową długością danych.

W jądrze Linux wykryto podatność w stosie Bluetooth, gdzie funkcja hci_adv_bcast_annoucement() może doprowadzić do przepełnienia bufora tymczasowego podczas przygotowywania danych rozgłoszeniowych Broadcast Announcement. Problem występuje, gdy istniejące instancje reklamowe mają już maksymalny dozwolony rozmiar ładunku, a dodanie danych usługi powoduje przekroczenie pojemności bufora.

W jądrze Linuxa w podsystemie Bluetooth L2CAP wykryto podatność, która pozwala nieuwierzytelnionemu urządzeniu BR/EDR w zasięgu radiowym na wysłanie pakietu sygnalizacyjnego większego niż dozwolony MTU (MTUsig). Taki pakiet może zawierać wiele poleceń ECHO_REQ, zmuszając urządzenie docelowe do wysłania wielu odpowiedzi ECHO_RSP, co może prowadzić do przeciążenia.

W jądrze Linux wykryto podatność na zakleszczenie (AA deadlock) w mechanizmie obsługi błędów pamięci. Dwa równoczesne wywołania madvise(MADV_HWPOISON) na tej samej stronie hugetlb mogą doprowadzić do samozakleszczenia spinlocka hugetlb_lock podczas wyścigu z równoczesnym odmapowaniem strony.

W jądrze Linux w sterowniku accel/ivpu dodano walidację pamięci uruchomieniowej firmware'u. Brak sprawdzania granic mógł prowadzić do błędów alokacji pamięci i transferu obrazu firmware'u.

W jądrze Linuxa w sterowniku accel/ivpu dodano walidację indeksów odczytu i zapisu bufora logów firmware'u. Brak sprawdzania zakresów mógł prowadzić do odczytu/zapisu poza dozwolonym obszarem pamięci, gdy firmware dostarczał nieprawidłowe indeksy.

W jądrze Linuxa w sterowniku stratix10-rsu wykryto podatność prowadzącą do wyłuskania wskaźnika NULL. Błąd występuje, gdy funkcja rsu_send_msg() zwróci -ETIMEDOUT z powodu przekroczenia czasu oczekiwania, a następnie kod kontynuuje przetwarzanie na kanale, którego struktura scl została już wyczyszczona. Skutkuje to dereferencją wskaźnika NULL w wątku svc kthread.

W jądrze Linux w sterowniku accel/ivpu dodano sprawdzenie przepełnienia bufora w funkcji get_info_ioctl. Brak walidacji rozmiaru danych zwracanych przez firmware mógł prowadzić do kopiowania danych poza przydzielony bufor.

W jądrze Linux w sterowniku accel/ivpu wykryto podatność polegającą na błędzie konwersji typu danych w funkcji odbierającej IPC. Duże wartości unsigned (>= 0x80000000) dostarczone przez firmware są rzutowane na signed int, co prowadzi do ujemnej wartości i w konsekwencji do przepełnienia bufora stosu podczas operacji memcpy.

W jądrze Linux wycofano optymalizację pomijającą przełączanie kolejki exec podczas zawieszania, która omijała zawieszanie GuC. Powodowało to brak przełączenia kontekstu i flushowania TLB dla unieważnionych VMA userptr, prowadząc do błędów strony w testach unieważniania userptr w trybie LR/preempt-fence.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, dotyczącą obsługi bitu XN[0] w przypadku braku wsparcia FEAT_XNX. Błąd polega na nieprawidłowym użyciu makra FIELD_PREP() do maski czyszczącej XN[0], co powoduje niekontrolowane nadawanie uprawnień do wykonywania kodu.

W jądrze Linux w sterowniku hv_netvsc wykryto podatność polegającą na użyciu phys_to_virt() do mapowania stron pamięci, co na 32-bitowym x86 z CONFIG_HIGHMEM=y prowadzi do błędów dostępu do pamięci i awarii systemu. Problem został naprawiony poprzez zastąpienie phys_to_virt() funkcją kmap_local_page(), która poprawnie obsługuje strony spoza bezpośredniego mapowania jądra.