Podatności Linux kernel

W jądrze Linuxa w JIT dla ARM64 wykryto błąd off-by-one w funkcji check_imm, która sprawdza zakres wartości natychmiastowych dla skoków warunkowych i bezwarunkowych. Błąd powoduje, że dopuszczane są wartości o jeden bit szersze niż przewiduje specyfikacja, co może prowadzić do nieprawidłowego kodowania instrukcji i zmiany kierunku skoku.

W jądrze Linux wykryto podatność na zakleszczenie (deadlock) w mechanizmie BPF sockmap podczas iteracji po gniazdach AF_UNIX. Problem występuje, gdy funkcja bpf_iter_unix_seq_show() używa szybkiej ścieżki lock_sock_fast(), a program iteracyjny próbuje zaktualizować mapę sockmap, co prowadzi do rekurencyjnego blokowania tego samego zamka (slock-AF_UNIX).

W jądrze Linux wykryto podatność w mechanizmie sockmap dla gniazd AF_UNIX. Podczas wywołania connect() stan gniazda jest ustawiany na TCP_ESTABLISHED przed przypisaniem gniazda partnerskiego, co umożliwia wyścig z aktualizacją sockmap i prowadzi do dereferencji pustego wskaźnika (NULL pointer dereference).

W jądrze Linux wykryto błąd w mechanizmie BPF sockmap dla gniazd Unix (af_unix). Podczas iteracji programu BPF dochodzi do wyścigu, w którym wskaźnik `peer` staje się nieaktualny, co prowadzi do użycia po zwolnieniu (Use-After-Free). Łatka dodaje blokadę stanu gniazda, aby zapewnić stabilność podczas aktualizacji sockmap.

W jądrze Linux wykryto podatność w mechanizmie BPF, gdzie funkcja map_kptr_match_type() może wywołać dereferencję wskaźnika NULL. Problem występuje, gdy rejestr skalarny jest przechowywany w gnieździe kptr, ponieważ nie ma on przypisanego BTF, a kod próbuje sprawdzić reg->btf przed weryfikacją typu.

W jądrze Linux stwierdzono podatność w funkcji arena_alloc_pages() w mechanizmie BPF. Funkcja ta akceptuje identyfikator węzła (node_id) jako zwykły typ int i przekazuje go dalej bez żadnej walidacji zakresu.

W jądrze Linuxa w sterowniku i3c dla platform Renesas wykryto wyciek pamięci. Struktura xfer alokowana przez renesas_i3c_alloc_xfer() nie była zwalniana w funkcji renesas_i3c_i3c_xfers().

W jądrze Linux w systemie plików NTFS3 (ntfs3) wykryto podatność polegającą na użyciu niezainicjalizowanej zmiennej 'lcn' w funkcji ntfs_iomap_begin(). Problem występuje, gdy długość bloku (len) wynosi zero, co powoduje pominięcie inicjalizacji 'lcn' i prowadzi do odczytu nieokreślonej wartości.

W sterowniku USB Type-C w jądrze Linux wykryto błąd dereferencji wskaźnika błędu. Funkcja nie sprawdza poprawnie wyniku rejestracji partnera, co może prowadzić do dereferencji wskaźnika ERR_PTR i potencjalnego crashu systemu.

W systemie plików NTFS3 w jądrze Linux wykryto błąd polegający na braku załadowania przebiegów (runów) dla bloku VCN0 w funkcji attr_data_get_block_locked(). Może to prowadzić do błędnego odczytu i wyzwolenia ostrzeżenia WARN_ON(1).

W jądrze Linuxa w podsystemie NFSD wykryto błąd w funkcji nfsd4_add_rdaccess_to_wrdeleg, który powoduje niepotrzebne zwiększenie licznika dostępu do pliku nfs4_file. Gdy inny wątek już ustawił fp->fi_fds[O_RDONLY], ponowne wywołanie __nfs4_file_get_access prowadzi do nadmiarowego zliczania, co uniemożliwia zwolnienie obiektu nfsd_file. Podczas zatrzymywania usługi nfs-server nadmiarowe liczniki wywołują BUG w kmem_cache_destroy().

W jądrze Linux wykryto podatność use-after-free w sterowniku greybus raw. Problem występuje, gdy urządzenie raw bundle zostanie odłączone, ale aplikacja wciąż ma otwarty plik znakowy (cdev). Po zamknięciu pliku przez aplikację dochodzi do odwołania do już zwolnionej pamięci, co powoduje panic jądra.

W sterowniku Greybus RAW jądra Linux wykryto podatność use-after-free. Jeśli użytkownik wywoła operację zapisu do urządzenia znakowego po wywołaniu funkcji disconnect, dochodzi do dereferencji wskaźnika NULL i paniki jądra. Problem wynika z braku synchronizacji między operacją zapisu a niszczeniem połączenia.

W jądrze Linux w systemie plików NTFS3 odkryto podatność polegającą na braku dodania znaku końca łańcucha (NUL) po konwersji etykiety woluminu z UTF-16 na UTF-8. Funkcja ntfs_fill_super() nie zapewnia terminacji, co może prowadzić do odczytu poza przydzielonym buforem podczas wyświetlania etykiety przez ntfs3_label_show().

W jądrze Linux w sterowniku dell-wmi-sysman dla platform x86 wykryto podatność polegającą na braku sprawdzenia dostępnego miejsca podczas agregacji ciągów znaków z firmware'u. Funkcja populate_enum_data() łączyła wartości modyfikatorów i możliwych wartości w 512-bajtowe struktury, używając strcat() bez kontroli pozostałego miejsca, co mogło prowadzić do przepełnienia bufora.

W jądrze Linux wykryto podatność polegającą na przepełnieniu liczby całkowitej w funkcji sbc_execute_unmap() w podsystemie SCSI target. Brak zabezpieczenia przed zawijaniem się wartości LBA + range przy 64-bitowym przepełnieniu może prowadzić do nieprawidłowego sprawdzania granic.

W jądrze Linux wykryto potencjalny wyścig (race condition) podczas synchronizacji TLB. Problem wynika z braku blokady podczas przeglądania i modyfikacji tablic stron. Rozwiązanie polega na wyłączeniu dzielonej blokady tablic stron dla uproszczenia.

W jądrze Linuxa w sterowniku ccu_mix dla układów Spacemit wykryto odwrócony warunek w funkcji ccu_mix_trigger_fc(), który pomija wyzwalanie zmiany częstotliwości. Powoduje to panikę jądra podczas skalowania częstotliwości procesora (cpufreq).

W jądrze Linux w systemie plików F2FS wykryto błąd powodujący crash (BUG) podczas odśmiecania (GC). Problem występuje, gdy strona już zaktualizowana jest ponownie odczytywana z dysku, co prowadzi do naruszenia asercji VM_BUG_ON_FOLIO.

W jądrze Linux w systemie plików F2FS wykryto podatność powodującą utratę danych. Problem występuje, gdy operacja fsync na nowo utworzonym pliku jest wykonywana równocześnie z punktem kontrolnym (checkpoint). Błędna interpretacja flag nat_entry prowadzi do przedwczesnego założenia o zakończeniu punktu kontrolnego, co skutkuje utratą danych po awarii.

W jądrze Linuxa w podsystemie CCP (crypto: ccp) występuje podatność polegająca na nadpisywaniu bufora IV podczas operacji szyfrowania AES w trybie RFC3686. Funkcja ccp_aes_complete() przywracała 16 bajtów (AES_BLOCK_SIZE) do bufora IV, podczas gdy algorytm RFC3686 używa tylko 8-bajtowego IV, co prowadzi do przepełnienia bufora.

W jądrze Linux w systemie plików EROFS wykryto podatność polegającą na użyciu typu `unsigned long` dla zmiennej `lcn`, która na platformach 32-bitowych ma szerokość tylko 32 bitów. Powoduje to obcinanie przesunięcia `(lcn << lclusterbits)` przy pojemności powyżej 4 GiB, co może prowadzić do błędów w adresowaniu bloków.

W jądrze Linux w module net/sched/act_mirred wykryto błąd w funkcji tcf_blockcast_redir. Podczas iteracji portów bloku do przekierowania pakietów na wiele urządzeń, flaga mac_header_xmit była pobierana z niewłaściwego urządzenia (następnego w iteracji, a nie tego, do którego pakiet jest wysyłany). Powoduje to błędne decyzje o pushowaniu lub pullowaniu nagłówka MAC, co prowadzi do uszkodzenia nagłówka skb, a w skrajnych przypadkach do paniki jądra z powodu wyczerpania headroom.

W jądrze Linuxa w sterowniku macvlan brakuje rezerwacji miejsca w buforze Netlink dla atrybutu IFLA_MACVLAN_BC_CUTOFF. Powoduje to błąd -EMSGSIZE i ostrzeżenie WARN_ON podczas wyświetlania interfejsu, gdy funkcja bc_cutoff jest ustawiona na wartość inną niż 1.

W jądrze Linux wykryto podatność polegającą na nieaktualizowaniu flagi has_v4 w grupach nexthop podczas zastępowania nexthop IPv6 przez IPv4. Powoduje to, że trasy IPv6 mogą być przypisane do grup zawierających wyłącznie członków AF_INET, co prowadzi do dereferencji wskaźnika NULL i paniki systemu.

W jądrze Linux w harmonogramie sieciowym taprio wykryto podatność use-after-free w funkcji advance_sched() podczas przełączania harmonogramów. Po wywołaniu switch_schedules() stary harmonogram oper jest zwalniany przez call_rcu(), ale wskaźnik 'next' nadal wskazuje na wpis w starym harmonogramie, co prowadzi do odwołania do zwolnionej pamięci.

W sterowniku sieciowym Intel ice (i40e) wykryto podwójne zwolnienie bufora skb w funkcji ice_xmit_frame_ring(). Gdy ice_tso() lub ice_tx_csum() zawiedzie, skb jest zwalniany, ale wskaźnik w tx_buf pozostaje ustawiony, co prowadzi do ponownego zwolnienia podczas czyszczenia kolejki transmisyjnej.

W jądrze Linux w sterowniku ice wykryto błąd wyścigu podczas czyszczenia pierścienia znaczników czasu TX. Brak odpowiedniej synchronizacji między funkcjami ice_free_tx_tstamp_ring() a ice_tx_map() może prowadzić do dereferencji wskaźnika NULL.

W sterowniku ice jądra Linux wykryto potencjalne wyłuskanie wskaźnika NULL w ścieżce błędu funkcji ice_set_ringparam(). Problem wynika z wyzerowania wskaźnika tstamp_ring bez wyczyszczenia flagi ICE_TX_RING_FLAGS_TXTIME, co przy niepowodzeniu ice_setup_tx_ring() prowadzi do dereferencji NULL w ice_free_tx_tstamp_ring().

W jądrze Linuxa wykryto podatność w mechanizmie SOCKMAP dla gniazd AF_UNIX. SOCKMAP może ukryć przesyłany deskryptor pliku przed odśmiecaczem (GC), co prowadzi do wycieku pamięci i potencjalnego użycia po zwolnieniu (use-after-free). Atakujący może wykorzystać tę lukę do eskalacji uprawnień lub destabilizacji systemu.

W jądrze Linux wykryto podatność w funkcji sctp_getsockopt_peer_auth_chunks, która nieprawidłowo sprawdza rozmiar bufora użytkownika przed zapisem danych. Brak uwzględnienia nagłówka struktury sctp_authchunks (8 bajtów) powoduje zapis poza przydzieloną pamięć, co może nadpisać sąsiednie dane użytkownika.

W jądrze Linux wykryto podatność w sterowniku PPPoE, która pozwala na odrzucenie ramek z kompresją pola protokołu (PFC). Atakujący może wysłać spreparowaną ramkę z 1-bajtowym polem protokołu, co powoduje przesunięcie danych o jeden bajt i może prowadzić do błędów dostępu do pamięci na niektórych architekturach.

W jądrze Linux stwierdzono podatność w module netfilter xtables, polegającą na nieprawidłowym użyciu NFPROTO_UNSPEC w rozszerzeniach xt_mac, xt_owner, xt_physdev i xt_realm. Powoduje to, że reguły filtrowania mogą być stosowane do nieoczekiwanych rodzin protokołów, co może prowadzić do błędów konfiguracji zapory sieciowej.

W jądrze Linuxa w podsystemie netfilter/nat wykryto problem z bezpieczeństwem polegający na tym, że struktury ops używane do rejestracji hooków NAT nie były zwalniane z opóźnieniem (kfree_rcu). Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy użytkownik odczytuje listę aktywnych hooków przez nfnetlink_hook, co zostało dodane w wersji 5.14.

W jądrze Linux wykryto podatność w module netfilter nfnetlink_osf, gdzie funkcja nf_osf_ttl() sprawdzała TTL pakietu, odwołując się do wskaźnika skb->dev bez weryfikacji jego poprawności, co mogło prowadzić do dereferencji pustego wskaźnika. Dodatkowo, logika sprawdzania TTL opierała się na błędnym założeniu, że pakiety z tej samej podsieci nie powinny mieć zmniejszonego TTL, co jest nieprawdziwe w środowiskach z kontenerami i przełączaniem wirtualnym.

W jądrze Linuxa w mechanizmie kolejkowania dualpi2 (net/sched) wykryto podatność polegającą na błędnym opróżnianiu kolejek C i L podczas zmiany konfiguracji. Funkcja dualpi2_change() nieprawidłowo obsługiwała sytuację, gdy pakiety znajdowały się tylko w kolejce L, co prowadziło do dereferencji wskaźnika NULL.

W jądrze Linuxa w systemie plików ksmbd wykryto wyciek deskryptora pliku trwałego (durable fd) w przypadku niezgodności ClientGUID podczas otwierania trwałego v2. Funkcja ksmbd_lookup_fd_cguid() zwiększa licznik odwołań, ale w ścieżce niezgodności ClientGUID nie jest on zwalniany, co prowadzi do wycieku zasobów.

W jądrze Linux w podsystemie RDS wykryto podatność polegającą na niezerowaniu bufora informacyjnego przed przekazaniem go do funkcji odwiedzających. Powoduje to wyciek danych ze stosu jądra do przestrzeni użytkownika, gdy połączenie RDS nie jest w stanie RDS_CONN_UP.

W jądrze Linux w sterowniku vsock/virtio wykryto błąd w funkcji virtio_transport_init_zcopy_skb(), która używała już skonsumowanego iteratora (iter->count) do obliczania liczby stron do zablokowania w pamięci. Powodowało to pomijanie ograniczenia RLIMIT_MEMLOCK dla ostatniego pakietu, co mogło prowadzić do niekontrolowanego zużycia pamięci.

W jądrze Linux wykryto podatność w systemie plików ADFS, gdzie brak walidacji liczby stref (nzones) w funkcji adfs_validate_bblk() może prowadzić do zapisu poza zakresem pamięci. Atakujący może dostarczyć spreparowany obraz dysku z zerową liczbą stref, co powoduje wywołanie kmalloc_array(0, ...) zwracającego ZERO_SIZE_PTR, a następnie zapis przed przydzielonym buforem.

W jądrze Linux wykryto błąd wyścigu między zapisem do pliku ciśnienia (pressure write) a zwalnianiem pliku grupy kontrolnej (cgroup file release). Problem dotyczy struktury priv w struct kernfs_open_file, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto wyciek referencji do i-węzła w funkcji fsnotify_recalc_mask(). Problem występuje, gdy zwracana przez __fsnotify_recalc_mask() wartość (wskaźnik do i-węzła) nie jest obsługiwana, co prowadzi do braku wywołania iput() i fsnotify_put_sb_watched_objects(). Skutkuje to zawieszeniem systemu podczas odmontowywania systemu plików.

W jądrze Linux w podsystemie netfilter/nf_tables wykryto podatność polegającą na niebezpiecznym publikowaniu nowych haków (hooks) na liście basechain/flowtable podczas fazy zatwierdzania (commit). Brak użycia splice_list_rcu() może prowadzić do naruszenia bezpieczeństwa przy równoczesnym przeglądaniu listy przez netlink dump i aktualizacji reguł.

W jądrze Linux w sterowniku amdgpu wykryto podwójne wywołanie drm_exec_fini() w funkcji walidacji userq. Gdy nowe dodanie jest prawdziwe, funkcja najpierw finalizuje exec, a następnie przy błędzie amdgpu_ttm_tt_get_user_pages() ponownie wywołuje drm_exec_fini(), co prowadzi do podwójnego zwolnienia zasobów. Problem został znaleziony przez statyczne narzędzie analizy i potwierdzony przeglądem kodu.

W jądrze Linux wykryto podatność w module netdevsim, gdzie funkcja nsim_dev_trap_skb_build niezeruje struktury IP nagłówka w fałszywym buforze sk_buff. Może to prowadzić do wycieku niezainicjalizowanych danych przez KMSAN.

W jądrze Linuxa w podsystemie net/sched: netem wykryto podatność polegającą na nieprawidłowym sprawdzaniu limitu kolejki. Licznik q->t_len uwzględniał tylko pakiety w wewnętrznej kolejce tfifo, pomijając pakiety umieszczane w sch->q przez ścieżkę reorder (__qdisc_enqueue_head). Powodowało to możliwość przekroczenia limitu sch->limit podczas kolejkowania z reorderingiem.

W jądrze Linux wykryto podatność w sterowniku sieciowym airoha, powodującą niezrównoważenie BQL (Byte Queue Limits) w ścieżce transmisji. Problem wynika z nieprawidłowego indeksowania kolejek TX, gdzie liczba pakietów w locie jest uwzględniana tylko dla ograniczonej liczby kolejek, podczas gdy ukończenia są rozliczane dla wszystkich kolejek.

W jądrze Linuxa w funkcji neigh_xmit występuje wyciek pamięci (skb) w przypadku wywołania z niezainicjalizowaną tablicą sąsiadów (np. NEIGH_ND_TABLE przy wyłączonym IPv6). Funkcja nie zwalniała wtedy pakietu, a jej zwracana wartość była ignorowana przez wywołującego (np. MPLS). Łatka zapewnia pełne przejęcie własności skb i usunięcie ostatniej ścieżki kodu, która nie wysyłała ani nie zwalniała pakietu.

W jądrze Linux wykryto podatność w schedulerze CFS (Completely Fair Scheduler), gdzie nowo utworzone zadanie (fork) może odziedziczyć nieprawidłową flagę rel_deadline. Powoduje to błędne przeliczenie deadline'u, a w konsekwencji przepełnienie zmiennej vruntime, co prowadzi do awarii systemu (NULL pointer dereference) przy wywołaniu sched_yield().

W jądrze Linuxa w module PSP (Packet Security Protocol) wykryto podatność polegającą na braku sprawdzenia, czy urządzenie sieciowe zostało wyrejestrowane podczas tworzenia asocjacji. Funkcja psp_assoc_device_get_locked() może uzyskać referencję do urządzenia, które w międzyczasie zostało wyrejestrowane, co prowadzi do użycia po zwolnieniu (use-after-free).