Podatności Linux kernel

W jądrze Linux w podsystemie VRF wykryto podatność na wyłuskanie pustego wskaźnika (NPD) podczas usuwania portu z VRF. RCU czytelnicy mogą założyć, że urządzenie sieciowe jest portem VRF, a następnie wywołać operacje l3mdev na nowym urządzeniu nadrzędnym (np. mostku), które ich nie posiada, co prowadzi do dereferencji NULL.

W jądrze Linux wykryto podatność w mechanizmie alokacji identyfikatorów IPC SysV. Funkcja `ipc_idr_alloc()` w ścieżce checkpoint/restore może przydzielić identyfikator poza dozwolonym zakresem (`ipc_mni`), co prowadzi do błędnego mapowania w IDR i pozostawienia wiszących wskaźników. Skutkuje to możliwością naruszenia integralności danych i potencjalnego wykonania kodu przez dereferencję zwolnionej pamięci.

W jądrze Linuxa w module batman-adv (Distributed ARP Table) brakuje sprawdzenia wyniku funkcji pskb_copy_for_clone(). Nieudana alokacja pamięci prowadzi do dereferencji wskaźnika NULL w batadv_send_skb_prepare_unicast_4addr(), co powoduje awarię systemu.

W jądrze Linuxa w podsystemie netfilter/ipset znaleziono podatność w iteracji zakresów IPv4 dla zestawów hash:ip,mark, hash:ip,port, hash:ip,port,ip oraz hash:ip,port,net. Iterator 32-bitowy może po przetworzeniu ostatniego adresu w żądanym zakresie przesunąć stan przejścia poza koniec żądania, co przy ponownej próbie może prowadzić do kontynuacji z nieprzewidzianej pozycji.

W jądrze Linuxa wykryto podatność w module netfilter xt_policy, dotyczącą ścisłego dopasowania polityk dla ruchu przychodzącego. Funkcja match_policy_in() przetwarza wpisy sec_path w odwrotnej kolejności, co powoduje nieprawidłowe dopasowanie reguł składających się z wielu elementów.

W jądrze Linux w module batman-adv wykryto podatność polegającą na niedomiarze licznika w mechanizmie tp_meter podczas zamykania sesji. Gdy wiele ścieżek (np. timeout, anulowanie przez użytkownika, normalne zakończenie) wywołuje funkcję batadv_tp_sender_shutdown(), licznik atomowy 'sending' może spaść poniżej zera, co prowadzi do nieskończonej pętli wątku nadawcy. Powoduje to użycie po zwolnieniu pamięci (use-after-free) przy usuwaniu interfejsu.

W jądrze Linuxa wykryto podatność w stosie Bluetooth polegającą na braku synchronizacji dostępu do kolejki accept_q. Funkcja bt_sock_poll() przegląda tę kolejkę bez blokady, podczas gdy proces zamykania gniazda potomnego może jednocześnie usunąć je z kolejki i zwolnić ostatnie referencje, co prowadzi do wyścigu (race condition). Problem istnieje od początku implementacji Bluetooth w jądrze.

W jądrze Linux wykryto podatność w mechanizmie SCTP sock_diag, gdzie funkcja dump_one może przetwarzać nieaktualne asocjacje. Po zablokowaniu na lock_sock() i zakończeniu sctp_association_free(), asocjacja jest oznaczana jako martwa, a jej lista adresów bind jest zwalniana, co prowadzi do odczytu poza zakresem pamięci.

W jądrze Linux w module batman-adv wykryto podatność polegającą na możliwości rekurencyjnego przetwarzania fragmentów pakietów BATADV_UNICAST_FRAG. Złośliwy nadawca może wysłać pakiet, którego złożona treść sama jest pakietem BATADV_UNICAST_FRAG, co prowadzi do nieograniczonej rekurencji i wyczerpania stosu jądra.

W jądrze Linuxa w module netfilter ip6t_hbh wykryto podatność polegającą na braku walidacji rozmiaru listy opcji Hop-by-Hop. Użytkownik może przekazać z przestrzeni użytkownika wartość optsnr większą niż dozwolona (IP6T_OPTS_OPTSNR = 16), co prowadzi do odczytu lub zapisu poza zakresem tablicy opts. Problem został zgłoszony przez UBSAN jako naruszenie granic tablicy.

W jądrze Linuxa w module batman-adv (B.A.T.M.A.N. Advanced) wykryto podatność na dereferencję wskaźnika NULL. Gdy interfejs sieciowy jest wyłączany, wskaźnik do struktury mesh_iface jest zerowany, ale funkcja batadv_v_ogm_send_meshif() może nadal wysyłać pakiety OGMv2 przez wyłączony interfejs, co prowadzi do próby odczytu z adresu NULL i awarii systemu.

W jądrze Linux wykryto podatność w mechanizmie kolejkowania netfilter (NFQUEUE) dla mostkowanych pakietów. Funkcja br_pass_frame_up() zmienia skb->dev na interfejs mostka przed zakolejkowaniem, ale NFQUEUE nie przechowuje referencji do tego urządzenia, co prowadzi do użycia po zwolnieniu (use-after-free) podczas ponownego wstrzyknięcia pakietu po usunięciu mostka.

W jądrze Linuxa w systemie plików ksmbd wykryto podatność polegającą na tym, że flaga conn->binding pozostawała ustawiona po zakończeniu SESSION_SETUP, co umożliwiało wyszukiwanie globalne sesji dla połączeń, które nie były z nimi powiązane. Poprawka zawęża globalne wyszukiwanie tak, aby zwracana sesja musiała mieć zarejestrowane połączenie w swoim kanale xarray.

W jądrze Linux wykryto podatność w mechanizmie BPF dotyczącą grupy gniazd reuseport. cBPF program był zwalniany natychmiastowo bez oczekiwania na zakończenie fazy RCU, co prowadziło do odczytu poza zakresem pamięci (use-after-free) podczas wyboru gniazda w funkcji reuseport_select_sock.

W jądrze Linuxa stwierdzono podatność w sterowniku ip6_vti, gdzie urządzenie fallback (ip6_vti0) nie ma ustawionej flagi netns_immutable. Inne podobne sterowniki tuneli (np. ip6_tunnel, sit) poprawnie ustawiają tę flagę, aby zapobiec przenoszeniu urządzenia do innej przestrzeni nazw sieciowych.

W jądrze Linuxa znaleziono podatność w mechanizmie ponownej rejestracji regionów pamięci (MR) w sterownikach RDMA. Podczas zmiany uprawnień dostępu z tylko do odczytu (RO) na odczyt i zapis (RW) nie była weryfikowana spójność mapowania pamięci użytkownika (umem), co mogło prowadzić do nieprawidłowego przypinania stron.

Podatność w jądrze Linux w module net/sched (pedit) powoduje uszkodzenie pamięci podręcznej stron z powodu niepełnego COW przy edycji pakietów.

W sterowniku MANA dla Linuksa wykryto podatność use-after-free, która umożliwia autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

W jądrze Linux w sterowniku rockchip rkcif dla mediów naprawiono błędy off-by-one, które mogły powodować dostęp poza zakres tablicy.

W jądrze Linuxa w systemie plików 9p wykryto podatność polegającą na tym, że flagi trybu dostępu są dodawane (OR) zamiast zastępować poprzednie ustawienia. Powoduje to, że przy montowaniu z opcją 'access=user' obie flagi (V9FS_ACCESS_CLIENT i V9FS_ACCESS_USER) są ustawione, co uniemożliwia poprawne działanie operacji takich jak chown.

W jądrze Linuxa, w podsystemie DAMON, brak sprawdzenia czy min_region_sz jest potęgą dwójki w funkcji damon_start() może prowadzić do nieprawidłowych zakresów adresów regionów. Problem został naprawiony przez dodanie odpowiedniego sprawdzenia.

W jądrze Linuxa, w sterowniku Nouveau (drm/nouveau), niepowodzenie aperture_remove_conflicting_pci_devices() podczas inicjalizacji powoduje wyciek obiektu nvkm_device, ponieważ ścieżka błędu nie zwalnia go przed zwróceniem. Problem został naprawiony przez skok do etykiety fail_nvkm.

W jądrze Linuxa w sterowniku greybus gb-beagleplay występuje podatność przepełnienia bufora w funkcji cc1352_bootloader_rx(). Brak sprawdzenia, czy przychodzący fragment danych mieści się w pozostałym miejscu bufora, może prowadzić do przepełnienia bufora i potencjalnego wykonania kodu.

W jądrze Linux wycofano wsparcie TCP ULP dla SMC, ponieważ implementacja naruszała niezmienniki VFS, stwarzając ryzyko użycia po zwolnieniu i niestabilności systemu.

W jądrze Linuxa, w systemie plików EROFS, żądania I/O poza końcem systemu plików dla montowań plikowych nie są zerowane, co może prowadzić do wycieku danych. Problem został naprawiony przez odpowiednie zerowanie takich żądań.

W jądrze Linux w module AppArmor naprawiono obsługę limitów zasobów dla timerów CPU POSIX, dodając warunkową aktualizację timerów.

W jądrze Linuxa w menedżerze woluminów logicznych (device mapper) wykryto podatność w funkcji dm_blk_report_zones, która sprawdza stan zawieszenia urządzenia bez trzymania blokady. Urządzenie może zostać zawieszone tuż po teście, co prowadzi do wyścigu.

W jądrze Linux, w sterowniku ciśnienia MPRLS0025PA (iio: pressure), stwierdzono brak inicjalizacji struktury spi_transfer przed użyciem. Może to prowadzić do nieprzewidywalnego zachowania lub błędów podczas komunikacji SPI.

W jądrze Linuxa w podsystemie netfilter nf_tables funkcje nft_netdev_unregister_hooks i __nft_unregister_flowtable_net_hooks nie używały list_del_rcu() do usuwania elementów z listy hooków netlink. Ponieważ lista ta może być jednocześnie przeglądana przez zrzuty (dumpers), brak synchronizacji RCU mógł prowadzić do wyścigu danych.

W jądrze Linuxa wykryto podatność w mechanizmie GRO (Generic Receive Offload), która pozwala na łączenie pakietów zerocopy bez sprawdzania flagi SKBFL_MANAGED_FRAG_REFS. Może to prowadzić do użycia po zwolnieniu (UAF) poprzez nieprawidłowe zarządzanie referencjami stron. Podatność występuje, gdy ostatni pakiet w łańcuchu GRO lub źródłowy pakiet jest zerocopy.

W jądrze Linux, w sterowniku tun (tun), stwierdzono wyciek pamięci w funkcji tun_xdp_one() przy niepowodzeniu build_skb(). Strona przydzielona przez vhost_net_build_xdp() nie była zwalniana, co prowadziło do wyczerpania pamięci. Każde niepowodzenie w partii powoduje wyciek fragmentu strony.

W jądrze Linux, w sterowniku tun (tun), stwierdzono wyciek pamięci w funkcji tun_xdp_one() przy odrzucaniu ramek krótszych niż ETH_HLEN. Strona przydzielona przez vhost_net_build_xdp() nie była zwalniana, co prowadziło do wyczerpania pamięci. Lokalny atakujący może wykorzystać tę podatność do wywołania paniki OOM.

W jądrze Linuxa w funkcji tap_get_user_xdp() występuje wyciek pamięci, ponieważ strony nie są zwalniane na ścieżkach błędów, co prowadzi do utraty fragmentów stron.

W jądrze Linuxa w module net/sched: act_ct wykryto podatność polegającą na użyciu po zwolnieniu (UAF) podczas wyszukiwania tabeli przepływów. Funkcja rhashtable_lookup_fast() zwalnia blokadę RCU przed inkrementacją licznika referencji, co pozwala na równoczesne zwolnienie obiektu ct_ft i prowadzi do eskalacji uprawnień.

W jądrze Linux wycofano łatkę dotyczącą hugetlbfs, która nieprawidłowo obsługiwała alokację blokady VMA w fazie mmap_prepare, co mogło prowadzić do wycieku blokady. Wycofanie przywraca poprzednie zachowanie, aby umożliwić przeprojektowanie mechanizmu.

W jądrze Linux w KVM dla ARM64 występuje podatność polegająca na użyciu po zwolnieniu (use-after-free) tablicy nested_mmus. Tablica ta jest ponownie alokowana bez odpowiedniego blokowania, co może prowadzić do odwołania do zwolnionej pamięci przez inne wątki.

W jądrze Linuxa operacja IORING_OP_WAITID nie inicjalizuje struktury przechowującej wyniki przed skopiowaniem jej do przestrzeni użytkownika. Jeśli operacja zakończy się bez zgłoszenia zdarzenia dziecka, do użytkownika mogą zostać skopiowane niechciane dane z poprzedniego użycia pamięci.

W jądrze Linux w sterowniku graficznym v3d wykryto podatność na nieskończoną pętlę. Lokalny użytkownik może przesłać samoodnoszące się rozszerzenie ioctl z zerową liczbą synchronizacji, co omija istniejące zabezpieczenia i powoduje zablokowanie wątku jądra oraz przeciążenie rdzenia procesora.

W sterowniku Intel IPU6 w jądrze Linuxa wystąpił błąd dereferencji wskaźnika błędu. W ścieżce obsługi błędu zmienna isp->psys jest wskaźnikiem błędu, a nie NULL, co prowadzi do dereferencji tego wskaźnika. Poprawka ustawia isp->psys na NULL przed przejściem do czyszczenia.

W jądrze Linux w podsystemie videobuf2 brakowało ustawienia flag VMA (VM_DONTEXPAND i VM_DONTDUMP) w funkcji vb2_dma_sg_mmap, co powodowało ostrzeżenie WARN_ON podczas mapowania pamięci dma-buf w sterowniku Apple ISP. Problem został rozwiązany przez dodanie tych flag, aby zachować spójność z zachowaniem vb2_dma_contig.

W jądrze Linux w sterowniku amdgpu naprawiono problem z dostępem do nieaktualnego mapowania wskaźnika zapisu (wptr), co mogło prowadzić do naruszenia bezpieczeństwa podczas tworzenia kolejki.

W sterowniku Renesas VSP1 w jądrze Linuxa podczas wyładowywania modułu na generacji 4 dochodzi do dereferencji wskaźnika NULL. Kod czyszczący wywołuje vsp1_drm_cleanup() zamiast vsp1_vspx_cleanup() dla odpowiedniej wersji IP. Poprawka sprawdza wersję IP i wywołuje odpowiednią funkcję.

W sterowniku DRM dla GPU Intel (xe) w jądrze Linux brakuje walidacji indeksu PAT dla pamięci z buforowaniem CPU. Użycie trybu koherencji XE_COH_NONE z pamięcią buforowaną przez CPU może prowadzić do wycieku danych.

W jądrze Linuxa w sterowniku pmdomain dla Mediatek, funkcja scpsys_get_bus_protection_legacy() wywołuje of_node_put() na węźle urządzenia przed sprawdzeniem błędu z syscon_regmap_lookup_by_phandle(). Jeśli wystąpi błąd, dev_err_probe() dereferencjonuje już zwolniony węzeł, co prowadzi do podatności use-after-free.

W jądrze Linuxa w sterowniku ath5k występuje błąd odczytu/zapisu poza zakresem tablicy. Indeks 'ts->ts_final_idx' może przyjąć wartość 3 dla układu 5212, co prowadzi do zapisu poza tablicą 'rates' o rozmiarze 4. Problem został zgłoszony przez UBSAN. Łatka dodaje warunek sprawdzający, czy indeks jest mniejszy od rozmiaru tablicy przed ustawieniem wartownika.

W jądrze Linux wykryto podatność w mechanizmie flow_dissector, który nieprawidłowo obsługuje ramki PPPoE z kompresją pola protokołu (PFC). Wysyłka spreparowanej ramki PPPoE PFC do interfejsu sieciowego na architekturze MIPS może spowodować wyjątek dostępu do niezaładowanej pamięci, prowadząc do awarii systemu.

W sterowniku rtl8723bs w jądrze Linux brakuje sprawdzenia poprawności alokacji pamięci w funkcji rtw_cbuf_alloc, co może prowadzić do dereferencji wskaźnika NULL i awarii systemu.

W jądrze Linux wykryto podatność w podsystemie NVMe over Fabrics (NVMe-oF) target, gdzie funkcja nvmet_ctrl_free() wywołuje flush_work na tej samej kolejce roboczej nvmet-wq, co prowadzi do potencjalnego zakleszczenia (deadlock) i ostrzeżenia lockdep o rekurencyjnym blokowaniu.

W jądrze Linuxa wykryto podatność w systemie plików ISO 9660 (isofs) związaną z walidacją rozszerzeń Rock Ridge. Funkcja rock_continue() odczytuje numer bloku extentu z rekordu CE bez sprawdzania, czy mieści się on w granicach zamontowanego woluminu, co może prowadzić do odczytu danych spoza zakresu lub z sąsiedniego systemu plików. Mimo że nie powoduje to naruszenia bezpieczeństwa pamięci, może umożliwić wyciek informacji przez readlink().

W jądrze Linux usunięto ograniczenie uniemożliwiające wielokrotne otwieranie pliku /sys/fs/selinux/policy, które pozwalało dowolnemu procesowi blokować innym odczyt polityki SELinux. Poprawka eliminuje flagę policy_opened i skraca sekcję krytyczną z mutexem.