Podatności Linux kernel

W jądrze Linuxa zidentyfikowano podatność typu use-after-free w funkcji caif_serial ldisc_close(). Problem występuje, gdy handle_tx() uzyskuje dostęp do ser->tty po jego zwolnieniu, co prowadzi do niebezpiecznego wskaźnika.

W jądrze systemu Linux rozwiązano podatność związaną z tabelą PASID, która mogła być używana przez sprzęt IOMMU w niezgodny sposób. Problem polegał na niewłaściwym kolejności flushowania pamięci podręcznej przed zapisaniem adresu nowo przydzielonej tabeli PASID.

W jądrze Linuxa rozwiązano podatność w netfilter, która powodowała, że pakiety były odrzucane zamiast kolejkowane, gdy aplikacja nie ustawiła flagi 'F_GSO' i otrzymała pakiet GSO z niepotwierdzonym wpisem nf_conn.

W jądrze systemu Linux zidentyfikowano podatność w funkcji ib_uverbs_post_send(), która nie weryfikuje wartości wqe_size przed jej użyciem. Umożliwia to odczyt danych poza przydzielonym buforem, co może prowadzić do wycieku wrażliwych informacji z pamięci jądra.

W jądrze Linuxa zidentyfikowano podatność w funkcji amdgpu_gmc_get_nps_memranges(), która używa kfree() do zwalniania pamięci alokowanej przez vmalloc(). Może to prowadzić do uszkodzenia pamięci.

W jądrze Linux w sterowniku RDMA/rxe wykryto podwójne zwolnienie pamięci w funkcji rxe_srq_from_init. Wskaźnik kolejki 'q' jest przypisywany do 'srq->rq.queue' przed skopiowaniem numeru SRQ do przestrzeni użytkownika, a w przypadku błędu copy_to_user() dochodzi do podwójnego wywołania rxe_queue_cleanup().

W jądrze systemu Linux zidentyfikowano podatność w funkcji reserve_unaccepted(), która błędnie oblicza rozmiar rezerwacji pamięci dla tabeli niezaakceptowanej. Problem ten może prowadzić do nadpisania tabeli lub jej niedostępności, co skutkuje paniką jądra.

W jądrze Linuxa naprawiono podatność związaną z dostępem do pamięci poza stosu w funkcji is_bprm_creds_for_exec(). Problem ten występował w wyniku błędnego obliczenia offsetu przy użyciu wskaźnika *file.

W jądrze Linuxa w stosie Bluetooth L2CAP brakuje sprawdzenia NULL w funkcji l2cap_sock_get_sndtimeo_cb(), co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linuxa w stosie Bluetooth L2CAP brakuje sprawdzenia NULL w funkcji l2cap_sock_new_connection_cb(), co może prowadzić do dereferencji wskaźnika NULL.

W jądrze Linux naprawiono błąd null-ptr-deref w funkcji l2cap_sock_state_change_cb() w stosie Bluetooth L2CAP. Dodano brakującą kontrolę NULL, podobną do tej w l2cap_sock_resume_cb() i l2cap_sock_ready_cb().

W jądrze Linuxa wykryto podatność w funkcjach pomocniczych do przenoszenia fragmentów pakietów sieciowych. Funkcje __pskb_copy_fclone() i skb_shift() nie propagują flagi SKBFL_SHARED_FRAG, co powoduje, że docelowy bufor sieciowy nie informuje o współdzielonych stronach pamięci. Może to prowadzić do zapisu do pamięci podręcznej stron plików tylko do odczytu przez nieuprzywilejowanego użytkownika.

W jądrze Linuxa w podsystemie net/rds występuje problem z czyszczeniem zerocopy send przed zakolejkowaniem wiadomości. Nieprawidłowe rozróżnianie stanu zerocopy może prowadzić do nieprawidłowego czyszczenia stron użytkownika.

W jądrze Linuxa występuje podatność w funkcji remove_waiter() w mechanizmie rtmutex. Funkcja ta używa current zamiast waiter::task, co powoduje problemy przy wycofywaniu blokady proxy w rt_mutex_start_proxy_lock() wywoływanym z futex_requeue(). Prowadzi to do braku blokady pi_lock, nieczyszczenia stanu pi_blocked_on (ryzyko UAF) oraz błędnego działania rt_mutex_adjust_prio_chain().

W jądrze Linux naprawiono lukę w sterowniku accel/ivpu, która uniemożliwia ponowny eksport zaimportowanych obiektów GEM. Ponowny eksport powoduje utratę ustawień flag bufora, prowadząc do nieprawidłowego dostępu do urządzenia i uszkodzenia danych.

W sterowniku fbdev udlfb w jądrze Linux dodano vm_ops do dlfb_ops_mmap, aby zapobiec użyciu po zwolnieniu (use-after-free). Brak vm_ops umożliwiał utrzymywanie starych mapowań pamięci po zmianie bufora, co prowadziło do dostępu do zwolnionych stron.

W jądrze Linuxa w podsystemie sieciowym wykryto podatność w dyscyplinie kolejkowania RED. Gdy RED ma dzieci (np. qfq), a rodzic (np. tbf) wywołuje dequeue po peek(), może dojść do dereferencji pustego wskaźnika i paniki jądra. Problem rozwiązano zastępując bezpośrednie wywołanie dequeue przez qdisc_dequeue_peeked().

W jądrze Linuxa w sterowniku WWAN t7xx funkcja t7xx_port_enum_msg_handler() używa dostarczonego przez modem pola port_count jako granicy pętli bez sprawdzania, czy bufor wiadomości zawiera wystarczające dane. Wysyłanie port_count=65535 w 12-bajtowym buforze powoduje odczyt poza zakresem (slab-out-of-bounds) do 262140 bajtów. Dodano odpowiednie sprawdzenia rozmiaru.

W jądrze Linuxa w stosie RDS, gdy iov_iter_get_pages2() zawiedzie w rds_message_zcopy_from_user(), zwalniane są strony, ale pole rm->data.op_nents nie jest resetowane. Późniejsze wywołanie rds_message_purge() iteruje po nieprawidłowej liczbie op_nents i ponownie zwalnia strony, co prowadzi do podwójnego zwolnienia.

Funkcja ptrace(PT_SC_REMOTE) nieprawidłowo waliduje parametry dla wywołań systemowych syscall(2) i __syscall(2), co pozwala użytkownikowi z możliwością debugowania procesu na wywołanie dowolnego kodu w jądrze, nawet jeśli debugowany proces nie ma specjalnych uprawnień. Brak walidacji umożliwia nieuprzywilejowanemu użytkownikowi lokalnemu eskalację uprawnień i potencjalne przejęcie pełnej kontroli nad systemem.

Podatność w systemie wywołania setcred(2) w jądrze Linuxa. Przed sprawdzeniem uprawnień wywołującego, lista grup uzupełniających jest kopiowana do bufora stosu jądra o stałym rozmiarze bez walidacji długości. Może to prowadzić do przepełnienia bufora stosu, co może zostać wykorzystane przez nieuprzywilejowanego użytkownika lokalnego.

W jądrze Linux stwierdzono podatność w mechanizmie ptrace związaną z logiką 'get_dumpable()'. Funkcja ta, używana do sprawdzania uprawnień dostępu, działała nieprawidłowo dla wątków bez własnej przestrzeni adresowej (mm), co mogło prowadzić do nieautoryzowanego dostępu do szczegółów wątków jądra.

W jądrze Linux wykryto podatność w mechanizmie bondingu, gdzie funkcja bond_setup_by_slave() bezpośrednio kopiuje wskaźnik header_ops z urządzenia podrzędnego (np. tunelu GRE) do urządzenia bond. Powoduje to pomieszanie typów, ponieważ funkcje nagłówkowe, takie jak ipgre_header(), używają netdev_priv() do dostępu do prywatnych danych urządzenia, a w przypadku bonda zwracają one strukturę bondingu zamiast oczekiwanej struktury tunelu IP, co prowadzi do odczytu śmieciowych wartości i awarii jądra.

W jądrze Linux w ALSA PCM występuje podatność use-after-free na połączonym strumieniu w funkcji snd_pcm_drain(). Zmienna 'runtime' jest przypisywana do runtime połączonego strumienia, a po zwolnieniu blokady dostęp do pól runtime może odnosić się do zwolnionej pamięci, jeśli równocześnie zamknięto strumień. Poprawka polega na zapisaniu potrzebnych pól do zmiennych lokalnych przed zwolnieniem blokady.

W jądrze systemu Linux naprawiono podatność związaną z cyklem życia urządzenia sieciowego, które przetrwało odłączenie od urządzenia gadżetu, co prowadziło do problemów z wskaźnikami w sysfs oraz dereferencją wskaźnika null.

W jądrze Linuxa rozwiązano podatność związaną z otwieraniem uchwytów w systemie nsfs, która polegała na zbyt luźnych sprawdzeniach uprawnień. Nawet usługi z uprawnieniami administratora nie powinny mieć dostępu do przestrzeni nazw innych usług z uprawnieniami, aby zapobiec wyciekowi informacji.

W jądrze Linux wykryto podatność w sterowniku czujnika światła bh1780, która powoduje wyciek licznika referencyjnego zarządzania energią (PM runtime) na ścieżce błędu. Problem polega na tym, że funkcja pm_runtime_put_autosuspend() nie jest wywoływana, gdy operacja odczytu zakończy się niepowodzeniem, co prowadzi do nieprawidłowego stanu zarządzania energią.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy przetwarzania SID w kontekście NFS. Problem polega na tym, że funkcja parse_dacl() może odczytać dane poza granicami ACE, co może prowadzić do nieautoryzowanego dostępu.

W jądrze Linux w podsystemie perf/x86/intel/uncore występują błędy w inicjalizacji i wyszukiwaniu identyfikatora die. W niektórych przypadkach uncore_device_to_die() może zwracać -1, co prowadzi do pomijania urządzeń UBOX lub nieprawidłowego traktowania błędów. Poprawka używa uncore_pcibus_to_dieid(), która działa niezależnie od włączenia NUMA.

W jądrze Linuxa zidentyfikowano podatność związaną z funkcją load_segments(), która unieważnia bazę GS, na której opiera się KCOV. W przypadku włączonej opcji CONFIG_KCOV, wywołania kodu C mogą prowadzić do awarii jądra w nieskończonej pętli.

W jądrze Linux w podsystemie netfilter flowtable występuje problem z maksymalną liczbą akcji offloadu sprzętowego. Dla IPv6 liczba wymaganych akcji może przekroczyć dotychczasowe maksimum 16, co powoduje błędy. Łatka zwiększa limit do 24 i dodaje ścisłe sprawdzanie.

W jądrze systemu Linux zidentyfikowano podatność związaną z wywołaniem funkcji generic_handle_irq() w kontekście nieprzerwanego. Problem ten występuje podczas wznawiania systemu z trybu uśpienia na platformach Tegra, co prowadzi do ostrzeżenia w logach.

W jądrze Linuxa zidentyfikowano podatność, która została naprawiona poprzez wyczyszczenie wartości page->private w funkcji free_pages_prepare(). Problem ten prowadził do użycia po zwolnieniu pamięci w subsystemie swap, co mogło skutkować awarią systemu.

W jądrze Linux w systemie plików ext4 występuje podatność powodująca panikę jądra podczas montowania partycji z włączonymi limitami (quota) i projektami. Problem wynika z użycia niezainicjalizowanego licznika per-CPU podczas walidacji bitmapy bloków, gdy zdefiniowano makro DOUBLE_CHECK. Naprawa polega na przeniesieniu inicjalizacji liczników przed inicjalizację alokatora bloków.

W jądrze Linuxa w sterowniku graficznym panthor (DRM) wykryto naruszenie zasad bezpiecznego dostępu do dma-fence. Funkcja drm_sched_fence_get_timeline_name może wyścigać się z group_free_queue, co prowadzi do potencjalnego use-after-free.

W jądrze Linux wycofano (revert) commit dodający węzeł OP-TEE do drzewa urządzeń ZynqMP. Ręczne zdefiniowanie węzła optee w zynqmp.dtsi blokuje automatyczne wstrzykiwanie węzła pamięci zarezerwowanej przez U-Boot, co prowadzi do naruszeń dostępu do pamięci w czasie wykonania.

W jądrze systemu Linux zidentyfikowano podatność, która została naprawiona. Problem dotyczy sytuacji, gdy drugi etap jądra jest uruchamiany za pomocą kexec z ograniczonymi parametrami, co może prowadzić do paniki jądra z powodu błędów w zakresie pamięci.

W jądrze Linux wykryto podatność w sterowniku sieciowym cpsw_new, która może prowadzić do próby wyrejestrowania interfejsu sieciowego, który nie został jeszcze zarejestrowany. Problem występuje, gdy podczas rejestracji pierwszego MAC-a wystąpi błąd, a drugi MAC pozostaje niezmieniony, co może skutkować nieprawidłowym wywołaniem unregister_netdev().

W jądrze Linuxa usunięto blokadę (lock) w funkcji skb_may_tx_timestamp(), która mogła prowadzić do zakleszczenia (deadlock) podczas obsługi znaczników czasu TX w kontekście przerwania. Funkcja ta mogła przejmować blokadę sock::sk_callback_lock, która nie może być używana w kontekście IRQ. Poprawka usuwa blokadę i używa READ_ONCE() do odczytu wskaźników, dodając WRITE_ONCE() przy ich czyszczeniu.

W jądrze Linux wykryto podatność w funkcji do_procmap_query() w procfs, która może prowadzić do podwójnego wywołania mmput() na strukturze mm_struct. Problem występuje, gdy użytkownik poda nieprawidłowo mały bufor dla identyfikatora build ID, co powoduje błąd -ENAMETOOLONG po zwolnieniu blokad i wykonaniu mmput(), a następnie ponowne wywołanie mmput() w ścieżce błędu.

W jądrze Linux wykryto podatność w implementacji KVM dla nested SVM (nSVM). Funkcje VMLOAD/VMSAVE podczas emulacji dla gościa L2 błędnie używały vmcb02 zamiast vmcb01, co może prowadzić do nieprawidłowego stanu maszyny wirtualnej.

W jądrze Linuxa zidentyfikowano podatność, która występuje podczas uruchamiania drugiego etapu jądra za pomocą kexec z ograniczającą linią poleceń. Problem polega na tym, że bufor IMA z poprzedniego jądra może znajdować się poza adresowalną pamięcią RAM, co prowadzi do błędu strony.

W jądrze Linux w systemie plików JFS występuje przepełnienie licznika dowiązań (nlink) podczas operacji zmiany nazwy (rename). Gdy nlink katalogu osiągnie maksymalną wartość (-1), wykonanie rename dla podkatalogu powoduje zawinięcie do 0 i wywołanie ostrzeżenia.

W jądrze Linuxa, w systemie plików NTFS3, błędy zwracane przez funkcję attr_set_size() podczas zmniejszania rozmiaru pliku są po cichu ignorowane, co może pozostawić i-węzeł (inode) w niespójnym stanie.

W jądrze Linux w sterowniku ASoC SOF (Sound Open Firmware) dla topologii IPC4 występuje błąd alokacji pamięci dla kontrolek bajtowych. Alokacja nie uwzględniała rozmiaru struktury sterującej, co prowadziło do zbyt małego przydziału pamięci.

W jądrze Linux w podsystemie rpmsg wykryto błąd wyścigu w funkcji driver_override_show(). Odczytuje ona łańcuch driver_override bez blokady device_lock, podczas gdy funkcja modyfikująca zwalnia go z tą blokadą, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w stosie Bluetooth (hci_sync) występuje wyścig danych (data race) na polu hdev->req_status. Różne funkcje odczytują i zapisują to pole bez odpowiedniego blokowania, co może prowadzić do błędów.

W jądrze Linuxa w systemie plików SMB/CIFS (klient) występuje odczyt poza zakresem w funkcji cifs_sanitize_prepath. Gdy funkcja jest wywoływana z pustym ciągiem lub ciągiem zawierającym tylko ograniczniki (np. "/"), próbuje sprawdzić *(cursor2 - 1) przed przesunięciem cursor2, co prowadzi do odczytu poza zakresem.

W jądrze systemu Linux zidentyfikowano podatność w ścieżkach eksportowych PF_KEY, gdzie ostatnie 4 bajty struktury sockaddr_in6 pozostają niezainicjowane. Problem ten dotyczy tylko niektórych komunikatów PF_KEY, które nie są odpowiednio zerowane przed wypełnieniem danymi.

W jądrze Linuxa naprawiono podatność związaną z niezwalnianiem kolejki roboczej przy zwalnianiu obiektu dla urządzenia DSA/IAA.