Podatności Linux kernel

W jądrze Linux w module RDMA/bnxt_re funkcja bnxt_re_mmap() odrzuca flagę VM_WRITE dla stron DBR_PAGE i TOGGLE_PAGE, ale mapowanie tylko do odczytu może nadal zachować VM_MAYWRITE i zostać później rozszerzone przez mprotect(PROT_WRITE). Pozwala to obejść kontrolę zapisu wykonywaną tylko w momencie mmap. Poprawka czyści VM_MAYWRITE przed vm_insert_page() w gałęzi wspólnej dla DBR/toggle-page.

W jądrze Linux w funkcji ext4_init_orphan_info() występuje wyciek referencji buffer_head. Gdy odczyt bloku pliku sierot się powiedzie, ale walidacja magic lub sumy kontrolnej nie powiedzie się, pętla zwalniająca bufory pomija bufor o bieżącym indeksie, co prowadzi do wycieku pamięci.

W jądrze Linux moduł amd_pstate_ut nie sprawdza, czy sterownik amd-pstate jest aktywny, co powoduje NULL pointer dereference przy modprobe na platformach Intel. Brak wykrywania stanu sterownika amd-pstate prowadzi do awarii jądra.

W jądrze Linux w sterowniku cpufreq/amd-pstate funkcje amd_pstate_power_supply_notifier() i amd_pstate_profile_set() nie obsługują przypadku, gdy cpufreq_cpu_get() zwraca NULL. Może to prowadzić do NULL pointer dereference przy wyścigu z hotplug CPU lub niszczeniem sterownika.

W jądrze Linux funkcja scmi_protocol_table_register() może pozostawić wcześniej zarejestrowane żądania, gdy późniejszy wpis w tabeli ID zawiedzie. Każde żądanie zachowuje wskaźnik do tabeli ID sterownika, co po zwolnieniu pamięci modułu może prowadzić do dangling pointer.

W jądrze Linux funkcja scmi_driver_register() żąda urządzeń protokołu przed rejestracją sterownika. Jeśli driver_register() zawiedzie, żądania pozostają w globalnym IDR i zachowują wskaźniki do tabeli ID modułu, co po zwolnieniu pamięci modułu prowadzi do dangling pointer.

W jądrze Linux system plików exfat zeruje lukę w page-cache poniżej nowego valid_size przy rozszerzaniu przez zapis buforowany lub page fault. Zapis przez współdzielone mapowanie może wyścignąć się z tym zerowaniem i zostać nadpisany.

W jądrze Linux podprogramy BPF używają ABI bpf_callback_t, ale task work wywołuje callback przez wskaźnik funkcji z trzema argumentami. Powoduje to niezgodność CFI (kCFI).

W jądrze Linux w funkcji find_pos_and_ways() ścieżka błędu zwalnia referencję do dekodera switch przed zalogowaniem komunikatu zawierającego jego nazwę. Jeśli była to ostatnia referencja, dekoder może zostać zwolniony, zanim komunikat odczyta jego nazwę, co prowadzi do use-after-free.

W jądrze Linux mechanizm liveupdate (LUO) nie zapamiętywał statusu nieudanej próby retrieve() na FLB, co powodowało ponowne wywołanie callbacku retrieve() przy kolejnej próbie. Ponowna próba jest problematyczna, ponieważ FLB może być w innym stanie (np. część stron KHO mogła już zostać przywrócona i zwolniona).

W jądrze Linux sterownik pinctrl: mediatek rejestrował gpio_chip za pomocą niezarządzanego gpiochip_add_data(), mimo że pamięć była alokowana przez devm. Gdy sterowniki mogą być budowane jako moduły i usuwane, devm zwalnia pamięć gpio_chip, gdy jest on wciąż zarejestrowany, powodując use-after-free.

W jądrze Linux funkcja mtk_eint_do_init() tworzy domenę IRQ, mapowania i łańcuchowy handler, ale nigdy ich nie zwalnia. Gdy sterowniki mogą być budowane jako moduły i usuwane, pozostawia to wiszącą domenę IRQ, mapowania wskazujące na zwolnioną pamięć oraz handler odwołujący się do zwolnionych danych.

W jądrze Linux sterownik scsi: ufs: core nieprawidłowo walidował deskryptory łańcuchowe. Przekazywał liczbę bajtów zamiast liczby jednostek UTF-16 do utf16s_to_utf8s(), co mogło powodować odczyt poza buforem deskryptora, a kopiowanie bLength bajtów mogło wykraczać poza bufor odpowiedzi.

W jądrze Linux ścieżka ukończenia single-doorbell może wywołać ufshcd_compl_one_cqe() z NULL CQE. Jeśli żadne polecenie nie jest powiązane z tagiem ukończenia, komunikat ostrzeżenia dereferencjonuje CQE podczas raportowania błędu.

W jądrze Linux sterownik scsi: ufs: core nie walidował liczby podłączonych linii. Liczba ta jest używana przez kod equalizacji TX do indeksowania tablic o rozmiarze UFS_MAX_LANES, co może prowadzić do indeksowania poza zakresem.

W jądrze Linux funkcja ufs_saved_err_write() kopiuje dane wejściowe użytkownika do bufora stosu o zerowej inicjalizacji i przekazuje je do kstrtoint(). Zapis wypełniający cały bufor nadpisuje jego jedyny terminator NUL.

W jądrze Linux funkcja kmb_ocs_aes_probe() żąda przerwania IRQ urządzenia przed zainicjalizowaniem irq_completion. Po zarejestrowaniu handlera może on uruchomić się natychmiast, a ocs_aes_irq_handler() bezwarunkowo wywołuje complete(), używając niezainicjalizowanego obiektu completion.

W jądrze Linux w funkcji zisofs_fill_pages() (system plików isofs) ścieżka sukcesu pozostawiała ostatni bufor nagłówka bloku (buffer_head) bez zwolnienia. Prowadzi to do wycieku referencji bufora przy odczycie tablicy wskaźników skompresowanych bloków zisofs.

W jądrze Linux sterownik SPI oc-tiny alokował kontroler przez spi_alloc_host() (bez zarządzania zasobami), a przerwanie rejestrował przez devm_request_irq(). Podczas usuwania kontroler był zwalniany przed wykonaniem free_irq(), co pozwalało późnemu lub zatrzaśniętemu przerwaniu odwołać się do zwolnionej pamięci (use-after-free).

W jądrze Linux w schedulerze sched_ext funkcja scx_hardlockup() odkładała przerwanie (abort) przez irq_work, co nie działało w kontekście NMI i uniemożliwiało odzyskanie z samodzielnie wykrytego zakleszczenia. Dodatkowo zwracano wartość true nawet gdy abort został odrzucony, tłumiąc raport o hardlockup.

W jądrze Linux w podsystemie remoteproc brak synchronizacji między rproc_crash_handler_work() a rproc_del() pozwalał na usunięcie sterownika podczas gdy obsługa awarii była zaplanowana lub wykonywana, prowadząc do use-after-free. Wprowadzono flagę "deleting" oraz anulowanie i synchronizację pracy przed usunięciem.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja __tegra241_cmdqv_probe() rejestrowała przerwanie błędu przed alokacją tablicy cmdqv->vintfs i ustawieniem cmdqv->num_vintfs. Zatrzaśnięty błąd CMDQV odziedziczony po kexec powodował, że ISR przeglądał niezainicjalizowaną tablicę.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja tegra241_cmdqv_remove() najpierw usuwała VINTF, a dopiero potem wywoływała free_irq(). Błąd w tym oknie powodował, że ISR odczytywał nieaktualny wpis i dereferencjonował NULL lub zwolniony wskaźnik.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv występuje wyciek pamięci VINTF0 na ścieżce błędów inicjalizacji. Gdy funkcja tegra241_cmdqv_init_vintf() zawiedzie lub gdy późniejsza prealokacja VCMDQ się nie powiedzie, struktura VINTF0 nie jest prawidłowo zwalniana, a decyzja o zwolnieniu opiera się na błędnie odczytanym stanie własności sprzętowej.

W jądrze Linux w sterowniku clk: mediatek: pllfh występuje wyciek zmapowanej pamięci IO na ścieżce błędów rejestracji PLL. Funkcja mtk_clk_register_pllfhs nie zwalnia pamięci IO zmapowanej na węźle fhctl, gdy rejestracja PLL się nie powiedzie.

W jądrze Linux w podsystemie PCI występuje użycie po zwolnieniu (UAF), gdy operacja probe przebiega równolegle z usuwaniem dynamicznego identyfikatora. Wskaźnik do dynamicznego ID może zostać zwolniony przez remove_id_store(), podczas gdy pci_match_device() nadal go używa.

W jądrze Linux w systemie plików nilfs2 występuje nieskończona pętla w funkcji nilfs_clean_segments(). Gdy nilfs_segctor_construct() wielokrotnie zwraca -EROFS (np. po błędzie I/O i przełączeniu urządzenia w tryb tylko do odczytu), wątek cleaner wpada w nieskończoną pętlę.

W jądrze Linux w systemie plików nilfs2 występuje błąd BUG w funkcji nilfs_copy_dirty_pages() wywołany niezgodnością stanu dirty. Gdy strona dirty nieoczekiwanie traci status dirty po przejściu systemu plików w tryb tylko do odczytu, jądro zgłasza BUG.

W jądrze Linux w module RDMA/cxgb4 występuje wyciek skb i podwójne zwolnienie w funkcji write_tpt_entry(). Gdy urządzenie jest w stanie błędu krytycznego, write_tpt_entry() zwraca błąd przed przekazaniem skb, co prowadzi do wycieku w c4iw_dereg_mr() lub podwójnego zwolnienia w c4iw_get_dma_mr().

W jądrze Linux w module RDMA/mlx5 występuje odczyt poza granicami stosu w debugfs cc_params. Funkcja get_param() formatuje wartość u32 jako liczbę ze znakiem do 11-bajtowego bufora, co przy wartości 0x80000000 powoduje odczyt jednego bajtu poza buforem.

W jądrze Linux w module RDMA/cxgb4 występuje wyciek indeksu STAG, gdy zapis wpisu TPT się nie powiedzie. Funkcja write_tpt_entry() alokuje indeks STAG, ale przy błędzie write_adapter_mem() nie zwalnia go ani nie cofa statystyk, co prowadzi do wycieku aż do wyłączenia urządzenia.

W jądrze Linux funkcja cros_ec_debugfs_probe() rejestruje notifier_panic w łańcuchu powiadomień paniki EC, ale ścieżka usuwania modułu nie wyrejestrowuje go. Późniejsze powiadomienie o panice może wywołać usuniętą instancję i zakolejkować pracę odwołującą się do zwolnionych danych.

W jądrze Linux w podsystemie md (RAID) występuje wyścig (race condition) między wątkiem raid10d a operacjami I/O. Zmiany konfiguracji dysków zapasowych (spare) mogą zostać wykonane bez uprzedniego zawieszenia macierzy, co prowadzi do dereferencji wskaźnika NULL i awarii jądra (kernel panic).

W jądrze Linux w qcom_scm_probe() funkcja devm_request_threaded_irq() jest wywoływana przed opublikowaniem __scm przez smp_store_release(). Dwie ścieżki mogą odwołać się do __scm przed jego opublikowaniem, powodując dereferencję NULL.

W jądrze Linux nieudane mapowanie integralności w bloku utrzymuje referencję dio, co prowadzi do jej wycieku. Należy przejść przez pełne zakończenie bio, jeśli w sekwencji były wcześniej przesłane bio.

W jądrze Linux notyfikator USB i początkowa detekcja VBUS mogą zakolejkować isp->work w sterowniku isp1704_charger. Ścieżka usuwania modułu wyrejestrowuje notyfikator i zasilanie, ale nie czeka na zakolejkowaną lub działającą pracę przed usunięciem stanu zasilania.

W jądrze Linux w sterowniku ładowania sc2731_charger nie anulowano pracy (work) przy usuwaniu urządzenia. Notyfikator USB i początkowa detekcja ładowarki mogą zaplanować info->work, a ścieżka remove wyrejestrowuje notyfikator, ale nie anuluje zakolejkowanej lub działającej pracy przed zwolnieniem danych sterownika. Problem wykryto narzędziem analizy statycznej.

W jądrze Linux w funkcji bpf_netns_link_update_prog sprawdzenia old_prog i typu prog wykonywane są bez blokady przed pozyskaniem netns_bpf_mutex. Tworzy to warunek wyścigu, który może prowadzić do użycia zwolnionej pamięci (UAF), gdy dwa wątki jednocześnie wykonują BPF_LINK_UPDATE na tym samym łączu netns. Poprawka przenosi sprawdzenia do sekcji krytycznej mutexa.

W jądrze Linux w lib/test_hmm funkcja dmirror_fault() zwraca 0, gdy mmget_not_zero() zawiedzie, mimo że żadna strona nie została obsłużona i nie zainstalowano wpisu tablicy stron urządzenia. Powoduje to, że wywołujący ponawia ten sam adres, trafia na -ENOENT i może zapętlić się w nieskończoność. Poprawka zwraca -EFAULT.

W jądrze Linux w md/bitmap funkcja backlog_store() zawiesza macierz przed sprawdzeniem, czy istnieje urządzenie write-mostly. Jeśli takie urządzenie nie istnieje, ścieżka błędu tylko odblokowuje reconfig_mutex i pozostawia macierz zawieszoną, blokując kolejne operacje I/O. Poprawka używa mddev_unlock_and_resume().

W jądrze Linux w podsystemie md token memalloc_noio_save() przechowywany w mddev->noio_flags pozwala jednemu zadaniu zapisać token, a innemu go przywrócić. Przy równoczesnych zapisach do sysfs suspend zadanie A może wejść w PF_MEMALLOC_NOIO i wrócić do przestrzeni użytkownika w tym zakresie, a zadanie B przywróci zapisany token A. Poprawka ogranicza zakres PF_MEMALLOC_NOIO do sekcji krytycznych alokacji.

W jądrze Linux w sterowniku i3c dw na pustej magistrali ENTDAA nie przypisuje żadnych urządzeń, więc cmd->rx_len równa się master->maxdevs. Indeks GENMASK() master->maxdevs - cmd->rx_len - 1 staje się -1, co powoduje przesunięcie poza zakres i zgłoszenie UBSAN. Problem występuje przy każdym rozruchu na serwerze Gigabyte/AMD.

W jądrze Linux w md/raid1 po dodaniu nowego rdev do istniejącej macierzy RAID1 z włączoną serialize_policy, warunek w mddev_create_serial_pool() pomija utworzenie rdev->serial. Funkcja wait_for_serialization() zakłada, że rdev->serial jest zainicjalizowany, co prowadzi do błędu Oops przy dostępie do niezainicjalizowanej struktury. Poprawka tworzy pulę serial przy dodawaniu rdev.

W jądrze Linux w mechanizmie iomap podczas operacji zerowania zakresu nie jest zwalniana partia folio (folio batch) w przypadku błędów w callbackach iomap_begin i iomap_end. Poprawka zapewnia wywołanie funkcji sprzątającej przy błędach i aktualizuje działanie tej funkcji.

W jądrze Linux w sterowniku mt76x02 usunięto ostrzeżenie WARN_ON_ONCE dla deskryptorów rx o nieprawidłowej długości. W trybie monitora z filtrem fcsfail uszkodzone ramki mogą powodować panikę jądra przy ustawieniu panic_on_warn.

W ścieżce transmisji SDIO w sterowniku mt76 występuje wyciek pamięci. Gdy funkcja tx_prepare_skb() zwraca błąd, bufor skb nie jest zwalniany, co może prowadzić do wyczerpania pamięci. Dotyczy to przypadków, gdy odrzucane są ramki o zerowej długości (np. ramki WNM NULL), aby uniknąć zawieszenia sprzętu.

W obsłudze odbioru danych RRO 3.0 w sterowniku mt76 występuje błędne kolejkowanie. Ramki zwalniane z kolejki danych RRO powinny trafiać do kolejki wskaźników, ale są umieszczane w kolejce danych, co powoduje opóźnienia i przestawienie kolejności odbieranych pakietów.

Problem z identyfikatorem MLD w TXD i HIF TXP w sterowniku mt7996. Gdy pole MLD_ID nie jest ani głównym, ani pomocniczym identyfikatorem linku, może powodować zapętlenie firmware podczas trybu oszczędzania energii trzeciego linku. Poprawka przekierowuje ramki na główny identyfikator wcid.

Błąd w liczeniu pakietów non-AQL dla stacji MLO w sterowniku mt76. Funkcja nadpisuje wcid przekazany przez sterownik, co powoduje, że licznik jest aktualizowany na niewłaściwym wcid. Po przekroczeniu limitu scheduler może trwale zablokować obsługę stacji.

W sterowniku mt7996 brakuje walidacji pola band_idx w deskryptorze RX. Pole (2 bity) może być nieprawidłowe i powodować dostęp poza zakres tablicy phys[] lub odwołanie do NULL-a, co może prowadzić do awarii.