Podatności Linux kernel

W jądrze Linux w mechanizmie BPF i KTLS stwierdzono podatność na uszkodzenie danych. Podczas wysyłania danych jawnych (plaintext) długość szyfrogramu (ciphertext) nie jest ponownie obliczana po zmniejszeniu danych jawnych przez politykę gniazda, co prowadzi do przesyłania niezainicjalizowanych danych.

W podsystemie BPF w jądrze Linux wykryto podatność polegającą na tym, że instrukcja BPF_JSET (skok warunkowy, jeśli a & b) nie była poprawnie obsługiwana w funkcji can_jump() podczas obliczania grafu przepływu sterowania (CFG). Prowadziło to do nieprawidłowego określenia żywych rejestrów i obliczeń SCC.

W jądrze Linux w sterowniku rtl818x występuje podatność na dereferencję wskaźnika NULL w funkcji rtl8187_tx_cb. Problem pojawia się, gdy w rtl8187_stop() kolejka stanu TX jest czyszczona przed zabiciem zakotwiczonych URBs, co pozwala na użycie już zwolnionego skb w callbacku.

W sterowniku ath11k dla kart Wi-Fi w jądrze Linuxa występuje błąd polegający na nieczyszczeniu flagi inicjalizacji list SRNG podczas deinicjalizacji. Po awarii i próbie odzyskania sterownika, ponowne wywołanie funkcji zrzucającej statystyki SRNG może odwoływać się do już zwolnionej pamięci, powodując błąd strony (page fault) i panikę jądra.

W sterowniku WiFi mt7925 w jądrze Linux występuje błąd off-by-one w funkcji mt7925_mcu_hw_scan(). Warunek >= zamiast > może prowadzić do odczytu poza zakresem tablicy.

W sterowniku mt76 (karta WiFi) w jądrze Linuxa występuje podatność na dostęp poza zakresem (OOB) w funkcji mt7996_tx(). Jeśli link_id jest ustawione na IEEE80211_LINK_UNSPECIFIED, może dojść do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux wykryto podatność use-after-free w sterowniku amdgpu podczas wywoływania funkcji amdgpu_userq_suspend. Problem występuje przy odłączaniu urządzenia PCI (hot-unplug) i może prowadzić do odczytu zwolnionej pamięci.

W sterowniku graficznym panthor (DRM) w jądrze Linuxa występuje podatność use-after-free (UAF) w funkcji panthor_gem_create_with_handle() w kodzie debugfs. Obiekt może zostać zwolniony przed zakończeniem inicjalizacji, co prowadzi do dostępu do już zwolnionej pamięci.

W sterowniku Xen (gntdev) występuje podatność use-after-free (UAF) w funkcji dmabuf_exp_from_pages(). Po wywołaniu dma_buf_fd() i fd_install(), obiekty takie jak gntdev_dmabuf mogą zostać zniszczone przez zamknięcie deskryptora, a następnie są nadal używane.

W podsystemie IOMMU (Intel VT-d) w jądrze Linuxa występuje podatność use-after-free (UAF) podczas odłączania SVA (Shared Virtual Addressing) z oczekującymi IOPF (I/O Page Fault). Funkcja iopf_for_domain_remove() jest wywoływana przed zablokowaniem sprzętu i opróżnieniem oczekujących błędów stron, co prowadzi do przedwczesnego zwolnienia struktur danych.

W jądrze Linux wykryto podatność polegającą na podwójnym zwolnieniu pamięci w funkcji 'hci_discovery_filter_clear()' stosu Bluetooth. Problem wynika z braku synchronizacji, co umożliwia wyścig między operacjami zwalniania tablicy 'uuids' a jej ponownym wywołaniem w tym samym kontekście.

W jądrze Linux w podsystemie Bluetooth wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci (out-of-bounds) w funkcji hci_devcd_dump. Problem wynika z nieprawidłowej kolejności wywołań: dev_coredumpv może zwolnić bufor wskazywany przez hdev->dump.head, zanim skb_put_data zdąży go bezpiecznie odczytać.

W jądrze Linux stwierdzono podatność w mechanizmie BPF, która powoduje ostrzeżenie jądra przy próbie węższego dostępu do pól wskaźnikowych w strukturach kontekstu. Problem występuje, gdy program BPF odczytuje mniejszą liczbę bajtów niż rozmiar pola wskaźnikowego, co prowadzi do błędu konwersji dostępu do kontekstu.

W jądrze Linux w sterowniku mlx5e wykryto błąd, w którym po odszyfrowaniu pakietu przez sprzęt, jeśli stan xfrm (IPsec) został zwolniony przed wyszukaniem, nie usuwano rozszerzenia secpath z bufora skb. Prowadziło to do dostępu do nieprawidłowego wskaźnika i awarii systemu (page fault) podczas sprawdzania polityk bezpieczeństwa.

W jądrze Linux w JIT BPF dla ARM64, gdy program działa jako granica wyjątku, nie jest wywoływana funkcja find_used_callee_regs(), co powoduje, że ctx->fp_used pozostaje fałszywe. W rezultacie wskaźnik ramki (FP) nie jest inicjowany w prologu, co może prowadzić do crasha jądra z powodu błędu strony.

W jądrze Linux w sterowniku RDMA HNS stwierdzono podwójne zniszczenie obiektu rsv_qp. Problem występuje, gdy w ścieżce błędu rsv_qp jest niszczony najpierw w free_mr_init(), a następnie w hns_roce_exit(), co prowadzi do uszkodzenia listy.

W systemie plików ext4 w jądrze Linux występuje podatność use-after-free w funkcji ext4_end_io_rsv_work(). Problem pojawia się, gdy io_end jest dodawany do listy i_rsv_conversion_list bez sprawdzenia, czy wymaga konwersji, a następnie inode może zostać zwolniony przed wykonaniem pracy, co prowadzi do użycia po zwolnieniu.

W systemie plików f2fs w jądrze Linux narzędzie KMSAN wykryło użycie niezainicjalizowanej wartości w strukturze extent_info. Funkcja get_read_extent_info() inicjalizuje tylko trzy pola (fofs, blk, len), pozostawiając pozostałe niezainicjalizowane, co prowadzi do niezdefiniowanego zachowania podczas scalania extentów.

W jądrze Linux w systemie plików F2FS wykryto podatność use-after-free (UAF) w funkcji f2fs_sync_inode_meta(). Problem został zgłoszony przez syzbot i może prowadzić do odczytu zwolnionej pamięci podczas synchronizacji metadanych i-węzła.

W jądrze Linux w systemie plików F2FS wykryto podatność prowadzącą do paniki jądra podczas wywoływania funkcji f2fs_evict_inode. Problem wynika z użycia pamięci po zwolnieniu (use-after-free) w operacjach na liście inodów, co może zostać wykorzystane przez atakującego do wywołania awarii systemu.

W sterowniku PPTP w jądrze Linux występuje podatność na odczyt niezainicjalizowanych danych w funkcji pptp_xmit(). Brak sprawdzenia minimalnej długości bufora skb może prowadzić do odczytu pamięci poza zakresem.

W sterowniku SPI cs42l43 w jądrze Linux tablica wpisów właściwości (property entries) nie jest zakończona znakiem null. Gdy jest niezakończona, może to prowadzić do błędu w sterowniku wzmacniacza cs35l56, ponieważ parser węzła odchodzi poza koniec tablicy w nieznaną pamięć.

W jądrze Linux wykryto podatność w funkcji ipv6_gso_segment(), która pozwala na odrzucenie złośliwych pakietów IPv6 z bardzo długimi nagłówkami rozszerzeń. Problem prowadzi do przepełnienia 16-bitowego pola skb->transport_header, co może skutkować awarią systemu.

W jądrze Linux w module sunrpc (NFS over TLS) występuje podatność w obsłudze alertów TLS. Funkcja tls_alert_recv zakłada, że w iteratorze msghdr są prawidłowe dane w kvec, co może być wykorzystane przez atakującego. Zaproponowano zmianę sposobu konfiguracji i użycia komunikatów sterujących przez sock_recvmsg().

W sterowniku sieciowym fbnic w jądrze Linux występuje podatność use-after-free (UaF) w części AF_XDP. Gdy urządzenie nie może się otworzyć, wskaźnik NAPI nie jest usuwany z kolejki, co prowadzi do użycia po zwolnieniu NAPI w funkcji xsk_bind().

W jądrze Linux w harmonogramie sieciowym mqprio stwierdzono podatność na zapis poza stosem (stack out-of-bounds). Problem występuje, gdy walidacja TCA_MQPRIO_TC_ENTRY_INDEX pozwala na wartość 16, podczas gdy tablica fp[] ma tylko 16 elementów (indeksy 0-15).

W jądrze Linux w sterowniku USB gadget stwierdzono podatność na użycie po zwolnieniu (use-after-free) w funkcji composite_dev_cleanup(). Problem występuje, gdy wskaźnik cdev->os_desc_req jest zwalniany, ale nie jest ustawiany na NULL, co prowadzi do ponownego użycia po błędzie alokacji.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w mechanizmie zarządzania pamięcią. Problem występuje, gdy struktura VMA (Virtual Memory Area) zostanie ponownie wykorzystana po zwolnieniu, a następnie funkcja vma_end_read() wywołuje rcuwait_wake_up() na podstawie skopiowanego wskaźnika do mm, który może być już nieaktualny. Atakujący może wykorzystać to do uzyskania dostępu do już zwolnionej pamięci.

W jądrze Linuxa w module ksmbd występuje błędna walidacja długości bufora ea w funkcji smb2_set_ea(). Ksmbd nie sprawdza poprawnie długości bufora przed dostępem do następnego elementu smb2_ea_info, co może prowadzić do odczytu poza zakresem.

W jądrze Linuxa w module ksmbd występuje podatność polegająca na odczycie poza zakresem (out-of-bound read) w funkcji smb2_write. Problem wynika z braku walidacji pola hdr->NextCommand, co może pozwolić na nadmierną długość zapisu SMB2 i prowadzić do odczytu poza zakresem.

W jądrze Linux w serwerze ksmbd brakuje wywołania rcu_barrier() podczas wyładowywania modułu, co może prowadzić do wyścigu i wykonania niechcianego kodu jądra lokalnie, omijając zabezpieczenia takie jak Kernel Lockdown.

W jądrze Linuxa występuje podatność w ipv6: mcast, gdzie opóźnione zwolnienie referencji pmc->idev w mld_del_delrec() może prowadzić do użycia po zwolnieniu. pmc->idev jest nadal używane w ip6_mc_clear_src(), więc referencja powinna być zwolniona po powrocie z ip6_mc_clear_src().

W sterowniku AXP717 ADC w jądrze Linux brakuje znacznika końca tablicy map kanałów, co powoduje ostrzeżenie KASAN.

W sterowniku am65-cpsw-nuss w jądrze Linux podczas przejścia na build_skb() nie przydzielono pamięci dla skb_shared_info, co powoduje nieprawidłowy rozmiar skb.

W jądrze Linux w protokole Appletalk (net/appletalk) funkcja atrtr_create() nie zwalniała referencji do starego urządzenia przed przypisaniem nowego podczas aktualizacji istniejącego wpisu trasy, co prowadziło do wycieku referencji urządzenia.

W jądrze Linux w mechanizmie śledzenia (tracing) podczas dodawania zdarzeń śledzenia przez moduł, brakowało blokady write na semaforze trace_event_sem. Gdy dwa moduły są ładowane jednocześnie, może to prowadzić do uszkodzenia listy ftrace_events i crasha jądra.

W sterowniku airoha w jądrze Linux występuje potencjalne użycie po zwolnieniu (use-after-free) w funkcji airoha_npu_get(), ponieważ np->name jest używane po wywołaniu of_node_put(np).

W jądrze Linux w sterowniku libwx wykryto podatność polegającą na nieprawidłowym resetowaniu deskryptorów pierścienia Rx podczas resetu urządzenia. Stare wartości w deskryptorach mogą prowadzić do tworzenia uszkodzonych struktur SKB, co skutkuje błędem jądra (kernel BUG) i awarią systemu.

W jądrze Linuxa w funkcjach pomocniczych bprintf (np. bpf_trace_printk) nieprawidłowo obsługiwano sekwencję formatującą "%p%". Powodowało to ostrzeżenie jądra w czasie wykonania, ponieważ drugi znak procenta był pomijany podczas przetwarzania %p.

W sterowniku sieciowym Intel Ethernet (ice) funkcja ice_lag_is_switchdev_running() może być wywoływana spoza kodu obsługi zdarzeń LAG, co prowadzi do sytuacji, gdy lag->upper_netdev jest NULL. Brak sprawdzenia NULL przed dereferencją powoduje błąd dereferencji wskaźnika NULL.

W jądrze Linux wykryto podatność w podsystemie RxRPC, gdzie funkcja rxrpc_assess_MTU_size() wywoływana z wyłączonymi przerwaniami powoduje ostrzeżenie w local_bh_enable(). Problem występuje podczas akceptowania nowego połączenia, gdy przerwania są wyłączone, a wywołanie do warstwy IP używa local_bh_enable(), co prowadzi do ostrzeżenia i potencjalnego zakłócenia działania.

W jądrze Linuxa w module rxrpc wykryto wyścig między dwoma wątkami recvmsg dla zakończonego połączenia. Jeden wątek mógł zakończyć i zwolnić połączenie, podczas gdy drugi wątek nadal próbował je przetwarzać, co prowadziło do BUG.

W kliencie CIFS (smbdirect) w jądrze Linuxa występuje podatność polegająca na braku oznaczenia obszaru pakietu w alokacji smbd_response jako dozwolonego do kopiowania do użytkownika (usercopy). Gdy CONFIG_HARDENED_USERCOPY=y, kopiowanie danych z pakietu do bufora folioq powoduje błąd jądra (BUG).

W podsystemie AF_RXRPC jądra Linuxa, gdy gniazdo serwisowe jest otwarte i związane, ale nie wykonano pierwszego prealokowania wywołań, struktura rxrpc_backlog nie jest alokowana. Wywołanie rxrpc_alloc_incoming_call() powoduje wtedy oops (błąd jądra).

W jądrze Linuxa załatano podatność umożliwiającą ataki A-MSDU w sieciach mesh. Luka pozwalała fałszować ramki A-MSDU, co mogło prowadzić do przechwytywania lub modyfikacji ruchu. Łata wykrywa próby ataku poprzez analizę nagłówków Mesh Control.

W sterowniku drm/xe/pf w jądrze Linux obiekty bufora LMEM nie są czyszczone przy alokacji, co może pozostawić stare dane w LMTT PTE, potencjalnie umożliwiając złośliwemu VF dostęp do pamięci innych VF lub PF.

W jądrze Linux w architekturze x86/SEV wykryto błąd w obliczaniu częstotliwości Secure TSC. Używanie częstotliwości nominalnej P0 z MSR GUEST_TSC_FREQ powoduje niewielkie odchylenie od rzeczywistej średniej częstotliwości TSC, co prowadzi do narastającego rozbiegu czasu między hiperwizorem a maszyną wirtualną SEV-SNP. Poprawka wykorzystuje TSC_FACTOR ze strony secrets firmware SEV do dokładnego obliczenia średniej częstotliwości TSC.

W sterowniku mwifiex dla kart WiFi Marvell wykryto podatność, w której w trybie jednoczesnej pracy jako stacja i punkt dostępowy (STA/AP) firmware błędnie wysyła ramki deasocjacji do interfejsu stacji, gdy klienci rozłączają się z punktem dostępowym. Powoduje to ostrzeżenia jądra i potencjalnie niestabilne działanie systemu.

W jądrze Linuxa w funkcji clone_private_mnt() brakuje sprawdzenia, czy wywołujący ma uprawnienia CAP_SYS_ADMIN w odpowiedniej przestrzeni nazw (userns). Funkcja sprawdza tylko MNT_LOCKED, ale nie weryfikuje uprawnień administratora w przestrzeni nazw, do której należy montowanie.

W jądrze Linux w komponencie ksmbd wykryto usterkę polegającą na wycieku pamięci. Jeśli klient wyśle żądanie sesji z nieznanym typem wiadomości NTLMSSP, może dojść do wyczerpania zasobów systemowych.