Podatności Linux kernel

W jądrze Linuxa zidentyfikowano podatność związaną z przepełnieniem typu całkowitego przy dostępie do rozmiaru stosu. Poprawka przywraca ochronę przed negatywnym rozmiarem dostępu do pamięci stosu, co mogło prowadzić do nieprawidłowych dostępów do tablic.

W jądrze Linux występuje błąd use-after-free w obsłudze AX.25, wywoływany przez ax25_ds_del_timer podczas odłączania urządzenia. Wyścig między wątkiem odłączającym a procedurą obsługi timera prowadzi do użycia zwolnionej pamięci.

W jądrze Linux w podsystemie io_uring/kbuf występuje podatność polegająca na braku utrzymania referencji do listy buforów podczas operacji mmap. Może to pozwolić na wyrejestrowanie bufora przed zakończeniem jego użycia. Poprawka polega na przechowywaniu referencji do listy buforów pod RCU, aby zapobiec jej wyrejestrowaniu.

W jądrze Linuxa w funkcji icmp_build_probe() występują potencjalne dereferencje NULL. Podwójne wywołanie __in_dev_get_rcu() może zwrócić NULL, a odczyt dev->ip6_ptr nie ma sprawdzenia NULL. Poprawka używa odpowiedniego API RCU.

W jądrze Linux w weryfikatorze BPF występuje błąd arytmetyczny polegający na możliwości przepełnienia 32-bitowych zmiennych całkowitych podczas sprawdzania granic stosu. Niektóre ścieżki kodu nie sprawdzają spójnie wartości rejestru i przesunięcia, co może prowadzić do przepełnienia.

W jądrze Linuxa, w sterowniku sieciowym mlx5e, wykryto podwójne zwolnienie pamięci w funkcji arfs_create_groups. Gdy alokacja pamięci zawiedzie, funkcja zwalnia ft->g, a następnie wywołanie mlx5e_destroy_flow_table zwalnia go ponownie.

W jądrze Linux w funkcji cachestat dla shmem występują dwa błędy związane z wyścigami podczas operacji swapowania i unieważniania. Pierwszy błąd może prowadzić do dostępu poza zakresem tablicy swapper_spaces[] w przypadku zatrutego wpisu swap. Drugi błąd może powodować fałszywe wyniki w workingset_test_recent() z powodu braku cienia w swapcache. Poprawka dodaje walidację wpisu i obsługę przypadku braku cienia.

W jądrze Linux w module kryptograficznym s390 AES występuje podatność na odczyt poza zakresem bufora w trybie CTR. Podczas przetwarzania ostatniego bloku kod zawsze czyta cały blok, nawet jeśli nie ma całego bloku danych, co prowadzi do odczytu poza przydzielonym buforem.

W jądrze Linux w sterowniku sieciowym atlantic występuje podwójne zwolnienie pamięci w logice obsługi błędów. Funkcja aq_ring_free może być wywołana wielokrotnie dla tego samego pierścienia, gdy system jest pod obciążeniem i wystąpi błąd alokacji pamięci.

W jądrze Linux w systemie plików NTFS3 naprawiono problem z przepełnieniem w funkcji mi_enum_attr().

W jądrze Linux w sterowniku firewire nosy wykryto problem, gdzie funkcja packet_buffer_get nie uwzględniała wartości user_length. Jeśli długość nagłówka pakietu przekracza user_length, funkcja zwraca teraz 0, informując użytkownika, że nie odczytano danych i potrzebny jest większy bufor. Pomaga to zapobiec przepełnieniom w przestrzeni użytkownika.

W jądrze Linuxa zidentyfikowano podatność związana z użyciem po zwolnieniu (Use-After-Free) w funkcji gtp_dellink. Problem wynika z nieprawidłowego zarządzania sekcją krytyczną RCU, co może prowadzić do zwolnienia klucza podczas przetwarzania.

W jądrze Linux w io_uring usunięto martwy kod związany z SCM_RIGHTS. Po zaprzestaniu wsparcia dla przekazywania deskryptorów io_uring przez SCM_RIGHTS, kod ten został usunięty.

W jądrze Linuxa wykryto podatność związaną z przesyłaniem plików io_uring przez gniazda AF_UNIX. Cykle referencji plików powodowały problemy i wyścigi, dlatego zdecydowano się całkowicie zabronić wysyłania plików io_uring przez gniazda za pomocą SCM_RIGHTS.

W jądrze Linuxa w podsystemie PECI (Platform Environment Control Interface) występuje podatność na użycie po zwolnieniu (use-after-free) w funkcji adev_release(). Gdy auxiliary_device_add() zwróci błąd, wywoływane jest auxiliary_device_uninit(), co zmniejsza licznik referencji i uruchamia callback .release. Ponowne wywołanie auxiliary_device_uninit() w adev_release() prowadzi do użycia po zwolnieniu.

W jądrze Linux usunięto niepotrzebne wywołanie synchronize_net() w funkcji ipv6_mc_down(). To wywołanie powodowało opóźnienia od 200 mikrosekund do 5 milisekund pod obciążeniem.

W jądrze Linuxa, w sterowniku media ttpci, wykryto dwa wycieki pamięci w funkcji budget_av_attach. Gdy funkcje saa7146_register_device i saa7146_vv_init zawiodą, zasoby nie są zwalniane. Poprawka dodaje odpowiednie zwalnianie zasobów.

W jądrze Linuxa w systemie plików tmpfs występuje wyścig podczas obsługi drzewa rbtree dla kwot (dquot). Pobieranie węzła głównego drzewa nie jest chronione semaforem dqio_sem, co może prowadzić do błędów i ostrzeżeń.

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) wykryto podatność polegającą na braku gwarancji istnienia kolejki TX dla TID offloading podczas wznawiania systemu. W rzadkich przypadkach, gdy nie wysłano żadnych pakietów na TID 0, kolejka nie jest alokowana, co prowadzi do awarii systemu (crash).

W jądrze Linux w sterowniku AMD Display wykryto potencjalne przepełnienie bufora w funkcji dp_dsc_clock_en_read(). Funkcja snprintf() zapisywała do 30 bajtów do bufora o pojemności 10 bajtów. Poprawka ogranicza zapis do maksymalnie 10 bajtów.

W jądrze Linux w podsystemie DVB (media) występuje podatność use-after-free. W funkcji dvb_register_device wskaźnik *pdvbdev jest ustawiany na dvbdev, który jest zwalniany w ścieżkach obsługi błędów, ale nie jest ustawiany na NULL, co prowadzi do użycia zwolnionej pamięci w późniejszych wywołaniach, np. w dvb_unregister_device.

W jądrze Linuxa, w sterowniku graficznym amdgpu, wykryto dostęp poza zakresem w identyfikatorze klienta mmhub. Poprawka dodaje właściwą obsługę wartości cid 0x140.

W jądrze Linux w module netfilter (nft_set_pipapo) podczas zrzutu netlink występuje problem z iteracją po bieżącym widoku. Maska generacji może być aktualizowana w trakcie zrzutu, co powoduje, że iterator nie może polegać na niej. Dodano notację określającą, czy użytkownik chce czytać czy aktualizować zestaw.

W jądrze Linux wykryto podatność w podsystemie netfilter nf_tables, gdzie podczas nieudanej operacji usunięcia zbioru (set) elementy nie są prawidłowo przywracane, co prowadzi do wycieku pamięci obiektów mapowania. Problem wynika z nieprawidłowej logiki iteracji po elementach zbioru w ścieżce wycofywania (abort path), która pomija aktywne zamiast nieaktywnych elementów.

W jądrze Linux występuje zakleszczenie (deadlock) w podsystemie net/sched. Gdy akcja mirred jest używana na klasowym qdisc egress i pakiet jest lustrzany lub przekierowywany do samego siebie, dochodzi do ponownego założenia tego samego zamka qdisc na tym samym CPU. Problem rozwiązano dodając pole właściciela (CPU id) do struktury Qdisc i odrzucanie pakietu przy ponownym wejściu z tego samego CPU.

W jądrze Linux w module speakup występuje ryzyko awarii przy bardzo długim słowie. Jeśli konsola jest bardzo duża i zawiera słowo dłuższe niż 256 znaków, należy zatrzymać się przed przekroczeniem długości bufora słowa.

W jądrze Linuxa, w podsystemie ksmbd, wykryto potencjalny odczyt poza zakresem pamięci (out-of-bounds), gdy pole offsetu bufora w niektórych żądaniach jest nieprawidłowe. Poprawka ustawia minimalną wartość pola offsetu na wartość bufora, aby zweryfikować długość bufora.

W jądrze Linux w podsystemie SLUB poprawiono wywołania flush_cpu_slab() i __free_slab() w kontekście zadania. Problem dotyczył sytuacji, gdy funkcja flush_all_cpu_locked() wywoływana z kontekstu zadania mogła powodować zależność w pracy globalnej kolejki, gdy kolejka z bitem WQ_MEM_RECLAIM czyściła globalną kolejkę.

W jądrze Linux w sterowniku SCSI qla2xxx występuje wyciek pamięci w funkcji __qlt_24xx_handle_abts(). Wcześniejsza poprawka dodała wczesny powrót, gdy nie znaleziono polecenia, ale nie zwolniła przydzielonej pamięci dla polecenia zarządzającego.

W jądrze Linux w sterowniku graficznym gma500 (drm/gma500) występuje błąd polegający na użyciu zniszczonego obiektu mutex podczas operacji psb_gem_unpin(). Problem powoduje ostrzeżenie WARN_ON(lock->magic != lock) i może prowadzić do niestabilności systemu. Poprawka przenosi wywołanie drm_gem_object_release() po operacji unpin.

W jądrze Linux w sterowniku binder brakuje sprawdzenia wyrównania offsetu w funkcji binder_get_object(). Poprzednia poprawka usunęła to sprawdzenie, co może prowadzić do problemów podczas odwijania obiektów.

W jądrze Linuxa w module netfilter (nft_set_pipapo) wykryto podatność, która może prowadzić do awarii systemu (crash) podczas operacji dodawania i usuwania elementów w dużych partiach. Problem wynika z nieprawidłowego usuwania elementów, gdy wiele elementów ma ten sam klucz, co może skutkować usunięciem niewłaściwego elementu i pozostawieniem w strukturze danych nieaktywnego wskaźnika (stale pointer).

W jądrze Linux naprawiono podatność w sterowniku amdgpu, polegającą na niewystarczającej walidacji parametrów operacji mapowania buforów. Brak odpowiedniej weryfikacji mógł prowadzić do nieprawidłowego działania lub potencjalnych problemów bezpieczeństwa.

W jądrze Linux w sterowniku AoE wykryto podatność use-after-free w funkcji aoecmd_cfg_pkts(). Poprawka dotyczy problemu z CVE-2023-6270, gdzie nieprawidłowe aktualizacje refcnt na net_device mogły prowadzić do use-after-free. Usunięto wywołanie dev_put() w ścieżce sukcesu i dodano je po transmisji skb.

W jądrze Linuxa zidentyfikowano podatność związana z błędnym sprawdzaniem przepełnienia w kodzie devmap. Problem występuje na architekturach 32-bitowych, gdzie może dojść do przepełnienia podczas zaokrąglania liczby kubełków haszujących.

W jądrze Linuxa naprawiono podatność związaną z przepełnieniem stosu w architekturach 32-bitowych, która mogła prowadzić do nieprzewidywalnego zachowania.

W jądrze Linuxa wykryto podatność w funkcji ip_tunnel_rcv() dotyczącej tuneli IP. Brak odpowiedniego wyciągnięcia wewnętrznego nagłówka może prowadzić do odczytu niezainicjalizowanej pamięci, co zgłosił syzbot jako błąd KMSAN. Problem dotyczy przetwarzania pakietów GRE w ścieżce ip_tunnel_rcv.

W jądrze Linuxa zidentyfikowano podatność, która została rozwiązana. Problem dotyczy rejestracji obsługi zdarzeń przed pełnym skonfigurowaniem urządzenia srpt, co może prowadzić do błędu use-after-free Write w funkcji srpt_refresh_port().

W jądrze Linux w sterowniku USB Type-C (tipd) funkcja tps6598x_block_read wywołuje ostrzeżenie WARN_ON, gdy przekazano zbyt dużą długość danych. Może to doprowadzić do paniki systemu, jeśli włączona jest opcja panic-on-warn.

W jądrze Linux w sterowniku lpfc (SCSI) występuje uszkodzenie listy w funkcji lpfc_drain_txq(). Błąd w obsłudze komunikatu o błędzie powoduje dodawanie zadań do listy completions nawet w przypadku braku błędu, co prowadzi do uszkodzenia listy.

W jądrze Linux w sterowniku SCSI lpfc występuje podatność na dereferencję wskaźnika NULL podczas przetwarzania przejścia łącza w dół. W pewnych warunkach może dojść do odwołania do nieprawidłowej struktury, co prowadzi do awarii.

W jądrze Linux w module netfilter (nft_set_pipapo) występuje problem z podwójnym niszczeniem elementów. Klon zawsze zapewnia aktualny widok tabeli przeglądowej, należy go użyć do zniszczenia zestawu, w przeciwnym razie elementy mogą być niszczone dwukrotnie.

W jądrze Linuxa wykryto podatność w infrastrukturze tuneli IP (ip_tunnel), która powoduje nieograniczony wzrost wymaganego nagłówka (needed_headroom) urządzeń sieciowych. Prowadzi to do zawinięcia się 16-bitowego pola network_header, a w konsekwencji do użycia po zwolnieniu (use-after-free) podczas przetwarzania pakietów, co może skutkować awarią systemu.

W jądrze Linux w podsystemie Bluetooth występuje potencjalne użycie po zwolnieniu (use-after-free) w funkcji hci_error_reset. Podczas obsługi zdarzenia HCI_EV_HARDWARE_ERROR, jeśli kontroler BT nie odpowiada, mechanizm resetu GPIO może zwolnić hci_dev i doprowadzić do użycia po zwolnieniu.

W jądrze Linux wykryto błąd w funkcji wakeup_kswapd(), która była wywoływana z nieprawidłowym indeksem strefy (-1) w systemach NUMA bez lokalnej pamięci na danym węźle. Powodowało to błąd strony (page fault) i awarię systemu.

W jądrze Linux naprawiono podatność w systemie plików ext4, która mogła prowadzić do alokacji bloków z grupy z uszkodzoną bitmapą bloków. Problem występował w funkcji ext4_mb_try_best_found() podczas współbieżnego dostępu, co mogło pogorszyć stan uszkodzonego systemu plików.

W jądrze Linux w module dm-crypt występuje problem z modyfikacją danych podczas korzystania z uwierzytelnionego szyfrowania. Aby zapobiec generowaniu nieprawidłowego tagu, dane są najpierw kopiowane do klonu bio, a następnie szyfrowane w klonie.

W jądrze Linux w module net/sched (act_mirred) występuje problem z nadpisywaniem wartości zwracanej, jeśli pakiet został już przekazany. Jeśli pakiet jest przekierowywany i nie wywołano tcf_mirred_forward(), należy ustawić kod SHOT, aby jądro odrzuciło pakiet. Jeśli wywołano tcf_mirred_forward(), pakiet jest poza kontrolą i zwrócenie SHOT prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w sterowniku hwmon nct6775 występuje problem z dostępem do rejestrów konfiguracji temperatury. Liczba rejestrów konfiguracji temperatury nie zawsze odpowiada całkowitej liczbie rejestrów temperatury, co może prowadzić do błędów dostępu zgłaszanych przez KASAN (global-out-of-bounds).

W jądrze Linux w sterowniku stmmac (Ethernet) występuje podatność polegająca na braku wzajemnego wykluczania przy aktualizacji 64-bitowych liczników statystyk. Na platformach 32-bitowych może to prowadzić do utraty aktualizacji sekwencji i zablokowania czytelników na zawsze, co objawia się zawieszeniem systemu.