Podatności Linux kernel

W jądrze Linux w sterowniku drm/sun4i funkcja of_find_device_by_node() pobiera referencję do urządzenia TCON TOP, która nie jest zwalniana po zakończeniu konfiguracji multipleksera. Prowadzi to do wycieku referencji urządzenia.

W jądrze Linux w sterowniku drm/sun4i funkcja sun4i_crtc_init() zwraca zwykły NULL przy błędzie inicjalizacji warstwy, podczas gdy inne ścieżki błędów zwracają wskaźnik błędu. Wywołujący sun4i_tcon_bind() sprawdza wynik przez IS_ERR(), więc kontynuuje z tcon->crtc ustawionym na NULL, co prowadzi do wyłuskania NULL w drm_crtc_mask() i oops.

W jądrze Linux w sterowniku cpufreq imx6q tablica imx6_soc_volt jest alokowana przez devm_kcalloc() względem cpu_dev, które nigdy nie jest odłączane, więc jego lista devres nie jest zwalniana, a funkcja remove nie zwalnia tablicy. Każde probe dodaje alokację pozostającą na cały czas życia systemu.

W jądrze Linux w sterowniku cpufreq imx6q tablica imx6_soc_volt jest alokowana na nowo przy każdym probe, ale wypełniana przez soc_opp_count, który ma statyczny czas przechowywania i nie jest resetowany. Drugie wiązanie po odłączeniu kontynuuje indeksowanie od miejsca, w którym skończyło pierwsze, i zapisuje poza końcem nowej tablicy.

W jądrze Linux na architekturze arm64 funkcja swsusp_arch_suspend() przy błędzie swsusp_mte_save_tags() powraca z zamaskowanym stanem DAIF, co jest niezgodne z oczekiwaniami. Poprawka przywraca zapisany stan DAIF przed powrotem ze ścieżki błędu.

W jądrze Linux w sterowniku PHY Sunplus występuje nieprawidłowa obsługa błędów w funkcji sp_uphy_init(). Ścieżki błędów nie cofają poprawnie wykonanych operacji: przy niepowodzeniu clk_prepare_enable() następuje bezpośredni powrót, przy niepowodzeniu reset_control_deassert() zwalniany jest tylko zegar, a przy niepowodzeniu update_disc_vol() skok do etykiety err_reset zapewnia zwolnienie zegara i resetu. Poprawka porządkuje te ścieżki.

W jądrze Linux w sterowniku SCSI QLogic (qla2xxx) występuje zbędny odczyt VPD flash w ścieżce odczytu sysfs. Funkcja qla2x00_sysfs_read_vpd() wywołuje read_optrom() drugi raz po zwolnieniu mutexu optrom_mutex. Ten powtórzony odczyt jest zbędny i wykonywany bez trzymania mutexu, co naraża dostęp do flash na współbieżne operacje. Poprawka usuwa to podwójne wywołanie.

W jądrze Linux w firmware_loader występuje problem z kolejkowaniem zakończonych żądań fallback sysfs. Funkcja fw_load_sysfs_fallback() wywołuje device_add() przed dodaniem fw_priv do pending_fw_head. To pozwala użytkownikowi przestrzeni użytkownika na ukończenie żądania przed jego zakolejkowaniem, co prowadzi do zakolejkowania już zakończonego żądania i potencjalnego błędu przy następnym żądaniu. Poprawka sprawdza, czy żądanie jest już zakończone i nie kolejkuje go.

W jądrze Linux w hugetlbfs występuje problem z zwalnianiem subpoola przy niepowodzeniu fill_super. Funkcja hugetlbfs_fill_super() alokuje subpool stron ogromnych, a w przypadku niepowodzenia tworzenia katalogu głównego, ścieżka błędu zwalnia subpool przez kfree(), co pomija hugepage_put_subpool() i może pozostawić rezerwacje min_size. Poprawka używa hugepage_put_subpool() w ścieżce błędu.

W jądrze Linux w sterowniku phy qcom qmp-usb-legacy występuje luka, w której callback runtime suspend może zostać uruchomiony po pm_runtime_enable(), ale przed pm_runtime_forbid(). Powoduje to dereferencję niezainicjalizowanego wskaźnika qmp->phy i crash. Problem może też wystąpić, gdy użytkownik ponownie włączy runtime-pm przez sysfs przed inicjalizacją PHY.

W jądrze Linux w sterowniku phy qcom snps-femto-v2 występuje luka polegająca na tym, że runtime PM jest włączane przed utworzeniem PHY, a callbacki runtime PM dereferencują jeszcze niegotową instancję hsphy. Powstaje okno, w którym callback suspend może wywołać dereferencję NULL. Poprawka używa pm_runtime_get_noresume() przed włączeniem runtime PM i zwalnia referencję po utworzeniu PHY.

W jądrze Linux w sterowniku phy qcom qmp-usb występuje luka, w której callback runtime suspend może zostać uruchomiony po pm_runtime_enable(), ale przed pm_runtime_forbid(). Powoduje to dereferencję niezainicjalizowanego wskaźnika qmp->phy i crash. Problem może też wystąpić, gdy użytkownik ponownie włączy runtime-pm przez sysfs przed inicjalizacją PHY.

W jądrze Linux w podsystemie md/raid5 funkcja raid5_bitmap_sector_map() wyrównuje zakres tablicy do pełnej szerokości paska RAID5 przed konwersją na sektory komponentów. Szerokość ta nie zawsze jest potęgą dwójki, przez co stare logika round_down()/round_up() daje błędne zakresy. Poprawka używa arytmetyki opartej na sector_div(), aby wyrównanie odpowiadało rzeczywistej szerokości paska RAID5.

W jądrze Linux w podsystemie md funkcja __md_stop() niszczyła bitmapę przed wywołaniem mddev_detach(), przez co mddev_detach() pomijało bitmap_ops->wait_behind_writes(). W przypadku llbitmap powodowało to, że ukończenia zapisów behind-write w RAID1 mogły nastąpić po zwolnieniu pamięci llbitmap. Poprawka wywołuje mddev_detach() przed md_bitmap_destroy().

W jądrze Linux w podsystemie md/md-llbitmap funkcja llbitmap_create() publikuje mddev->bitmap przed odczytem superbloku bitmapy. Jeśli llbitmap_read_sb() zawiedzie, stara ścieżka czyszczenia zwalniała llbitmap przed wyczyszczeniem mddev->bitmap, przez co czytelnicy tacy jak /proc/mdstat mogli zobaczyć nieaktualny wskaźnik. Poprawka czyści mddev->bitmap przy trzymanym mutexie bitmap_info.mutex.

W jądrze Linux w podsystemie md/md-llbitmap funkcja llbitmap_destroy() usuwa pending_timer przed opróżnieniem md_llbitmap_io_wq, ale daemon_work może nadal być zakolejkowany lub uruchomiony i ponownie uzbroić pending_timer. Jeśli nastąpi to podczas niszczenia, timer może pozostać uzbrojony po zwolnieniu llbitmap i później odwołać się do zwolnionej pamięci. Poprawka dodaje bit BITMAP_SHUTDOWN i używa timer_shutdown_sync().

W jądrze Linux w podsystemie md/raid1 funkcja raid1_takeover() ustawia conf->array_frozen = 1 na nowo utworzonym r1conf i nigdy tego nie czyści, przez co każde I/O do macierzy zatrzymuje się trwale, gdy _wait_barrier() widzi wartość 1. Wcześniej było to nieszkodliwe, bo level_store() wywoływało mddev_resume(), ale commit b39f35ebe86d usunął to wywołanie. Poprawka po prostu nie ustawia array_frozen w raid1_takeover().

W jądrze Linux w sterowniku coresight etm4x użycie (nrseqstate - 1) w pętli inicjalizującej lub ustawiającej TRCSEQEVR<n> może powodować niedomiar (underflow), gdy TRCIDR5.NUMSEQSTATE wynosi 0b000. Poprawka wprowadza pole nr_seq_ctrls oraz makro ETM_MAX_SEQ_TRANSITIONS i stosuje je do konfiguracji pól TRCSEQEVR<n>.

W jądrze Linux w sterowniku coresight etm4x w ścieżce włączania perf brakuje wywołań cscfg_csdev_disable_active_config() w dwóch przypadkach: gdy wybrano branch broadcast nieobsługiwany przez sprzęt oraz gdy etm4_enable_hw() zawiedzie. Prowadzi to do wycieku config_desc->active_cnt. Poprawka wywołuje cscfg_csdev_disable_active_config() w tych ścieżkach błędów.

W jądrze Linux sterownik BRBE (arm_pmuv3) nie inicjalizuje pola hw_id w strukturze stosu gałęzi perf, mimo że jest ono przekazywane do przestrzeni użytkownika. Zgodnie z dokumentacją pole to powinno mieć wartość 0 dla architektur przechowujących surowe rekordy gałęzi w kolejności wieku.

W jądrze Linux sterownik arm_mpam powoduje dereferencję wskaźnika NULL, gdy użytkownik odłączy MSC po wcześniejszym wywołaniu mpam_disable() w reakcji na przerwanie błędu. Funkcja mpam_disable() ustawia drvdata na NULL, a callback usuwania sterownika nie sprawdza tego stanu.

W jądrze Linux sterownik arm_mpam pozwala na odłączenie MSC przez sysfs, co może prowadzić do use-after-free. Gdy odłączany MSC jest ostatnim dla danego komponentu, struktura mpam_component zostaje zwolniona, a następnie odczytywana przez resctrl_arch_get_config() przy dostępie do pliku schemata.

W jądrze Linux wykryto lukę w weryfikatorze BPF dotyczącą instrukcji load-acquire (BPF_LOAD_ACQ). W przeciwieństwie do zwykłego BPF_LDX, load-acquire nie jest zamieniany na BPF_PROBE_MEM, więc JIT generuje zwykłe ładowanie bez wpisu w tablicy wyjątków — błąd dostępu do pamięci powoduje panikę jądra zamiast być obsłużony. Problem dotyczy wskaźników wymagających ochrony przed błędami, takich jak PTR_TO_BTF_ID czy PTR_TO_MEM | MEM_RDONLY | PTR_UNTRUSTED.

W jądrze Linux w sterowniku scsi: sd występuje wyciek strony mempool special_vec, gdy scsi_alloc_sgtables() zawiedzie w sd_setup_unmap_cmnd() lub sd_setup_write_same{10,16}_cmnd(). Warstwa SCSI nie wywołuje uninit_command(), ponieważ RQF_DONTPREP nie jest jeszcze ustawione, co powoduje wyciek strony.

W jądrze Linux w systemie plików btrfs w trybie zoned funkcja btrfs_delayed_refs_rsv_refill() zwraca -EAGAIN, gdy nadmiarowo zakomitowane metadane przekraczają dostępny rozmiar w grupie bloków metadanych. Jeśli wystąpi to podczas reclaimu, transakcja jest przerywana, mimo że -EAGAIN jest warunkiem przejściowym.

W jądrze Linux w systemie plików Btrfs wykryto podatność prowadzącą do konfliktu zakresów zapisu (nakładających się uporządkowanych rozszerzeń), co może powodować panikę jądra. Problem wynika z nieoczekiwanego cofnięcia rozmiaru pliku po nieudanym zapisie bezpośrednim, przez co nie są oczekiwane na zakończenie istniejących operacji zapisu.

W jądrze Linux w systemie plików btrfs można ustawić POSIX ACL nawet gdy root ma ustawioną właściwość tylko do odczytu. Ścieżka kodu set_acl nie sprawdza flagi read-only roota, ponieważ odpowiedni test został usunięty w commicie 353c2ea735e4.

W jądrze Linux w systemie plików btrfs funkcja btrfs_read_merkle_tree_page() może znaleźć stronę (folio), która nie jest aktualna (not-uptodate). Po zablokowaniu strony kod traktuje to jako błąd odczytu i zwraca -EIO, co powoduje, że przejściowy błąd odczytu staje się trwały. Poprawka polega na ponowieniu odczytu elementu Merkle, gdy znaleziono nieaktualną stronę, oraz na odblokowaniu strony w przypadku błędu read_key_bytes().

W jądrze Linux w systemie plików btrfs na dyskach zoned (strefowych) występuje błąd powodujący sporadyczne przerwanie transakcji i przełączenie systemu plików w tryb tylko do odczytu. Problem pojawia się podczas intensywnego przenoszenia danych (relokacji), gdy zapis metadanych w funkcji btree_writepages() napotyka aktywną grupę bloków o wyższym adresie logicznym, co prowadzi do błędu -EAGAIN i aborcji transakcji. Poprawka polega na opróżnieniu aktywnych grup bloków metadanych i systemowych na początku btree_writepages(), aby uniknąć zakleszczenia i umożliwić dalszy postęp zapisu.

W jądrze Linux, w systemie plików btrfs, w funkcji qgroup_free_reserved_data() występuje błędne obliczenie długości (len). Użycie round_up(start + len, sectorsize) daje zaokrągloną pozycję końcową zamiast długości, co prowadzi do zbyt dużej długości i błędnych obliczeń. Poprawka wprowadza lokalne zmienne aligned_start i aligned_len.

W jądrze Linux, w sterowniku pinctrl dla układów Airoha, brakuje podpięcia funkcji .irq_request_resources. Bez tego gpiolib nie może ustawić flagi GPIOD_FLAG_USED_AS_IRQ, co łamie blokowanie kierunku pinu i może pozwolić na rekonfigurację aktywnego pinu IRQ jako wyjścia.

W jądrze Linux, w sterowniku Bluetooth virtio_bt, funkcja virtbt_setup_zephyr() przekazuje odpowiedź na komendę Zephyr 0xfc08 jako string "%s" bez sprawdzenia długości, co może prowadzić do odczytu poza zakresem (OOB) pamięci sąsiedniej. Poprawka ogranicza drukowanie do skb->len - 1 za pomocą "%.*s".

W jądrze Linux, w Bluetooth hci_sync, instancja reklamy przydzielana w adv_timeout_expire() nie jest zwalniana w przypadku błędu lub anulowania, co prowadzi do wycieku pamięci. Poprawka zwalnia bufor z destruktora oraz w wywołującym, gdy nie można go umieścić w kolejce.

W jądrze Linux, w Bluetooth MGMT, komenda mesh_send_cancel() jest kolejkowana z destruktorem NULL, co prowadzi do wycieku pamięci, gdy wpis jest anulowany. Wyciek blokuje również referencję do gniazda, przez co gniazdo MGMT nigdy nie jest zwalniane. Poprawka zwalnia komendę z destruktora.

W jądrze Linux w podsystemie Bluetooth MGMT występuje wyciek pamięci, gdy polecenie HCI jest anulowane. Polecenie nie jest zwalniane, co prowadzi do wycieku pamięci i utrzymywania referencji do gniazda mgmt, które nigdy nie jest zwalniane.

W jądrze Linuxa w podsystemie Bluetooth (MSFT) brakuje walidacji długości prefiksu zdarzeń (evt_prefix_len) względem rzeczywistej długości odpowiedzi. Kontroler może zadeklarować długość do 255 bajtów, a jądro skopiuje dane spoza odpowiedzi, co prowadzi do odczytu nieautoryzowanych danych.

W jądrze Linux w podsystemie BPF i cgroup występuje błąd null-ptr-deref po zastąpieniu programu. Gdy program A (pusty) jest zastępowany programem B używającym BPF_MAP_TYPE_PERCPU_CGROUP_STORAGE, nie przydzielono wymaganego storage, co prowadzi do paniki przy uruchomieniu nowego programu.

W jądrze Linux w sterowniku iio: light: gp2ap002 występuje niezbalansowane zarządzanie runtime PM przy wielokrotnych zapisach zdarzeń. Podwójne włączenie powoduje wyciek referencji runtime PM, a podwójne wyłączenie powoduje underflow licznika i ostrzeżenie.

W jądrze Linux naprawiono błąd w net/sched cls_api dotyczący usuwania przejętego protokołu w przypadku przegranej wyścigu przy wstawianiu. Gdy żądanie przegrywa wyścig w tcf_chain_tp_insert_unique(), zmienna tp_created nie była czyszczona, przez co ścieżka błędu usuwała aktywny klasyfikator należący do zwycięskiego żądania. Wprowadzono trójstanową zmienną śledzącą wynik operacji wstawiania.

W jądrze Linux w podsystemie BPF występuje wyciek mmap_lock w ścieżce irq_work. Zagnieżdżony wywołujący może ponownie użyć slotu przed pierwszym wywołaniem, co prowadzi do podwójnego zablokowania mmap_lock i wycieku blokady, blokując exit_mmap().

W jądrze Linux w sterowniku fbdev: kyro występuje brak walidacji współrzędnych viewportu overlay. Duże wartości wejściowe mogą powodować zawijanie się obliczeń 32-bitowych, co prowadzi do nieprawidłowych współrzędnych przekazywanych do SetOverlayViewPort().

W jądrze Linux w podsystemie iommu/vt-d występuje wyciek referencji iopf_refcount podczas zastępowania domeny na poziomie RID. Funkcje identity_domain_attach_dev() i blocking_domain_attach_dev() nie wyłączają IOPF dla starej domeny, co prowadzi do wycieku referencji. W rezultacie licznik nigdy nie spada do zera, co powoduje ostrzeżenie WARN_ON przy zwalnianiu urządzenia.

W jądrze Linux w sterowniku media: amd: isp4, funkcja isp4if_alloc_fw_gpumem() nie zwalnia wcześniej przydzielonych pul pamięci GPU, gdy jedna z kolejnych alokacji nie powiedzie się. Powoduje to wyciek pamięci. Poprawka zwalnia już przydzielone pule przed zwróceniem błędu.

W jądrze Linux w sterowniku media: amd: isp4, funkcja isp4sd_pwron_and_init() powoduje zakleszczenie (deadlock) w ścieżce błędu, ponieważ ponownie próbuje uzyskać mutex ops_mutex, który już trzyma. Poprawka zmienia obsługę błędów na stopniowe zwalnianie zasobów, unikając zakleszczenia i innych problemów, takich jak niedomiar runtime-PM.

W jądrze Linux w sterowniku nvme-pci, pule deskryptorów DMA nie są zwalniane podczas niepowodzenia inicjalizacji (probe) po przydzieleniu zestawu tagów admin. Powoduje to wyciek obiektów dma_pool. Poprawka dodaje zwalnianie pul w ścieżce błędu out_disable.

Podatność w jądrze Linux dotyczy sterownika AMT (Automatic Multicast Tunneling). Umożliwia ona tworzenie urządzeń AMT na urządzeniu niższej warstwy w innej przestrzeni nazw sieciowych, co prowadzi do ostrzeżenia jądra i zawieszenia systemu podczas wyrejestrowywania urządzenia. Poprawka zakazuje takiej konfiguracji między przestrzeniami nazw.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_getsockopt() zawsze zapisuje 4 bajty przez put_user(), niezależnie od wartości optlen podanej przez użytkownika. Wywołanie z optlen < 4 powoduje zapis poza buforem użytkownika, naruszając kontrakt getsockopt(2). Poprawka odrzuca wywołania z optlen < sizeof(u32), z dodatkowym sprawdzeniem wartości ujemnych.

W jądrze Linux w sterowniku NFC pn533 występuje błąd use-after-free. Funkcja __pn533_send_async() publikuje polecenie, a następnie wywołuje send_frame(), podczas gdy równolegle obsługa przerwania I2C może zakończyć polecenie i zwolnić bufor skb, zanim transport zakończy jego używanie.

W jądrze Linux w podsystemie NFC NCI funkcje parsujące pakiet CORE_INIT_RSP nie sprawdzają długości bufora skb. Złośliwa lub uszkodzona odpowiedź może zadeklarować dużą liczbę interfejsów RF przy niedostatecznej ilości danych, powodując odczyt niezainicjalizowanej pamięci.

W jądrze Linux w podsystemie ALSA seq funkcja bounce_error_event() osadza wskaźnik data.ext.ptr w ładunku bounce, który następnie trafia do przestrzeni użytkownika. Prowadzi to do wycieku adresu jądra (8 bajtów na 64-bit), mimo że odczyt nagłówka zdarzenia jest czyszczony.