Podatności Linux kernel

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_fw_state_show() mimo wykrycia, że układ jest wyłączony lub EEH jest zajęte, ponownie wysyłała polecenie mailbox qla2x00_get_firmware_state() poza blokadą optrom_mutex. Mogło to zawiesić adapter podczas resetu ISP lub odzyskiwania po błędzie PCI.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() przepuszczała nie-SCSI wpisy SRB do szybkiej ścieżki SCSI, gdzie odczytywany był wskaźnik sp->u.scmd.cmd. Nieoczekiwany STATUS_TYPE IOCB dla uchwytu innego niż SCSI mógł spowodować odczyt wskaźnika śmieciowego i dereferencję dzikiego wskaźnika.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2xxx_delete_qpair() usuwała kolejkę żądań przed kolejką odpowiedzi, pozostawiając okno, w którym przerwanie MSI-X odpowiedzi mogło odwołać się do zwolnionej pamięci rsp->req. Prowadzi to do use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_error_entry() odczytywała ha->req_q_map[que] dwukrotnie, co przy równoczesnym wyzerowaniu slotu przez qla25xx_free_req_que() mogło spowodować dereferencję wskaźnika NULL.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla24xx_report_id_acquisition() w ścieżce format-1 wywoływała qla_update_host_map() bez blokady vport_slock, co mogło powodować wyścig z równoległymi aktualizacjami host_map i uszkodzenie drzewa btree.

W jądrze Linux w sterowniku scsi: qla2xxx kilka procedur obsługi bsg używało niezainicjalizowanego bufora stosu o rozmiarze 256 bajtów, a następnie kopiowało całą strukturę do odpowiedzi, ujawniając dane ze stosu. Dotyczyło to m.in. qla2x00_read_fru_status() i qla2x00_read_i2c().

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla_nvme_xmt_ls_rsp() bezwarunkowo wywoływała qla_nvme_ls_reject_iocb() nawet gdy firmware nie był uruchomiony, powodując zapis doorbell i kolejkę IOCB, których zatrzymany firmware nie mógł obsłużyć, oraz dostęp MMIO w oknie resetu/EEH.

W jądrze Linux w systemie plików f2fs funkcja redirty_blocks() mogła wykonać dodatkową iterację pętli czyszczącej, gdy read_cache_folio() zawiodło przed przypięciem jakichkolwiek folio, powodując zbyt wczesne zwolnienie referencji (folio_put_refs z 2). Prowadziło to do błędu "BUG: Bad page state" przy późniejszym drop_caches lub reclaim.

W jądrze Linux w f2fs funkcja f2fs_xattr_advise_set() wywołuje inode_owner_or_capable() z &nop_mnt_idmap zamiast idmap przekazanego przez VFS do handlera ->set(). Na montowaniach z idmap powoduje to sprawdzanie fsuid wywołującego względem niezmapowanego właściciela na dysku.

W jądrze Linux w f2fs funkcja find_in_level() pobiera folio dentry przez f2fs_find_data_folio() przed wywołaniem find_in_block(). Jeśli find_in_block() zwróci błąd, funkcja zapisuje błąd w res_folio i wychodzi z pętli bez zwolnienia folio dentry, powodując wyciek referencji.

W jądrze Linux w systemie plików f2fs występuje wyścig (race condition) w funkcji f2fs_get_read_data_folio(), która wywołuje f2fs_folio_put() przed folio_nr_pages() podczas unieważniania dużego folio z pamięci podręcznej stron. Powoduje to, że równoległy truncate lub podział folio może zmniejszyć lub zwolnić folio, zanim zostanie obliczony zakres unieważniania, co prowadzi do pozostawienia nieaktualnych wpisów w xarray i błędnego stanu stron.

W jądrze Linux w f2fs checkpoint_merge może być włączony nawet gdy wątek scalania checkpointów nie działa, np. przy montowaniu tylko do odczytu. Ścieżka zapisu ckpt_thread_ioprio przez sysfs wywołuje set_task_ioprio() dla wątku checkpointu, co przy NULL cprc->f2fs_issue_ckpt powoduje dereferencję NULL.

W jądrze Linux w f2fs pętla ewakuacji curseg w free_segment_range() iteruje tylko do NR_CURSEG_PERSIST_TYPE (0..5), pomijając niepersystentne typy curseg w pamięci, takie jak CURSEG_COLD_DATA_PINNED i CURSEG_ALL_DATA_ATGC. Aktywny curseg w pamięci w obrębie przycinanego zakresu segmentów nie zostanie zmigrowany.

W jądrze Linux w f2fs występuje potencjalna pętla nieskończona w warunkach wyścigu między f2fs_fsync_node_pages() a f2fs_setattr(). Wątek A pobiera folio przez folio_get(), podczas gdy wątek B unieważnia mapowanie folio, powodując że is_node_folio zawsze zwraca false i pętla retry nigdy się nie kończy.

W jądrze Linux w f2fs gdy blok węzła jest uszkodzony z powodu niezgodności sumy kontrolnej lub niespójnych informacji stopki, należy wyczyścić flagę dirty folio węzła, aby utrwalić niespójne dane węzła w pamięci masowej. Brak tej operacji w ścieżce błędu.

W jądrze Linux w f2fs ścieżka zapisu sysfs dla critical_task_priority aktualizuje stan szeregowania wątków checkpointu lub GC, ale nie jest chroniona przez s_umount, w przeciwieństwie do innych wpisów kontrolnych. Może to powodować wyścig z operacjami remount lub teardown zatrzymującymi te wątki.

W jądrze Linux w podsystemie DRM/AMD Display wykryto wyciek blokady dc_lock podczas ścieżek błędów resetu GPU. Funkcja dm_suspend() przejmuje blokadę, ale jeśli operacje pomocnicze zawiodą, zwraca bez jej zwolnienia, co prowadzi do zakleszczenia przy kolejnych próbach jej przejęcia.

W jądrze Linux w podsystemie DRM/AMD Display brakuje walidacji rozmiaru tablicy LUT dla per-plane degamma, co może prowadzić do dzielenia przez zero lub odczytu poza zakresem pamięci. Problem dotyczy właściwości AMD_PLANE_DEGAMMA_LUT, dostępnej tylko przy kompilacji z AMD_PRIVATE_COLOR.

W jądrze Linux w podsystemie DRM/AMDGPU VCN wykryto przepełnienie liczby całkowitej podczas sprawdzania liczby buforów w komunikacie dec_msg. Specjalnie spreparowana wartość może ominąć kontrolę granic i spowodować odczyt poza przydzielonym obszarem pamięci.

W jądrze Linux w podsystemie DRM/GUD brakuje gwarancji zakończenia znakiem NUL nazw trybów TV odczytywanych z urządzenia USB. Funkcja strlen() może czytać poza przydzielony bufor, co prowadzi do odczytu poza zakresem.

W jądrze Linux w podsystemie DRM wykryto wyciek pamięci obiektu drm_crtc_commit, gdy używany jest znacznik PAGE_FLIP_EVENT. Problem występuje, gdy zdarzenie jest alokowane w prepare_signaling() i zerowane w complete_signaling(), co uniemożliwia zwolnienie obiektu.

W jądrze Linux w podsystemie DRM/AMDGPU wykryto odczyt poza zakresem tablicy adev->isolation[] dla pierścieni nieprzypisanych do partycji. Indeks AMDGPU_XCP_NO_PARTITION (wartość ~0) powoduje dostęp poza tablicę, co wyzwala ostrzeżenia UBSAN.

W jądrze Linux w podsystemie DRM/AMDGPU brakuje wymuszenia zakończenia fence'ów pierścienia KIQ podczas resetu. Po resecie MODE1 pierwsze zgłoszenie KIQ może czekać w nieskończoność na wartość, która nie zostanie zapisana, co prowadzi do zawieszenia.

W jądrze Linux w podsystemie DRM/AMDGPU brakuje wymuszenia zakończenia fence'ów pierścienia MES podczas resetu. Po resecie pierwsze zgłoszenie MES może czekać w nieskończoność, co prowadzi do niepowodzenia wznowienia i zawieszenia systemu.

W jądrze Linux w podsystemie DRM/AMDKFD brakuje flush TLB po ewakuacji/zawieszeniu kolejek MES, co może prowadzić do wyścigu i błędów stron podczas migracji pamięci SVM.

W jądrze Linux występuje podatność typu NULL pointer dereference w funkcji pqm_debugfs_mqds sterownika drm/amdkfd. Odczyt pliku /sys/kernel/debug/kfd/mqds, gdy proces posiada aktywną kolejkę KFD, powoduje dereferencję niezainicjalizowanego wskaźnika mqd_mgr, ponieważ pętla wywołująca mqd_mgr->debugfs_show_mqd() znajduje się poza blokiem if (pqn->q). Prowadzi to do awarii jądra (oops) i odmowy usługi.

W jądrze Linux naprawiono błąd w module drm/pagemap dotyczący funkcji drm_pagemap_migrate_populate_ram_pfn(). Podczas alokacji folio wyższego rzędu brakowało flagi __GFP_NOWARN i ścieżki awaryjnej, a w ścieżce błędu free_pages kolejność folio była obliczana po zwolnieniu referencji (put_page), co prowadziło do use-after-free. Dodatkowo poprawiono budowanie tablicy stron źródłowych, aby zapewnić pełne kopiowanie danych po degradacji do folio rzędu 0.

W jądrze Linux w sterowniku drm/nouveau/uvmm nieczyszczony jest znacznik dirty przy wycofywaniu operacji OP_UNMAP_SPARSE. Gdy późniejsza operacja w zadaniu zawiedzie, region pozostaje w drzewie ze znacznikiem dirty, a jego zakończenie nigdy nie jest sygnalizowane. Kolejne przypisania w tym zakresie trwale zawodzą przez błędy -ENOENT, -EINVAL lub nieprzerywalne oczekiwanie w bind_validate_region().

W jądrze Linux w sterowniku ab8500_fg funkcja ab8500_fg_remove() niszczy kolejkę roboczą, podczas gdy wątkowane procedury obsługi przerwań są wciąż uzbrojone. Procedura obsługi, która uruchomi się w tym oknie, kolejkuje pracę na zwolnionej kolejce, powodując use-after-free. Poprawka niszczy kolejkę przez devm, rejestrując jej czyszczenie po zasilaczu i przed żądaniami przerwań.

W jądrze Linux rozwiązano podatność w podsystemie PCI dotyczącą systemów s390 korzystających z hipervisora na poziomie maszyny. Współdzielone przypisanie obiektu pci_slot do urządzeń wielofunkcyjnych powodowało, że reset funkcji przez sterownik hotplug resetował niewłaściwą funkcję oraz prowadził do wycieku pamięci. Dodano flagę umożliwiającą tworzenie slotów PCI dla poszczególnych funkcji zarządzanych przez hipervisor.

W jądrze Linux w ksmbd obsługa odpowiedzi złożonych rozszerza ostatni iov odpowiedzi do granicy ośmiu bajtów. Funkcja smb2_read_pipe() alokuje tylko rozmiar ładunku, więc wyrównanie może ujawnić do siedmiu bajtów niezainicjowanej pamięci sterty jądra. Poprawka alokuje wyrównany rozmiar i czyści nieużywany ogon przed przypięciem bufora odpowiedzi.

W jądrze Linuxa w sterowniku xhci: dbgtty, jeśli tty_register_driver() zakończy się niepowodzeniem, zwalnia referencję, ale nie ustawia globalnego wskaźnika dbc_tty_driver na NULL, co powoduje ponowne wywołanie unregister podczas wyjścia z modułu. Prowadzi to do użycia po zwolnieniu (use-after-free).

W jądrze Linuxa w module crypto: qcom-rng, generator liczb losowych nie zezwala na wygenerowanie zera jako wyniku, co czyni jego wyjście odróżnialnym od prawdziwie losowego. Zero jest poprawną liczbą losową i powinno być dozwolone.

W jądrze Linuxa w io_uring, sygnalizacja eventfd jest wykonywana inline, gdy dodawany jest pierwszy wpis do listy pracy, co może prowadzić do problemów, gdy dodanie następuje z kontekstu wakeup handlera. Poprawka dodaje flagę IOU_F_TWQ_IN_WAKE, aby wymusić odroczenie sygnalizacji przez call_rcu_hurry() zamiast sygnalizacji inline.

W jądrze Linux w sterowniku amdgpu wykryto podatność polegającą na rekurencyjnym blokowaniu mutexu w funkcji amdgpu_devcoredump_format(). Podczas zrzutu zawartości IB z zawieszonego zadania dochodzi do podwójnego zablokowania tego samego obiektu synchronizującego, co może prowadzić do zakleszczenia systemu. Problem został naprawiony przez przeniesienie operacji do osobnej funkcji używającej jednego kontekstu drm_exec.

W jądrze Linuxa w HID: core, występuje pomyłka typu liczby i wskaźnika dla długich elementów. Gdy fetch_item() jest wywoływany przez hid_scan_report() na elemencie z HID_ITEM_TAG_LONG, przechowuje wskaźnik do danych w item->data.longdata zamiast wartości. Funkcje item_udata() i item_sdata() błędnie zakładają format krótki, co prowadzi do ujawnienia dolnej części wskaźnika jądra jako liczby w dmesg.

W jądrze Linux wykryto podatność prowadzącą do wyłuskania wskaźnika NULL w sterowniku PCI host-generic na 32-bitowych systemach używających trybu CAM. Podczas skanowania magistrali PCI pierwszy odczyt konfiguracji używa niezainicjalizowanego mapowania, co powoduje awarię systemu (kernel panic). Problem dotyczy braku wywołań zwrotnych add_bus/remove_bus w operacjach CAM, które są wymagane do poprawnego mapowania przestrzeni konfiguracyjnej.

W jądrze Linux wykryto podatność w mechanizmie KCOV, powodującą uszkodzenie danych i wyścigi na systemach z włączonym PREEMPT_RT. Problem wynika z przechowywania tymczasowych danych stanu KCOV w obszarze per-CPU, co przy zagnieżdżonym przełączaniu kontekstu przez softirq prowadzi do nadpisania stanu. Dodatkowo, w pewnych warunkach inicjalizacji może dojść do awarii jądra lub wycieku pamięci.

W jądrze Linux w sterowniku drm/xe naprawiono ścieżki alokacji DPT. Usunięto mechanizm awaryjnego przełączania z pamięci VRAM na pamięć systemową, ponieważ nie działał poprawnie i powodował czarny ekran z błędami potoku. Dodatkowo uniknięto używania pamięci stolen ze względu na opóźnienia i ryzyko losowych zawieszeń systemu pod obciążeniem.

W jądrze Linux naprawiono podatność w sterowniku szeregowym msm, polegającą na wyłączeniu DMA dla konsoli UART. Jednoczesne zapisy z przestrzeni użytkownika i jądra mogą powodować wyścig, prowadzący do nieskończonej pętli drukowania tych samych komunikatów. Poprawka wyłącza DMA dla konsoli UART, aby zapewnić niezawodną ścieżkę wyjścia.

W jądrze Linux naprawiono problem w AFS dotyczący nieanulowanego handlera komunikatów OOB rxrpc. Poprawka anuluje przetwarzanie komunikatów OOB (zwykle w odpowiedzi na wyzwania bezpieczeństwa) oraz przenosi to przetwarzanie do kolejki afs_wq, aby było ono oczekiwane. Handler OOB zwraca teraz, jeśli przestrzeń nazw sieci nie jest już aktywna.

W jądrze Linux naprawiono problem w sterowniku NTB, polegający na przechowywaniu oryginalnego adresu DMA do przyszłego zwolnienia. API DMA wymaga, aby dma_free_attrs otrzymywało dokładnie ten sam dma_handle, który został pierwotnie zwrócony przez funkcję alokacji. Poprawka zapobiega modyfikacji tego uchwytu.

W jądrze Linux naprawiono problem w sterowniku kryptograficznym Tegra, polegający na zwracaniu błędu ENOMEM, gdy alokacja bufora wejściowego nie powiedzie się w funkcji tegra_ccm_do_one_req. Poprawka zapewnia ustawienie wartości błędu ENOMEM w przypadku niepowodzenia alokacji.

W jądrze Linux naprawiono problem w systemie plików OCFS2 dotyczący zarządzania buforami głowic w funkcji ocfs2_read_blocks(). Poprawka wyjaśnia, że wywołujący nie powinien zakładać, iż bufor głowicy zwrócony przez sb_getblk() jest wyłącznie własnością, a put_bh() zawsze zmniejsza licznik b_count z 1 do 0. Aby uniknąć sytuacji, w której bufor pozostaje wstrzymany i może być zwrócony z ustawionym bitem BH_Uptodate mimo wcześniejszego błędu walidacji, bit BH_Uptodate jest teraz czyszczony natychmiast po wykryciu niespójności danych przez funkcję validate().

W jądrze Linux w sterowniku IB/mlx5 występuje podatność związana z niejawnym ODP i operacją rereg_mr. Ze względu na dziecięce klucze mkey w konfiguracji niejawnego ODP nie można zmienić niczego w miejscu dla klucza nadrzędnego, dlatego cała struktura musi zostać przebudowana. Dodatkowo usunięto przypadek wyścigu związanego z dostępem do mr->pd przez dziecięce klucze.

W jądrze Linux wykryto cykliczną zależność blokad w systemie plików OCFS2 podczas operacji zapisu z bezpośrednim dostępem do pamięci (DIO). Problem dotyczy funkcji ocfs2_dio_end_io_write, która może prowadzić do zakleszczenia (deadlock) w wyniku nieprawidłowej kolejności blokowania zasobów systemowych (INODE_ALLOC, EXTENT_ALLOC, ORPHAN_DIR). Poprawka polega na zwolnieniu kontekstów alokacji przed uzyskaniem blokady ORPHAN_DIR.

W jądrze Linux w systemie plików AFS występuje wyciek pamięci związany z listą vllist w funkcji afs_update_cell(). Gdy nowa lista jest pusta (nr_servers == 0), stara lista nie jest zastępowana, co prowadzi do wycieku nowej listy.

W jądrze Linux wykryto podatność w mechanizmie ring-buffer (bufor pierścieniowy) używanym przez ftrace. Przy włączonej opcji RB_FORCE_8BYTE_ALIGNMENT (np. na architekturze riscv64 z CONFIG_HAVE_64BIT_ALIGNED_ACCESS) funkcja ring_buffer_event_length() nieprawidłowo oblicza długość zdarzeń dla małych zdarzeń, zawyżając raportowaną długość danych o 4 bajty. Problem objawia się niespójnymi wynikami w testach ftrace (trace_marker_raw).

W jądrze Linux w module IPVS występuje podatność w obsłudze stanu TCP. Kod parsuje ponownie pakiet, aby znaleźć nagłówek TCP, używając sizeof(struct ipv6hdr) dla IPv6, podczas gdy rzeczywiste przesunięcie nagłówka transportowego jest już znane z ip_vs_fill_iph_skb(). Dla pakietów IPv6 z nagłówkami rozszerzeń prowadzi to do odczytu niewłaściwych bajtów.

W jądrze Linux w pliku DTS dla platformy Renesas Ironhide brakuje opisu obszarów pamięci zarezerwowanych dla kontrolera DBSC5 DRAM z inline ECC. Jeśli te obszary nie zostaną odpowiednio zarezerwowane, Linux może użyć i uszkodzić pamięć wykorzystywaną przez kontroler, co prowadzi do niestabilności systemu.