Podatności Linux kernel

W jądrze Linux w KVM dla architektury arm64 występuje podatność polegająca na tym, że przy wstrzykiwaniu zagnieżdżonych wyjątków SError nie jest zapisywany rejestr ESR_EL2. Funkcja kvm_inject_el2_exception() zapisuje ESR_EL2 dla wyjątków synchronicznych, ale nie dla SError, co powoduje, że gość L2 obserwuje nieaktualny ESR_EL2.

W jądrze Linux w sterowniku ALSA HDA dla układu TAS2781 występuje podatność polegająca na tym, że asynchroniczne żądanie firmware nie jest anulowane podczas unbind. Może to prowadzić do sytuacji, w której callback firmware działa na stanie, który jest właśnie usuwany, co może powodować błędy lub wyścigi.

W jądrze Linux w sterowniku kryptograficznym Xilinx TRNG usunięto interfejs crypto_rng, ponieważ nie był używany. Usunięcie eliminuje błędy, takie jak zwracanie sukcesu bez wypełnienia wszystkich bajtów oraz możliwość równoczesnego działania funkcji xtrng_trng_generate() i xtrng_hwrng_trng_read(), co mogło prowadzić do zakłóceń.

W jądrze Linux w sterowniku amdkfd podczas przywracania stanu CRIU nie walidowano poprawnie identyfikatorów przywracanych z przestrzeni użytkownika przed użyciem ich w funkcji idr_alloc. Zbyt duże identyfikatory (powyżej INT_MAX) mogą wywołać ostrzeżenie WARN w warstwie IDR, co może prowadzić do paniki lub restartu systemu, jeśli włączona jest opcja panic_on_warn.

W jądrze Linux w systemie plików NTFS podczas montowania partycji funkcja ntfs_read_inode_mount() nieprawidłowo sprawdza granice wpisów na liście atrybutów $MFT. Krótki wpis o długości kontrolowanej przez atakującego może spowodować odczyt poza zakresem bufora, gdy rozmiar listy atrybutów jest wielokrotnością rozmiaru sektora.

W jądrze Linux w systemie plików NTFS3 funkcja alokująca dane inline_data używała kmemdup, co nie gwarantowało wyrównania do strony. To powodowało błąd BUG w iomap_write_end_inline, gdy sprawdzenie poprawności danych inline zawodziło. Poprawka polega na alokacji za pomocą alloc_page, aby zapewnić wyrównanie do strony.

W jądrze Linux dla architektury Alpha funkcja pci_mmap_resource() nie sprawdzała security_locked_down(LOCKDOWN_PCI_ACCESS) przed umożliwieniem mapowania BAR-ów PCI przez przestrzeń użytkownika. W wersji generycznej dodano to sprawdzenie, aby zapobiec atakom DMA, gdy jądro jest zablokowane (locked down).

W jądrze Linux w podsystemie TIPC funkcja tipc_exit_net() zawiera pętlę aktywnego oczekiwania (busy loop) na zakończenie prac porządkowych bearera UDP. W pewnych warunkach (np. wysoki priorytet zadania lub jądro bez wywłaszczania) pętla może działać bardzo długo, marnując cykle CPU i prowadząc do miękkich zakleszczeń (soft lockups). Poprawka zastępuje pętlę mechanizmem wait_var_event().

W jądrze Linux w podsystemie BPF funkcja copy_user_syms używała __get_user bez uprzedniego wywołania access_ok na wskaźniku z przestrzeni użytkownika. Brak tego sprawdzenia może prowadzić do nieprawidłowego dostępu do pamięci. Poprawka dodaje brakujące wywołanie access_ok dla całej tablicy wskaźników oraz upraszcza ścieżkę błędów.

W jądrze Linux w podsystemie RDMA/rxe występuje podatność use-after-free podczas modyfikacji atrybutu IB_QP_MAX_DEST_RD_ATOMIC. Miejscowy nieuprzywilejowany użytkownik może wykorzystać wyścig między zwolnieniem a ponownym przydzieleniem zasobów, prowadząc do awarii systemu (lokalny DoS).

W jądrze Linux w podsystemie RDMA/rxe wykryto podatność polegającą na odczycie i zapisie poza granicami przydzielonej pamięci (out-of-bounds) w funkcji free_rd_atomic_resources(). Problem wynika z aktualizacji atrybutu max_dest_rd_atomic przed zwolnieniem starej tablicy, co powoduje, że pętla zwalniająca przechodzi poza przydzielony obszar, co może prowadzić do uszkodzenia pamięci (wykryte przez KASAN).

W jądrze Linux w sterowniku nvme-tcp występuje problem z nieprawidłowym użyciem page_frag_cache w środowisku wielowątkowym, co prowadzi do błędnego zliczania referencji i przedwczesnego zwolnienia stron. Może to powodować ostrzeżenia sieciowe i losowe paniki systemu.

W jądrze Linux w systemie plików FUSE występuje wyciek blokady invalidate podczas niepowodzenia zapisu zwrotnego w fuse_do_setattr(), co może zablokować późniejsze operacje na pliku.

W jądrze Linux w systemie plików FUSE występuje wyciek blokady zapisu (rwsem) podczas operacji open z flagą O_TRUNC dla plików DAX, gdy funkcja fuse_dax_break_layouts() zakończy się błędem (np. -ERESTARTSYS). Prowadzi to do zawieszenia późniejszych operacji na pliku z powodu niezwolnionej blokady.

W jądrze Linux w sterowniku USB gadget f_tcm występuje problem z licznikiem portów (tpg_port_count), który jest zmniejszany przed zakończeniem usuwania LUN, co może prowadzić do wyścigu i użycia po zwolnieniu (UAF) podczas usuwania sesji. Dodano opcjonalny callback fabric_post_unlink(), aby utrzymać licznik portów do czasu zakończenia core_dev_del_lun().

W jądrze Linux w podsystemie KVM dla AMD SEV/SEV-ES na platformach z SNP, operacje szyfrowania/deszyfrowania pamięci gościa używały bufora tymczasowego, który nie był alokowany jako pełna strona 4KiB. Na platformach SNP strona zawierająca bufor musi być tymczasowo przypisana do firmware, co powoduje, że dostęp do niej przez inne części jądra wywołuje błąd RMP #PF, prowadzący do paniki jądra.

W jądrze Linux wykryto podatność w mechanizmie TLS offload (tls_device.c), prowadzącą do zapisu poza zakresem pamięci w funkcji tls_append_frag(). Problem występuje, gdy rekord TLS pozostaje otwarty z pełną liczbą fragmentów, a kolejne wywołania splice() z flagą SPLICE_F_MORE dodają kolejne strony, co powoduje przekroczenie tablicy frags[MAX_SKB_FRAGS] i nadpisanie pamięci, w tym wskaźnika funkcji w strukturze destruct_work, co może prowadzić do wykonania dowolnego kodu.

W jądrze Linux w module GTP występuje brak serializacji aktualizacji kontekstów PDP, co może prowadzić do podwójnego usunięcia tego samego kontekstu PDP, gdy operacje GTP_CMD_DELPDP i RTM_DELLINK są wykonywane równocześnie. Skutkuje to błędem ogólnej ochrony (general protection fault) i potencjalnym użyciem po zwolnieniu.

W jądrze Linux wykryto podatność use-after-free w funkcji tcp_ao_connect_init() dotyczącą TCP-AO. Wyścig między walidacją klucza a zmianą przynależności VRF może doprowadzić do usunięcia jedynego klucza, a następnie bezpośredniego zwolnienia struktury tp->ao_info, podczas gdy ścieżka odbioru może nadal używać wskaźnika do tej struktury. Problem został znaleziony podczas statycznego audytu i potwierdzony przez reproducer wywołujący raport KASAN.

W jądrze Linuxa wykryto podatność use-after-free w module TCP-AO (TCP Authentication Option). Problem występuje podczas ponownego łączenia z innym peerem, gdy wskaźnik current_key może wskazywać na zwolnioną pamięć po wywołaniu call_rcu().

W jądrze Linux w module xfrm (ESP-in-TCP) występuje błąd użycia po zwolnieniu (UAF) podczas zamykania gniazda espintcp. Funkcja espintcp_close() zwalnia skb bez trzymania blokady gniazda, podczas gdy kolejka pracy xfrm_trans_reinject może nadal używać tego samego skb. Poprawka dodaje synchronize_rcu() po zresetowaniu sk_prot.

W jądrze Linux w module xfrm (ESP-in-TCP) występuje problem z pakietami, które nie mają urządzenia wejściowego (ingress device). Gdy urządzenie wejściowe zostanie usunięte, dev_get_by_index_rcu() zwraca NULL, co prowadzi do dereferencji NULL w ścieżce wejściowej XFRM. Poprawka odrzuca takie pakiety.

W jądrze Linuxa wykryto podatność na zakleszczenie (deadlock) w mechanizmie keepalive dla NAT w podsystemie xfrm. Funkcja nat_keepalive_work() przegląda tabelę stanów, trzymając blokadę xfrm_state_lock, a następnie w wywołaniu zwrotnym próbuje uzyskać blokadę x->lock. Ścieżka usuwania stanu (xfrm_state_delete) blokuje te same zamki w odwrotnej kolejności, co prowadzi do zakleszczenia AB-BA. Problem został rozwiązany poprzez podzielenie przeglądania na dwie fazy: najpierw zbieranie kandydatów z referencją, a potem przetwarzanie bez zagnieżdżania blokad.

W jądrze Linuxa w podsystemie AH6 (IPsec) występuje podatność na odczyt poza zakresem pamięci. Funkcja ipv6_rearrange_rthdr() zakłada, że pole segments_left w nagłówku routingu nie przekracza liczby adresów opisanych przez hdrlen. Jednak dla surowych pakietów IPv6 (HDRINCL) można wysłać pakiet z hdrlen=2 (opisujący jeden adres) i segments_left=255, co powoduje przesunięcie wskaźnika o 4064 bajty wstecz i przekazanie długości 4064 bajtów do memmove(), prowadząc do dostępu poza pamięć. Poprawka dodaje walidację tego niezmiennika przed modyfikacją nagłówka.

W jądrze Linuxa w funkcji xfrm_state_construct() występuje wyciek pamięci związany z algorytmem uwierzytelniania. Funkcja attach_auth_trunc() może przydzielić pamięć dla x->aalg, ale nie ustawia x->props.aalgo, gdy wybrany algorytm nie ma identyfikatora sadb_alg_id (np. cmac(aes)). Następnie xfrm_state_construct() traktuje zerową wartość x->props.aalgo jako brak algorytmu i wywołuje attach_auth(), co nadpisuje wskaźnik x->aalg i traci pierwotną alokację. Poprawka sprawdza, czy x->aalg jest już ustawiony, zamiast wnioskować na podstawie x->props.aalgo.

W jądrze Linux wykryto podatność use-after-free w kodzie mostkowania multicast (bridge mcast) dla VLAN-ów nadrzędnych (master VLAN). Problem polega na tym, że podczas usuwania VLAN-u nadrzędnego flaga BR_VLFLAG_MCAST_ENABLED nie jest czyszczona pod blokadą, co pozwala czytelnikom (transmisja mostka) na ponowne uzbrojenie kontekstu multicast po jego deinicjalizacji i zwolnieniu pamięci, prowadząc do dostępu do zwolnionej pamięci.

W jądrze Linux w module Segment Routing IPv6 (seg6) podczas dekapsulacji IPIP (End.DX4, End.DT4) nie jest czyszczony blok sterowania IPv4 (IPCB). Skutkuje to użyciem starych danych IP6CB przez IPv4, co może prowadzić do odczytu poza zakresem w funkcji __ip_options_echo() i potencjalnego naruszenia pamięci (KASAN: slab-out-of-bounds).

W jądrze Linuxa w module batman-adv występuje podatność na odczyt poza zakresem pamięci. Funkcja batadv_tvlv_call_handler() ustawia pola network_header i transport_header w strukturze sk_buff na podstawie odebranego multicast TVLV, bez sprawdzenia, czy końcowy offset jest reprezentowalny w 16-bitowym polu. Jeśli offset przekracza zakres, skb_set_transport_header() obcina go, co powoduje, że nagłówek transportowy znajduje się przed nagłówkiem sieciowym, a skb_network_header_len() zwraca dużą wartość u32. Funkcja batadv_mcast_forw_packet() akceptuje wtedy zbyt duży multicast tracker i uzyskuje dostęp do pamięci poza danymi skb. Poprawka dodaje funkcję skb_set_transport_header_careful() i odrzuca niereprezentowalne TVLV.

W jądrze Linuxa w module vxlan występuje podatność na użycie nieprawidłowego wskaźnika (invalid pointer) podczas czyszczenia wpisów FDB. Gdy filtrowane masowe czyszczenie usuwa wszystkie remote'y z wpisu FDB, ostatni remote jest odłączany w funkcji vxlan_fdb_dst_destroy(), a dopiero potem niszczony jest wpis nadrzędny. W tym czasie czytelnik RCU może znaleźć wpis nadrzędny, a funkcja first_remote_rcu() zastosuje list_entry_rcu() do pustej listy, tworząc nieprawidłowy wskaźnik remote, który może być używany w ścieżce uczenia się. Poprawka pozostawia ostatni remote podłączony i prosi wywołującego o zniszczenie całego wpisu FDB.

W jądrze Linux w podsystemie netfilter/nf_tables występuje podatność polegająca na wyścigu (race condition) podczas kolejkowania powiadomień o obiektach z ścieżki pakietów. Funkcja nft_obj_notify() wywoływana z ścieżki pakietów (np. przez nft_quota_obj_eval) dodaje powiadomienie do listy notify_list bez odpowiedniego blokowania, co może prowadzić do użycia po zwolnieniu (use-after-free) sk_buff. Problem pojawił się po zmianie 67cc570edaa0, która zmieniła sposób wysyłania powiadomień.

W jądrze Linux usunięto interfejs crypto_rng z sterownika qcom-rng, ponieważ był on zbędny i powodował błędy. Sterownik udostępniał ten sam sprzęt przez dwa osobne interfejsy, co mogło prowadzić do jednoczesnego dostępu do rejestrów i generowania nieprawidłowych wartości losowych. Interfejs hwrng pozostaje aktywny i jest tym właściwym.

W jądrze Linux w sterowniku crypto: qce występuje błąd niedostatecznej alokacji bufora AAD w funkcji qce_aead_ccm_prepare_buf_assoclen(). Bufor może być mniejszy niż długość później programowana do listy DMA, co prowadzi do odczytu poza przydzielony obszar przez sprzęt QCE podczas obliczania CBC-MAC. Poprawka polega na dodaniu maksymalnej długości nagłówka AAD przed wyrównaniem.

W jądrze Linux w sterowniku crypto: mxs-dcp funkcja mxs_dcp_aes_block_crypt() używa sg_dma_len() bez wcześniejszego mapowania listy scatterlist przez dma_map_sg(). Może to prowadzić do nieprawidłowej długości przetwarzanych danych podczas szyfrowania i deszyfrowania, gdy włączona jest opcja CONFIG_NEED_SG_DMA_LENGTH=y. Poprawka polega na użyciu oryginalnej długości scatterlist.

W jądrze Linux w sterowniku ALSA: usb-audio występuje podatność zapisu poza zakresem (OOB write) w funkcji snd_usbmidi_novation_output(). Złośliwe urządzenie USB może zadeklarować wMaxPacketSize=1, co prowadzi do ujemnej długości przesyłania i zapisu poza bufor. Poprawka dodaje sprawdzenie, czy endpoint może pomieścić nagłówek i co najmniej jeden bajt danych.

W jądrze Linux w sterowniku ALSA usb-audio wykryto podatność związaną z niepełnym czyszczeniem stanu po błędzie podczas wznawiania systemu (system resume). Nieudane wznowienie może pozostawić kartę dźwiękową w stanie uniemożliwiającym jej użycie do czasu restartu, a licznik zawieszonych interfejsów pozostaje niespójny, co zaburza kolejne cykle zawieszenia i wznowienia.

W jądrze Linux w sterowniku USB: serial: option występuje podatność odczytu poza zakresem (slab OOB read) w funkcji callback przerwania URB. Bufor przerywań jest alokowany na podstawie wMaxPacketSize, a gdy urządzenie wyśle krótki pakiet, kod odczytuje dane poza przydzielonym buforem. Poprawka dodaje brakujące sprawdzenie granic przed dostępem do danych.

W jądrze Linux w sterowniku USB: c67x00 występuje podatność użycia po zwolnieniu (use-after-free) w funkcji c67x00_add_iso_urb(). Gdy tworzenie TD nie powiedzie się dla ostatniego pakietu URB izochronicznego, URB jest zwracany przed aktualizacją stanu planowania endpointu, co prowadzi do dostępu do zwolnionej pamięci. Poprawka aktualizuje next_frame i cnt przed zwróceniem URB.

W jądrze Linuxa w sterowniku mt76 dla układów mt7925 wykryto podatność polegającą na braku zapewnienia odpowiedniego miejsca w buforze (headroom) przed wysłaniem ramek przez USB/SDIO. Podczas przekazywania ramek z interfejsu przewodowego do punktu dostępowego mt7925u może dojść do paniki jądra (skb_under_panic) z powodu próby zapisu poza przydzielonym buforem. Problem dotyczy ścieżki transmisji dla ramek przekazywanych (forwarded frames), które nie rezerwują wymaganego headroomu.

W jądrze Linux wykryto podatność use-after-free w sterowniku usbfs (usbdev_release). Funkcja zwalnia referencję do struktury usb_device przed opróżnieniem listy zakończonych żądań URB, co po odłączeniu urządzenia prowadzi do odczytu zwolnionej pamięci. Problem jest osiągalny przez nieuprzywilejowany proces z dostępem do /dev/bus/usb.

W jądrze Linux w sterowniku NFC st21nfca nie sprawdzano, czy deklarowana długość ramki ATR_REQ nie przekracza faktycznie odebranej długości. Atakujący przez radio może wysłać krótką ramkę z zawyżoną długością, co prowadzi do odczytu poza zakresem i ujawnienia pamięci jądra lub do awarii systemu (DoS).

W jądrze Linux w podsystemie NVMe over PCIe (nvmet pci-epf) brakuje zwolnienia referencji do kolejki CQ i kontrolera, gdy mapowanie adresów PCI nie powiedzie się podczas tworzenia kolejki. Zdalny host PCI może wielokrotnie wywoływać wyciek pamięci i referencji.

W jądrze Linux w systemie plików XFS funkcja skanowania online (scrub) może zapętlić się w nieskończoność, jeśli lista niepołączonych i-węzłów zawiera cykl. Brakuje wykrywania cykli.

W jądrze Linuxa wykryto podatność w podsystemie Bluetooth RFCOMM. Funkcja rfcomm_sock_recvmsg() wywołuje rfcomm_dlc_accept() bez trzymania zamka rfcomm_mutex, co może prowadzić do dereferencji wskaźnika NULL, gdy zdalny peer wyśle ramkę DISC (rozłączenie) dla połączenia z opóźnioną konfiguracją (BT_DEFER_SETUP). Problem został naprawiony przez dodanie zamka rfcomm_mutex wokół wywołania rfcomm_dlc_accept() oraz ponowne sprawdzenie sesji.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv występuje podatność use-after-free podczas operacji teardown (usuwania). Problem pojawia się, gdy kolejka CMDQ jest zwalniana przed wykonaniem funkcji arm_smmu_impl_remove(), która następnie próbuje wysłać komendę CMD_SYNC do już zwolnionej pamięci, co może prowadzić do awarii systemu.

W jądrze Linux wykryto podatność w podsystemie iommu/iommufd, polegającą na wyłuskaniu wskaźnika NULL w funkcji iommufd_ioas_change_process podczas wyścigu z iopt_map_file_pages. Problem wynika z okna czasowego między utworzeniem obszaru IOAS a wypełnieniem jego pola pages, co może prowadzić do dereferencji NULL i awarii systemu.

W jądrze Linux w sterowniku ALSA FCP (USB) używano wspólnego URB (żądania USB) przeznaczonego dla innego endpointu, co prowadziło do błędów inicjalizacji i potencjalnego crashu. Dodano oddzielny URB oraz inicjalizację mechanizmu synchronizacji.

W jądrze Linuxa w sterowniku ALSA dla urządzeń Focusrite Scarlett 2. generacji występuje podatność polegająca na użyciu wspólnego URB (żądania USB) dla punktu końcowego powiadomień, co prowadzi do sytuacji, w której inicjalizacja nie jest wykonywana, a struktura cmd_done pozostaje wyzerowana. W rezultacie podczas operacji init może dojść do awarii (crash) w wait_for_completion_timeout().

W jądrze Linux w podsystemie NVMe over Fabrics (nvmet) funkcja nvmet_execute_identify_nslist() wywołuje dereferencję wskaźnika NULL, gdy przetwarza polecenie Identify z CNS 07h. Dzieje się tak, ponieważ req->ns nie jest ustawiane, a następnie jest używane do porównania.

W jądrze Linux wykryto wyciek pamięci w podsystemie io_uring dla komend asynchronicznych. Tablica iovec nie jest zwalniana, gdy komenda nie jest poddawana recyklingowi, a pamięć podręczna komend jest pełna. Problem dotyczy ścieżek związanych z komendami NVMe passthrough.

W jądrze Linux w podsystemie io_uring/rsrc wykryto podatność polegającą na przepełnieniu przy obliczaniu rozmiaru folio w funkcji io_vec_fill_bvec(). Użycie zwykłego int zamiast unsigned long przy przesunięciu bitowym może prowadzić do niezdefiniowanego zachowania dla folio o przesunięciu 32 lub więcej, co skutkuje zapisem poza granicami tablicy. Problem dotyczy głównie systemów z ogromnymi stronami hugetlb (np. 16G na arm64).