Podatności Linux kernel

W jądrze Linux w systemie plików OCFS2 brakuje rezerwacji metadanych dla dużych atrybutów rozszerzonych (xattr). Może to prowadzić do paniki jądra podczas wywołania lsetxattr() na pofragmentowanym systemie plików, gdy plik ma już zewnętrzny blok xattr.

W jądrze Linux w systemie plików ext4 występuje podatność polegająca na nieskończonej pętli ponawiania prób w funkcji ext4_xattr_block_set() podczas wyboru wpisu w pamięci podręcznej atrybutów rozszerzonych (xattr). Uszkodzony system plików może spowodować, że wpis o nasyconym liczniku odwołań będzie wybierany wielokrotnie, co prowadzi do zawieszenia zadania i blokowania operacji rmdir na katalogu nadrzędnym.

W jądrze Linux w systemie plików nilfs2 brakuje walidacji zakresu parametrów w strukturze nilfs_vdesc używanej przez ioctl GC. Może to prowadzić do wstawienia strony z indeksem ULONG_MAX do cache stron, co powoduje uszkodzenie listy i awarię.

W jądrze Linux w systemie plików ext4, nowe zaszyfrowane pliki mogą mieć włączony tryb DAX, co powoduje, że dane zapisywane do pliku omijają szyfrowanie. Dzieje się tak, ponieważ flaga EXT4_INODE_ENCRYPT jest ustawiana zbyt późno.

W jądrze Linux w systemie plików XFS funkcja weryfikacji wpisów atrybutów odczytuje pola przed sprawdzeniem, czy wskaźnik wpisu znajduje się w granicach bufora. Może to prowadzić do odczytu poza zakresem, jeśli pole nameidx wskazuje blisko końca bufora. Dodano jawne sprawdzenia granic dla wskaźników wpisów przed dostępem do ich pól.

W jądrze Linux w systemie plików XFS, gdy funkcja __xfs_trans_commit() zawiedzie w xfs_trans_roll(), kontekst NOFS jest czyszczony, ale przywracany tylko w ścieżce sukcesu. To pozostawia ścieżkę błędu bez ochrony nofs, powodując cykliczną zależność blokad między klasą xfs_nondir_ilock_class a fs_reclaim. Poprawka przenosi wywołanie xfs_trans_set_context() przed sprawdzenie błędu, aby kontekst nofs był zawsze przywracany na nowej transakcji.

W jądrze Linux w podsystemie NFC (Near Field Communication) funkcja digital_in_recv_sensf_res() kopiuje dane z odpowiedzi urządzenia NFC-F do bufora o stałym rozmiarze bez sprawdzenia górnej granicy długości. Złośliwe urządzenie NFC-F w pobliżu może wysłać odpowiedź SENSF_RES o nadmiernym rozmiarze, powodując przepełnienie bufora na stosie. Poprawka ogranicza długość odpowiedzi do maksymalnego dozwolonego rozmiaru przed kopiowaniem.

W jądrze Linux w podsystemie NFC dla kontrolerów FDP (NXP) funkcja fdp_nci_i2c_read() pobiera długość pakietu z dwóch bajtów dostarczonych przez urządzenie i nie waliduje jej. Może to prowadzić do zapisu poza stosem (przepełnienie bufora) lub do wycieku pamięci (skb leak) w przypadku nieprawidłowego urządzenia. Poprawka odrzuca długości spoza dozwolonego zakresu i zwalnia poprzednio przydzielony skb przed przydzieleniem następnego.

W jądrze Linux w podsystemie NFC dla czytnika Microread funkcja microread_target_discovered() analizuje dane dotyczące wykrytych celów, ale nie sprawdza, czy długość danych w skb jest wystarczająca dla odczytywanych pól. Może to prowadzić do odczytu poza zakresem lub kopiowania danych z bufora poza jego granicami. Poprawka dodaje walidację długości dla każdego typu danych przed ich odczytem lub skopiowaniem.

W jądrze Linuxa wykryto podatność w parserze TLV funkcji nfc_llcp_connect_sn() w podsystemie NFC LLCP. Funkcja ta nie sprawdza granic bufora podczas odczytu nagłówków i wartości TLV, co może prowadzić do odczytu poza zakresem (OOB read) lub zapętlenia z powodu niedomiaru długości dla krótkich ramek. Podatność jest osiągalna zdalnie przez pobliskie urządzenie NFC bez uwierzytelnienia.

W parserach TLV w NFC LLCP (nfc_llcp_parse_gb_tlv i nfc_llcp_parse_connection_tlv) występują trzy błędy: offset typu u8 zawija się po przekroczeniu 255, brakuje sprawdzenia granic przed odczytem nagłówka TLV oraz przed odczytem danych, co prowadzi do odczytów poza buforem. Funkcje są osiągalne bez uwierzytelnienia przez nfc_llcp_set_remote_gb.

W ścieżce odbioru NFC LLCP nie sprawdzano, czy ramka ma co najmniej rozmiar nagłówka LLCP przed jego parsowaniem. Krótkie ramki powodują zawinięcie rozmiaru przy obliczaniu tlv_array_len, co prowadzi do odczytu poza buforem. Problem osiągalny bez uwierzytelnienia przez pobliskie urządzenie NFC.

W sterowniku NFC pn533 podczas czyszczenia nie usuwano kolejek fragment_skb, co prowadzi do wycieku pamięci, gdy urządzenie jest usuwane, a fragmenty są nadal w kolejce.

W ekstraktorach parametrów aktywacji NCI (nci_extract_activation_params_iso_dep i nci_extract_activation_params_nfc_dep) brakuje sprawdzenia długości danych przed memcpy, co przy złośliwej notyfikacji może prowadzić do odczytu poza buforem (slab out-of-bounds).

W jądrze Linuxa w podsystemie NFC (NCI) wykryto podatność polegającą na zapisie poza granicami tablicy w funkcji nci_target_auto_activated(). Funkcja ta dodaje cel do tablicy o stałym rozmiarze bez sprawdzenia, czy tablica jest pełna, co może prowadzić do zapisu poza przydzielony obszar pamięci (slab out-of-bounds).

W handlerach NCI RF discover i activated NTF (nci_rf_discover_ntf_packet i nci_rf_intf_activated_ntf_packet) struktury na stosie nie są inicjalizowane, a gdy długość parametrów technologicznych wynosi zero, niezainicjalizowane dane są przekazywane do nci_add_new_protocol, co prowadzi do odczytu niezainicjalizowanej pamięci (uninit-value).

W ip_do_fragment() nie odrzucano zbyt małych MTU, co prowadziło do zapętlenia fragmentacji i ostatecznie do softlockupu. Problem występuje, gdy efektywne MTU jest mniejsze niż hlen + 8.

W ip6_finish_output2() wskaźnik do adresu IPv6 (daddr) jest buforowany przed wywołaniem lwtunnel_xmit(), które może ponownie alokować skb i zwolnić pamięć, na którą wskazuje. Po powrocie z LWTUNNEL_XMIT_CONTINUE używany jest zwisający wskaźnik, co prowadzi do use-after-free.

W nvmet_execute_auth_receive() bufor odpowiedzi jest alokowany przez kmalloc() i nie jest zerowany, a tylko część bufora jest wypełniana przez DH-HMAC-CHAP. Niezainicjalizowane dane są wysyłane do inicjatora podczas uzgadniania przed uwierzytelnieniem.

W nvmet_fc_alloc_ls_iodlist() podczas obsługi błędów pętla cofania zmniejsza wskaźnik iod poniżej początku tablicy, a następnie kfree(iod) zwalnia nieprawidłowy adres, co prowadzi do nieprawidłowego zwolnienia (invalid free).

W jądrze Linux w podsystemie NVMe-over-TCP (nvmet-tcp) odkryto podatność polegającą na nieograniczonym przydziale pamięci jądra. Atakujący może wysłać spreparowane polecenie zapisu z zawyżoną długością SGL (do 4 GiB), które nie jest poprawnie walidowane przed alokacją buforów, co prowadzi do niekontrolowanego zużycia pamięci.

W jądrze Linux w podsystemie NVMe over Fabrics (nvmet) dla kontrolerów PCIe Endpoint (pci-epf) wykryto podatność use-after-free. Funkcja nvmet_pci_epf_exec_iod_work() po wywołaniu req->execute() odczytuje pola iod->data_len i iod->dma_dir, ale w przypadku komend bez transferu danych z urządzenia do hosta, iod może zostać zwolniony asynchronicznie na innym CPU, zanim te pola zostaną odczytane, co prowadzi do użycia po zwolnieniu.

W jądrze Linux wykryto podatność w podsystemie MPTCP (MultiPath TCP) dotyczącą wycieku pamięci podczas wyścigu między operacją zamykania gniazda a równoczesnym przetwarzaniem żądania ANNOUNCE od menedżera polityki (PM) w przestrzeni użytkownika. Problem wynika z nieprawidłowej synchronizacji między funkcją mptcp_pm_destroy() a ścieżkami alokacji, co prowadzi do utraty wpisów z list i wycieku pamięci.

W jądrze Linux w sterowniku HID magicmouse odkryto podatność na nieograniczoną rekurencję w funkcji magicmouse_raw_event(). Złośliwe urządzenie HID może wysłać raport z sekwencją [0xf7, 0x00], co prowadzi do tysięcy zagnieżdżonych wywołań i przepełnienia stosu jądra. Poprawka ogranicza głębokość rekurencji do dwóch poziomów.

W jądrze Linux w sterowniku HID magicmouse odkryto podatność polegającą na przechowywaniu wskaźnika do zwolnionej pamięci (use-after-free). Jeśli rejestracja urządzenia wejściowego nie powiedzie się, wskaźnik msc->input pozostaje niezerowy, co prowadzi do dereferencji zwolnionej pamięci przy kolejnych raportach. Poprawka czyści wskaźnik, gdy urządzenie wejściowe nie zostało zarejestrowane.

W jądrze Linux w podsystemie HID wykryto podatność polegającą na odczycie poza zakresem pamięci (OOB read) w funkcji hid_set_field(). Problem wynika z wywołania hid_dump_input() przed sprawdzeniem granic offsetu, co przy włączonym CONFIG_DEBUG_FS może prowadzić do odczytu poza przydzieloną tablicą usage[]. Błąd został zgłoszony przez XBOW i dotyczy m.in. sterownika picolcd.

W jądrze Linuxa w sterowniku HID PIDFF (hid_pidff) występuje podatność polegająca na zapisie poza granicami pamięci (OOB write), gdy lista hid->inputs jest pusta. Funkcja hid_pidff_init_with_quirks() pobiera wskaźnik do struktury hid_input bez sprawdzenia, czy lista nie jest pusta, co prowadzi do użycia typu-confused wskaźnika i zapisu poza obiektem. Atakujący może wywołać podatność poprzez podłączenie złośliwego urządzenia USB, bez konieczności logowania użytkownika.

W jądrze Linux w sterowniku net/ionic występuje podatność polegająca na odczycie poza zakresem tablicy podczas wyszukiwania partnera TX dla dedykowanej kolejki RX znaczników czasowych sprzętu. Kolejka ta ma indeks równy liczbie zwykłych par kolejek, co powoduje odczyt poza tablicą txqcqs i zapis przez pochodny wskaźnik. Poprawka polega na nieparowaniu tej kolejki i bezpiecznym przerywaniu ścieżki XDP_TX, gdy brak partnera TX.

W jądrze Linux w mechanizmie futex/pi występuje podatność polegająca na akceptowaniu właściciela prywatnego futexa z innej przestrzeni adresowej. Prywatny klucz futexa pożycza mm oczekującego bez zwiększania referencji mm_users, a attach_to_pi_owner() kopiuje klucz do stanu PI właściciela. Gdy właściciel kończy działanie, może dojść do użycia po zwolnieniu hasza, jeśli mm oczekującego zostanie zwolnione współbieżnie. Poprawka dodaje walidację, że dla prywatnych futexów mm właściciela i mm oczekującego są takie same.

W jądrze Linux w mechanizmie futex/pi występuje luka związana z wyścigiem podczas exec() dla prywatnych futexów. Istnieje okno czasowe między ustawieniem exit_state na OK a zmianą wskaźnika mm, w którym sprawdzenie zgodności mm jest błędne, co może prowadzić do użycia po zwolnieniu. Poprawka ustawia exit_state na FUTEX_STATE_DEAD w futex_exec_release() i dopiero po zmianie mm na FUTEX_STATE_OK.

W jądrze Linux wykryto wyścig w funkcji futex_pivot_pending() podczas prywatnej zmiany rozmiaru tablicy haszującej futex. Zadanie wykonujące zmianę rozmiaru może pozostać w nieprzerywalnym śnie na czas nieokreślony, co prowadzi do wykrycia zawieszenia i paniki jądra.

W jądrze Linux wykryto wyścig w alokacji początkowej licznika mm->futex.phash.ref. W pewnych scenariuszach zagnieżdżonego vfork, dwa procesy w tej samej przestrzeni adresowej mogą jednocześnie alokować i nadpisywać ten licznik, co prowadzi do użycia po zwolnieniu (use-after-free) w futex_q_lock().

W jądrze Linux w sterowniku HID dla urządzeń ASUS brakuje sprawdzenia hid_is_usb() przed użyciem to_usb_interface(). Może to prowadzić do nieprawidłowego dostępu do pamięci, gdy urządzenie HID nie ma rzeczywistego rodzica USB, co może wywołać błąd jądra (kernel splat). Poprawka dodaje odpowiednie sprawdzenie.

W jądrze Linux w sterowniku HID dla urządzeń Huawei brakuje sprawdzenia hid_is_usb() przed użyciem to_usb_interface(). Może to prowadzić do nieprawidłowego dostępu do pamięci, gdy urządzenie HID nie ma rzeczywistego rodzica USB, co może wywołać błąd jądra (kernel splat). Poprawka dodaje odpowiednie sprawdzenie.

W jądrze Linux w sterowniku HID dla konsoli Nintendo występuje podatność odczytu poza zakresem w funkcji joycon_ctlr_read_handler(). Funkcja ta rzutuje raport HID na strukturę joycon_input_report, sprawdzając tylko długość 12 bajtów, podczas gdy struktura ma 49 bajtów. Dla raportu IMU o długości dokładnie 12 bajtów może dojść do odczytu poza zadeklarowaną długością, a dane są przekazywane do przestrzeni użytkownika, co prowadzi do wycieku pamięci wewnętrznej sterownika. Poprawka stosuje pełne sprawdzenie rozmiaru struktury.

W jądrze Linux w sterowniku HID dla konsoli Nintendo występuje podatność polegająca na rejestracji urządzenia wejściowego przed skonfigurowaniem wszystkich możliwości. input_register_device() wystawia urządzenie do przestrzeni użytkownika natychmiast, a wywołanie przed skonfigurowaniem FF_RUMBLE może prowadzić do wyłuskania NULL w przypadku równoczesnego EVIOCSFF. Poprawka przenosi rejestrację na koniec funkcji joycon_input_create(), po skonfigurowaniu wszystkich możliwości.

W jądrze Linux w sterowniku HID dla konsoli Nintendo występuje podatność use-after-free podczas nieudanego procesu inicjalizacji. Funkcja nintendo_hid_probe() wywołuje hid_device_io_start() przed joycon_init() i joycon_leds_create(). Jeśli któraś z tych funkcji zakończy się błędem, ścieżka błędu wywołuje hid_hw_close()/hid_hw_stop() bez uprzedniego wywołania hid_device_io_stop(), co pozwala na dalsze przetwarzanie raportów HID i dostęp do zwalnianych danych. Poprawka dodaje etykietę err_io_stop, która wywołuje hid_device_io_stop() przed hid_hw_close().

W jądrze Linux w sterowniku HID rapoo brakowało sprawdzenia hid_is_usb() przed użyciem to_usb_interface(). Urządzenia uhid mogą być identyfikowane jako USB, ale nie mieć rodzica USB, co prowadzi do awarii jądra.

W jądrze Linux w sterowniku HID ft260 występuje błąd użycia po zwolnieniu stosu (stack-use-after-return) podczas operacji I2C read. Konkurencja między ścieżką odczytu a funkcją ft260_raw_event() może prowadzić do zapisu do zwolnionej pamięci stosu.

W jądrze Linux w sterowniku HID sensor custom występuje błąd użycia po zwolnieniu (use-after-free) w funkcji enable_sensor. Atrybuty pól są tworzone po udostępnieniu atrybutu sysfs enable_sensor, a podczas usuwania enable_sensor jest usuwany po zwolnieniu atrybutów pól.

W jądrze Linuxa wykryto podatność use-after-free w sterowniku HID uclogic. Problem dotyczy timera inrange_timer, który może zostać ponownie uzbrojony po jego anulowaniu podczas usuwania urządzenia, co prowadzi do odwołania do zwolnionej pamięci po wygaśnięciu timera.

W jądrze Linux w sterowniku HID hyperv brakuje walidacji granic dla początkowych informacji o urządzeniu. Złośliwy host Hyper-V lub backend może wysłać krótką wiadomość z zawyżoną długością deskryptora raportu, co prowadzi do odczytu poza pakietem VMBus.

W jądrze Linux wykryto podatność use-after-free w podsystemie Bluetooth (hci_event). Funkcja hci_cc_reset() czyści listy LE accept i resolving bez trzymania zamka hdev->lock, co umożliwia równoczesny odczyt przez debugfs zwolnionej pamięci. Problem został zgłoszony przez KASAN jako slab-use-after-free w funkcji white_list_show.

W jądrze Linux w Bluetooth hci_event brakuje walidacji odpowiedzi LE Set CIG Parameters. Funkcja hci_cc_le_set_cig_params() ufa wartości num_handles i odczytuje wpisy z tablicy bez sprawdzenia, czy odpowiedź zawiera wystarczającą ilość danych.

W jądrze Linux wykryto podatność use-after-free w podsystemie Bluetooth (hci_sync) podczas operacji zawieszenia systemu. Problem wynika z nieprawidłowej synchronizacji dostępu do listy akceptacji (accept_list), co może prowadzić do odwołania do zwolnionej pamięci.

W jądrze Linux w Bluetooth ISO funkcja iso_sock_getname() nie zeruje struktury sockaddr przed zwróceniem jej do przestrzeni użytkownika, co powoduje wyciek niezainicjalizowanych bajtów ze stosu jądra.

W jądrze Linux w Bluetooth MGMT brakuje górnego limitu dla params_len w HCI_CMD_SYNC. params_len może przekroczyć 255, co prowadzi do niezgodności z polem plen w nagłówku HCI i może spowodować, że kontroler odbierze dodatkowe bajty jako początek następnego pakietu.

W jądrze Linux w sterowniku Bluetooth hci_aml funkcja aml_download_firmware() odczytuje dwie długości z nagłówka firmware'u i używa ich do konstruowania wskaźników przed sprawdzeniem, czy nagłówek i dane segmentu są obecne. Przycięty lub niespójny obraz firmware'u może spowodować odczyt poza buforem firmware->data podczas konstruowania poleceń TCI. Poprawka odrzuca obrazy krótsze niż nagłówek i zapewnia, że zakresy ICCM i DCCM mieszczą się w załadowanym firmware.

W jądrze Linux w mechanizmie futex występuje podatność use-after-free w funkcji futex_private_hash_put(). Funkcja ta zwalnia referencję do fph przed odczytaniem fph->mm dla wake_up_var(). Jeśli to zwolnienie jest ostatnim i zadanie zostanie wywłaszczone, inne zadanie może przełączyć się na nowy hash i zwolnić stary po okresie RCU, a pierwsze zadanie odczyta z wolnej pamięci. Poprawka polega na wczytaniu wskaźnika mm, gdy referencja jest nadal trzymana, i przekazaniu zapisanej wartości do wake_up_var().

W jądrze Linux w sterowniku drm/panthor funkcja panthor_fw_load_section_entry() pomija tworzenie BO dla sekcji firmware o zerowym rozmiarze, ale dodaje je do listy sekcji, co prowadzi do dereferencji NULL w późniejszych ścieżkach. Poprawka polega na pomijaniu dodawania takich sekcji do listy.