Podatności Linux kernel

W jądrze Linux w KVM dla architektury s390 naprawiono problem wstrzykiwania przerwań podczas operacji SIGP Stop and Store Status. Zapisywanie stanu do przestrzeni użytkownika mogło powodować błąd strony, a funkcja była wywoływana z kontekstu trzymającego spinlock, co jest niedozwolone.

W jądrze Linux w sterowniku MACsec naprawiono problem kolejności inicjalizacji: struktura SecY była inicjalizowana po rejestracji urządzenia sieciowego, co powodowało ostrzeżenia i raportowanie niezainicjalizowanych atrybutów (w tym SCI) w powiadomieniach. Poprawka przenosi inicjalizację SecY i atrybutów przed rejestracją.

W jądrze Linux w KVM dla architektury arm64 naprawiono niespójność między flagą KVM_ARCH_FLAG_GUEST_HAS_SVE a bitem KVM_ARM_VCPU_SVE. Host ustawiający flagę bez bitu powodował vCPU z NULL sve_state, co prowadziło do problemów przy przełączaniu kontekstu.

W jądrze Linux naprawiono błąd w mechanizmie BPF sockmap, gdzie przekierowanie skb z powrotem do tego samego gniazda (self-redirect z BPF_F_INGRESS) powodowało podwójne zliczanie copied_seq. Skutkowało to ostrzeżeniami jądra i nieprawidłowym działaniem recvmsg. Poprawka zamienia verdict self-redirect na __SK_PASS, aby uniknąć podwójnego przesunięcia copied_seq.

W jądrze Linux naprawiono problem zawieszania zadań podczas odmontowywania systemu plików po usunięciu dysku. Funkcja evict_inodes() wielokrotnie skanowała te same inody z powodu restartu przechodzenia listy po zwolnieniu blokady, co długo utrzymywało s_umount i blokowało współbieżne odmontowania. Poprawka polega na zachowaniu bieżącej inody poza partią zwalniania do czasu ponownego uzyskania blokady i wznowieniu od niej przechodzenia.

W jądrze Linux na architekturze arm64 funkcja ioremap_prot() nie odrzucała mapowań bez flagi PTE_USER, co powodowało fałszywe ostrzeżenie WARN przy dostępie do stron z PROT_NONE lub mapowań tylko-do-wykonania przez /dev/mem i /proc/<pid>/cmdline. Poprawka powoduje czyste odrzucenie takich wartości ochrony bez ostrzeżenia.

W jądrze Linux naprawiono błąd w sterowniku emac, który powodował panikę jądra (NULL pointer dereference) podczas inicjalizacji sterownika na platformach PowerPC 44x. Przyczyną było wywołanie of_phy_connect() przed ustawieniem netdev_ops, co prowadziło do sprawdzenia netdev_need_ops_lock() na niezainicjalizowanym wskaźniku. Poprawka przenosi inicjalizację netdev_ops, commac.ops i ethtool_ops przed wywołanie emac_init_config().

W systemie plików overlayfs funkcja ovl_do_mkdir() wypisywała dentry za pomocą %pd po wywołaniu vfs_mkdir(), które może zwolnić lub zamienić dentry, co prowadzi do use-after-free przy włączonym CONFIG_OVERLAY_FS_DEBUG. Poprawka przenosi wypisanie dentry przed wywołanie i ogranicza wydruk po wywołaniu do wyniku.

W jądrze Linux naprawiono błąd w podsystemie netfs, gdzie bezpośrednie wywołania funkcji alokacji z puli mempool pomijały otoczkę alloc_hooks(), co przy włączonym CONFIG_MEM_ALLOC_PROFILING_DEBUG powodowało ostrzeżenia o braku ustawionego current->alloc_tag podczas alokacji i zwalniania pamięci. Problem występował m.in. przy odczycie plików z montowania CIFS, a alokacje nie były widoczne w /proc/allocinfo.

W jądrze Linux w podsystemie DAMON funkcja damon_ptep_mkold() przekazywała nie wyrównany do strony adres próbkowania do mechanizmu czyszczenia flagi młodości PTE. Na architekturze arm64 powodowało to wykroczenie poza blok contpte i zapis do strony następującej po tablicy stron, co mogło prowadzić do awarii jądra lub cichego uszkodzenia pamięci.

W jądrze Linux sterownik crypto ccp wywoływał rmp_mark_pages_firmware() z locked=false mimo że funkcja nadrzędna już posiadała sev_cmd_mutex. W przypadku błędu RMPUPDATE ścieżka czyszczenia mogła spowodować zakleszczenie w sev_do_cmd. Poprawka przekazuje locked=true.

W jądrze Linux w sterowniku amdgpu wykryto podatność polegającą na rekurencyjnym blokowaniu mutexu w funkcji amdgpu_devcoredump_format(). Podczas zrzutu zawartości IB z zawieszonego zadania dochodzi do podwójnego zablokowania tego samego obiektu synchronizującego, co może prowadzić do zakleszczenia systemu. Problem został naprawiony przez przeniesienie operacji do osobnej funkcji używającej jednego kontekstu drm_exec.

W jądrze Linux w sterowniku drm/xe naprawiono ścieżki alokacji DPT. Usunięto mechanizm awaryjnego przełączania z pamięci VRAM na pamięć systemową, ponieważ nie działał poprawnie i powodował czarny ekran z błędami potoku. Dodatkowo uniknięto używania pamięci stolen ze względu na opóźnienia i ryzyko losowych zawieszeń systemu pod obciążeniem.

W jądrze Linux naprawiono podatność w sterowniku szeregowym msm, polegającą na wyłączeniu DMA dla konsoli UART. Jednoczesne zapisy z przestrzeni użytkownika i jądra mogą powodować wyścig, prowadzący do nieskończonej pętli drukowania tych samych komunikatów. Poprawka wyłącza DMA dla konsoli UART, aby zapewnić niezawodną ścieżkę wyjścia.

W jądrze Linux naprawiono problem w AFS dotyczący nieanulowanego handlera komunikatów OOB rxrpc. Poprawka anuluje przetwarzanie komunikatów OOB (zwykle w odpowiedzi na wyzwania bezpieczeństwa) oraz przenosi to przetwarzanie do kolejki afs_wq, aby było ono oczekiwane. Handler OOB zwraca teraz, jeśli przestrzeń nazw sieci nie jest już aktywna.

W jądrze Linux naprawiono problem w sterowniku kryptograficznym Tegra, polegający na zwracaniu błędu ENOMEM, gdy alokacja bufora wejściowego nie powiedzie się w funkcji tegra_ccm_do_one_req. Poprawka zapewnia ustawienie wartości błędu ENOMEM w przypadku niepowodzenia alokacji.

W jądrze Linux naprawiono problem w systemie plików OCFS2 dotyczący zarządzania buforami głowic w funkcji ocfs2_read_blocks(). Poprawka wyjaśnia, że wywołujący nie powinien zakładać, iż bufor głowicy zwrócony przez sb_getblk() jest wyłącznie własnością, a put_bh() zawsze zmniejsza licznik b_count z 1 do 0. Aby uniknąć sytuacji, w której bufor pozostaje wstrzymany i może być zwrócony z ustawionym bitem BH_Uptodate mimo wcześniejszego błędu walidacji, bit BH_Uptodate jest teraz czyszczony natychmiast po wykryciu niespójności danych przez funkcję validate().

W jądrze Linux wykryto cykliczną zależność blokad w systemie plików OCFS2 podczas operacji zapisu z bezpośrednim dostępem do pamięci (DIO). Problem dotyczy funkcji ocfs2_dio_end_io_write, która może prowadzić do zakleszczenia (deadlock) w wyniku nieprawidłowej kolejności blokowania zasobów systemowych (INODE_ALLOC, EXTENT_ALLOC, ORPHAN_DIR). Poprawka polega na zwolnieniu kontekstów alokacji przed uzyskaniem blokady ORPHAN_DIR.

W jądrze Linux w systemie plików AFS występuje wyciek pamięci związany z listą vllist w funkcji afs_update_cell(). Gdy nowa lista jest pusta (nr_servers == 0), stara lista nie jest zastępowana, co prowadzi do wycieku nowej listy.

W jądrze Linux w pliku DTS dla platformy Renesas Ironhide brakuje opisu obszarów pamięci zarezerwowanych dla kontrolera DBSC5 DRAM z inline ECC. Jeśli te obszary nie zostaną odpowiednio zarezerwowane, Linux może użyć i uszkodzić pamięć wykorzystywaną przez kontroler, co prowadzi do niestabilności systemu.

W jądrze Linux w KVM dla architektury arm64 występuje podatność polegająca na tym, że przy wstrzykiwaniu zagnieżdżonych wyjątków SError nie jest zapisywany rejestr ESR_EL2. Funkcja kvm_inject_el2_exception() zapisuje ESR_EL2 dla wyjątków synchronicznych, ale nie dla SError, co powoduje, że gość L2 obserwuje nieaktualny ESR_EL2.

W jądrze Linux w sterowniku ALSA HDA dla układu TAS2781 występuje podatność polegająca na tym, że asynchroniczne żądanie firmware nie jest anulowane podczas unbind. Może to prowadzić do sytuacji, w której callback firmware działa na stanie, który jest właśnie usuwany, co może powodować błędy lub wyścigi.

W jądrze Linux w sterowniku kryptograficznym Xilinx TRNG usunięto interfejs crypto_rng, ponieważ nie był używany. Usunięcie eliminuje błędy, takie jak zwracanie sukcesu bez wypełnienia wszystkich bajtów oraz możliwość równoczesnego działania funkcji xtrng_trng_generate() i xtrng_hwrng_trng_read(), co mogło prowadzić do zakłóceń.

W jądrze Linux w sterowniku amdkfd podczas przywracania stanu CRIU nie walidowano poprawnie identyfikatorów przywracanych z przestrzeni użytkownika przed użyciem ich w funkcji idr_alloc. Zbyt duże identyfikatory (powyżej INT_MAX) mogą wywołać ostrzeżenie WARN w warstwie IDR, co może prowadzić do paniki lub restartu systemu, jeśli włączona jest opcja panic_on_warn.

W jądrze Linux w systemie plików NTFS podczas montowania partycji funkcja ntfs_read_inode_mount() nieprawidłowo sprawdza granice wpisów na liście atrybutów $MFT. Krótki wpis o długości kontrolowanej przez atakującego może spowodować odczyt poza zakresem bufora, gdy rozmiar listy atrybutów jest wielokrotnością rozmiaru sektora.

W jądrze Linux w systemie plików NTFS3 funkcja alokująca dane inline_data używała kmemdup, co nie gwarantowało wyrównania do strony. To powodowało błąd BUG w iomap_write_end_inline, gdy sprawdzenie poprawności danych inline zawodziło. Poprawka polega na alokacji za pomocą alloc_page, aby zapewnić wyrównanie do strony.

W jądrze Linux w systemie plików XFS funkcja skanowania online (scrub) może zapętlić się w nieskończoność, jeśli lista niepołączonych i-węzłów zawiera cykl. Brakuje wykrywania cykli.

W jądrze Linux wykryto podatność w podsystemie MPTCP (MultiPath TCP) dotyczącą wycieku pamięci podczas wyścigu między operacją zamykania gniazda a równoczesnym przetwarzaniem żądania ANNOUNCE od menedżera polityki (PM) w przestrzeni użytkownika. Problem wynika z nieprawidłowej synchronizacji między funkcją mptcp_pm_destroy() a ścieżkami alokacji, co prowadzi do utraty wpisów z list i wycieku pamięci.

W jądrze Linux wykryto wyścig w funkcji futex_pivot_pending() podczas prywatnej zmiany rozmiaru tablicy haszującej futex. Zadanie wykonujące zmianę rozmiaru może pozostać w nieprzerywalnym śnie na czas nieokreślony, co prowadzi do wykrycia zawieszenia i paniki jądra.

W jądrze Linux w sterowniku drm/panthor funkcja panthor_fw_load_section_entry() pomija tworzenie BO dla sekcji firmware o zerowym rozmiarze, ale dodaje je do listy sekcji, co prowadzi do dereferencji NULL w późniejszych ścieżkach. Poprawka polega na pomijaniu dodawania takich sekcji do listy.

W jądrze Linux w podsystemie powerpc/pseries (papr-phy-attest) brakowało walidacji pola cmd.length, co mogło prowadzić do przepełnienia bufora. Dodano sprawdzanie długości i zwracanie błędu, a także naprawiono wyciek pamięci na ścieżkach błędów.

W jądrze Linux w sterowniku Synaptics RMI4 (F54) naprawiono błąd, w którym błędy wątku roboczego nie były propagowane do kolejki V4L2. Wcześniej, jeśli wątek roboczy zawiódł, kolejka zwracała sukces, dostarczając nieaktualne lub niezainicjalizowane dane do przestrzeni użytkownika.

W jądrze Linux w sterowniku hynitron_cstxxx nieprawidłowo sprawdzano liczbę dotknięć i identyfikatory palców. Może to prowadzić do uszkodzenia stanu dotyku lub odczytu poza zakresem bufora.

W jądrze Linux w sterowniku gve brakuje implementacji funkcji adjfine, co prowadzi do wyłuskania pustego wskaźnika (NULL dereference) podczas wywołania z przestrzeni użytkownika, np. przez testptp.

W jądrze Linux wykryto podatność use-after-free w sterowniku gpio-sloppy-logic-analyzer. Plik debugfs 'trigger' nie posiadał odpowiedniego zabezpieczenia, co pozwalało na zapis do zwolnionej pamięci podczas odłączania urządzenia. Problem został naprawiony przez użycie debugfs_create_file() zamiast debugfs_create_file_unsafe().

W jądrze Linux w sterowniku amdgpu dla AMD Display występuje błąd NULL pointer dereference w funkcji amdgpu_dm_crtc_set_vblank(), gdy vblank jest włączany lub odpytywany przed podłączeniem strumienia do acrtc_state->stream. Może to prowadzić do awarii systemu.

W jądrze Linux w systemie plików XFS podczas naprawy drzewa katalogów (dirtree scrubber) może zostać wykryty katalog odnoszący się do samego siebie. W takim przypadku kod naprawczy próbuje zablokować ten sam inode dwukrotnie (podwójne założenie blokady iolock/ilock), co prowadzi do zakleszczenia. Poprawka polega na wykryciu tego przypadku i odpowiednim jego obsłużeniu.

W jądrze Linux w systemie plików XFS podczas naprawy listy niepołączonych inodów (AGI repair) funkcja xrep_iunlink_walk_ondisk_bucket może próbować użyć wskaźnika sc->sa.agi_bp, który może być pusty (null), jeśli weryfikator bufora zawiedzie. Poprawka polega na użyciu ragi->agi_bp, który pomija weryfikację, aby uniknąć przejścia poza koniec pamięci.

W jądrze Linux w systemie plików XFS podczas naprawy online (online fsck) funkcja xrep_iunlink_resolve_bucket jest nadal podatna na nieskończone pętle wynikające z wskaźników next_unlinked. Poprawka polega na zapamiętywaniu już odwiedzonych inodów i sprawdzaniu nowych wskaźników agino, aby wykryć pętle.

W jądrze Linux wykryto podatność w podsystemie ASoC SOF (Sound Open Firmware) dotyczącą kopiowania danych IPC dla widgetów copier. Po zawieszeniu i wznowieniu systemu bufor ipc_config_data nie jest odświeżany, co prowadzi do wysyłania do firmware'u nieaktualnych przypisań kanałów DMA, powodując błędy i awarie firmware'u. Poprawka polega na odświeżaniu danych copier_data i dma_config_tlv przed wysłaniem komunikatu IPC.

W jądrze Linux w mechanizmie rseq funkcja rseq_grant_timeslice_extension() wywołuje hrtimer_rearm_deferred_tif() z włączonymi przerwaniami, podczas gdy funkcja __hrtimer_rearm_deferred() wymaga wyłączonych przerwań. Może to prowadzić do zakleszczenia (livelock) i jest wykrywane przez lockdep.

W jądrze Linuxa w module regmap sdw-mbq występuje podatność na wywołanie niezainicjowanego callbacku readable_reg. Gdy callback nie jest ustawiony, wywołanie go prowadzi do dereferencji wskaźnika NULL, co może spowodować awarię systemu.

W sterowniku firewire: ohci jądra Linux wykryto podatność prowadzącą do wyłuskania pustego wskaźnika (NULL pointer dereference) w funkcji ar_context_release(). Problem występuje podczas obsługi błędów w funkcji probe, gdy inicjalizacja kontekstu nie została wykonana, a mechanizm devres wywołuje sprzątanie. Atakujący może wykorzystać tę wadę do wywołania awarii systemu (paniki jądra).

Część kodu obsługującego DM_OP zakłada, że wywołujący dostarczył wymaganą liczbę buforów dla danej operacji bez sprawdzania. W rezultacie niektóre operacje mogą uzyskać dostęp do niezainicjalizowanych struktur na stosie, co może prowadzić do nieprzewidywalnego zachowania.

W jądrze systemu Linux naprawiono podatność związaną z obsługą błędów w funkcji emac_tx_mem_map(). W przypadku błędu mapowania, mapowania DMA były wyciekane, co zostało naprawione poprzez zwolnienie ich za pomocą istniejącej funkcji emac_free_tx_buf().

W jądrze Linuxa naprawiono podatność związaną z rejestracją duplikatów urządzeń w hakach netdev. Problem występował podczas obsługi powiadomienia NETDEV_REGISTER, co mogło prowadzić do nieprawidłowego rejestrowania urządzeń.

W jądrze systemu Linux zidentyfikowano podatność w mechanizmie io_uring, która dotyczy sprawdzania granic operacji SQE_MIXED o rozmiarze 128 bajtów. Błąd polegał na tym, że sprawdzano pozycję logiczną zamiast fizycznego indeksu SQE, co mogło prowadzić do nieautoryzowanego dostępu do pamięci.

W jądrze Linuxa usunięto podatność polegającą na nieprawidłowym wywołaniu funkcji css_put() w scx_cgroup_init(). Problem ten mógł prowadzić do podwójnego zwolnienia referencji, co stwarzało ryzyko wystąpienia podatności typu Use-After-Free.

W jądrze Linuxa zidentyfikowano podatność w Rust Binder, która pozwala na niewłaściwe wstawianie stron do niewłaściwego obszaru pamięci wirtualnej (vma). Problem występuje, gdy vma jest zamknięte i zastąpione innym vma w tym samym adresie, co może prowadzić do możliwości zapisu w stronach, które powinny być tylko do odczytu.

W jądrze systemu Linux zidentyfikowano podatność w mechanizmie rust_binder, która pozwala na odczyt wartości z tablicy offsetów. Jeśli proces docelowy zyska możliwość zapisu do swojego vma, może zmienić offset przed jego odczytem, co prowadzi do błędnej interpretacji przez jądro.