Podatności Linux kernel

W jądrze Linuxa zidentyfikowano podatność związaną z funkcją dwc3_gadget_vbus_draw(), która może być wywoływana w kontekście atomowym. To prowadzi do wywołania API zasilania, które mogą powodować problemy z synchronizacją, ponieważ niektóre operacje mogą wymagać uśpienia.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy brakujących wywołań systemowych w klasie odczytu audytu. Brakujące warianty 'at' funkcji getxattr() i listxattr() mogą prowadzić do ominięcia reguł audytu podczas odczytu rozszerzonych atrybutów plików.

W jądrze Linuxa naprawiono podatność związaną z obsługą błędów po znalezieniu dopasowania w połączeniu asynchronicznym. Po znalezieniu dopasowania do fwnode, może zostać zarejestrowany podurządzenie, a jego powiązana operacja jest wywoływana.

W jądrze Linuxa zidentyfikowano podatność związaną z funkcją fchmodat2(), która nie jest uwzględniona w klasie atrybutów audytu. Funkcja ta, wprowadzona w wersji 6.6, pozwala na zmianę atrybutów pliku podobnie jak chmod().

W jądrze Linux w podsystemie Bluetooth (MGMT) naprawiono możliwe zakleszczenia (deadlocks), które mogły wystąpić w wyniku działania hci_cmd_sync_dequeue, powodując blokadę wątków na długi czas.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy asynchronicznego tworzenia podgrup w kontekście PCI. Może to prowadzić do dereferencji wskaźnika NULL, jeśli katalog sterownika zostanie usunięty przed zakończeniem pracy.

W jądrze Linuxa odkryto podatność w mechanizmie śledzenia (tracing), gdzie struktura trace_event_file nie posiada liczników referencji. Może to prowadzić do użycia po zwolnieniu (use-after-free) i awarii jądra.

W jądrze Linux wykryto podatność w KVM dla AMD SEV-SNP. Podczas finalizacji uruchamiania gościa SNP, synchronizacja i szyfrowanie VMSA (Virtual Machine Save Area) nie blokuje wszystkich vCPU, co pozwala użytkownikowi na manipulację lub uruchomienie vCPU w trakcie synchronizacji jego stanu.

W jądrze Linuxa wykryto lukę w mechanizmie zapobiegającym zagłodzeniu przerwań czasomierza. Brak resetowania flagi next_event_forced w kilku miejscach, np. przy zmianie stanu zdarzenia zegarowego, może prowadzić do nieprawidłowego działania.

W jądrze Linuxa w podsystemie Bluetooth (hci_core) dodano wyłączanie prac (works) podczas rejestracji urządzenia hci_unregister_dev, ponieważ urządzenie hci_dev ma być zwolnione i nowe zadania nie powinny być przesyłane.

W jądrze Linux w sterowniku RDMA/hns naprawiono problem miękkiego zawieszenia (soft lockup) występujący przy dużym obciążeniu CEQE, przenosząc obsługę CEQE do kontekstu BH (bottom half).

W jądrze Linux w sterowniku drm/amdgpu zmieniono sposób obsługi obiektu vm->task_info. Obiekt jest teraz dynamicznie alokowany i zarządzany przez licznik referencji, co ma na celu poprawę bezpieczeństwa i stabilności.

W jądrze Linux w podsystemie L2TP naprawiono możliwość niedomiaru (underflow) licznika referencji tunelu, który mógł wystąpić podczas usuwania sesji, gdy wskaźnik do tunelu był nieprawidłowy.

W jądrze Linuxa naprawiono lukę, która polegała na wycieku referencji w funkcji mtk_mdp_remove(). Problem ten został rozwiązany poprzez dodanie funkcji platform_device_put() w celu zapobieżenia wyciekowi referencji.

W jądrze Linuxa zidentyfikowano podatność w funkcji rtw_core_enable_beacon(), która odczytuje 4 bajty z adresu, który nie jest wielokrotnością 4. Może to prowadzić do awarii systemu na niektórych urządzeniach.

W jądrze Linuxa rozwiązano podatność polegającą na wprowadzeniu blokady przy włączaniu/wyłączaniu SR-IOV, co prowadziło do zakleszczenia.

W jądrze Linuxa w sterowniku vfio/xe zidentyfikowano błąd powodujący błąd strony (page fault) podczas próby resetowania urządzeń VF, które nie obsługują migracji. Problem został rozwiązany poprzez reorganizację inicjalizacji, oddzielając migrację od resetu.

W jądrze Linux wykryto podatność w komponencie KVM dla AMD SEV. Polega ona na braku odrzucenia prób synchronizacji stanu VCPU z już zaszyfrowanym VMSA po uruchomieniu maszyny wirtualnej.

W jądrze Linuxa naprawiono podatność związaną z blokiem SDMA, która powodowała problem z wskaźnikiem NULL w funkcjach buforów, gdy blok SDMA nie był włączony.

W jądrze Linux w systemie plików F2FS występuje potencjalne uszkodzenie danych podczas przenoszenia katalogu, podobne do problemu w ext4. Poprawka rozwiązuje ten problem.

W jądrze Linuxa zidentyfikowano podatność, która mogła prowadzić do wycieku mapy w funkcji fastrpc_put_args. Błąd w funkcji copy_to_user() mógł powodować przedwczesny powrót bez oczyszczenia listy deskryptorów plików, co zostało naprawione.

W jądrze Linux w ring-buffer naprawiono przepełnienie w funkcji __rb_map_vma, które występowało podczas obliczania liczby stron (nr_pages). Dodano sprawdzenie przed obliczeniem, aby uniknąć problemu.

W jądrze Linuxa zidentyfikowano podatność związana z przepełnieniem bufora na stercie w funkcji __ioam6_fill_trace_data(). Problem występuje podczas odbierania danych, gdzie funkcja ta niepoprawnie ocenia ilość danych do zapisania na podstawie zaufanego pola z pakietu przychodzącego.

W jądrze Linux w podsystemie Bluetooth (hci_conn) użyto funkcji disable_delayed_work_sync zamiast cancel_delayed_work_sync, co nie tylko anuluje trwające prace, ale także wyłącza możliwość dodawania nowych zadań, co jest pożądane.

W jądrze Linux w sterowniku drm/amdgpu/mes występuje problem użycia po zwolnieniu (use-after-free). Poprawka polega na usunięciu timera fallback dla fence, aby wyeliminować losowe błędy.

W jądrze Linux w podsystemie sieciowym występuje problem polegający na pozostawieniu wiszącego wskaźnika sk (sk) w przypadku niepowodzenia tworzenia gniazda. Może to prowadzić do użycia po zwolnieniu, gdy funkcja __sock_release() jest wywoływana z fentry probe.

W jądrze Linuxa w mechanizmie BPF dodano śledzenie właściwości changes_pkt_data dla funkcji globalnych. Weryfikator unieważnia wskaźniki pakietów w bieżącym stanie po wywołaniu niektórych helperów.

W jądrze Linux w sterowniku szeregowym sc16is7xx naprawiono uszkodzenie bufora FIFO podczas transmisji, które mogło wystąpić, gdy pakiet był odbierany na kanale A w tym samym czasie, gdy pakiet był transmitowany na kanale B.

W jądrze Linux w systemie plików Btrfs naprawiono problem z readahead na i-węźle relokacji, gdy system plików używa drzewa pasków RAID (RST), co mogło powodować błędy ENOENT.

W jądrze Linux w sterowniku DRM/XE (guc_submit) naprawiono wyścig związany z polem suspend_pending, który mógł powodować asercje i ostrzeżenia w niektórych scenariuszach testowych.

W jądrze Linuxa w systemie plików Btrfs naprawiono problem z czyszczeniem stron (folio) po niepowodzeniu funkcji cow_file_range(). Problem dotyczył nieprawidłowego zarządzania brudnymi stronami.

W jądrze Linux, w sterowniku RDMA/srpt, funkcja srpt_alloc_rw_ctxs() przy częściowym niepowodzeniu nie resetuje liczników n_rw_ctx i n_rdma oraz nie czyści wskaźnika rw_ctxs, co prowadzi do błędnego rozliczania kredytów kolejki wysyłania. Poprawka resetuje liczniki i czyści wskaźnik przed zwróceniem błędu.

W jądrze Linux w podsystemie RDMA rtrs-srv funkcje process_read i process_write nie sprawdzały, czy usr_len jest mniejsze lub równe off, co mogło prowadzić do niedomiaru liczby całkowitej. Złośliwy klient RDMA mógł wysłać usr_len większe niż off, powodując zawinięcie data_len do ogromnej wartości size_t i dostęp poza pamięć. Dodano walidację usr_len <= off przed wywołaniem rtrs_srv_get_ops_ids().

W jądrze Linux wykryto podatność w module svcrdma (NFS/RDMA serwer). Zdalny klient może wysłać chunk Write lub Reply z polem segcount równym zero, co przechodzi walidację w xdr_check_write_chunk() i powoduje dodanie zdegenerowanego chunka (ch_segcount == 0) do list rc_write_pcl lub rc_reply_pcl. Wcześniejsza poprawka uczyniła pcl_for_each_segment() odpornym na segcount 0, ale problem nadal jest istotny jako obrona w głąb.

W jądrze Linux, w module SUNRPC, podatność dotyczy braku zerowania struktury rpc_gss_wire_cred na początku funkcji svcauth_gss_decode_credbody(). Ponieważ struktura jest współdzielona między żądaniami, wczesne błędy dekodowania pozostawiają częściowo zdezaktualizowane dane, co może prowadzić do użycia wiszącego wskaźnika lub błędnych długości. Poprawka zeruje strukturę przy wejściu.

W jądrze Linux funkcja xfrm_dev_direct_output() zwalnia skb, gdy local_out() zwróci wartość inną niż 1, mimo że skb został już skonsumowany lub przekazany. Prowadzi to do podwójnego zwolnienia skb, gdy netfilter odrzuci pakiet.

W jądrze Linux wykryto podatność w module IB/isert (iSER), która pozwala niezalogowanemu inicjatorowi na zadeklarowanie w pakiecie login PDU większej ilości danych, niż faktycznie wysłano. Prowadzi to do odczytu poza przydzielonym buforem (slab-out-of-bounds) przed procesem uwierzytelnienia, co może skutkować wyciekiem informacji lub awarią systemu.

W jądrze Linux w podsystemie sunrpc, funkcje xprtsock używają zwykłych operacji zapisu i odczytu dla współdzielonych wskaźników callbacków sk_data_ready i sk_write_space. Może to prowadzić do sytuacji, w której inny procesor używa nieaktualnego wskaźnika po przywróceniu oryginalnych callbacków. Poprawka dodaje READ_ONCE/WRITE_ONCE dla tych operacji.

W podsystemie nvmet jądra Linux funkcja nvmet_auth_negotiate() odczytuje dane poza zaalokowanym buforem (heap out-of-bounds read), ponieważ nie waliduje długości transferu (tl) ani wartości halen/dhlen przekazanych przez hosta. Złośliwy lub niezgodny host może podać zbyt małe tl lub zbyt duże halen/dhlen (do 255), powodując odczyt poza buforem. Poprawka przekazuje tl do funkcji i odrzuca nieprawidłowe wartości.

W jądrze Linux w module smb (smbdirect) kolejki ukończeń (completion queues) tworzone przez ib_alloc_cq_any() były zwalniane za pomocą ib_destroy_cq(), co nie anulowało wcześniej zakolejkowanej pracy ib_cq_poll_work(). Późno zgłoszone ukończenie (np. błąd RNR z Soft-RoCE/rxe) powodowało ponowne zakolejkowanie pracy na już zwolnionej kolejce i użycie zwolnionej pamięci (use-after-free).

W jądrze Linux występuje podatność w systemie ograniczania szybkości inetpeer, który przechowuje wpisy w drzewie czerwono-czarnym kluczowanym deterministycznie na podstawie adresu IP. Atakujący z zewnątrz może przewidzieć strukturę drzewa i wymuszać usuwanie wybranych węzłów, co resetuje ich licznik ograniczania szybkości i pozwala obejść limity ICMP oraz wnioskować o otwartych portach UDP. Podatność naprawiono poprzez randomizację porównywania węzłów drzewa przy użyciu SipHash z tajnym kluczem.

W jądrze Linux w implementacji NFSv4.1 występuje błąd polegający na niezerowaniu list referring call przed dekodowaniem. Funkcja decode_cb_sequence_args() alokuje csa_rclists przez kmalloc_objs(), pozostawiając każdą referring_call_list niezainicjalizowaną, a decode_rc_list() przypisuje rcl_refcalls tylko gdy rcl_nrefcalls jest niezerowe. Prawidłowa lista z zerem referring calls pozostawia wskaźnik niezainicjalizowany, a nfs4_callback_sequence() przekazuje później nieaktualną zawartość slab do kfree().

W jądrze Linux naprawiono podatność w funkcji skb_zerocopy(), która nieprawidłowo wywoływała skb_tx_error() na źródłowym skb podczas kopiowania fragów. To powodowało zakończenie uarg zerocopy i wyczyszczenie flagi SKBFL_SHARED_FRAG na skb, który nadal był używany przez stos sieciowy. W szczególności na ścieżce OVS_ACTION_ATTR_USERSPACE skb nie był zwalniany po błędzie, co mogło prowadzić do dekryptowania danych ESP w miejscu, gdzie skb nie posiadał prywatnie fragów, co mogło powodować uszkodzenie danych lub inne problemy.

W jądrze Linux wykryto podatność w systemie plików Ceph, gdzie funkcja ceph_fname_to_usr() przekazywała bufory z regionu vmalloc() do API kryptograficznego fscrypt, które wymaga buforów w liniowym obszarze pamięci. Może to powodować błędy (oops) systemu, szczególnie na platformach innych niż x86. Poprawka dodaje obsługę buforów vmalloc() poprzez użycie tymczasowego bufora pośredniego.

W jądrze Linux funkcja nfsd4_revoke_export_states() zwalnia blokadę nn->client_lock, ale trzymany referencja stateid nie utrzymuje przy życiu klienta. Równoległe zakończenie klienta może zwolnić go, podczas gdy revoke_one_stid() nadal go używa, powodując use-after-free.

W jądrze Linux wpis nfs4_openowner pozostawiony na nn->close_lru trzyma tylko surowy wskaźnik do nfs4_client. Gdy laundromat zwalnia wpisy, zwalnia blokadę client_lock i wywołuje nfs4_put_stid(), równoległe force_expire_client() może zwolnić klienta, powodując użycie zwolnionej pamięci.

W jądrze Linux właściciel blokady pozostawiony na nn->blocked_locks_lru trzyma tylko surowy wskaźnik do nfs4_client. Gdy laundromat zwalnia taką blokadę, końcowe nfs4_put_stateowner() sięga po cl_lock klienta, którego równoległe force_expire_client() mogło już zwolnić, powodując use-after-free.

W jądrze Linux w funkcji __spi_map_msg() występuje błąd w zarządzaniu własnością mapowań DMA przy częściowym niepowodzeniu mapowania. Gdy mapowanie RX lub TX się nie powiedzie, flagi i wskaźniki urządzeń nie są prawidłowo czyszczone, co może prowadzić do ponownego odmapowania lub użycia NULL/starego wskaźnika urządzenia. Może to wywołać oops jądra.

W jądrze Linux w podsystemie scsi target iscsi funkcja iscsi_target_check_login_request() nie rezerwuje bajtu terminatora NUL dla bufora logowania. Przy payload_length od 8189 do 8192 cały bufor 8192 bajtów jest wypełniany, a następnie przetwarzany jako string C, co prowadzi do odczytu poza buforem. Podatność jest osiągalna przez nieuwierzytelnionego inicjatora przy konfiguracji CHAP.

W jądrze Linux funkcja ceph_mds_check_access() przegląda tablicę s_cap_auths bez trzymania mutexa. Równoczesne ponowne otwarcie sesji MDS może zwolnić tę tablicę w trakcie jej przeglądania, prowadząc do użycia po zwolnieniu (use-after-free).