Podatności Linux kernel

W jądrze Linux w systemie plików btrfs wykryto podatność w dekompresji LZO dla inline extentów. Specjalnie spreparowany obraz btrfs może wywołać odczyt poza granicami pamięci (KASAN: slab-out-of-bounds) podczas odczytu pliku, co prowadzi do awarii systemu lub potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku vdpa/mlx5 wykryto podatność prowadzącą do odczytu poza przydzielonym buforem (slab-out-of-bounds). Problem wynika z nieprawidłowego obliczenia rozmiaru bufora wejściowego w funkcji create_direct_keys(), co powoduje odczyt 16 bajtów poza przydzielony obszar pamięci.

W jądrze Linux w funkcji __skb_udp_tunnel_segment() stwierdzono potencjalną podatność use-after-free. Funkcja pobiera nagłówek UDP przed upewnieniem się, że nagłówek tunelu znajduje się w skb head. Jeśli operacja pull ponownie alokuje skb->head, zapisany wskaźnik do nagłówka UDP staje się nieprawidłowy.

W jądrze Linux w protokole SCTP wykryto podatność use-after-free. Funkcja sctp_make_heartbeat_ack() przechowuje wskaźnik do transportu bez zwiększania referencji, a gdy transport jest usuwany, zakolejkowany chunk kontrolny może zachować zwisający wskaźnik, co prowadzi do naruszenia pamięci.

W jądrze Linuxa w IPVS po przetworzeniu błędów ICMP w tunelu nie są czyszczone opcje IPv4, co może prowadzić do zapisu poza stosem przez __ip_options_echo().

W jądrze Linux w generycznym XDP po dostosowaniu fragmentów skb, skb->len nie jest aktualizowany, co powoduje, że skb_headlen() jest większe niż rzeczywisty obszar liniowy. W ścieżce odbioru UDP może to prowadzić do kopiowania danych poza obszar liniowy do przestrzeni użytkownika.

W jądrze Linux w funkcji inet_frag_create() timer kolejki fragmentów jest uzbrajany przed opublikowaniem kolejki w tablicy haszującej. Jeśli limit czasu fragmentacji jest zerowy lub ujemny, timer może zadziałać przed publikacją, co prowadzi do wyścigu i pozostawienia nieaktualnego węzła w tablicy.

W jądrze Linuxa w protokole X.25 występuje błąd użycia po zwolnieniu (use-after-free) gniazda przez jego timery. Timery są uzbrajane za pomocą mod_timer() i anulowane za pomocą timer_delete(), więc oczekujący timer nie trzyma referencji na gniazdo, a anulowanie nie czeka na wywołanie zwrotne już działające na innym CPU. x25_heartbeat_expiry() również bezwarunkowo ponownie uzbraja timer, co może prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w module dibs inicjalizacja blokady dibs->lock odbywa się zbyt późno, bo dopiero w dibs_dev_add(), podczas gdy przerwania mogą wystąpić wcześniej. To może prowadzić do użycia niezainicjalizowanej blokady w obsłudze przerwań.

W jądrze Linuxa funkcja xdpf_clone() tworzy klony ramek XDP, ale nie sprawdza wystarczająco, czy dane mieszczą się w obszarze tailroom skb_shared_info. Może to prowadzić do nadpisania danych podczas konwersji klonu na skb.

W jądrze Linux wykryto podatność w interfejsie veth, gdzie po dostosowaniu fragmentów XDP nieprawidłowo aktualizowano długość skb. Prowadziło to do kopiowania danych poza faktyczny obszar liniowy, w tym do wycieku wskaźników jądra do przestrzeni użytkownika. Dodatkowo, funkcja bpf_xdp_pull_data() mogła wywołać asercję SKB_LINEAR_ASSERT() z powodu nieprawidłowego zarządzania wskaźnikiem ogona.

W jądrze Linuxa w TLS RX, podczas optymistycznej próby TLS 1.3 zero-copy, wskaźnik msg_iter nie jest przywracany po nieudanej próbie, co może prowadzić do nadpisania danych w buforze odbiorcy.

W jądrze Linuxa w kliencie SMB, funkcja cifs_try_adding_channels() może użyć po zwolnieniu pamięci interfejsu, gdy tworzenie kanału nie powiedzie się, a lista interfejsów jest odświeżana równolegle.

W jądrze Linux w funkcji ip6ip6_err() stwierdzono, że klon skb (skb2) przenosi metadane zewnętrznego pakietu IPv6 (w tym wskaźnik dsthao) do odpowiedzi ICMPv6. Może to prowadzić do odczytu poza zakresem cytowanego pakietu wewnętrznego i uszkodzenia struktury skb_shared_info.

W jądrze Linux wykryto podatność w funkcji __filemap_add_folio() w module mm/filemap. Podczas ponawiania próby wstawienia strony (folio) do xarray, indeks nie był przywracany do pierwotnej wartości, co mogło prowadzić do umieszczenia folio pod błędnym (zaokrąglonym w dół) indeksem. Problem objawiał się rzadkimi błędami SIGILL i SIGSEGV w produkcji, gdyż kod wykonywalny znajdował się w niewłaściwej stronie pamięci.

W jądrze Linuxa w protokole SCTP występuje błąd polegający na tym, że chunk nie jest aktualizowany przy przenoszeniu na listę innego transportu. Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy transport zostanie usunięty, a wskaźnik chunk->transport pozostanie nieaktualny. Poprawka ustawia chunk->transport podczas przenoszenia.

W jądrze Linuxa w protokole SCTP występuje podatność na użycie po zwolnieniu (use-after-free) w mechanizmie ASCONF. Zbuforowany chunk ASCONF nie jest poprawnie czyszczony po zwolnieniu, co może prowadzić do dostępu do nieaktualnej pamięci. Poprawka czyści wskaźnik addip_last_asconf po zwolnieniu i zabezpiecza przed wyścigiem z wygaśnięciem timera T4.

W jądrze Linux w podsystemie SCTP wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Zdalny, uwierzytelniony peer SCTP może w jednym żądaniu ASCONF dodać i usunąć transport, pozostawiając wskaźnik new_transport wskazujący na usunięty obiekt. Późniejsze operacje (np. wysyłka HEARTBEAT) mogą odczytać zwolnioną pamięć, co w raporcie KASAN objawia się jako slab-use-after-free w funkcji sctp_outq_select_transport.

W jądrze Linuxa w funkcji fib6_rule_suppress() (IPv6 routing) nie jest czyszczony wskaźnik res->rt6 po usunięciu trasy, co może prowadzić do użycia zwolnionego obiektu rt6_info i wywołania rcuref_put_slowpath() podczas zwalniania.

W jądrze Linuxa w podsystemie iommu/arm-smmu-v3-iommufd występuje podatność polegająca na tym, że funkcja arm_vsmmu_vsid_to_sid() mapuje vSID gościa do pojedynczego fizycznego Stream ID, zakładając, że urządzenie ma dokładnie jeden strumień. Urządzenia z wieloma strumieniami mają mapowany tylko pierwszy, co powoduje, że unieważnienia vSID nie docierają do pozostałych wpisów ATC i IOTLB; urządzenia bez strumieni powodują odczyt poza zakresem. Poprawka dodaje operację arm_vsmmu_vdevice_init() odrzucającą vDEVICE z -EOPNOTSUPP, gdy master->num_streams nie jest równe jeden.

W jądrze Linux w systemie plików NTFS występuje podatność związana z niebezpiecznymi obliczeniami rozmiaru przy realokacji listy przebiegów (runlist). Dodano wspólny pomocnik do bezpiecznego konwertowania liczby elementów na rozmiar bajtowy z kontrolą przepełnienia, używany w funkcjach ntfs_rl_realloc() i ntfs_rl_realloc_nofail().

W jądrze Linux w module netfilter nf_conntrack_sip występuje podatność polegająca na przepełnieniu licznika zmian rozmiaru wiadomości SIP (s16) podczas przepisywania NAT. Pojedyncza wiadomość może urosnąć o więcej niż 32767 bajtów, co powoduje zawinięcie licznika i odczyt poza buforem (use-after-free).

W jądrze Linux w podsystemie KVM/arm64 (VGIC) występuje wyścig (race condition) między zwalnianiem struktury LPI a jej ponowną rejestracją. Może to prowadzić do usunięcia nowo zarejestrowanego LPI z tablicy xarray lub do wycieku pamięci (memory leak) starej struktury. Problem dotyczy operacji DISCARD i MAPTI wykonywanych przez gościa.

W jądrze Linux w module libiscsi_tcp brakowało sprawdzenia rozmiaru segmentu danych w odpowiedziach SCSI, co mogło doprowadzić do przepełnienia bufora conn->data (8192 bajtów) przez złośliwy serwer iSCSI. Podatność dotyczy ścieżki obsługi ISCSI_OP_SCSI_CMD_RSP, gdzie segment danych (dane sense/response) był kopiowany bez odpowiedniego ograniczenia.

W jądrze Linux w sterowniku rtase występuje podwójne zwolnienie (double free) pakietu skb z wieloma fragmentami w przypadku błędu mapowania DMA. Gdy mapowanie DMA głównego bufora nie powiedzie się po zmapowaniu fragmentów, ścieżka błędu zwalnia skb dwukrotnie, co prowadzi do awarii.

W jądrze Linux w serwerze SMB (ksmbd) wykryto podatność polegającą na nieprawidłowym porównywaniu identyfikatorów ClientGUID. ClientGUID jest binarną wartością o stałym rozmiarze i może zawierać wbudowane bajty NUL. Użycie strncmp() powoduje zatrzymanie porównania na pierwszym bajcie NUL, co może prowadzić do błędnego uznania różnych identyfikatorów za równe.

W jądrze Linux wykryto podatność w KVM dla architektury x86, polegającą na opóźnionym przetwarzaniu EOI (End of Interrupt) kontrolera I/O APIC. Jeśli opóźnione zadanie EOI zostanie przetworzone po zniszczeniu vCPU, dochodzi do użycia po zwolnieniu (UAF), co może prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W sterowniku igbvf występuje wyciek pamięci podczas czyszczenia błędów DMA w TX. Z powodu błędu off-by-one, jeśli część mapowań się powiedzie, a potem wystąpi błąd, jedno mapowanie DMA (głowa) nie jest cofane, co prowadzi do wycieku.

W jądrze Linux w module sieciowym SMC wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free) podczas kończenia działania grupy linków. Problem wynika z braku zabezpieczenia gniazda przed równoczesnym zamknięciem, co może doprowadzić do naruszenia integralności pamięci.

W jądrze Linux w module mostka sieciowego (bridge) występuje błąd w funkcji br_multicast_leave_group(), który po usunięciu grupy portów może prowadzić do użycia zwolnionej pamięci (use-after-free) podczas szybkiego opuszczania grupy multicastowej.

W jądrze Linux w sterowniku UML vector występuje błąd use-after-free w funkcji vector_mmsg_rx(), gdy pakiet z nieprawidłowym nagłówkiem jest odrzucany. Zwolniony skb pozostaje w buforze, co prowadzi do podwójnego zwolnienia i potencjalnego wykorzystania podatności.

W jądrze Linux w interfejsie veth występuje podatność polegająca na nieprawidłowym przetwarzaniu pakietów frag_list przed uruchomieniem XDP. Pakiety frag_list mogą mieć ustawione data_len, ale puste frags[], co prowadzi do przekazania fałszywych metadanych do XDP i awarii w trybie kopiowania AF_XDP.

W jądrze Linux w module vxlan funkcja route_shortcircuit() odczytuje adres MAC sąsiada (n->ha) bez zabezpieczenia seqlock, co może prowadzić do niekompletnych lub częściowo zaktualizowanych odczytów.

W jądrze Linux w module vxlan funkcje vxlan_xmit(), arp_reduce() i vxlan_mdb_entry_skb_get() używają pskb_may_pull() zamiast pskb_network_may_pull(), co nie uwzględnia offsetu nagłówka MAC i może pozostawić część nagłówka sieciowego w nieciągłych fragmentach.

W jądrze Linux w module vxlan funkcja route_shortcircuit() używa pskb_may_pull() zamiast pskb_network_may_pull(), co nie uwzględnia offsetu nagłówka MAC i może prowadzić do odczytu poza liniowym buforem przy dostępie do pól nagłówka IP.

W jądrze Linux w podsystemie iommu/vt-d podczas usuwania wpisu kontekstu w trybie skalowalnym bit Present nie jest najpierw wyczyszczony, co stwarza okno, w którym sprzęt może pobrać uszkodzony wpis, prowadząc do nieprzewidywalnego zachowania lub fałszywych błędów. Problem dotyczy funkcji device_pasid_table_teardown(), która nie została dostosowana do wcześniejszej poprawki.

W jądrze Linux w podsystemie rxrpc brak synchronizacji między funkcją rxrpc_kernel_charge_accept a zamykaniem gniazda może prowadzić do użycia zwolnionej pamięci. Równoczesne wywołanie rxrpc_discard_prealloc może zwolnić strukturę rxrpc_backlog, podczas gdy pracownik prealokacji nadal jej używa.

W jądrze Linux w podsystemie rxrpc podczas odczytu wiadomości OOB z flagą MSG_PEEK wiadomość jest przenoszona na kolejkę pending_oobq, mimo że nie powinna być usuwana z kolejki. Prowadzi to do podwójnego zwolnienia pamięci i użycia po zwolnieniu, co może powodować uszkodzenie pamięci.

W jądrze Linux w podsystemie rxrpc funkcja rxgk_issue_challenge() zwalnia stronę zawierającą treść wyzwania po wywołaniu tracepointu, ale wskaźnik whdr przekazany do tracepointu wskazuje na tę stronę, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w podsystemie rxrpc naprawiono podwójne odblokowanie (double unlock) w funkcji rxrpc_recvmsg() podczas obsługi komunikatów OOB (out-of-band).

W jądrze Linuxa w podsystemie AFS naprawiono problem z zamykaniem przestrzeni nazw sieciowych (netns), aby anulować ładowanie wstępnie przydzielonych zasobów. Funkcja afs_charge_preallocation() pomija ładowanie, gdy net->live jest fałszywe, a afs_rx_new_call() unika ponownego kolejkowania.

W jądrze Linux w funkcji vxlan_gro_prepare_receive() istnieje ryzyko odwołania do wskaźnika NULL, gdy sk_user_data zostanie ustawione na NULL podczas działania funkcji. Może to prowadzić do awarii systemu.

W jądrze Linux w module DLM występuje problem z kolejnością dodawania wiadomości do kolejki send_queue, co może prowadzić do błędów refcounting i użycia po zwolnieniu. Atakujący może wykorzystać tę podatność do awarii systemu.

W jądrze Linuxa funkcja addrconf_dad_failure() w IPv6 mogła nadpisać stan DEAD na ERRDAD, co prowadziło do użycia po zwolnieniu (use-after-free) i awarii systemu. Poprawka polega na sprawdzeniu stanu przed przejściem do ERRDAD i wykonaniu operacji w jednej sekcji krytycznej.

W jądrze Linuxa w sterowniku RDMA/srpt funkcja sprawdzająca długość danych natychmiastowych nie sprawdzała przepełnienia liczby całkowitej, co pozwalało złośliwemu inicjatorowi na obejście kontroli granic i przekazanie ~4GB długości do sg_init_one(). Poprawka używa check_add_overflow().

W jądrze Linux wykryto podatność w sterowniku nvme-multipath. Struktura nvme_ns_head zawiera elastyczną tablicę current_path[], która jest indeksowana numerem węzła NUMA. Alokacja pamięci używała liczby możliwych węzłów (num_possible_nodes), co na systemach z rzadkimi identyfikatorami NUMA (np. POWER9) prowadzi do odczytu/zapisu poza zakresem pamięci (slab-out-of-bounds).

W jądrze Linux w sterowniku md/raid10 naprawiono problem z resetowaniem read_slot podczas ponownego użycia r10bio dla operacji discard. Jeśli r10bio był wcześniej używany do odczytu, read_slot mógł być nieujemny, co powodowało pominięcie zwolnienia repl_bio.

W jądrze Linux naprawiono podatność w sterowniku NVMe, dotyczącą nieprawidłowego sprawdzania granic dla indeksu fdpcidx w mechanizmie FDP (Flexible Data Placement). Błąd polegał na użyciu operatora > zamiast >=, co pozwalało na akceptację nieprawidłowego indeksu równego NUMFDPC + 1.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji szybkich dowiązań symbolicznych (fast symlink) podczas odczytu i-węzła. Uszkodzony i-węzeł z dowiązaniem o zerowej liczbie klastrów może prowadzić do odczytu poza buforem bloku i-węzła, co skutkuje błędem użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux naprawiono podatność w sterowniku RDMA/siw, która powodowała użycie po zwolnieniu (UAF) podczas rozłączania gniazda od punktu końcowego. Problem występował podczas przetwarzania nieprawidłowego żądania MPA, co mogło prowadzić do zamknięcia nowego punktu końcowego i dostępu do zwolnionej pamięci.