Podatności Linux kernel

W jądrze Linux w usłudze lockd funkcja nlm4svc_lookup_file() używa niezainicjalizowanych bajtów w funkcji file_hash(), gdy długość uchwytu pliku jest mniejsza niż LOCKD_FH_HASH_SIZE. To powoduje, że ten sam uchwyt może być hashowany do różnych zasobników, co prowadzi do niepowodzenia wyszukiwania. Poprawka zeruje tylko końcowe bajty, które są używane przez file_hash().

W jądrze Linuxa wykryto podatność w vhost-net, gdzie zerocopy ubufs mogą być finalizowane wielokrotnie. Klonowanie skb przez stos sieciowy (np. batman-adv) zwiększa licznik referencji ubuf_info, ale vhost_zerocopy_complete() traktuje każde wywołanie zwrotne jako zakończenie deskryptora, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux w sterowniku vdpa/octeon_ep w procedurze obsługi przerwań (interrupt handler) indeks IRQ jest wyszukiwany w tablicy oct_hw->irqs zamiast zakładać, że jest to irq - irqs[0]. Poprawka obsługuje nieciągłe numery IRQ i zapobiega błędnemu indeksowaniu pierścieni.

W jądrze Linux w protokole SCTP funkcje sctp_verify_asconf() i sctp_verify_param() nie sprawdzają, czy długość zagnieżdżonego parametru adresu mieści się w granicach parametru zewnętrznego. Może to prowadzić do odczytów poza zakresem podczas przetwarzania złośliwych pakietów INIT lub ASCONF.

W jądrze Linuxa w sterowniku kryptograficznym Marvell OcteonTX, podczas czyszczenia buforów DMA w ścieżce błędów używano niewłaściwego indeksu pętli. Powodowało to wyciek poprawnie zamapowanych wpisów i wielokrotne odmapowywanie tego samego wpisu.

W jądrze Linuxa w sterowniku kryptograficznym Cavium CPT, podczas czyszczenia buforów DMA w ścieżce błędów używano niewłaściwego indeksu pętli. Powodowało to wyciek poprawnie zamapowanych wpisów i wielokrotne odmapowywanie tego samego wpisu.

W jądrze Linuxa wykryto podatność w sterowniku bnxt, powodującą niedomiar (underflow) przy budowaniu nagłówka skb podczas operacji XDP head-grow. Błąd prowadzi do uszkodzenia licznika referencji stron, co może skutkować przedwczesnym zwolnieniem i podwójnym zwolnieniem pamięci.

W jądrze Linux w podsystemie TCP wyczyszczono flagi cb sock_ops przed wymuszonym zamknięciem gniazda potomnego. Gniazdo potomne dziedziczy flagi bpf_sock_ops_cb_flags od nasłuchującego, a jeśli jego konfiguracja nie powiedzie się, może zostać zamknięte bez trzymania blokady, co prowadzi do ostrzeżenia w tcp_set_state(). Poprawka czyści te flagi w wspólnym punkcie zamykania, aby uniknąć wywołań callbacków BPF na nieustalonym gnieździe.

W jądrze Linuxa w module net/sched/sch_codel występuje podatność polegająca na wywołaniu funkcji qdisc_tree_reduce_backlog podczas operacji peek przed przywróceniem licznika qlen. Może to doprowadzić do błędnej dezaktywacji klasy nadrzędnej, co skutkuje awarią systemu (np. dzikim dostępem do pamięci) w przypadku użycia dyscypliny qfq z codel jako dzieckiem.

W jądrze Linuxa w funkcji tipc_l2_send_msg() występuje podatność use-after-free (UAF). Problem wynika z wywołania synchronize_net() w tipc_disable_l2_media() podczas gdy wskaźnik media_ptr jest nadal ważny, co pozwala równoległym czytelnikom RCU uzyskać wskaźnik do urządzenia po zakończeniu synchronizacji, a następnie urządzenie może zostać zwolnione, gdy jest nadal używane.

W jądrze Linux w sterowniku RDMA/bnxt_re funkcja bnxt_qplib_alloc_dpi zwraca sukces nawet gdy wywołanie ioremap zawiedzie. Dodano prawidłowe wycofanie zmian (rollback) w przypadku błędu ioremap oraz zwracanie statusu -ENOMEM.

W jądrze Linux w sterowniku RDMA/bnxt_re aplikacje mogą żądać wielu stron WC dla tego samego ucontext, ale obecnie obsługiwana jest tylko jedna strona WC na ucontext. Dodano blokadę zapobiegającą równoczesnemu dostępowi oraz sprawdzenie odrzucające powtarzające się żądania. Dodatkowo, jeśli wstawienie wpisu mmap dla WC zawiedzie, zwalniany jest indeks strony Doorbell zmapowany dla strony WC.

W jądrze Linux w sterowniku RDMA/irdma zastąpiono kolejkę oczekiwania (waitqueue) i flagę request_done mechanizmem completion. Poprzednie użycie flagi bez odpowiednich barier pamięciowych mogło prowadzić do problemów ze współbieżnością. Zastosowanie completion rozwiązuje ten problem w sposób przeznaczony do tego celu.

W jądrze Linux w funkcji enqueue_to_backlog() występuje wyścig (TOCTOU) związany z bezblokowym sprawdzaniem netif_running(). Przeniesiono to sprawdzenie wewnątrz blokady kolejki, co serializuje je z operacją opróżniania kolejki i zapobiega użyciu po zwolnieniu (UAF) zgłoszonemu przez syzbot.

W jądrze Linuxa wykryto wyścig (race condition) w sterowniku 9p/RDMA (trans_rdma.c) dotyczący pola rdma->state. Pole to jest modyfikowane bez blokady req_lock w funkcjach recv_done() i p9_cm_event_handler(), podczas gdy rdma_request() używa tej blokady. Może to prowadzić do utraty przejść stanu, uszkodzenia maszyny stanów połączenia i użycia-po-zwolnieniu (use-after-free) obiektów żądań RDMA podczas zamykania.

W jądrze Linuxa w systemie plików NTFS3 występuje problem z obsługą błędów podczas zmiany nazwy pliku. Zamiast wywoływać _ntfs_bad_inode() w przypadku niepowodzenia zmiany nazwy, sterownik używa WARN_ON, co nie zapobiega dalszym operacjom na niespójnym i-węźle. Poprawka zastępuje WARN_ON wywołaniem _ntfs_bad_inode(), aby zapobiec dalszym operacjom na uszkodzonym i-węźle.

W jądrze Linuxa w podsystemie xprtrdma odkryto podatność związaną z nieprawidłowym zarządzaniem cyklem życia żądań RPC. Problem polegał na tym, że pojedynczy licznik referencji (rl_kref) obsługiwał dwa różne cykle życia, co mogło prowadzić do zwolnienia bufora wysyłki, podczas gdy kontroler DMA (HCA) nadal z niego czytał. Poprawka rozdziela te cykle, dodając osobne referencje dla warstwy RPC i strony wysyłającej, oraz zapewnia, że żądanie wraca do puli dopiero po zakończeniu obu właścicieli.

W jądrze Linuxa wykryto podatność w podsystemie NFS dotyczącą ochrony listy blokad plików. Problem polega na niewłaściwym użyciu blokady flc_lock podczas iteracji po liście blokad, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na zastosowaniu nfsi->rwsem do ochrony tych operacji oraz przeniesieniu wywołania locks_lock_inode_wait w celu uniknięcia zakleszczeń.

W jądrze Linux w module xprtrdma wykryto podatność powodującą wyciek bufora odbiorczego i wyczerpanie kolejki Receive. Błędna dekodacja krótkich lub uszkodzonych odpowiedzi może prowadzić do błędnej klasyfikacji ramki jako wywołania zwrotnego (backchannel), co skutkuje utratą bufora i brakiem ponownego opublikowania slotu odbiorczego.

W jądrze Linux w podsystemie xfrm występuje podatność use-after-free podczas asynchronicznego wznawiania przetwarzania. Funkcja xfrm_rcv_cb może zmienić skb->dev na urządzenie tunelowe bez przejęcia referencji, a późniejsze wznawianie zmniejsza licznik referencji urządzenia tunelowego, co prowadzi do użycia po zwolnieniu i wycieku referencji.

W jądrze Linux w module xfrm występuje wyścig podczas wstawiania stanu do cache. Walidacja stanu odbywa się przed uzyskaniem globalnego zamka xfrm_state_lock, co pozwala na wstawienie martwego stanu do cache.

W jądrze Linux w module netfilter flowtable występuje podatność związana z obsługą tuneli IP6IP6. Funkcja nf_flow_ip6_tunnel_proto() używa skb_header_pointer() zamiast pskb_may_pull(), co może prowadzić do nieprawidłowego przetwarzania pakietów. Ponadto uproszczono obsługę nagłówków rozszerzeń, co może wpływać na poprawność działania.

W jądrze Linux w module netfilter/ipset w typach hash używano test_bit() w bezzamkowych czytelnikach RCU, co jest operacją atomową bez gwarancji barier pamięci. Zastąpiono ją test_bit_acquire() tam, gdzie operacja może działać równolegle z add/del/gc.

W jądrze Linux w ipv6: ioam występuje problem typu confusion dst_entry. IOAM używa fikcyjnego dst_entry (null_dst) do oznaczenia, że miejsce docelowe nie powinno być zmieniane, ale to dst jest przechowywane w stanie IOAM lwt i może być przekazane do dst_cache_set_ip6(), co prowadzi do nieprawidłowego rzutowania i potencjalnego nieprawidłowego dostępu do pamięci.

W jądrze Linuxa w module ksmbd (serwer SMB) wykryto podatność use-after-free w strukturze conn->preauth_info podczas równoczesnych żądań SMB2 NEGOTIATE. Jeden wątek może zwolnić pamięć, podczas gdy inny wątek w ścieżce wysyłania odpowiedzi nadal jej używa, co prowadzi do odczytu po zwolnieniu (potwierdzone przez KASAN).

W jądrze Linuxa w IPv4 FIB, gdy CONFIG_IP_MULTIPLE_TABLES jest włączone, ale nie dodano żadnej reguły, funkcja fib_lookup() wykonuje wyszukiwanie trasy bezpośrednio w dwóch tabelach. Ponieważ pierwsze wyszukiwanie nie kończy się poprawnie, wynik trasy błędu w połączonej tabeli local/main może zostać nadpisany przez inną trasę w tabeli domyślnej. Poprawka naprawia tę niespójność, aby trasa błędu była respektowana.

W jądrze Linuxa w netfilter flowtable funkcja nf_flow_ip4_tunnel_proto() nie sprawdza poprawności pola iph->ihl przed użyciem go do obliczenia rozmiaru nagłówka, co może prowadzić do odczytu poza zakresem przy złośliwych nagłówkach IP. Poprawka dodaje walidację pola ihl oraz używa iph->protocol zamiast stałej IPPROTO_IPIP przy ustawianiu ctx->tun.proto, a także odnosi się do ctx->tun.hdr_size przy aktualizacji ctx->offset.

W jądrze Linux w architekturze s390/mm występuje problem z bitem _PAGE_UNUSED. Bit ten nie jest czyszczony w niektórych ścieżkach ustawiania pte, co może prowadzić do uszkodzenia pamięci gościa.

W jądrze Linux w podsystemie geneve naprawiono podatność polegającą na tym, że funkcja geneve_gro_complete() nie sprawdzała flagi gs->gro_hint, co pozwalało atakującemu na dostarczenie spreparowanego pakietu z opcją hint, prowadząc do odczytu poza granicami bufora (KASAN: slab-out-of-bounds). Poprawka polega na uwzględnieniu flagi gs->gro_hint również w ścieżce complete.

W jądrze Linux w podsystemie geneve naprawiono podatność polegającą na tym, że funkcja geneve_gro_complete() nie walidowała wewnętrznego przesunięcia sieciowego, co mogło prowadzić do odczytu poza granicami bufora. Poprawka dodaje sprawdzenie, czy obliczone przesunięcie nie przekracza zarejestrowanego wewnętrznego nagłówka sieciowego.

W jądrze Linux w sterowniku enetc nie sprawdzana jest liczba fragmentów (BD) potrzebnych dla xdp_frame. Tablica xdp_redirect_arr ma rozmiar ENETC_MAX_SKB_FRAGS, ale liczba fragmentów w xdp_frame może być większa lub równa tej wartości, co prowadzi do odczytu poza granicami tablicy.

W jądrze Linux w protokole SCTP, gdy uwierzytelnianie cookie jest wyłączone, INIT po rozpakowaniu z cookie nie jest ponownie weryfikowany. Może to pozwolić na przetworzenie sfałszowanych danych. Dodano weryfikację INIT po rozpakowaniu oraz sprawdzenie typu fragmentu w cookie.

W jądrze Linux w sterowniku fbnic, funkcja fbnic_tx_lso() wywołuje skb_cow_head(), która może ponownie przydzielić skb, w tym współdzielone informacje. Wskaźnik obliczony przed wywołaniem staje się nieaktualny, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linuxa wykryto podatność use-after-free w module ksmbd (serwer SMB). Problem dotyczy wyścigu między odczytem pola fp->owner.name podczas porównywania właściciela uchwytu trwałego a jego zwolnieniem w ścieżce ponownego otwarcia. Atakujący może wykorzystać ten błąd do uzyskania nieautoryzowanego dostępu lub wywołania awarii systemu.

W jądrze Linux w module netfs, funkcja netfs_create_write_req() pomija buforowanie, jeśli cookie fscache jest wyłączone, ale to może być problematyczne, ponieważ asynchroniczne tworzenie obiektu cache może nie być jeszcze zakończone. Poprawka usuwa sprawdzanie cookie i deleguje to do fscache_begin_write_operation().

W jądrze Linux w module netfs występuje problem z synchronizacją (barriering) podczas przeglądania listy podżądań (subrequest list) w operacji ponawiania. Istnieje możliwość zobaczenia podżądania, które właśnie zostało dodane przez wątek aplikacji.

W jądrze Linux w module GUE występuje podatność polegająca na braku walidacji długości prywatnej opcji REMCSUM. Funkcja guehdr_priv_flags_len() zwraca 0 nawet gdy ustawiona jest flaga GUE_PFLAG_REMCSUM, co pozwala na przepuszczenie nieprawidłowych pakietów i odczyt brakujących pól z kolejnych bajtów.

W jądrze Linux w module netfilter ip6tables występuje problem z obsługą nieprawidłowych nagłówków rozszerzeń IPv6. Dla dopasowań ah, hbh i rt brakuje lub są nieaktualne sprawdzenia deklarowanej długości nagłówka. Poprawka dodaje brakujące sprawdzenie dla ah oraz aktualizuje sprawdzenia dla hbh i rt, a także ustawia hotdrop na true, aby zrzucać nieprawidłowe pakiety.

W jądrze Linux w sterowniku qede występuje błąd off-by-one w konsumpcji deskryptorów BD podczas niepowodzenia budowy skb. Funkcje qede_rx_build_skb() i qede_tpa_rx_build_skb() nie sprawdzają, czy qede_build_skb() zwróciła NULL, co prowadzi do nadmiernego zużycia BD i desynchronizacji pierścienia BD, mogącej skutkować uszkodzeniem liczników referencji DMA i korupcją listy SLUB.

W jądrze Linux w sterowniku liquidio występuje problem z przechowywaniem wskaźników do struktur pci_dev dla funkcji wirtualnych (VF) bez odpowiedniego odniesienia. Może to prowadzić do użycia po zwolnieniu (use-after-free) podczas obsługi żądań FLR.

W jądrze Linux w module IPv4 IGMP występuje wyścig (race condition) między usuwaniem urządzenia a przetwarzaniem zapytań IGMP, co może prowadzić do użycia po zwolnieniu (use-after-free) w funkcji igmp_gq_start_timer().

W jądrze Linux w module IPv6 MLD występuje wyścig (race condition) między usuwaniem urządzenia a przetwarzaniem zapytań MLD, co może prowadzić do użycia po zwolnieniu (use-after-free) w opóźnionej pracy MLD.

W jądrze Linux w module netfilter nft_lookup występuje błąd w obsłudze elementów catchall przy odwróconych wyszukiwaniach. Zmienna 'found' nie jest przeliczana po zastąpieniu 'ext' przez wyszukiwanie catchall, co może prowadzić do błędnego dopasowania lub pominięcia elementu catchall w przypadku zapytań z negacją.

W jądrze Linux w module IPVS występuje problem z zapewnieniem, że wewnętrzne nagłówki w błędach ICMP znajdują się w headroom skb. Po usunięciu zewnętrznych nagłówków za pomocą pskb_pull(), wewnętrzne nagłówki IP mogą nie być dostępne dla funkcji takich jak ipv4_update_pmtu(), icmp_send() i IP_VS_DBG(). Dodano również dodatkowe sprawdzenia długości wewnętrznych nagłówków.

W jądrze Linux w module cifs występuje podatność polegająca na braku walidacji przesunięć łańcuchów w odpowiedziach DFS. Złośliwy serwer może podać przesunięcia wskazujące poza bufor odpowiedzi, co prowadzi do odczytu poza zakresem pamięci podczas przetwarzania nazw ścieżek.

W jądrze Linux w podsystemie SUNRPC wykryto podatność use-after-free w ścieżce połączenia TLS. Nic nie utrzymuje referencji do górnego rpc_clnt podczas opóźnionego connect_worker, co może prowadzić do odwołania do zwolnionej pamięci, gdy połączenie TLS nie powiedzie się (np. błąd mTLS).

W jądrze Linux w podsystemie TIPC wykryto podatność polegającą na tym, że punkt śledzenia (tracepoint) w funkcji tipc_sk_enqueue() zrzucał zawartość kolejki sk_receive_queue, do której dostęp nie był chroniony przez spinlock. Może to prowadzić do odwołania do zwolnionej pamięci (use-after-free) zgłaszanego przez KASAN. Poprawka ogranicza zrzuty tylko do kolejki chronionej spinlockiem.

W jądrze Linux w funkcji ife_decode() nie gwarantuje się, że wewnętrzny nagłówek Ethernet jest dostępny w liniowym obszarze danych, co może prowadzić do awarii przy złośliwych ramkach IFE.

W jądrze Linux dla KVM na architekturze s390 w funkcji try_get_locked_pte() występował mało prawdopodobny wyścig, który mógł wystąpić, gdy wpisy puds lub pmds zostały odmapowane między wywołaniami p?dp_get() i p?d_offset(). Poprawka eliminuje ten wyścig.

W jądrze Linux dla KVM na architekturze arm64 w funkcji vgic_prune_ap_list() występował problem podczas migracji przerwania do innego vCPU. Po ponownym uzyskaniu blokad sprawdzano tylko powinowactwo, ale nie sprawdzano, czy przerwanie nadal należy do tego vCPU. Poprawka dodaje sprawdzenie irq->vcpu == vcpu przed przeniesieniem.