Podatności Linux kernel

W jądrze Linux dla KVM na architekturze arm64 w vgic_prune_ap_list() występował wyścig między zmianą powinowactwa przerwania a wyłączeniem LPI, co mogło prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na przechwyceniu referencji na przerwanie przed zwolnieniem blokad oraz na niestosowaniu migracji bitu oczekującego.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) mapowanie L1 VNCR do stage-1 hosta nie uwzględniało tylko-do-odczytu stron (PFN). Poprawka buforuje informację o zapisywalności PFN i ogranicza uprawnienia mapowania, co również naprawia wyciek strony.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) przy błędzie strony VNCR nie dokonywano ponownego tłumaczenia adresu. Poprawka unieważnia wpis TLB VNCR i ponownie pobiera tłumaczenie, aby umożliwić mapowanie do zapisu przy drugiej próbie.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) podczas konstruowania mapowania L1 VNCR używano atrybutów pamięci cacheable nawet dla stron niebędących pamięcią. Poprawka odrzuca wszystko, co nie jest normalną pamięcią, aby uniknąć błędów SError.

W jądrze Linuxa w module netfilter nf_nat_sip występuje podatność na użycie nieaktualnego wskaźnika danych po realokacji bufora. Może to prowadzić do uszkodzenia nagłówków pakietów.

W jądrze Linuxa w module netfilter flowtable występuje podatność na użycie trasy z przeciwnego kierunku podczas dodawania nagłówka IPIP. Może to prowadzić do nieprawidłowego obliczenia headroom i ustawienia pól.

W jądrze Linuxa w module netfilter flowtable występuje podatność na awarię podczas transmisji tunelu IPIP z bezpośrednim wysłaniem (direct xmit). Brak dst_entry prowadzi do nieprawidłowego użycia dst i może spowodować awarię.

W jądrze Linux w podsystemie x86/virt/sev cofnięto wcześniejszą poprawkę dotyczącą WBINVD przed ustawieniem MSR_AMD64_SYSCFG_SNP_EN. Przywrócono wywołanie wbinvd_on_all_cpus() przed SNP_INIT_EX, aby spełnić wymagania specyfikacji SNP dotyczące czystych linii cache.

W jądrze Linux w module batman-adv, po wywołaniu pskb_may_pull() przez batadv_get_vid(), bufor skb może zostać ponownie przydzielony. Wskaźnik unicast_packet nie został ponownie przypisany po tej realokacji, co może prowadzić do użycia po zwolnieniu (use-after-free).

W jądrze Linux w module batman-adv, liczba VLAN-ów w TT unicast TVLV jest typu u16 i jest mnożona przez rozmiar struktury batadv_tvlv_tt_vlan_data (8 bajtów). To może spowodować przepełnienie u16, co unieważnia wszystkie dodatkowe sprawdzenia bezpieczeństwa i może prowadzić do odczytu poza zakresem (OOB).

W jądrze Linuxa w podsystemie SUNRPC wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w obsłudze asynchronicznego uzgadniania TLS. Wskaźnik do struktury svc_xprt jest przechowywany bez zwiększenia licznika referencji, co prowadzi do wyścigu, w którym wywołanie zwrotne może zapisywać do już zwolnionej pamięci. Problem występuje na serwerach NFS z włączonym TLS, gdy zamknięcie połączenia nakłada się na dostarczanie odpowiedzi z demona tlshd.

W jądrze Linuxa w module sunrpc wykryto podatność związaną z wyścigiem podczas anulowania uzgadniania TLS. Gdy funkcja wait_for_completion_interruptible_timeout() zwróci timeout lub sygnał, a anulowanie przegra wyścig z zakończeniem uzgadniania, może dojść do podwójnego wywołania procedury uzgadniania lub zerwania połączenia mimo udanego uzgadniania. Problem naprawiono przez oczekiwanie na zakończenie callbacku przed sprawdzeniem flag.

W jądrze Linuxa w podsystemie sunrpc, funkcja svc_release_rqst() wykonuje wywołanie zwrotne w rqstp->rq_procinfo->pc_release. Jeśli wątek roboczy napotka wczesną ścieżkę błędu przed zainstalowaniem prawidłowego rq_procinfo, nieaktualny hak zwalniający może zostać ponownie wywołany na ponownie użytym stanie z poprzedniego RPC, co prowadzi do podwójnego zwolnienia lub użycia po zwolnieniu. Poprawka wzmacnia cykl życia rq_procinfo poprzez czyszczenie go po wywołaniu pc_release, czyszczenie przy wejściu do svc_process() i svc_process_bc().

W jądrze Linux w module SUNRPC funkcja xdr_buf_to_bvec() zapisuje dane do tablicy przed sprawdzeniem, czy indeks jest w zakresie, co może prowadzić do zapisu poza granicami tablicy. Tablica rq_bvec przekazywana przez nfsd_vfs_write() jest alokowana bez zapasu, więc zapis poza zakres może naruszyć sąsiednią pamięć.

W jądrze Linux w module ntfs występuje problem z kolejnością operacji podczas powiększania katalogu głównego indeksu. Większy nagłówek jest publikowany przed zmianą rozmiaru wartości rezydentnej, co może prowadzić do przejściowego stanu uznawanego za uszkodzony, gdy zmiana rozmiaru nie powiedzie się.

W jądrze Linux w module ntfs występuje błąd off-by-one w sprawdzaniu granic podczas dekompresji par mapowań. Ścisłe porównanie większości pozwala na odczyt jednego bajtu poza granicami atrybutu, gdy dane kończą się dokładnie na granicy.

W jądrze Linuxa wykryto podatność w systemie plików NTFS, gdzie funkcje ntfs_attr_find() i ntfs_external_attr_find() nie walidują poprawnie długości pól w atrybutach rezydentnych o zmiennej długości. Specjalnie spreparowany obraz dysku może wykorzystać tę wadę do odczytu poza granicami bufora (slab-out-of-bounds) podczas operacji wyszukiwania nazw plików.

W jądrze Linux w systemie plików NTFS dodano kontrolę granic przed dostępem do wpisów EA (rozszerzonych atrybutów). W funkcjach ntfs_ea_lookup i ntfs_listxattr sprawdzane jest, czy w wpisie EA jest wystarczająco dużo miejsca przed odczytaniem pola next_entry_offset.

W jądrze Linux w systemie plików NTFS zmieniono zachowanie tak, aby nie konwertować atrybutu $DATA o zerowej długości na atrybut nieresydentny. Wcześniej, gdy nie można było powiększyć atrybutu rezydentnego, konwertowano inne atrybuty rezydentne na nieresydentne, ale teraz pomijane są atrybuty $DATA o zerowej długości, ponieważ fsck traktuje takie nieresydentne atrybuty jako uszkodzone.

W jądrze Linux w systemie plików NTFS zaostrzono walidację nagłówka bloku indeksu. Funkcja ntfs_index_block_inconsisent() została zmodyfikowana, aby dokładniej sprawdzać geometrię INDEX_HEADER w blokach INDX, a funkcja ntfs_lookup_inode_by_name() używa tej funkcji do walidacji bloków INDX.

W jądrze Linux w systemie plików NTFS dodano walidację wpisów indeksu podczas ich odczytu. Wpisy indeksu są teraz sprawdzane natychmiast po odczytaniu korzenia indeksu lub bloku indeksu z dysku, co eliminuje powtarzające się sprawdzenia w funkcjach lookup i readdir oraz zmniejsza ryzyko pominięcia kontroli w tych ścieżkach.

W jądrze Linux w systemie plików NTFS wykrywane jest przepełnienie akumulatora LCN w parserze mapowania par. Parser akumuluje względne delty LCN w liczbie całkowitej ze znakiem, a uszkodzony atrybut może spowodować przekroczenie zakresu reprezentowalnych wartości. Dodano sprawdzenie przepełnienia przed zapisaniem kolejnego przebiegu.

W jądrze Linux w systemie plików NTFS dodano walidację rezydentnych wartości $INDEX_ROOT podczas wyszukiwania. Wartości rezydentne $INDEX_ROOT zawierają pola nagłówka indeksu, które są używane po wyszukiwaniu. Dodano walidację pól nagłówka przed zwróceniem atrybutu, wymagając wyrównania do 8 bajtów, sensownego entries_offset, index_length w granicach allocated_size, allocated_size w granicach wartości rezydentnej oraz wystarczającej przestrzeni na nagłówek wpisu indeksu.

W jądrze Linuxa w systemie plików NTFS3 funkcja indx_find_buffer nie miała limitu głębokości rekurencji, co mogło prowadzić do przepełnienia stosu jądra. Poprawka dodaje parametr głębokości i zabezpieczenie przed przekroczeniem limitu.

W jądrze Linux w systemie plików NTFS3 wykryto podatność polegającą na zapisie poza przydzielony bufor podczas przenoszenia wpisów z pełnego katalogu głównego $INDEX_ROOT do nowego bufora indeksu. Atakujący może wykorzystać spreparowany obraz NTFS, aby spowodować kopiowanie danych sterowanych przez atakującego poza przydzieloną pamięć, co prowadzi do uszkodzenia sterty.

W jądrze Linux w systemie plików NTFS3 wykryto podatność umożliwiającą zapis poza zakresem pamięci. Problem wynika z braku walidacji przesunięcia punktu podziału w funkcji indx_insert_into_buffer, co przy specjalnie spreparowanym obrazie NTFS prowadzi do przepełnienia licznika i zapisu poza buforem, powodując awarię jądra.

W jądrze Linux w systemie plików NTFS funkcja ntfs_lookup_inode_by_name() zwraca odwołania MFT odczytane z wpisów indeksu katalogu na dysku, które mogą być niegodne zaufania. Funkcja może zwrócić odwołanie MFT oznaczone jako błąd bez jego walidacji, co prowadzi do błędnej interpretacji przez wywołujących. Poprawka normalizuje wszystkie takie odwołania do ERR_MREF(-EIO) we wszystkich czterech ścieżkach zwracania wyników.

W jądrze Linux w systemie plików NTFS pliki systemowe, takie jak $Bitmap, mogą być zapisywane z przestrzeni użytkownika, co prowadzi do uszkodzenia woluminu i zakleszczenia zapisu zwrotnego. Poprawka oznacza bazowe pliki metadanych jako niezmienne (immutable) podczas odczytu i-węzła, aby VFS odrzucał zapis, mmap, truncate i unlink z błędem -EPERM.

W jądrze Linux w systemie plików NTFS funkcja ntfs_map_runlist_nolock() może napotkać atrybut rezydentny tam, gdzie oczekiwany jest atrybut nierezydentny, co wcześniej wywoływało tylko WARN_ON i prowadziło do odczytu niewłaściwego pola unii. Poprawka zastępuje WARN_ON zwróceniem błędu -EIO, co powoduje odrzucenie spreparowanego obrazu podczas montowania.

W jądrze Linuxa wykryto podatność w funkcji tcp_connect() dotyczącą protokołu TCP i mechanizmu MD5. Podczas nawiązywania połączenia, w jednej z gałęzi kodu, obiekt tcp_md5sig_info oraz klucze tcp_md5sig_key są zwalniane bez zachowania okresu RCU, co prowadzi do wyścigu (race condition) z czytelnikami działającymi w kontekście przerwania (softirq). Skutkiem jest użycie po zwolnieniu (use-after-free) pamięci kluczy MD5.

W jądrze Linux w module xfrm występuje problem podwójnego zwolnienia (double free) w funkcji nat_keepalive_send(). Gdy funkcja pomocnicza IPv4 lub IPv6 zgłosi błąd, pakiet keepalive jest zwalniany, ale jeśli pakiet został już przekazany do stosu sieciowego, może zostać zwolniony ponownie, co prowadzi do niebezpiecznej operacji.

W jądrze Linux w module nvmet-auth występuje podatność na zapis poza zakresem pamięci (heap out-of-bounds write) w funkcji nvmet_execute_auth_receive(). Funkcja ufa długości alokacji AUTH_RECEIVE, sprawdzając tylko, czy jest niezerowa i zgodna z długością transferu. W stanach SUCCESS1 i FAILURE1, krótki bufor może prowadzić do zapisu poza przydzieloną pamięcią.

W jądrze Linux w module nvmet-rdma występuje problem z obsługą danych inline z niezerowym offsetem. Funkcja nvmet_rdma_use_inline_sg() mapuje offset kontrolowany przez hosta, ale zakłada, że dane zaczynają się na pierwszej stronie inline. Przy offsetach większych niż rozmiar strony może wystąpić niedomiar (underflow) długości, prowadzący do odczytu poza zakresem pamięci.

W jądrze Linux w module dm-verity występuje przepełnienie bufora w obliczeniach FEC. Błąd pozwala na zapis poza granicami tablicy lambda w dekoderze RS, co może uszkodzić bufor syndromu. Poprawka naprawia to przepełnienie.

W jądrze Linux w sterowniku scsi: xen: scsiback na ścieżkach błędów przed przesłaniem polecenia występuje podwójne zwolnienie (double-put) se_cmd, którego refcount jest 0, co prowadzi do niedomiaru refcount i wycieku tagu. Poprawka dodaje pomocniczą funkcję zwracającą tylko tag i wysyłającą odpowiedź błędu.

W jądrze Linuxa wykryto podatność w podsystemie SCSI target, dotyczącą analizy bufora poleceń PERSISTENT RESERVE OUT. Funkcje parsujące identyfikator TransportID nie otrzymywały informacji o długości bufora, co umożliwiało odczyt poza jego granicami (out-of-bounds) przez nieprawidłowo sformułowany identyfikator iSCSI. Problem jest osiągalny przez każdy interfejs dostarczający polecenia PR OUT do urządzenia eksportowanego przez iSCSI TPG, w tym przez vhost-scsi.

W jądrze Linux wykryto podatność use-after-free w podsystemie SCSI target, dotyczącą operacji REGISTER AND MOVE w Persistent Reserve Out. Problem wynika z użycia wskaźnika do zmapowanego bufora po jego odmapowaniu, co może prowadzić do odczytu zwolnionej pamięci.

W jądrze Linux w mechanizmie blokad RT występuje podatność use-after-free spowodowana nieprawidłową ochroną RCU w funkcji rt_spin_unlock(). Funkcja ta zwalnia ochronę RCU przed odblokowaniem blokady, co umożliwia scenariusz wyścigu prowadzący do użycia zwolnionej pamięci.

W jądrze Linux w sterowniku net: mana występuje brak walidacji długości pakietu zgłaszanej przez kartę sieciową (NIC) w RX CQE. Długość ta jest przekazywana do przetwarzania skb bez weryfikacji, co może prowadzić do błędów.

W jądrze Linux w sterowniku net: mana występuje brak synchronizacji DMA dla fragmentów stron z puli stron (page pool) w ścieżce odbioru. Gdy bufory RX są alokowane z fragmentów puli stron, nie są one synchronizowane dla CPU przed przekazaniem do stosu sieciowego, co może powodować problemy w konfiguracjach wymagających jawnej synchronizacji DMA.

W jądrze Linux wykryto podatność w sterowniku GVE (Google Virtual Ethernet) dotyczącą uszkodzenia bufora nagłówka przy włączonych funkcjach header-split i HW-GRO. Problem wynika z nieprawidłowego indeksowania buforów nagłówka według pozycji w kolejce zamiast według identyfikatora bufora, co przy przetwarzaniu pakietów poza kolejnością prowadzi do odczytu niewłaściwego nagłówka oraz ponownego użycia bufora, który jest nadal używany przez urządzenie.

W jądrze Linux w podsystemie ESPINTCP występuje podatność związana z częściowym wysyłaniem danych. Użycie sk_msg_free_partial() zapewnia spójność skmsg w każdej iteracji, upraszczając kod i naprawiając błędy w księgowaniu skmsg, gdy nie wysyłamy całej zawartości.

W jądrze Linux w systemie plików orangefs występuje podatność polegająca na przechowywaniu rozmiaru wpisu katalogu w 32-bitowej zmiennej, co może prowadzić do zawinięcia wartości i ominięcia kontroli granic, skutkując odczytem poza zakresem i paniką jądra.

W jądrze Linux w funkcji ip_vs_conn_new() nie są resetowane pełne struktury ip_vs_seq, co może prowadzić do użycia nieinicjalizowanych danych z pamięci podręcznej. Poprawka resetuje oba człony struct ip_vs_seq przed opublikowaniem połączenia, aby zapobiec uszkodzeniu przepływu TCP.

W jądrze Linux w module DRBD występuje podatność polegająca na braku odrzucania odpowiedzi danych z nieprawidłowym rozmiarem ładunku. Złośliwy lub przechwycony peer DRBD może wysłać odpowiedź z ujemną wartością rozmiaru, co prowadzi do kopiowania danych poza stronę bio i uszkodzenia pamięci jądra.

W jądrze Linux w IPVS występują błędy w obliczaniu offsetów transportowych IPv6. Kod aplikacji TCP zakładał nagłówek IPv4, co może powodować problemy z aplikacjami przez IPv6. Poprawiono również offset nagłówka ICMPV6.

W jądrze Linux w IPVS, po wywołaniu skb_ensure_writable(), które może ponownie przydzielić skb->head, nie przeładowywano wskaźnika do nagłówka IP, co może prowadzić do użycia nieaktualnego wskaźnika.

W jądrze Linux w serwerze ksmbd (SMB) operacje FSCTL takie jak SET_SPARSE, SET_ZERO_DATA i SET_COMPRESSION działają na otwartym uchwycie SMB, ale wywołują pomocnicze funkcje VFS z bieżącymi poświadczeniami wątku roboczego ksmbd. To może prowadzić do ponownej walidacji uprawnień inode, własności i polityki LSM niezależnie od maski dostępu uchwytu SMB. Poprawka uruchamia każdą operację z poświadczeniami przechwyconymi w pliku docelowym podczas otwierania uchwytu.

W jądrze Linux w serwerze ksmbd występuje brak walidacji minimalnego rozmiaru PDU dla żądań transformacji. Pakiet z SMB2_TRANSFORM_PROTO_NUM omija sprawdzenie, co może prowadzić do odczytu poza przydzieloną pamięcią i ujawnienia danych nieuwierzytelnionemu klientowi.

W jądrze Linux w podsystemie xfrm występuje podatność polegająca na nieaktualnym wskaźniku skb->prev po tym, jak asynchroniczne krypto przechwyci segment GSO. Gdy ostatni segment jest przechwytywany, wskaźnik ->prev głowy listy nie jest aktualizowany, co prowadzi do zapisu przez zwisający wskaźnik (use-after-free) w validate_xmit_skb_list(). Poprawka polega na ponownym ustawieniu skb->prev na ostatni zachowany segment przed zwróceniem.