Podatności Linux kernel

W jądrze Linux w sterowniku RDMA/siw wykryto podatność polegającą na braku walidacji długości odpowiedzi na żądanie odczytu (RREAD). Atakujący zdalny peer może wysłać segmenty odpowiedzi przekraczające rozmiar bufora docelowego, co prowadzi do zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux w kliencie SMB (CIFS) występuje podatność polegająca na odrzucaniu odpowiedzi z nakładającymi się obszarami danych. Funkcja __smb2_calc_size() czyści data_length, co może sprawić, że nieprawidłowa odpowiedź zostanie uznana za poprawną.

W jądrze Linuxa wykryto podatność w funkcji blk_insert_cloned_request(), która nie przeliczała liczby segmentów integralności (nr_integrity_segments) dla żądań klonowanych. Może to prowadzić do błędu BUG_ON() podczas mapowania segmentów, gdy dolna kolejka ma bardziej restrykcyjne ustawienia segmentacji niż górna.

W jądrze Linux w podsystemie netfs wykryto podatność use-after-free w funkcji netfs_unlock_abandoned_read_pages(). Funkcja uzyskuje dostęp do indeksu folio po wyczyszczeniu flagi NETFS_RREQ_IN_PROGRESS, co może prowadzić do dereferencji zwolnionej pamięci.

W jądrze Linux w sterowniku idpf wykryto błąd inicjalizacji blokady spinlock read_dev_clk_lock w funkcji idpf_ptp_init(). Blokada była inicjalizowana po uruchomieniu wątku pomocniczego PTP, który mógł natychmiast próbować jej użyć, co prowadziło do ostrzeżenia lockdep o rejestracji niestatycznego klucza.

W jądrze Linuxa wykryto podatność w mechanizmie netfs, polegającą na potencjalnym rozrywaniu (tearing) podczas odczytu i zapisu pól ->remote_i_size oraz ->zero_point. Problem wynika z braku odpowiedniej synchronizacji, co może prowadzić do uszkodzenia danych.

W jądrze Linux w module netfilter nft_inner wykryto błąd w ścieżce obsługi błędów, gdzie funkcja local_bh_enable() jest wywoływana przed local_unlock_nested_bh(), co może prowadzić do nieprawidłowego stanu blokad i potencjalnych problemów z synchronizacją.

W jądrze Linuxa w podsystemie ksmbd (SMB3) wykryto dwie powiązane podatności: ponowne użycie listy węzłów fp->node powodujące uszkodzenie list oraz wyścig referencji prowadzący do użycia po zwolnieniu (UAF) podczas czyszczenia uchwytów trwałych przez ksmbd_durable_scavenger().

W jądrze Linux stwierdzono brak blokady wokół inkrementacji licznika tc_count w funkcji smb2_find_smb_sess_tcon_unlocked(). Problem powstał po refaktoryzacji kodu CIFS, która zmieniła blokadę z cifs_tcp_ses_lock na tc_lock, ale nie objęła nią tego konkretnego miejsca.

W jądrze Linux wykryto podatność w mechanizmie IOAM dla IPv6. Funkcja ipv6_hop_ioam() nie odświeża wskaźnika hdr po potencjalnej realokacji bufora danych przez skb_ensure_writable(), co może prowadzić do użycia po zwolnieniu (Use-After-Free).

W sterowniku bcmgenet dla układów Broadcom wykryto podatność powodującą zatrzymanie ruchu RX po aktywacji EEE. Ustawienie bitów RBUF_EEE_EN i RBUF_PM_EN w rejestrze RBUF_ENERGY_CTRL powoduje, że RBUF przestaje przekazywać ramki do DMA, co prowadzi do braku przyrostu licznika rx_packets i potencjalnego błędu stronicowania. Problem występuje na Raspberry Pi 4B i innych platformach z rodziny Broadcom 4908.

W jądrze Linux w sterowniku mlx5e wykryto podatność use-after-free w funkcji mlx5e_tx_reporter_timeout_recover. Problem występuje, gdy funkcja odwołuje się do sq->netdev po tym, jak mlx5e_safe_reopen_channels() zniszczyło i zwolniło kanał (oraz jego SQ). Poprawka zastępuje trzy odwołania sq->netdev przez priv->netdev, które jest bezpieczne, ponieważ priv żyje dłużej niż zniszczenie kanału.

W sterowniku ixgbevf jądra Linux wykryto podatność na użycie po zwolnieniu (use-after-free) w funkcji ixgbevf_clean_rx_irq(). Podczas przetwarzania ramek w trybie VEPA, po zwolnieniu bufora skb, wskaźnik nie jest zerowany, co prowadzi do odwołania do zwolnionej pamięci w kolejnej iteracji pętli.

W jądrze Linuxa w komponencie KVM dla architektury ARM64 wykryto podatność w implementacji emulowanego kontrolera przerwań ITS (Interrupt Translation Service). Funkcja przywracająca wpisy tablicy urządzeń (DTE) nie sprawdzała poprawności liczby bitów EventID, co pozwalało na przywrócenie nieprawidłowej wartości większej niż obsługiwana przez wirtualny ITS.

W jądrze Linuxa w sterowniku RDMA/siw (Soft-iWARP) wykryto podatność polegającą na braku walidacji długości nagłówka MPA w odebranych ramkach FPDU. Złośliwy zdalny peer może wysłać ramkę z polem mpa_len mniejszym niż wymagany nagłówek DDP/RDMAP, co prowadzi do przepełnienia liczb ze znakiem i w konsekwencji do odczytu poza zakresem pamięci (use-after-free).

W jądrze Linux wykryto podatność TOCTOU (time-of-check time-of-use) w implementacji protokołu batman-adv. Podczas generowania lokalnego TVLV dla VLANów, najpierw sprawdzana jest liczba VLANów z wpisami TT, a następnie alokowany jest bufor. Mimo trzymania blokady, liczba wpisów TT w poszczególnych VLANach może wzrosnąć między sprawdzeniem a alokacją, co prowadzi do przepełnienia bufora.

W jądrze Linux w module batman-adv wykryto podatność polegającą na użyciu typu signed short (s16) dla pola last_changeset_len, które nigdy nie powinno przechowywać wartości ujemnych. Przypisanie wartości większej niż 32767 powoduje zawinięcie do ujemnej liczby całkowitej ze znakiem, co prowadzi do błędnego rozszerzenia znaku przy konwersji do s32 w funkcji batadv_send_my_tt_response(). Skutkuje to alokacją pełnego bufora, ale wypełnieniem tylko jego małej części, pozostawiając resztę niezainicjalizowaną.

W jądrze Linuxa w sterowniku ARM FFAs znaleziono podatność polegającą na użyciu po zwolnieniu (use-after-free) w obsłudze powiadomień. Funkcje obsługujące powiadomienia odczytują wskaźnik do funkcji zwrotnej (callback) pod blokadą, ale wywołują ją już po jej zwolnieniu, co pozwala na równoczesne usunięcie i zwolnienie pamięci przez inny wątek.

W jądrze Linux stwierdzono podatność w systemie plików netfs, dotyczącą anulowania żądań odczytu DIO i pojedynczego odczytu. Błąd występuje, gdy przygotowanie nowego podżądania odczytu kończy się niepowodzeniem, a podżądanie zostało już dodane do listy, co może prowadzić do nieprawidłowego zarządzania referencjami i potencjalnego wyścigu.

W jądrze Linuxa wykryto brak odpowiedniego blokowania podczas dodawania nowych podzapytań w funkcjach ponawiania operacji odczytu i zapisu w systemie plików netfs. Luka może prowadzić do wyścigu danych i niestabilności systemu.

W jądrze Linuxa w podsystemie netfs wykryto brak barier pamięci przy bezzamkowym dostępie do listy podzadań (stream->subrequests). Funkcje odczytujące tę listę mogą odczytać niekompletne dane, ponieważ flaga NETFS_SREQ_IN_PROGRESS może nie być jeszcze widoczna. Problem został naprawiony przez dodanie odpowiednich barier (release/acquire) w operacjach na liście.

W jądrze Linuxa wykryto podatność w funkcji netfs_read_to_pagecache(), która nie wstrzymuje generowania nowych podzapytań po niepowodzeniu już wysłanego podzapytania. Problem został rozwiązany poprzez dodanie pauzy w generowaniu nowych podzapytań w przypadku błędu.

W jądrze Linux wykryto podatność w mechanizmie netfs, polegającą na przedwczesnym zwolnieniu strony pomocniczej (sink folio) w funkcji netfs_read_gaps(). Błąd prowadzi do użycia po zwolnieniu (UAF), co może zostać wykorzystane do naruszenia integralności pamięci.

W jądrze Linux wykryto podatność w sterowniku sieciowym cortina (Gemini Ethernet). Statyczny lokalny bufor SKB używany do składania pakietów z fragmentów w funkcji gmac_rx() jest współdzielony między dwoma portami Ethernet, co może prowadzić do wyścigów (race conditions) przy jednoczesnym użyciu obu portów.

W jądrze Linuxa w sterowniku Cortina Ethernet wykryto podatność polegającą na resetowaniu licznika fragmentów (frag_nr) podczas odbierania pakietów w funkcji gmac_rx(). Gdy bufer pierścieniowy zostanie całkowicie opróżniony w trakcie cyklu poll, licznik fragmentów jest zerowany, mimo że pakiet nie został jeszcze w pełni złożony w SKB, co może prowadzić do nieprawidłowego składania pakietów.

W jądrze Linux wykryto podatność w implementacji TLS, polegającą na błędzie off-by-one przy łączeniu rozdzielonych pierścieni sk_msg za pomocą sg_chain(). Błąd powoduje, że wskaźnik łańcucha jest ustawiany na pozycję MAX_SKB_FRAGS zamiast na ostatni wpis, co może prowadzić do nieprawidłowego działania kryptograficznego.

W jądrze Linux wykryto podatność w implementacji TLS, gdzie w przypadku gdy end=0 (start!=0) tworzony jest nieprawidłowy łańcuch wskaźników SG (scatterlist), prowadzący do chain-after-chain. Powoduje to przekazanie nielegalnych danych do kryptografii, co może skutkować błędami lub potencjalnym naruszeniem bezpieczeństwa.

W sterowniku iwlwifi (MLD) jądra Linux wykryto podatność, w której wyłączenie agregacji AMSDU dla danego TID powoduje ustawienie wartości 1 jako maksymalnego rozmiaru AMSDU. W funkcji TSO segmentacji brakuje sprawdzenia tej wartości, co prowadzi do obliczenia zerowego rozmiaru segmentu (gso_size=0), a w konsekwencji do wygenerowania ponad 32000 mikro-ramek z pojedynczego pakietu GSO. Powoduje to przeciążenie pierścienia TX, lawinę zdarzeń zakończenia transmisji, uszkodzenie pamięci i użycie po zwolnieniu (use-after-free) w kolejce retransmisji TCP.

W jądrze Linux w sterowniku igc wykryto podatność polegającą na braku ustawienia typu bufora nadawczego dla ramek SMD (Sashiko Mode Data). Funkcja igc_fpe_init_smd_frame() inicjalizuje pola struktury igc_tx_buffer, ale nie ustawia typu bufora, co przy ponownym użyciu buforów może prowadzić do użycia nieprawidłowej ścieżki czyszczenia dla transmisji XDP lub XSK.

W jądrze Linux w sterowniku MANA wykryto podatność TOCTOU (time-of-check time-of-use) polegającą na podwójnym odczycie pola hwc_msg_id z bufora DMA. Pierwszy odczyt służy do walidacji zakresu, a drugi do dalszego przetwarzania, co pozwala złośliwemu urządzeniu na zmianę wartości między tymi odczytami i ominięcie kontroli granic.

W jądrze Linux w komponencie RDMA/rtrs wykryto podatność use-after-free podczas obsługi błędów przy tworzeniu plików ścieżek. W ścieżce błędu funkcji rtrs_srv_create_path_files() może dojść do wywołania kobject_put() przed zniszczeniem folderów sysfs, co prowadzi do zwolnienia pamięci i późniejszego jej użycia.

W jądrze Linux wykryto podatność w mechanizmie BPF skmsg, gdzie funkcja sk_psock_verdict_data_ready() nie sprawdza obecności kontekstu TLS RX, co prowadzi do wyścigu z odbiorem ktls. W rezultacie może dojść do użycia po zwolnieniu (use-after-free) podczas przetwarzania danych.

W jądrze Linux wykryto lukę w implementacji TCP, która umożliwia przewidywanie numerów ISN (Initial Sequence Number) dla połączeń TIME_WAIT. Problem wynika z przechowywania ISN w zmiennej per-CPU, która nie jest czyszczona po odrzuceniu pakietu na różnych ścieżkach (np. kontrola min_ttl, polityka xfrm, niezgodność MD5/AO, filtr eBPF). Następny pakiet SYN przetwarzany na tym samym CPU może otrzymać potencjalnie przewidywalny ISN.

W jądrze Linux w sterowniku sieciowym MANA (Microsoft Azure Network Adapter) brakuje walidacji indeksu rx_req_idx przed użyciem go do dostępu do tablicy reqs[]. W poufnych maszynach wirtualnych (SEV-SNP/TDX) pamięć DMA może być modyfikowana przez sprzęt, co umożliwia atak poza zakresem tablicy.

W jądrze Linux w systemie plików ksmbd wykryto podatność związaną z błędem w ścieżce obsługi błędów podczas ponownego łączenia trwałego (durable reconnect). Po udanym ponownym połączeniu, w przypadku późniejszego błędu, funkcja czyszcząca może zwolnić obiekt pliku bez usunięcia go z tabeli identyfikatorów sesji, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w module netfilter synproxy, gdzie funkcja synproxy_tstamp_adjust() używa nieaktualnego wskaźnika do nagłówka TCP po wywołaniu skb_ensure_writable(). Może to prowadzić do zapisu do zwolnionej pamięci lub wysłania pakietu z nieprawidłową sumą kontrolną.

W jądrze Linux w module HSR (High-availability Seamless Redundancy) wykryto podatność umożliwiającą dostęp poza zakresem (OOB) podczas obsługi ramek nadzorczych. Problem wynika z braku odpowiedniego sprawdzenia długości nagłówka TLV przed jego użyciem.

W jądrze Linux wykryto podatność w funkcjach iptunnel_pmtud_build_icmp() i iptunnel_pmtud_build_icmpv6(), gdzie wskaźniki do nagłówków sieciowych (ip_hdr, ipv6_hdr) były przechowywane przed wywołaniem skb_cow(), które może ponownie alokować bufor skb->head. Może to prowadzić do użycia po zwolnieniu (UAF).

W sterowniku VXLAN jądra Linux wykryto podatność polegającą na ponownym użyciu buforowanego wskaźnika do nagłówka IP (ip_hdr()) po wywołaniu funkcji skb_tunnel_check_pmtu(), która może zmienić wskaźnik skb->head. Prowadzi to do użycia po zwolnieniu (Use-After-Free), co może zostać wykorzystane do naruszenia bezpieczeństwa systemu.

W jądrze Linux wykryto podatność w funkcji iptunnel_pmtud_check_icmp(), która może być wywołana, gdy nagłówek transportowy (transport header) w buforze sieciowym (skb) nie jest ustawiony. Prowadzi to do dostępu poza dozwolony zakres pamięci, ponieważ wartość domyślna (65535) jest interpretowana jako offset. Problem został rozwiązany przez dostęp do nagłówka ICMP na podstawie nagłówka IPv4.

W jądrze Linux wykryto podatność w funkcji ipv6_rpl_srh_decompress() dla protokołu IPv6 RPL. Obliczenie pola hdrlen może spowodować przepełnienie liczby całkowitej bez znaku (__u8), co prowadzi do nadpisania bufora i potencjalnego uszkodzenia nagłówka routingu.

W jądrze Linux wykryto podatność w mechanizmie net/handshake, gdzie funkcja handshake_req_next() usuwa żądanie z listy oczekujących przed pobraniem referencji do pliku gniazda. W oknie czasowym między tym usunięciem a odczytem w handshake_nl_accept_doit() konsument może anulować żądanie i zwolnić strukturę socket, prowadząc do odczytu przez wskaźnik NULL lub użycia zwolnionej pamięci.

W jądrze Linuxa wykryto podatność w mechanizmie handshake sieciowym. Podczas zamykania przestrzeni nazw sieci (net namespace) lista oczekujących żądań handshake nie jest prawidłowo opróżniana z powodu odwróconych argumentów w funkcji list_splice_init(). Dodatkowo występuje wyścig (race condition) między procesem opróżniania a anulowaniem żądań, co może prowadzić do uszkodzenia listy i wycieków pamięci.

W jądrze Linuxa załatano podatność w KVM SEV, która pozwalała na obsługę żądań Port I/O o zerowej długości. Taka sytuacja mogła prowadzić do niedomiaru (underflow) długości podczas konfigurowania obszaru scratch, co potencjalnie umożliwiało nieprawidłowe działanie lub awarię systemu.

W jądrze Linuxa w module KVM dla SEV wykryto podatność polegającą na nieprawidłowym obliczaniu maksymalnej długości obszaru scratch w GHCB. Błąd może prowadzić do przepełnienia bufora podczas przetwarzania żądań PSC, gdy przekazywana jest minimalna długość zamiast pełnej.

W jądrze Linux wykryto podatność w komponencie KVM dla AMD SEV. Podczas przetwarzania żądań zmiany stanu strony (PSC) nie sprawdzano poprawnie indeksów bufora PSC względem rzeczywistego rozmiaru obszaru scratch, co mogło prowadzić do odczytu poza zakresem.

W jądrze Linux wykryto podatność w obsłudze rozszerzeń IPv6. Funkcja ipv6_hop_jumbo() może zmienić wskaźniki skb, co wymaga ponownego obliczenia wskaźnika nh, aby uniknąć błędów.

W jądrze Linux wykryto podatność w funkcji ip6_parse_tlv() dla IPv6, gdzie wskaźnik nh (network header) jest buforowany, ale może zostać unieważniony przez wywołanie pskb_expand_head() w ipv6_dest_hao(). Po obsłudze opcji HAO wskaźnik nie jest odświeżany, co prowadzi do analizy nieaktualnych danych nagłówka.

W jądrze Linuxa w podsystemie ESP (Encapsulating Security Payload) protokołu IPsec wykryto podatność związaną z nieprawidłowym sprawdzaniem długości fragmentów podczas szybkiej ścieżki przetwarzania pakietów. Błąd powoduje, że przy łącznej długości przekraczającej rozmiar strony może dojść do alokacji pojedynczej strony dla bufora docelowego, podczas gdy lista rozproszona (sg) oczekuje większego obszaru, co prowadzi do potencjalnego przepełnienia bufora.

W jądrze Linux w module iscsi-target wykryto dwie luki: nadmierne odczytanie bufora CRC (4 bajty poza przydzieloną pamięcią) oraz podwójne zwolnienie pamięci (double-free) w funkcji iscsit_handle_text_cmd(). Luki występują od początku integracji LIO (commit e48354ce078c).