Podatności Linux kernel

W jądrze Linux w podsystemie SCSI target dla iSCSI wykryto podatność na przepełnienie bufora sterty. Funkcja iscsi_encode_text_output() nie sprawdza dostępnego miejsca w buforze rsp_buf (8 KB), co pozwala na zapis do 32 KB danych z odpowiedzi "NotUnderstood" dla nieznanych kluczy, powodując przepełnienie o około 24 KB.

W jądrze Linux w podsystemie iSCSI target wykryto podatność na przepełnienie bufora podczas dekodowania BASE64 w funkcji chap_server_compute_hash(). Brak walidacji długości wejścia przed dekodowaniem pozwala na zapis poza przydzieloną pamięcią, co może prowadzić do uszkodzenia danych lub potencjalnego wykonania kodu.

W sterowniku sieciowym Airoha dla jądra Linux wykryto podatność polegającą na odczycie niezainicjalizowanego adresu fragmentu w funkcji airoha_dev_xmit(). Pętla transmisyjna odczytuje dane fragmentu w ostatniej iteracji, gdy indeks pętli jest równy liczbie fragmentów, co prowadzi do dostępu do niezainicjalizowanej pamięci i może wywołać błąd strony. Poprawka zapobiega odczytowi fragmentu w ostatniej iteracji oraz przenosi wskaźnik skb do ostatniego deskryptora, aby opóźnić zwolnienie skb do czasu przetworzenia końcowego deskryptora.

W jądrze Linux stwierdzono podatność w mechanizmie sk_msg, gdzie bit sg.copy nie jest poprawnie synchronizowany podczas transformacji scatterlist. Może to prowadzić do ujawnienia stron pamięci podręcznej plików jako zapisywalnych przez BPF, co umożliwia modyfikację oryginalnej pamięci podręcznej plików.

W jądrze Linux stwierdzono podatność w mechanizmie GCOV, gdzie optymalizacja GCC scala globalne liczniki gałęzi z zmiennymi indukcyjnymi pętli. Przy współbieżnym wykonywaniu na wielu CPU prowadzi to do niespójnych wartości liczników i zapisów poza zakresem pamięci, objawiających się błędem strony podczas przetwarzania IPComp.

W jądrze Linux w systemie plików exfat wykryto podatność use-after-free w funkcji exfat_find_dir_entry(). Bufor jądra (buffer_head) jest zwalniany przed odczytaniem danych z niego w gałęzi TYPE_EXTEND, co może prowadzić do dostępu do już zwolnionej pamięci.

W jądrze Linux wykryto podatność use-after-free w funkcji pnfs_update_layout() w implementacji pNFS. Problem występuje, gdy kod wykonuje gałąź NFS_LAYOUT_RETURN i wywołuje pnfs_put_layout_hdr(lo) przed tracepointem trace_pnfs_update_layout(), który wciąż odwołuje się do zwolnionej struktury 'lo'.

W jądrze Linux w systemie plików 9p wykryto podatność polegającą na błędnym zarządzaniu referencjami w funkcji p9_client_walk(). Gdy wywołanie z parametrem clone ustawionym na false kończy się niepowodzeniem, ścieżka błędu nieprawidłowo zwalnia referencję do starego deskryptora pliku (oldfid), co może prowadzić do użycia po zwolnieniu (use-after-free) lub niedomiaru licznika referencji.

W jądrze Linux w podsystemie NFSD wykryto podatność polegającą na użyciu pamięci po zwolnieniu (use-after-free). Podczas alokacji stanu układu (layout stateid) w nfsd4_alloc_layout_stateid(), jeśli wywołanie nfsd4_layout_setlease() zakończy się niepowodzeniem, struktura stanu jest zwalniana bez usunięcia jej z globalnego rejestru IDR, co pozostawia wiszący wskaźnik. Każdy późniejszy dostęp do tego rejestru (np. przez states_show lub zamykanie klienta) może prowadzić do dereferencji zwolnionej pamięci.

W jądrze Linux wykryto podatność w funkcji dekodowania SECINFO_NO_NAME w serwerze NFSD. Nieprawidłowa inicjalizacja struktury sin_exp przed dekodowaniem może prowadzić do użycia nieaktualnych danych z poprzednich operacji, co skutkuje błędnym wywołaniem exp_put() na niezainicjalizowanym wskaźniku.

W jądrze Linuxa w sterowniku 8250_dw wykryto podatność polegającą na tym, że w przypadku niepowodzenia rejestracji notyfikatora zegara (clk_notifier_register()) port 8250 pozostaje zarejestrowany, a dane sterownika są zwalniane. Prowadzi to do użycia po zwolnieniu (use-after-free) przy próbie dostępu do portu przed ponownym podłączeniem urządzenia.

W jądrze Linux w module xfrm iptfs funkcja iptfs_consume_frags() nie propaguje flagi SKBFL_SHARED_FRAG podczas przenoszenia fragmentów między buforami gniazd. To może prowadzić do nieprawidłowego szyfrowania w miejscu przez ESP. Podobny błąd został naprawiony w CVE-2026-46300 dla skb_try_coalesce().

Podatność w jądrze Linux w sterowniku RDS IB. Podczas nieudanego zestawienia połączenia (rds_ib_setup_qp) wskaźnik i_sends nie jest czyszczony po zwolnieniu pamięci, co może prowadzić do użycia po zwolnieniu (use-after-free) przy kolejnym zamykaniu połączenia.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na błędzie off-by-one w funkcji dlm_match_regions(). Pętla porównująca regiony lokalne i zdalne używa operatora '<=' zamiast '<', co powoduje odczyt danych poza dozwolonym zakresem tablicy qr_regions. Pozostałe pętle w tej samej funkcji poprawnie używają operatora '<'.

W jądrze Linux wykryto podatność w funkcji reqsk_queue_hash_req() stosu TCP. Wywłaszczenie procesu między mod_timer() a refcount_set() może doprowadzić do przedwczesnego wygaśnięcia timera i podwójnego zwolnienia referencji (refcount underflow), co skutkuje użyciem po zwolnieniu (use-after-free).

W sterowniku sieciowym mtk_eth_soc w jądrze Linux wykryto podatność use-after-free. Funkcja mtk_free_dev() wywołuje metadata_dst_free(), która natychmiast zwalnia pamięć metadata_dst, pomijając okres ochronny RCU. W ścieżce odbioru pakietów skb_dst_set_noref() ustawia wskaźnik bez zliczania referencji, co może prowadzić do użycia już zwolnionej pamięci, jeśli jakikolwiek skb nadal przechowuje ten wskaźnik podczas zamykania sterownika.

W jądrze Linuxa w stosie SCTP podczas przetwarzania pakietu COOKIE_ECHO nie sprawdzano poprawności długości buforowanego INIT chunka. Brak walidacji może prowadzić do odczytu poza zakresem i potencjalnego uszkodzenia pamięci.

W jądrze Linuxa w module SIT (Simple Internet Transition) dla IPv6 wykryto podatność polegającą na użyciu nieaktualnego wskaźnika do wewnętrznego nagłówka IPv6 po operacjach GSO (Generic Segmentation Offload). Funkcja ipip6_tunnel_xmit() przechowuje wskaźnik na początku działania, a po wywołaniu iptunnel_handle_offloads() może dojść do przesunięcia bufora skb, co prowadzi do odczytu z już zwolnionej pamięci.

W jądrze Linux wykryto podatność w funkcji __sctp_rcv_asconf_lookup() w stosie SCTP. Nieuwierzytelniony peer może wysłać obcięty pakiet ASCONF, który deklaruje adres IPv6, ale kończy się po nagłówku parametru, co powoduje odczyt niezainicjalizowanych danych z pamięci.

W jądrze Linuxa w funkcji sctp_unpack_cookie() brakowało walidacji długości osadzonego fragmentu INIT oraz listy adresów w ciasteczku SCTP. Niekompletny INIT lub zawyżona długość listy adresów mogą prowadzić do odczytu poza dozwolonym obszarem pamięci.

W jądrze Linuxa w funkcji vti6_tnl_lookup() wykryto błąd polegający na nieprawidłowym dopasowywaniu tuneli IP6_VTI. Podczas wyszukiwania tuneli z symbolami wieloznacznymi (wildcard) brakowało sprawdzenia, czy kandydat rzeczywiście ma adres wildcard, co prowadziło do błędnego dopasowania w przypadku kolizji hash.

W jądrze Linux w sterowniku mvpp2 wykryto podatność polegającą na nieprawidłowym inicjowaniu rozmiaru ramki XDP (frame_sz) wartością PAGE_SIZE zamiast rzeczywistego rozmiaru bufora z puli BM. Powoduje to, że funkcja bpf_xdp_adjust_tail() może rozszerzyć pakiet poza przydzielony bufor, prowadząc do uszkodzenia pamięci.

W jądrze Linux wykryto podatność w sterowniku mvpp2, gdzie bufor RX może zostać zwrócony do puli BM po przekazaniu go do XDP lub skb, co prowadzi do użycia pamięci po zwolnieniu. Problem został rozwiązany przez zmianę kolejności operacji: najpierw uzupełnienie puli BM, a dopiero potem przekazanie bufora do XDP lub skb.

W jądrze Linux w sterowniku RDMA/SRP wykryto podatność polegającą na braku walidacji długości danych sense kopiowanych z odpowiedzi SRP_RSP. Atakujący lub skompromitowany cel SRP w sieci InfiniBand/RoCE może ustawić dużą wartość resp_data_len, co prowadzi do odczytu poza odebranym buforem i potencjalnego błędu strony pamięci.

W jądrze Linux w sterowniku IB/isert wykryto podatność polegającą na braku walidacji dolnej granicy długości pakietu logowania iSER. Zdalny inicjator może wysłać pakiet krótszy niż ISER_HEADERS_LEN (76 bajtów), co prowadzi do niedomiaru (underflow) przy obliczaniu długości ładunku, a następnie do przepełnienia bufora podczas kopiowania danych. Atak nie wymaga uwierzytelnienia i może spowodować awarię węzła docelowego.

W jądrze Linux wykryto podatność use-after-free w mechanizmie fragmentacji pakietów IP. Podczas zamykania przestrzeni nazw sieciowych (netns) funkcja fqdir_pre_exit() opróżnia kolejki fragmentów, ale nie resetuje wskaźników q->fragments_tail i q->last_run_head, które nadal wskazują na zwolnione bufory skb. Fragment, który uzyskał kolejkę przed opróżnieniem, może po wznowieniu odwołać się do już zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linuxa w podsystemie AF_RXRPC wykryto podatność polegającą na nieprawidłowym dostępie do bufora SACK w odebranych pakietach UDP. Funkcja rxrpc_input_soft_acks() modyfikuje skbuff i może niepoprawnie odczytać dane w przypadku fragmentacji pakietu, co może prowadzić do błędów analizy.

W jądrze Linux wykryto podatność w podsystemie netfilter, gdzie funkcje takie jak `ip6t_eui64`, `xt_mac` oraz typy zestawów ipset (`bitmap:ip,mac`, `hash:ip,mac`, `hash:mac`) i `nf_log_syslog` uzyskiwały dostęp do nagłówka Ethernet (`eth_hdr(skb)`) bez uprzedniego sprawdzenia, czy ramka jest powiązana z urządzeniem Ethernet, czy nagłówek MAC został ustawiony i czy ma odpowiednią długość. Brak tych walidacji mógł prowadzić do błędów lub potencjalnego naruszenia bezpieczeństwa.

Podatność w jądrze Linux w sterowniku bcmgenet (Broadcom GENET Ethernet) związana z błędem off-by-one w funkcji bcmgenet_put_txcb. Nieprawidłowe cofnięcie wskaźnika może prowadzić do nieprawidłowego czyszczenia bufora transmisji.

W jądrze Linuxa sterownik bcmgenet (Broadcom GENET) ma wadliwą obsługę timeoutu: procedura obsługi timeoutu zatrzymuje wszystkie kolejki transmisyjne, gdy tylko jedna z nich przekroczy limit czasu. Powoduje to liczne warunki wyścigu z kolejkami, które działają poprawnie. Poprawka ogranicza restart tylko do kolejki, która przekroczyła timeout.

W sterowniku hisilicon/sec2 jądra Linux wykryto podatność na użycie po zwolnieniu (use-after-free) podczas transmisji pakietów. Przy dużym obciążeniu systemu sprzęt może zakończyć przetwarzanie pakietu i zwolnić pamięć żądania (req) przed zakończeniem funkcji transmisji, co prowadzi do błędu.

W jądrze Linux w systemie plików GFS2 brakowało blokady wątku logowania w funkcji gfs2_logd(). Funkcje odpowiedzialne za opróżnianie dziennika (gfs2_ail1_start(), gfs2_ail1_wait(), gfs2_ail1_empty()) były wywoływane bez trzymania blokady sd_log_flush_lock, co mogło prowadzić do wyścigu z równoczesnymi transakcjami. Dodano nową funkcję __gfs2_log_flush() oraz odpowiednie blokady w gfs2_logd().

W jądrze Linuxa w module ksmbd wykryto podatność use-after-free związaną z asynchronicznym silnikiem kryptograficznym Qualcomm Crypto Engine (QCE). Funkcja ksmbd_crypt_message() nie obsługuje poprawnie kodu -EINPROGRESS zwracanego przez sprzęt asynchroniczny, co prowadzi do przedwczesnego zwolnienia żądania DMA i dereferencji wyczyszczonej pamięci w callbacku.

W jądrze Linuxa w sterowniku pamięci dla Tegra124 (tegra124-emc) wykryto odwróconą logikę sprawdzania, czy DLL jest włączona w rejestrze EMRS. DLL jest włączona, gdy bit A0 jest niski, ale kod sprawdzał odwrotnie.

W jądrze Linux w systemie plików OCFS2 oraz jego komponencie DLM (Distributed Lock Manager) wykryto podatność polegającą na braku walidacji pola `qr_numregions` w funkcji `dlm_match_regions()`. Atakujący może wysłać spreparowaną wiadomość sieciową DLM_QUERY_REGION z zawyżoną wartością `qr_numregions`, co prowadzi do odczytu poza dozwolonym buforem `qr_regions` (przekroczenie granic pamięci).

W jądrze Linuxa w module ksmbd wykryto podatność use-after-free w funkcji smb2_open podczas ponownego łączenia trwałego deskryptora pliku. Przedwczesne zwolnienie referencji do fp prowadzi do użycia zwolnionej pamięci przy dostępie do właściwości pliku, gdy wystąpi błąd lub scavenger uzyska dostęp.

W jądrze Linux wykryto podatność w funkcji icmpv6_rcv() dla IPv6. Buforowanie adresów źródłowego i docelowego przed wywołaniem pskb_pull() może prowadzić do użycia po zwolnieniu (UAF), ponieważ pskb_pull() może zmienić wskaźnik skb->head.

W jądrze Linux w podsystemie netfilter/conntrack wykryto podatność polegającą na przepełnieniu bufora stosu w funkcji mangle_content_len(). Problem został rozwiązany przez zastąpienie funkcji sprintf() przez scnprintf() oraz zwiększenie rozmiaru bufora.

W jądrze Linux wykryto podatność w module netfilter nfnetlink_osf, polegającą na odczycie poza zakresem podczas dopasowywania opcji TCP. Błąd wynika z nieprzywracania wskaźnika ctx->optp po wczesnym zakończeniu funkcji nf_osf_match_one(), co przy włączonym logowaniu NF_OSF_LOGLEVEL_ALL prowadzi do odczytu śmieciowych danych i błędnego logowania.

W jądrze Linuxa w funkcji tipc_buf_append() występuje podwójne zwolnienie pamięci (double-free) spowodowane przez tipc_msg_validate(), które może realokować bufor. Błąd może prowadzić do uszkodzenia pamięci i potencjalnie do eskalacji uprawnień.

W sterowniku NVMe-over-TCP jądra Linux wykryto podatność polegającą na tym, że funkcja nvmet_tcp_build_pdu_iovec() nie informuje swoich wywołujących o błędzie (np. wykryciu długości PDU poza zakresem). W rezultacie wywołujący, jak nvmet_tcp_handle_h2c_data_pdu(), kontynuują działanie z niezainicjalizowanym iteratorem wiadomości, co może prowadzić do odczytu danych sieciowych do nieprawidłowego bufora.

W jądrze Linux usunięto niebezpieczne użycie funkcji simple_strtoul w module nf_conntrack_sip, zastępując je nową funkcją walidującą porty. Poprawka zapobiega odwoływaniu się do pamięci poza buforem oraz odrzuca zbyt długie lub nieprawidłowe numery portów.

W jądrze Linux wykryto podatność use-after-free w sterowniku rtl8150 dla urządzeń USB Ethernet. Problem występuje, gdy funkcja rtl8150_start_xmit() odczytuje skb->len po wywołaniu usb_submit_urb(), a bufor skb został już zwolniony przez procedurę obsługi przerwania USB. Może to prowadzić do naruszenia pamięci i potencjalnej eskalacji uprawnień.

W jądrze Linux w funkcji osdmap_decode() biblioteki libceph wykryto podatność na dostęp poza zakresem pamięci. Podczas dekodowania mapy OSD, sprawdzenie ceph_decode_need() nie uwzględniało odpowiedniej liczby elementów, co przy spreparowanej wiadomości może prowadzić do odczytu poza przydzielonym buforem.

W jądrze Linux w funkcji crush_decode() biblioteki libceph wykryto podatność umożliwiającą dostęp poza zakresem pamięci. Problem występuje, gdy w mapie CRUSH dwa pola określające algorytm bucketa różnią się między sobą, co prowadzi do nieprawidłowej alokacji pamięci i potencjalnego przepełnienia bufora.

W jądrze Linuxa w module batman-adv (tp_meter) wykryto podatność polegającą na użyciu niezainicjowanych zmiennych przeznaczonych dla nadawcy (sender) w funkcjach batadv_tp_recv_ack() i batadv_tp_stop(). Gdy węzeł pełniący rolę odbiorcy (receiver) otrzyma złośliwy pakiet ACK, kod odczytuje niezainicjowane pola struktury tp_vars, co prowadzi do nieokreślonego zachowania.

W jądrze Linux wykryto podatność w implementacji protokołu SCTP. Podczas obsługi błędu Stale Cookie (sytuacja COOKIE-ECHOED -> COOKIE_WAIT) nie jest czyszczona kolejka wyjściowa, co prowadzi do użycia po zwolnieniu (use-after-free) w schedulerze strumieni. Atakujący może wywołać awarię systemu przez wysłanie spreparowanego pakietu SCTP.

W jądrze Linux w module batman-adv wykryto podatność polegającą na nieprawidłowym obliczaniu długości ładunku podczas składania fragmentów. Błąd pozwala na pominięcie walidacji przez złośliwe łańcuchy fragmentów, co może prowadzić do lokalnej odmowy usługi.