Podatności Linux kernel

W jądrze Linuxa rozwiązano podatność dotyczącą sprawdzania uprawnień dla ioctli iteracji przestrzeni nazw (ns). Nawet usługi z uprawnieniami nie powinny mieć możliwości przeglądania przestrzeni nazw innych usług z uprawnieniami, aby nie mogły wymieniać informacji między sobą.

W jądrze systemu Linux zidentyfikowano podatność w funkcji damos_walk(), która nieczyści wskaźnika walk_control w przypadku nieaktywnego kontekstu. Może to prowadzić do sytuacji use-after-free oraz trwałego błędu -EBUS.

W jądrze systemu Linux zidentyfikowano i naprawiono podatność związaną z zablokowaniem zadań RCU podczas używania wątkowego busypoll. Problem ten powodował zawieszanie się narzędzia bpftrace podczas uruchamiania.

W jądrze systemu Linux zidentyfikowano podatność, która prowadzi do nieprawidłowego dostępu do pamięci należącej do hypervisora na platformach opartych na Monaco. Problem ten skutkuje wyjątkami 'Synchronous External Abort' oraz awariami jądra.

W jądrze systemu Linux zidentyfikowano podatność w obsłudze przerwań dla akcelerometru ADXL380, która pozwalała na odczytanie większej liczby wpisów z FIFO niż faktycznie dostępnych. Problem wynikał z różnicy w sposobie wypełniania FIFO przez czujnik oraz liczby aktywnych kanałów.

W jądrze systemu Linux zidentyfikowano podatność dotyczącą niewłaściwej klasyfikacji danych jako interlaced plain extents. Problem ten występuje, gdy dane nie są odpowiednio wyrównane do rozmiaru bloku, co może prowadzić do błędów odczytu poza granicami bufora.

W jądrze Linuxa naprawiono podatność związana z dereferencją wskaźnika null w funkcji __udp_enqueue_schedule_skb(). Problem ten został zgłoszony przez syzbot i może prowadzić do awarii funkcji inicjalizacyjnych dla gniazd UDP.

W jądrze Linuxa rozwiązano podatność dotyczącą atrybutów bind w sysfs dla urządzenia reset. Problem polegał na tym, że użytkownik mógł odłączyć urządzenie, co prowadziło do błędu use-after-free.

W jądrze systemu Linux zidentyfikowano podatność w funkcji cachefiles_cull(), która prowadzi do utraty referencji dentry. Zmiany wprowadzone w funkcji cachefiles_bury_object() nie uwzględniły wszystkich wywołań, co skutkuje nieprawidłowym zarządzaniem referencjami.

W jądrze systemu Linux zidentyfikowano podatność, która została naprawiona. Problem dotyczy podwójnego wywołania funkcji ida_free w ścieżce błędu hv_pci_probe, co prowadzi do próby zwolnienia tego samego identyfikatora dwa razy.

W jądrze systemu Linux zidentyfikowano podatność dotyczącą błędnego obliczania długości pakietów TX, które rozciągają się na wiele deskryptorów bufora. Problem ten prowadzi do utraty wcześniejszych bajtów, co może spowodować zablokowanie kolejki TX.

W jądrze Linuxa zidentyfikowano podatność, która pozwala na importowanie bufora o zerowej długości, co prowadzi do odczytu pamięci poza przydzielonym obszarem. Problem ten występuje w funkcji validate_fixed_range(), gdzie brak odpowiedniego sprawdzenia długości bufora skutkuje błędnym obliczeniem offsetu.

W jądrze Linuxa naprawiono podatność związaną z operacją container_of w funkcji intel_pmu_hw_config. Problem mógł prowadzić do odczytów pamięci poza przydzielonym zakresem w przypadku wystąpienia zdarzeń programowych w grupie zdarzeń.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na dostęp poza granice tablicy odr_table w funkcji st_lsm6dsx_hwfifo_odr_store(). Problem ten występuje, gdy użytkownik próbuje ustawić częstotliwość próbkowania bufora dla czujników innych niż akcelerometr lub żyroskop.

W jądrze systemu Linux zidentyfikowano podatność polegającą na podwójnym zwolnieniu pamięci w funkcji reset_add_gpio_aux_device() w przypadku błędu. Problem występuje, gdy __auxiliary_device_add() kończy się niepowodzeniem, co prowadzi do nieprawidłowego zwolnienia zasobów.

W jądrze Linuxa zidentyfikowano podatność związaną z niewłaściwym rozmiarem bufora w alokacji DMA oraz funkcji memcpy w zynqmp_nvmem. Błąd ten może prowadzić do niewłaściwego dostępu do bufora DMA oraz potencjalnej korupcji pamięci.

W jądrze systemu Linux zidentyfikowano podatność związaną z funkcją unmap, która może odmapować więcej niż żądano, jeśli punkt końcowy znajduje się w środku dużego lub ciągłego IOPTE. Problem ten został rozwiązany poprzez poprawkę, która zapewnia, że wszystkie odmapowane obszary są odpowiednio czyszczone.

W jądrze systemu Linux zidentyfikowano podatność związaną z błędnym sprawdzaniem długości autoryzatora odpowiedzi w funkcji rxgk_verify_response(). Błąd ten pozwala na akceptację zbyt dużych autoryzatorów, co może prowadzić do awarii systemu.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy funkcji iptfs_clone_state(). Problem polega na tym, że x->mode_data jest przechowywane przed alokacją okna reorganizacji, co może prowadzić do wskazywania na zwolnioną pamięć w przypadku niepowodzenia alokacji.

W jądrze systemu Linux zidentyfikowano podatność dotyczącą nieprawidłowego przywracania pte dla lazyfree folios. Problem ten polegał na tym, że podczas grupowego odmapowywania foliów anonimowych mogło dojść do ustawienia całej grupy jako zapisywalnej, co zostało naprawione poprzez uwzględnienie bitu zapisywalności.

W jądrze Linux w podsystemie bridge/cfm naprawiono wyścig (race condition) podczas usuwania peer MEP. Funkcja br_cfm_frame_rx() działająca w kontekście softirq mogła ponownie zaplanować ccm_rx_dwork po wywołaniu cancel_delayed_work_sync(), co prowadziło do użycia zwolnionej pamięci (use-after-free). Zamieniono cancel_delayed_work_sync() na disable_delayed_work_sync() w obu ścieżkach usuwania peer MEP.

W jądrze Linux punkt śledzenia dma_map_sg mógł spowodować przepełnienie bufora perf przy śledzeniu dużych list scatter-gather, ponieważ rozmiar tablic przekraczał PERF_MAX_TRACE_SIZE. Poprawka ogranicza tablice dynamiczne do 128 wpisów i dodaje flagę obcięcia.

W jądrze Linux w sterowniku pinctrl cirrus cs42l43 funkcja cs42l43_pin_probe() zawiera podwójne zwolnienie zasobu, ponieważ devm_add_action_or_reset() już wywołuje akcję przy błędzie, a jawne zwolnienie powoduje double-put. Może to prowadzić do uszkodzenia pamięci.

W jądrze Linux naprawiono błąd w funkcji file_thp_enabled(), która nieprawidłowo zezwalała na THP (Transparent Huge Pages) dla plików na anonimowych inodach, takich jak guest_memfd i secretmem. Przy włączonej opcji CONFIG_READ_ONLY_THP_FOR_FS pliki te były traktowane jak zwykłe pliki tylko do odczytu, co umożliwiało tworzenie dużych folii i prowadziło do ostrzeżeń jądra lub awarii (np. BUG: unable to handle page fault w secretmem). Poprawka wyklucza anonimowe inody z możliwości THP.

W jądrze Linux w module CAN BCM występuje błąd blokad (locking) przy aktualizacjach bcm_op w czasie działania. Gdy ustawiona jest flaga RX_RTR_FRAME, ścieżka RX używa bcm_can_tx() i bcm_tx_lock, który nie został zainicjalizowany w bcm_rx_setup(), co prowadzi do nieprawidłowego stanu blokady.

W jądrze Linux występuje wyciek kolejki administracyjnej NVMe podczas resetu kontrolera. Gdy nvme_alloc_admin_tag_set() jest wywoływane podczas resetu, poprzednia kolejka administracyjna może nadal istnieć i nie jest zwalniana przed alokacją nowej.

W jądrze Linux w sterowniku CAN USB f81604 naprawiono błąd polegający na braku zakotwiczenia urb w funkcji wywołania zwrotnego odczytu bulk. Podczas wysyłania urb korzystającego ze wzorca kotwicy należy go zakotwiczyć przed wysłaniem, w przeciwnym razie może zostać wycieknięty, jeśli wywołane zostanie `usb_kill_anchored_urbs()`. Logika ta jest poprawnie zaimplementowana w innych miejscach sterownika, z wyjątkiem funkcji wywołania zwrotnego odczytu bulk, gdzie została teraz dodana.

W jądrze Linux w sterowniku crypto: ccp występuje błąd use-after-free na ścieżce obsługi błędów w funkcji sev_tsm_init_locked(). Kod wywołuje pr_err() odwołujące się do pól struktury 't' po jej zwolnieniu przez kfree().

W jądrze Linux sterownik CAN USB f81604 nieprawidłowo obsługuje komunikaty przerwań (interrupt urb) o nieprawidłowej długości. Poprawka zapewnia prawidłowe wykrycie takich komunikatów i zapobiega traktowaniu ich danych jako prawidłowych.

W jądrze Linux w sterowniku wifi: mt76 dla układu mt7996 występuje możliwość dostępu poza granice bufora (oob) w funkcji mt7996_mac_write_txwi_80211(). Brak sprawdzenia długości ramki przed odczytem pól zarządzających.

W jądrze Linux w sterowniku pinctrl: equilibrium występuje błąd, który powoduje ostrzeżenie w logu przy każdym ładowaniu GPIO. Funkcja eqbr_irq_mask_ack() wywołuje eqbr_irq_mask(), która dodatkowo wywołuje gpiochip_disable_irq(), co prowadzi do trace'u ostrzeżenia. Problem został rozwiązany poprzez bezpośrednią implementację logiki bez wywoływania eqbr_irq_mask() i eqbr_irq_ack().

W jądrze Linux w sterowniku scsi: pm8001 występuje podwójne zwolnienie pamięci (double free) w funkcji pm8001_queue_command(). Gdy stan phy jest wyłączony lub urządzenie zniknęło, funkcja zwraca -ENODEV po uprzednim zwolnieniu zadania SAS, co powoduje, że warstwa libsas ponownie zwalnia to samo zadanie.

W jądrze Linuxa naprawiono podatność związaną z niewłaściwym wycofywaniem w ścieżce błędu w funkcji rocket_probe. Problem występuje, gdy rocket_core_init() kończy się niepowodzeniem, co może prowadzić do nieprawidłowego dostępu do pamięci.

W jądrze Linux funkcja `drbd_request_endio()` przekazuje `READ_COMPLETED_WITH_ERROR` do `__req_mod()` z pustym wskaźnikiem `peer_device`, który następnie jest dereferencjonowany w `drbd_set_out_of_sync()`. Prowadzi to do dereferencji pustego wskaźnika przy lokalnym błędzie odczytu w DRBD.

W jądrze Linuxa zidentyfikowano podatność, która może prowadzić do przepełnienia obliczeń rozmiaru ubuf. Może to skutkować niewłaściwą alokacją pamięci i potencjalnym uszkodzeniem pamięci.

W jądrze Linux w podsystemie wifi mac80211 funkcja ieee80211_ml_reconfiguration nie sprawdza poprawnie wartości link_id pobieranej z elementu ML Reconfiguration (zakres 0–15). Tablica link_removal_timeout[] ma 15 elementów, więc indeks 15 powoduje zapis poza granicami stosu.

W jądrze Linux rozwiązano podatność w riscv: trace, polegającą na zakleszczeniu podczas wykonywania zrzutu (snapshot) z powodu wywołań sbi ecall. Jeśli funkcje w sbi_ecall.c są śledzone, zrzut pierścienia bufora wywołuje przerwanie IPI, które ponownie wywołuje __sbi_ecall i kolejny zrzut, tworząc nieskończoną pętlę. Problem łatwo wyzwolić na systemach RISC-V bez rozszerzenia SSTC z powodu okresowych sbi ecall z timer-riscv.c.

W jądrze Linux naprawiono podatność w systemie plików btrfs związaną z niespójnością rozmiaru bloku urządzenia blokowego podczas montowania. Jeśli użytkownik zmieni rozmiar bloku poleceniem BLKBSZSET po przydzieleniu folio, dochodzi do naruszenia asercji VM_BUG_ON_FOLIO lub dereferencji NULL w create_empty_buffers().

W jądrze Linux w module serwera SMB (ksmbd) występuje wyciek licznika referencji w funkcji smb2_open(). Gdy ksmbd_vfs_getattr() zwróci błąd, licznik referencji ksmbd_file nie jest zwalniany.

W jądrze Linux w module wifi mac80211 występuje niepoprawne dekodowanie elementu TTLM (TID-To-Link Mapping) z domyślną mapą linków. Gdy używane jest domyślne mapowanie, parser nie pomija go prawidłowo i odczytuje jeden bajt poza końcem elementu.

W funkcji cpm_fwtp_msg_handler w pliku cpm/google/lib/tracepoint/cpm_fwtp_ipc.c istnieje możliwość nadpisania pamięci z powodu nieprawidłowej walidacji danych wejściowych. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana do wykorzystania.

W jądrze Linux rozwiązano podatność: um: init cpu_tasks[] earlier. Inicjalizacja tablicy cpu_tasks[] odbywa się obecnie w uml_finishsetup(), ale np. z włączonym KCOV nastąpi awaria, ponieważ kod inicjalizacyjny może wywołać memparse(), który ma adnotacje pokrycia, a następnie sprawdzenia w check_kcov_mode() powodują awarię, ponieważ current jest NULL. Rozwiązaniem jest statyczna inicjalizacja tablicy cpu_tasks[], co naprawia awarię. Dla późniejszych prac SMP wydaje się to nie powodować problemów, ale i tak zainicjalizowano wszystkie wpisy.

W jądrze Linux w sterowniku net/mlx5e występuje podwójne wyrejestrowanie PSP — zarówno w ścieżce _mlx5e_remove, jak i mlx5e_nic_cleanup wywoływane jest mlx5e_psp_unregister. Prowadzi to w pewnych warunkach do niedomiaru licznika referencji (refcount underflow) i use-after-free, co powoduje ostrzeżenie jądra i potencjalną niestabilność systemu.

W jądrze Linux rozwiązano lukę w can: isotp: isotp_bind() polegającą na braku sprawdzenia rodziny adresów CAN. Dodano brakujące sprawdzenie blokujące powiązania inne niż AF_CAN; Syzbot utworzył kod o prawidłowym rozmiarze struktury sockaddr, ale z AF_XDP (0x2C) zamiast AF_CAN (0x1D) w polu rodziny adresów.

W jądrze Linux występuje błąd w adnotacji obsługi wyjątków w funkcji clear_user_rep_good() dla architektury x86. Adnotacja tabeli wyjątków wskazuje na instrukcję przeniesienia rejestru zamiast na właściwą instrukcję dostępu do pamięci użytkownika, przez co wyjątek dostępu do pamięci nie jest prawidłowo obsługiwany i zamiast zwrócenia -EFAULT powoduje oops jądra.

W jądrze Linux w /proc/pid/smaps_rollup występuje błąd dereferencji NULL, gdy zadanie nie ma żadnych VMA. Problem wprowadzono commitem konwertującym do seq_file i występuje w funkcji show_smaps_rollup.

W jądrze Linux przywrócono wcześniejszą zmianę dotyczącą pola dma_buf w strukturze drm_gem_object, które nie jest stabilne przez cały okres życia obiektu. Pole staje się NULL, gdy przestrzeń użytkownika zwolni ostatni uchwyt GEM, co prowadziło do dereferencji wskaźnika NULL.

W jądrze Linux sterownik drm/amdgpu dodał podstawową walidację nagłówka RAS. Jeśli nagłówek RAS odczytany z EEPROM jest uszkodzony, mogło to prowadzić do próby alokacji ogromnej ilości pamięci przy odczycie rekordów; dodano walidację pól nagłówka.

W jądrze Linux w komponencie drm/amd/display dodano dodatkowe sprawdzenia gwarancji DSC / HUBP ONO. Dla niezerowych instancji DSC domena HUBP wymagana do sterowania nią w sekwencyjnych układach ONO może nie być spełniona, co potencjalnie powoduje niezdefiniowany stan logiki tile i zawieszenie systemu.

W jądrze Linux w komponencie firmware: cs_dsp naprawiono podatność polegającą na odczycie pamięci poza zakresem w teście KUnit. KASAN wykrył dostęp poza granice w funkcji cs_dsp_mock_bin_add_name_or_info, ponieważ długość ciągu źródłowego została zaokrąglona w górę do rozmiaru alokacji.