Podatności Linux kernel

W jądrze Linux w sterowniku iommu/amd funkcja iommu_init_ga_log() bezwarunkowo przypisuje wskaźniki ga_log i ga_log_tail, przez co każde wznowienie systemu zastępuje wskaźniki z czasu rozruchu i wycieka obie alokacje. Funkcja używa też GFP_KERNEL w callbacku wznowienia syscore, gdzie przerwania są wyłączone, a procesory inne niż rozruchowy są offline. Poprawka zwraca wcześnie, jeśli oba bufory są już zaalokowane, i czyści wskaźniki w free_ga_log().

W jądrze Linux w sterowniku iommu/amd funkcja amd_iommu_pdom_id_alloc() zwraca int (ID domeny lub ujemny errno), ale amd_iommu_alloc_domain_nested() przypisuje wynik do pola u32 gdom_info->hdom_id, tracąc znak. W efekcie -ENOSPC staje się 0xffffffe4 i test "<= 0" nigdy nie zadziała, więc domena zagnieżdżona jest tworzona z nieprzydzielonym ID. Poprawka przechowuje wartość w int, testuje ją i zapisuje dopiero po walidacji.

W jądrze Linux w sterowniku hwmon ltc4282 funkcja ltc428_clk_provider_setup() nie inicjalizuje wszystkich pól struktury clk_init_data, w szczególności init.num_parents pozostaje niezainicjalizowane, mimo że zakłada się NULL. Przy włączonym CONFIG_INIT_STACK_ALL_PATTERN lub CONFIG_INIT_STACK_NONE może to prowadzić do awarii. Poprawka zapewnia pełną inicjalizację wszystkich pól.

W jądrze Linux w funkcji pec_store() pobierana jest blokada guard(mutex)(&hwdev->lock). Jeśli operacja zapisu do układu zwróci błąd inny niż -EOPNOTSUPP, kod przechodzi do etykiety put, która wywołuje put_device(hdev); jeśli to zwolni ostatnie odwołanie, urządzenie zostaje zwolnione, a następnie funkcja sprzątająca guard próbuje odblokować zwolniony mutex (UAF). Poprawka używa scoped_guard() zamiast guard().

W jądrze Linux w module netfilter nfnetlink_log występuje błąd związany z równoczesnym niszczeniem instancji. Odłączenie instancji od tablicy hash może nastąpić przy dowolnym liczniku referencji, a nie tylko przy przejściu z 1 na 0. Niekooperatywny proces w przestrzeni użytkownika może wymusić sytuację, w której kolejka jest w trakcie niszczenia przez zdarzenie netlink, podczas gdy inne gniazdo z tym samym portid przetwarza żądanie UNBIND, co prowadzi do ponownego odłączenia instancji i błędu general protection fault.

W jądrze Linux w obsłudze pierścienia typu packed dla virtio (virtio_ring) występuje błąd, który po nieudanym dodaniu łańcucha deskryptorów pozostawia w deskryptorach nieaktualne znaczniki AVAIL i USED. Deskryptory te mogą zostać błędnie zinterpretowane przez urządzenie jako kolejne polecenie, co prowadzi do zablokowania kolejki. Problem ujawnia się najczęściej w konfiguracjach swiotlb przy presji na pamięć, gdy vring_map_one_sg() zawodzi przy większych operacjach I/O.

W jądrze Linux występuje podatność use-after-free w funkcji unregister_virtio_device(). Po wywołaniu device_unregister() pamięć obiektu virtio_device może zostać zwolniona, a następnie funkcja virtio_debug_device_exit() odczytuje z niej pole debugfs_dir. Problem dotyczy transportów virtio_mmio, virtio_vdpa, virtio_uml, mlxbf-tmfifo oraz virtio_ccw.

W jądrze Linux w module virtio_console występuje błąd polegający na zwalnianiu buforów control-out podczas usuwania urządzenia. Funkcja __send_control_msg() publikuje &portdev->cpkt jako cookie kolejki control-out, a remove_vqs() przekazuje pozostałe cookie do free_buf(), która traktuje je jako struct port_buffer i odczytuje sgpages. Jeśli komunikat kontrolny wciąż znajduje się w c_ovq w momencie odłączenia urządzenia, free_buf() odczytuje poza obiekt ports_device, co KASAN zgłasza jako slab-out-of-bounds.

W jądrze Linux w module vhost/vdpa występuje błąd polegający na akceptowaniu rozmiaru kolejki VRING_NUM większego niż maksymalny rozmiar obsługiwany przez urządzenie. vhost_vring_set_num() przyjmuje dowolny niezerowy rozmiar kolejki będący potęgą dwójki mieszczący się w 16 bitach, a vhost-vdpa przekazuje tę wartość do set_vq_num() bez porównania z get_vq_num_max(). Proces z dostępem do /dev/vhost-vdpa-* może skonfigurować kolejkę większą niż reklamowana przez urządzenie, co prowadzi do odczytu poza granicami w ścieżce vringh IOTLB (KASAN zgłasza 16-bajtowy out-of-bounds read).

W jądrze Linux w module vhost-vdpa występuje błąd polegający na instalowaniu wartości błędu z eventfd_ctx_fdget() w polu config_ctx. Funkcja vhost_vdpa_set_config_call() zamienia wartość zwracaną przez eventfd_ctx_fdget() na v->config_ctx przed jej sprawdzeniem, więc w przypadku błędu pole przez chwilę przechowuje ERR_PTR. vhost_vdpa_config_cb() sprawdza tylko NULL, więc przerwanie konfiguracji dostarczone w tym oknie przekazuje ERR_PTR do eventfd_signal(). Dodatkowo odrzucony fd może zniszczyć działające przerwanie konfiguracji.

W jądrze Linux występuje luka use-after-free w mechanizmie vhost-vdpa. Funkcja vhost_vdpa_config_cb() odczytuje wskaźnik v->config_ctx bez blokady i bez pobrania referencji, podczas gdy równoległe wywołanie VHOST_VDPA_SET_CONFIG_CALL zwalnia stary kontekst eventfd przez eventfd_ctx_put(), co prowadzi do użycia zwolnionej pamięci. Problem jest osiągalny z przestrzeni użytkownika przy użyciu VDUSE (dostęp do /dev/vduse, domyślnie root).

W jądrze Linux w module vdpa_sim_blk występuje błąd polegający na akceptowaniu początkowych sektorów poza zakresem. vdpasim_blk_check_range() rejestruje nieprawidłowy sektor początkowy, ale kontynuuje walidację żądania; kolejne odejmowanie pojemności bez znaku może spowodować niedomiar i pozwolić nieprawidłowemu przesunięciu bufora dotrzeć do ścieżki danych. Prowadzi to do zapisu poza granicami (VIRTIO_BLK_T_OUT, VIRTIO_BLK_T_WRITE_ZEROES) lub odczytu poza granicami (VIRTIO_BLK_T_IN).

W jądrze Linux w module vdpa_sim_net występuje błąd polegający na braku sprawdzenia wyniku pobrania TX przed kopiowaniem RX. vringh_iov_pull_iotlb() zwraca liczbę bajtów ze znakiem; nieudane pobranie TX jest obecnie dodawane do licznika bajtów bez znaku, a następnie przekazywane jako długość size_t do receive_filter() i vringh_iov_push_iotlb(). Ujemny błąd może więc stać się dużą długością w ścieżce RX.

W jądrze Linux w module vduse występuje błąd polegający na braku walidacji wyrównania kolejki wirtualnej. vduse_validate_config() sprawdza tylko górną granicę vq_align, więc nieprawidłowe wartości mogą dotrzeć do vring_create_virtqueue_map(). Pomocniki split-ring używają align - 1 jako maski bitowej, więc wyrównanie musi być niezerową potęgą dwójki; wartość zero powoduje, że vring_size() pomija deskryptor i pierścień dostępny, a vring_init() pozostawia wskaźnik pierścienia użytego jako NULL. Otwarcie urządzenia virtio-net utworzonego z vq_align=0 wywołuje null-ptr-deref w virtqueue_kick_prepare_split().

W jądrze Linux w podsystemie vhost występuje problem z unieważnianiem dostępu do vringów przy zmianach IOTLB. Gdy zmienia się flaga VIRTIO_F_ACCESS_PLATFORM, buforowane wskaźniki vringów i metadane IOTLB są interpretowane w innej przestrzeni adresowej, co może prowadzić do używania nieaktualnych mapowań. Wprowadzono wspólny helper vhost_clear_device_iotlb(), który serializuje przejście z workerami i zapobiega mieszaniu przestrzeni adresowych.

W jądrze Linux w sterowniku virtio_input występuje błąd w obsłudze błędów rejestracji urządzenia wejściowego. Funkcja probe oznacza urządzenie jako DRIVER_OK przed wywołaniem input_register_device(); jeśli rejestracja się nie powiedzie, ścieżka błędu czyści vi->ready i wywołuje del_vqs(), podczas gdy urządzenie jest nadal aktywne, co może prowadzić do DMA do już zniszczonych kolejek. Poprawka polega na wywołaniu virtio_reset_device() przed usunięciem virtqueues.

W jądrze Linux w sterowniku virtio_input występuje problem z kolejnością operacji przy usuwaniu urządzenia. Funkcja virtinput_remove() wyrejestrowuje urządzenie wejściowe przed zresetowaniem urządzenia virtio, co pozwala callbackowi na użycie vi->idev po jego zwolnieniu. Poprawka polega na wcześniejszym zresetowaniu urządzenia i ponownym sprawdzeniu vi->ready po zdobyciu blokady.

W jądrze Linux w podsystemie AF_UNIX występuje błąd w funkcji manage_oob(), która nie aktualizuje znacznika ostatniego skb. W wyniku tego blokujące wywołanie recv(MSG_PEEK) może powodować zajęcie procesora poprzez aktywne oczekiwanie na nowy skb. Poprawka polega na aktualizacji znacznika @last w manage_oob().

W jądrze Linux występuje przepełnienie pola długości UDP podczas wysyłania dużych pakietów przez gniazda UDP IPv6, gdy opcja IPV6_MTU_DISCOVER jest ustawiona na IPV6_PMTUDISC_DO lub IPV6_PMTUDISC_PROBE, a interfejs sieciowy ma nietypowo duże MTU. Wartość cork->base.fragsize nie jest ograniczana do IP6_MAX_MTU, co prowadzi do przekroczenia 16-bitowego pola długości UDP i wywołania ostrzeżenia w udp_set_len_short. Problem dotyczy wyłącznie gniazd UDP i został naprawiony poprzez ograniczenie fragsize do IP6_MAX_MTU.

W jądrze Linux w module vduse występuje błąd w obsłudze compat ioctl. Handler compat obsługuje VDUSE_IOTLB_GET_FD i VDUSE_VQ_GET_INFO, ale następnie wywołuje natywny handler, który zwraca -ENOIOCTLCMD z powodu różnych rozmiarów komend. Dla GET_FD nadpisuje to wartość zwracaną przez receive_fd() po zainstalowaniu deskryptora, wyciekając jeden fd na wywołanie. Poprawka polega na bezpośrednim zwracaniu wyników compat.

W jądrze Linux w sterowniku ethernet cortina występuje błąd w rozliczaniu budżetu NAPI. Funkcja gmac_rx() zwraca pozostały budżet NAPI, ale jej wywołujący interpretuje zwracaną wartość jako liczbę odebranych pakietów. Bezczynny poll zgłasza pełny budżet i pozostaje zaplanowany. Poprawka polega na zwracaniu liczby odebranych pakietów.

W jądrze Linux w sterowniku ethernet cortina występuje błąd w rozliczaniu budżetu NAPI dla odrzuconych ramek. Pętla RX zużywa budżet tylko przy pomyślnym dostarczeniu ramki; ścieżki błędów kontynuują przetwarzanie deskryptorów bez zmniejszania budżetu, co może spowodować przetworzenie całego pierścienia odbiorczego w jednym pollu. Poprawka przenosi rozliczanie budżetu do wspólnej ścieżki końca ramki.

W jądrze Linux w podsystemie s390/debug występuje błąd dereferencji wskaźnika NULL w funkcji debug_set_level(). Commit a2cec6863709 usunął sprawdzenie null-id z debug_set_level(), co wprowadza możliwość dereferencji NULL dla użytkowników API debug, którzy przekazują wyniki debug_register() bez sprawdzenia do debug_set_level(). Poprawka przenosi sprawdzenie z powrotem do zewnętrznego wrappera.

W jądrze Linuxa wykryto wyciek pamięci w sterowniku sieciowym Intel ICE. Brakuje wywołania xa_destroy dla struktury sched_node_ids, co może prowadzić do wycieku pamięci nawet po usunięciu wszystkich elementów. Problem został naprawiony przez przeniesienie tej struktury do struktury hw i dodanie brakującego czyszczenia.

W jądrze Linux w sterowniku sieciowym ice występuje podwójne dereferencje wskaźnika w funkcji TP_printk() zdarzenia śledzenia ice_tx_dim_work. Po dodaniu nowych kontroli w podsystemie śledzenia, dereferencja wskaźników w momencie drukowania może prowadzić do użycia nieprawidłowych danych, ponieważ wskaźniki mogą być już nieaktualne. Poprawka polega na skopiowaniu ośmiu wartości skalarnych do zdarzenia zamiast przechowywania wskaźników.

W jądrze Linux w sterowniku Bluetooth btusb występuje podatność use-after-free (UAF) związana z pracą asynchroniczną rx_work. Funkcje btusb_close() i btusb_flush() anulują pracę rx_work asynchronicznie, więc jeśli btusb_rx_work() już działa na innym CPU, może nadal działać po anulowaniu. Po odłączeniu urządzenia btusb_data jest zwalniane, a działająca praca może odwoływać się do zwolnionej pamięci. Poprawka polega na użyciu cancel_delayed_work_sync() zamiast asynchronicznego anulowania.

W jądrze Linux w sterowniku Bluetooth btintel_pcie występuje brak walidacji pola packet_len przed użyciem w skb_put_data(). Funkcja btintel_pcie_submit_rx_work() odczytuje packet_len z nagłówka rfh_hdr bez sprawdzenia, czy nie przekracza rozmiaru bufora RX. Zbyt duża wartość packet_len może prowadzić do odczytu poza zakresem w skb_put_data(). Poprawka dodaje walidację, aby packet_len był niezerowy i nie przekraczał rozmiaru bufora.

W jądrze Linux występuje wyścig (race condition) między funkcją hci_conn_del_sysfs() a równoległym wyrejestrowywaniem urządzenia potomnego (np. urządzenia sieciowego BNEP w bnep_session). Podczas wyrejestrowywania device_del() używa nieaktualnego wskaźnika do rodzica, co prowadzi do dereferencji NULL w klist_put(). Problem został rozwiązany przez utrzymywanie referencji do urządzenia nadrzędnego (get_device/put_device) oraz przywrócenie filtra __match_tty.

W jądrze Linux występuje podatność typu null-ptr-deref w funkcji __ip6_del_rt_siblings() w module IPv6. Podczas usuwania trasy (inet6_rtm_delroute) bez blokady RTNL, inny wątek może zmodyfikować tablicę routingu i ustawić rt->fib6_node na NULL, co prowadzi do dereferencji NULL i awarii jądra.

W jądrze Linux w sterowniku sieciowym macb występuje wyciek instancji phylink na ścieżce błędu podczas inicjalizacji. Funkcja macb_mii_init() tworzy instancję phylink na obu ścieżkach sukcesu, ale podczas cofania inicjalizacji (probe unwind) zwalniany jest netdev bez zniszczenia instancji phylink, co prowadzi do wycieku pamięci. Poprawka niszczy instancję phylink w odpowiednim miejscu.

W jądrze Linux w sterowniku sieciowym macb występuje wyciek referencji do węzła 'mdio' w drzewie urządzeń. Funkcja macb_mii_init() przechowuje referencję uzyskaną przez of_get_child_by_name() dla macb_mdiobus_register() i zwalnia ją tylko na ścieżkach błędów, co powoduje wyciek referencji przy każdym udanym probe. Poprawka zwalnia referencję po rejestracji, gdzie __mdiobus_register() już przejęło własną referencję.

W jądrze Linux wykryto błąd w mechanizmie listowania przestrzeni nazw (listns), gdzie funkcja legitimize_ns() pobiera referencję do przestrzeni nazw przed sprawdzeniem uprawnień may_list_ns(). W przypadku odmowy dostępu zwolnienie ostatniej referencji do przestrzeni nazw montowania następuje wewnątrz sekcji krytycznej RCU, co może prowadzić do uśpienia w niedozwolonym miejscu i ostrzeżenia jądra.

W jądrze Linux w sterowniku watchdog msc313e występuje podatność dzielenia przez zero. Funkcja clk_get_rate() może zwrócić 0, co prowadzi do dzielenia przez zero i paniki systemu. Poprawka dodaje sprawdzenie, aby uniknąć dzielenia przez zero.

W jądrze Linux w sterowniku watchdog msc313e występują dwa poważne błędy w funkcji settimeout(): wyciek zegara i nieoczekiwane uruchomienie timera. Funkcja msc313e_wdt_settimeout() bezwarunkowo wywołuje msc313e_wdt_start(), co powoduje zwiększenie licznika referencji zegara, gdy watchdog jest już aktywny, oraz uruchomienie timera, gdy watchdog jest zatrzymany. Poprawka wydziela logikę zapisu rejestrów do funkcji pomocniczej i wywołuje ją tylko wtedy, gdy watchdog działa.

W jądrze Linux w sterowniku hwmon corsair-cpro debugfs wpisy były tworzone przed rejestracją urządzenia hwmon. Jeśli rejestracja się nie powiodła, wpisy pozostawały, a po zwolnieniu pamięci przez HID core odczyt jednego z nich prowadził do dereferencji zwolnionego wskaźnika. Poprawka przenosi tworzenie wpisów debugfs po rejestracji urządzenia hwmon.

W jądrze Linux w sterowniku hwmon corsair-cpro, gdy rejestracja urządzenia hwmon nie powiodła się, wpisy debugfs nie były usuwane, co prowadziło do użycia po zwolnieniu przy ich odczycie. Poprawka dodaje usuwanie wpisów debugfs na ścieżce błędu.

W jądrze Linux w sterowniku octeontx2-pf, podczas usuwania hierarchii HTB, kolejki schedulerów były zwalniane bez wyczyszczenia ustawień TOPOLOGY, co mogło wpływać na późniejsze alokacje. Poprawka dodaje funkcje resetujące TOPOLOGY przed zwróceniem kolejek do AF.

W jądrze Linux w funkcji vxlan_xmit_one() sterownika VXLAN występuje niezainicjalizowana zmienna stosowa _md, gdy urządzenie VXLAN ma włączone flagi VXLAN_F_COLLECT_METADATA i VXLAN_F_GBP, a przesyłany pakiet nie zawiera flagi IP_TUNNEL_VXLAN_OPT_BIT. Prowadzi to do odczytu śmieci ze stosu, co może skutkować przypadkowym ustawieniem flag w nagłówku VXLAN oraz wyciekiem 16 bitów niezainicjalizowanych danych jądra do sieci.

W jądrze Linux w sterowniku ppp_synctty, funkcja ppp_sync_txmunge() nie zapewniała, że nagłówek skb jest zapisywalny, co mogło prowadzić do nadpisania danych widocznych dla innych gniazd. Poprawka używa skb_cow_head() do zapewnienia zapisywalnego nagłówka.

W jądrze Linux w sterowniku net: stmmac, blokada ptp_lock była inicjalizowana tylko podczas rejestracji PTP, ale używana również gdy interfejs jest wyłączony, co prowadziło do niezdefiniowanego zachowania. Poprawka przenosi inicjalizację do __stmmac_dvr_probe().

W jądrze Linux w sterowniku net/mlx5e, reporter zdrowia vnic dla reprezentantów był tworzony i niszczony w ścieżce (un)load netdev, co nie było serializowane przez blokadę devlink, powodując ostrzeżenie przy unbind. Poprawka przenosi cykl życia reportera do portu eswitch devlink.

W jądrze Linux w perf/core, możliwe jest uszkodzenie listy sched_cb_list podczas przetwarzania przepełnienia zdarzenia, gdy PMU wywołuje perf_sched_cb_dec() w trakcie iteracji. Poprawka zmienia for_each_list_entry() na for_each_list_entry_safe().

W jądrze Linux w perf/x86/intel, funkcja drain_pebs() może być ponownie wywołana, co prowadzi do dostępu do nieprawidłowej pamięci. Poprawka dodaje wyłączenie całego PMU wokół wywołania intel_pmu_drain_pebs_buffer() oraz ostrzeżenie, gdy PMU nie jest wyłączony.

W jądrze Linux w module net/sched: cls_route występuje wyciek pamięci. Gdy istniejący filtr route4 jest przenoszony do innego koszyka (bucket), stary, opróżniony koszyk nie jest zwalniany i pozostaje w tablicy head->table[], co uniemożliwia poprawne usunięcie filtra i powoduje wyciek pustego obiektu tcf_proto.

W jądrze Linux naprawiono podatność w net/sched: cls_api. Gdy gniazdo netlink wysyła wielokrotnie żądania RTM_GETCHAIN bez odbierania odpowiedzi, funkcja tc_ctl_chain() zapętla się i zużywa CPU, co prowadzi do zawieszenia zadań (Hung Task). Problem dotyczył niepotrzebnego powtarzania logiki replay dla RTM_GETCHAIN.

W jądrze Linux w sterowniku hinic występuje przepełnienie bufora sterty w funkcji sprawdzającej segmenty skrzynki pocztowej. Ostatni segment może przenosić pełny 48-bajtowy ładunek, co powoduje zapis poza 2048-bajtowy bufor odbiorczy o 16 bajtów. Poprawka ogranicza długość ostatniego segmentu do pozostałego miejsca w buforze.

W jądrze Linux w sterowniku net_failover występuje zakleszczenie w funkcji net_failover_slave_name_change(). Użycie dev_open() zamiast netif_open() prowadzi do zakleszczenia na mutexie. Poprawka zmienia wywołanie na netif_open(), aby uniknąć zakleszczenia.

W jądrze Linux w sterowniku mana występuje problem z wskaźnikiem programu XDP. Gdy prealokacja buforów RX nie powiedzie się, funkcja mana_xdp_set() zwraca błąd bez przywrócenia poprzedniego wskaźnika, co prowadzi do użycia po zwolnieniu. Poprawka przywraca poprzedni program na ścieżce błędu.

W jądrze Linux w podsystemie RDS-TCP występuje uszkodzenie strumienia TCP przy dużych stronach pamięci. Funkcja rds_message_map_pages() przypisuje pełny rozmiar strony do każdego wpisu scatterlist, nawet gdy ostatnia część jest mniejsza, co powoduje mapowanie bajtów poza końcem mapy zatorów. Poprawka ogranicza ostatnie mapowanie do pozostałej liczby bajtów.

W jądrze Linux w sterowniku stmmac występuje problem z dostępnością deskryptorów TX dla ruchu TSO. Szacowanie liczby wolnych deskryptorów jest niedokładne, co może prowadzić do zapisu poza dostępne deskryptory i uszkodzenia pierścienia TX. Poprawka dodaje funkcję obliczającą dokładną liczbę potrzebnych deskryptorów.