Podatności Linux kernel

W jądrze Linuxa w sterowniku RDMA/rxe wykryto podatność polegającą na nieprawidłowej konwersji adresu iova na va dla regionów pamięci (MR) o rozmiarze strony różnym od PAGE_SIZE. Błąd powoduje błędne obliczanie wskaźników przy dostępie do pamięci, co może prowadzić do paniki jądra.

W jądrze Linuxa w komponencie KVM/arm64 vgic-its występuje błąd w funkcji vgic_its_invalidate_cache(), która podczas czyszczenia pamięci podręcznej translacji może wielokrotnie zwalniać to samo odniesienie, prowadząc do użycia po zwolnieniu. Problem występuje przy równoczesnym dostępie z różnych kontekstów.

W jądrze Linux w funkcji extract_kvec_to_sg w bibliotece scatterlist wykryto błąd w obliczeniach długości podczas ekstrakcji danych z kvec do listy rozproszonej (sglist). Błąd powoduje, że wpis w sglist może przekraczać rozmiar strony, co jest niezgodne z przeznaczeniem. Podatność została wprowadzona w jądrze v6.3 i dotyczy wersji v6.5+.

W jądrze Linuxa stwierdzono lukę w gniazdach RAW używających protokołu IPPROTO_RAW. Złośliwy pakiet ICMP może ustawić pole protokołu na 255 i dopasować się do takiego gniazda, prowadząc do zmian w pamięci podręcznej FNHE.

W jądrze Linux w module netfilter nft_inner występuje desynchronizacja między offsetem transportowym a protokołem warstwy 4 dla wewnętrznych pakietów IPv6. Błąd powoduje nadpisywanie poprawnego offsetu obliczonego przez ipv6_find_hdr() stałą wartością 40 bajtów, co umożliwia fałszowanie nagłówka transportowego i potencjalne ominięcie zapory sieciowej. Podatność dotyczy stabilnych wersji jądra od 6.2.

W jądrze Linux w podsystemie CIFS/SMB wykryto podatność polegającą na braku walidacji przesunięcia DACL (dacloffset) przed budowaniem wskaźników DACL. Złośliwy serwer może dostarczyć wartość dacloffset bliską U32_MAX, co na 32-bitowych systemach powoduje zawinięcie wskaźnika i ominięcie kontroli granic, prowadząc do potencjalnego odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy funkcji symlink_data(). Problem polega na braku walidacji długości odpowiedzi błędu symlink, co może prowadzić do odczytu poza granicami bufora.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na odczyt poza granicami bufora w funkcji smb2_compound_op(). Problem występuje, gdy serwer wysyła skróconą odpowiedź z dużą długością bufora wyjściowego, co może prowadzić do wycieku pamięci jądra.

W jądrze Linuxa rozwiązano podatność związaną z mptcp, która dotyczy funkcji mptcp_pm_add_timer() wywoływanej jako callback timera w kontekście softirq. Aby uniknąć wyścigów danych, konieczne jest zablokowanie gniazda za pomocą bh_lock_sock().

W jądrze Linux wykryto podatność w sterowniku NVMe/TCP (nvmet-tcp) związaną z wyścigiem między obsługą żądania inicjalizacji połączenia (ICReq) a zamykaniem kolejki. Brak synchronizacji może pozwolić na nadpisanie stanu kolejki, co prowadzi do podwójnego zwolnienia referencji i potencjalnego uszkodzenia pamięci.

W jądrze Linuxa naprawiono podatność związaną z dostępem poza granice pamięci w przetwarzaniu wiadomości autoryzacyjnych. Problem występował, gdy wiadomość typu CEPH_MSG_AUTH_REPLY zawierała dodatnią wartość w polu wyniku, co prowadziło do nieprawidłowego przetwarzania i wysyłania danych poza przydzielony bufor.

W jądrze Linuxa zidentyfikowano podatność w funkcji biovec_phys_mergeable(), która nie sprawdza, czy segmenty bvec pochodzą z różnych dev_pagemaps. To może prowadzić do błędów w zarządzaniu pamięcią, gdy segmenty są fizycznie kontynualne.

W jądrze systemu Linux zidentyfikowano podatność w funkcji rxe_rcv, która nieprawidłowo weryfikuje długość pakietu przed obliczeniem rozmiaru ładunku. Atakujący może wykorzystać to do wywołania błędu przepełnienia, co prowadzi do potencjalnych problemów z bezpieczeństwem.

W jądrze systemu Linux naprawiono potencjalne przepełnienie całkowite w funkcji rxgk_extract_token() podczas sprawdzania długości biletu. Zamiast zaokrąglać wartość do testu w górę, zaokrąglono w dół rozmiar dostępnych danych.

W jądrze systemu Linux naprawiono podatność związaną z ponownym odszyfrowywaniem pakietów RESPONSE. W przypadku tymczasowego błędu podczas przetwarzania pakietu RESPONSE, może on pozostać w stanie częściowego odszyfrowania i zostać ponownie umieszczony w kolejce do ponownego przetworzenia.

W jądrze Linux wykryto podatność w funkcji smb2_open_file() w kliencie SMB. Brak wyzerowania wskaźników @err_iov i @err_buftype przed ponowną próbą wywołania SMB2_open() może prowadzić do użycia po zwolnieniu (UAF) lub podwójnego zwolnienia pamięci, gdy @data nie jest NULL.

W jądrze Linux w podsystemie RDMA/iwcm wykryto podatność prowadzącą do uszkodzenia listy kolejki zadań. Problem wynika z błędnego założenia, że funkcja queue_work() nie doda zadania, jeśli jest już w kolejce, podczas gdy każdy obiekt iwcm_work ma unikalną strukturę work_struct. Powoduje to przetwarzanie wielu wpisów w jednym przebiegu handlera, zwalnianie ich do listy wolnej i ponowne użycie, co prowadzi do korupcji listy.

W jądrze Linuxa podczas łączenia pakietów w funkcji skb_try_coalesce() nie jest propagowany znacznik SKBFL_SHARED_FRAG, co narusza niezmiennik wymagany przez późniejsze operacje zapisu w miejscu. Może to prowadzić do błędów w przetwarzaniu ESP, gdzie dane są odszyfrowywane w miejscu na fragmencie pamięci podręcznej stron.

Atakujący wysyłający pakiety TCP, IL, RUDP lub GRE o długości mniejszej niż rozmiar nagłówka może wywołać panikę jądra.

W jądrze Linuxa występuje podatność w obsłudze nagłówka routingu SRH (Source Routing Header) dla IPv6. Podczas dekompresji i rekompresji SRH, jeśli rekompresowany nagłówek jest większy niż otrzymany, może dojść do zapisu poza zakresem (OOB write) w funkcji ipv6_rthdr_rcv. Problem występuje, gdy brakuje miejsca w headroom, co prowadzi do uszkodzenia pamięci.

W jądrze Linux wykryto podatność w implementacji protokołu RxRPC, gdzie funkcje obsługujące pakiety DATA i RESPONSE nie sprawdzały, czy bufor skb zawiera współdzielone fragmenty stron (np. pochodzące z splice()). W rezultacie deszyfrowanie mogło odbywać się na miejscu na współdzielonych stronach, co prowadziło do potencjalnego naruszenia integralności danych.

W jądrze Linux w sterowniku SCSI qla2xxx wykryto podwójne zwolnienie struktury fcport. Funkcja qla2x00_els_dcmd_sp_free() zwalnia fcport, a następnie ponowne wywołanie kref_put() prowadzi do drugiego zwolnienia, co może skutkować uszkodzeniem pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy nieprawidłowego zarządzania ścieżkami zakończenia wątków jądra, co prowadzi do problemu use-after-free. Problem został zgłoszony podczas testów KUnit, gdzie wystąpiły awarie związane z uszkodzonymi wskaźnikami funkcji zwrotnych RCU.

W jądrze Linuxa naprawiono podatność związaną z porównywaniem MAC w protokole tcp-md5, aby zapobiec atakom czasowym.

W jądrze systemu Linux zidentyfikowano podatność, która dotyczy funkcji smb_lazy_parent_lease_break_close(). Wskazany wskaźnik opinfo jest używany po zwolnieniu blokady RCU, co prowadzi do warunków wyścigu i potencjalnego wykorzystania po zwolnieniu pamięci.

W jądrze systemu Linux zidentyfikowano podatność, która pozwala na przepełnienie bufora w funkcji ioam6_fill_trace_data(). Problem wynika z niewłaściwego przechowywania długości schematu, co prowadzi do pominięcia kontroli dostępnego miejsca w buforze śledzenia.

W jądrze Linux wykryto podatność w implementacji ESP (Encapsulating Security Payload) dla protokołów IPv4/IPv6. Problem polega na tym, że funkcje przetwarzania datagramów UDP nie oznaczały współdzielonych fragmentów stron (pipe pages) flagą SKBFL_SHARED_FRAG, co pozwalało na deszyfrowanie danych w miejscu bez uprzedniego utworzenia prywatnej kopii. Atakujący mógłby wykorzystać to do odczytu lub modyfikacji danych ESP w pakietach UDP pochodzących ze współdzielonych stron.

W jądrze Linuxa zidentyfikowano podatność, która została rozwiązana. Problem dotyczy przekazywania flow_id do funkcji set_rps_cpu(), co może prowadzić do dostępu poza granice oraz awarii systemu.

W jądrze Linux wykryto błąd w funkcji tcp_v6_syn_recv_sock(), który powoduje wyścig (race condition). Po wywołaniu tcp_v4_syn_recv_sock() gniazdo potomne jest już widoczne w tablicy ehash TCP, ale wskaźnik pinet6 nadal wskazuje na struktury gniazda nasłuchującego, co może prowadzić do nieprawidłowego działania.

W jądrze Linux wykryto podatność w netconsole, gdzie komunikat przekazywany z podsystemu konsoli nie jest gwarantowanie zakończony znakiem null, co prowadzi do odczytu poza granicami bufora (OOB). Problem został zaobserwowany przez KASAN jako slab-out-of-bounds podczas przetwarzania wiadomości.

W jądrze Linux w funkcji dlm_search_rsb_tree brakuje walidacji długości parametru len, który pochodzi z komunikatów sieciowych. Gdy przekracza DLM_RESNAME_MAXLEN, może prowadzić do zapisu poza dozwolonym obszarem pamięci.

W jądrze Linuxa w implementacji AVX2 dla zestawów pipapo w netfilter wykryto błąd, który powoduje zwracanie niepasujących wpisów podczas wygasania. Problem występuje, gdy funkcje dopasowujące AVX2 przetwarzają ostatnie pole, nie konsumując całego wejścia, co prowadzi do błędnego raportowania kolizji elementów.

W jądrze systemu Linux zidentyfikowano podatność, która polega na braku kopiowania danych pakietu z bufora XDP do struktury skb, co prowadzi do wycieku zawartości pamięci jądra do przestrzeni użytkownika. Dodatkowo, niewłaściwe oznaczanie skb do recyklingu może prowadzić do uszkodzenia stanu puli stron.

W jądrze Linux wykryto podatność w funkcji ip6_err_gen_icmpv6_unreach(), gdzie nieczyszczone pole cb[] w skb2 może prowadzić do błędnej interpretacji danych sterujących. Atakujący może wysłać spreparowany pakiet ICMPv4 z opcją CIPSO, co skutkuje odczytem poza zakresem bufora w icmp6_send().

W jądrze Linux wykryto podatność w funkcji ip4ip6_err() tunelu IPv6-over-IPv4. Niezainicjalizowany obszar cb[] w sklonowanym buforze skb może zostać zinterpretowany jako struktura IPv4, co prowadzi do odczytu danych sterowanych przez atakującego i przepełnienia bufora stosowego.

W jądrze Linux w stosie X.25 wykryto podwójne zwolnienie bufora sieciowego (skb). Gdy funkcja x25_queue_rx_frame nie może zaalokować pamięci, zwalnia skb i zwraca błąd, ale wywołująca ją x25_backlog_rcv również próbuje zwolnić ten sam skb, prowadząc do podwójnego free.

W jądrze Linuxa zidentyfikowano podatność związana z użyciem po zwolnieniu w funkcji __ksmbd_close_fd(). Problem występuje, gdy trwały uchwyt pliku przetrwa rozłączenie sesji, co prowadzi do nieprawidłowego zarządzania blokadami bajtów.

W jądrze Linux wykryto podatność w funkcji br_nd_send() mostu sieciowego, która analizuje opcje sąsiedztwa (ND) z pakietów ICMPv6. Funkcja zakładała, że opcje te znajdują się w liniowej części bufora, jednak w niektórych przypadkach mogą być one nieliniowe, co prowadzi do odczytu danych poza przydzielonym buforem liniowym. Problem został rozwiązany przez linearyzację pakietu przed parsowaniem opcji.

W jądrze Linux wykryto podatność w implementacji MPTCP, prowadzącą do użycia po zwolnieniu (use-after-free) w funkcji __inet_lookup_established. Problem wynika z nieprawidłowej inicjalizacji protokołu TCPv6 dla gniazd potomnych MPTCP, które są alokowane przez kmalloc zamiast dedykowanej pamięci podręcznej z flagą SLAB_TYPESAFE_BY_RCU. Umożliwia to równoczesny dostęp do zwolnionej pamięci podczas wyszukiwania w tablicy ehash, co może prowadzić do naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku stmmac wykryto podatność polegającą na niedomiarze liczby całkowitej w trybie łańcuchowym (chain mode). Funkcja jumbo_frm() oblicza długość jako nopaged_len - bmax, co przy małej części liniowej pakietu i dużym rozmiarze całkowitym prowadzi do zawinięcia wartości i ogromnej liczby iteracji. Skutkuje to mapowaniem dowolnej pamięci jądra do silnika DMA, co umożliwia ujawnienie pamięci jądra i potencjalne uszkodzenie danych.

W jądrze Linuxa w sterowniku USB/IP wykryto podatność polegającą na braku walidacji pola number_of_packets w odpowiedzi RET_SUBMIT. Złośliwy serwer USB/IP może ustawić tę wartość większą niż oryginalna, co prowadzi do zapisu poza przydzieloną pamięcią (heap out-of-bounds write) podczas przetwarzania pakietów ISO.

W jądrze systemu Linux zidentyfikowano podatność, która została rozwiązana poprzez bezpośrednie wywołanie funkcji ->free_folio() w folio_unmap_invalidate(). Problem polegał na tym, że wywołanie filemap_free_folio() bez odpowiedniego zablokowania mapowania mogło prowadzić do błędu use-after-free.

W jądrze Linux w module TLS wykryto podatność use-after-free w ścieżce błędu -EBUSY funkcji tls_do_encryption. Podwójne czyszczenie licznika encrypt_pending i wpisu scatterlist prowadzi do uszkodzenia struktury danych, co umożliwia wywołanie zwrotne na zwolnionej pamięci.

W jądrze systemu Linux zidentyfikowano podatność dotyczącą nieprawidłowego dostępu do folio, gdy i_blkbits różni się od wielkości I/O. Problem ten dotyczy sytuacji, w której IO może być złożone dla mniejszej części folio, co prowadzi do nieprawidłowego zarządzania kontekstem folio.

W jądrze Linux w systemie plików ext4 wykryto podatność prowadzącą do nieskończonej pętli podczas operacji mkdir/mknod. Błąd występuje, gdy mapowanie bloków logicznych na fizyczne nie powiedzie się po wstawieniu nowego rozszerzenia do drzewa rozszerzeń, co powoduje, że zwolniony blok fizyczny jest ponownie używany przez blok xattr, prowadząc do zakleszczenia i blokady wątku na 143 sekundy.

W jądrze systemu Linux zidentyfikowano podatność w funkcji smb_grant_oplock(), która prowadzi do problemów z użyciem po zwolnieniu pamięci oraz dereferencją wskaźnika NULL. Problemy te wynikają z niewłaściwej sekwencji publikacji oplock, co może prowadzić do nieprzewidywalnych zachowań w systemie.

W jądrze Linuxa w podsystemie netfilter naprawiono błąd w obsłudze oczekiwań (expectations) połączeń. Funkcja nfct_help() była wywoływana bez trzymania referencji do głównego wpisu conntrack, co mogło prowadzić do naruszenia bezpieczeństwa pamięci. Poprawka polega na użyciu expect->helper zamiast nfct_help() w ścieżkach ctnetlink i /proc.

W jądrze Linux w sterowniku dvb-net wykryto podatność na odczyt poza zakresem w tablicach nagłówków rozszerzeń ULE. Indeks htype pochodzący z danych sieciowych może przyjąć wartość 255, co prowadzi do odczytu poza tablicą o rozmiarze 255 elementów, a odczytana wartość może zostać wywołana jako wskaźnik funkcji.

W jądrze Linux w module NFSD (NFSv4.0) wykryto podatność na przepełnienie sterty w mechanizmie pamięci podręcznej replay dla operacji LOCK. Stały 112-bajtowy bufor nie uwzględnia zmiennej długości pola właściciela blokady (do 1024 bajtów), co pozwala na zapis poza zakresem.