Podatności Linux kernel

W jądrze Linuxa w sterowniku sieciowym rswitch wykryto użycie po zwolnieniu (use-after-free) w funkcji rswitch_poll(). Błąd polega na tym, że wskaźnik skb jest zwalniany przed użyciem jego pola len do aktualizacji statystyk interfejsu. Poprawka przenosi instrukcje tak, aby skb->len było używane przed zwolnieniem.

W jądrze Linux w module ILA funkcja ila_output() nie blokuje przerwań (BH), co może prowadzić do wyścigu i uszkodzenia struktur dst_cache. Poprawka polega na użyciu local_bh_disable().

W jądrze Linuxa w podsystemie NVMe wykryto podwójne zwolnienie specjalnego ładunku (special payload). Jeśli żądanie discard wymaga ponowienia i ponowienie może się nie powieść przed dodaniem nowego ładunku, dochodzi do podwójnego zwolnienia.

W jądrze Linux wykryto podatność use-after-free w module net/sched, związaną z rozwiązywaniem konfliktów (clash) w conntrack. Po rozwiązaniu konfliktu obiekt ct może zostać zwolniony, ale nadal jest używany w funkcji tcf_ct_flow_table_process_conn, co prowadzi do odczytu po zwolnieniu pamięci.

W jądrze Linux w podsystemie staging (gdm724x) występuje podatność na użycie po zwolnieniu (UAF) w funkcji gdm_lte_rx(). Funkcja netif_rx_ni() zwalnia bufor skb, a następnie kod próbuje odczytać skb->len, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w NFSD naprawiono obsługę dużych rozmiarów plików w procedurach NFSv3 SETATTR/CREATE. Usunięto sprawdzenie min_t(), aby uniknąć nieoczekiwanego obcinania wartości rozmiaru pliku.

W jądrze Linux w NFSD naprawiono problem niedomiaru (underflow) wartości ia_size. Ponieważ ia_size jest typem loff_t (ze znakiem), a rozmiar pliku w NFS jest typem bez znaku, duże wartości mogą powodować niedomiar. Dodano zabezpieczenie w nfsd_setattr().

W jądrze Linux naprawiono podatność use-after-free w sterowniku nvme podczas resetowania kontrolera w trakcie ładowania. Problem występuje, gdy sterownik nie sprawdza gotowości kontrolera przed wysłaniem asynchronicznego zdarzenia (AER), co może prowadzić do użycia po zwolnieniu, zaobserwowanego w nvme-tcp.

W jądrze Linux w sterowniku nvme-tcp naprawiono możliwość użycia po zwolnieniu (use-after-free) w pracy odzyskiwania po błędzie transportu. Aby zapobiec wyścigowi, praca odzyskiwania musi opróżnić async_event_work przed zniszczeniem kolejki administracyjnej.

W jądrze Linuxa naprawiono podatność w sterowniku nvme-rdma, która mogła prowadzić do użycia po zwolnieniu (use-after-free) w pracy związanej z odzyskiwaniem po błędach transportu. Problem dotyczył wyścigu między sprawdzaniem stanu kontrolera a przygotowaniem komendy AER, co mogło skutkować nieprawidłowym działaniem.

W jądrze Linuxa, w sterowniku sieciowym ena, dodano walidację spójności deskryptorów zakończeń. Sprawdzane jest, czy flaga 'first' jest ustawiona tylko dla pierwszego deskryptora w pakietach wielobufowych. W przypadku nieprawidłowego deskryptora nastąpi reset, a dodano nowy powód resetu dla uszkodzenia danych RX.

W jądrze Linux w module TIPC naprawiono problem polegający na braku wymuszenia referencji do wpisu docelowego (dst) przed deszyfrowaniem. Może to prowadzić do awarii systemu w przypadku asynchronicznych żądań kryptograficznych.

W jądrze Linuxa w sterowniku gve wykryto błąd polegający na pozostawieniu wskaźnika napi->skb wskazującego na zwolnione skb po wywołaniu dev_kfree_skb_any(). Może to prowadzić do zwisającego wskaźnika przy kolejnym wywołaniu napi_get_frags.

W jądrze Linux w sterowniku vmxnet3 wykryto podatność polegającą na tym, że po nieudanej alokacji pamięci dla pierścienia danych RX, pole desc_size nie jest zerowane, co powoduje, że hypervisor odwołuje się do nieprawidłowego obszaru pamięci podczas odbioru pakietów. Prowadzi to do paniki jądra (kernel BUG) w funkcji skb_panic.

W jądrze Linux wycofano poprawkę, która umożliwiała przekierowanie do dowolnego gniazda AF_XDP powiązanego z tym samym umem. Poprawka ta wprowadzała potencjalny crash jądra, gdy wiele instancji NAPI przekierowywało do tego samego gniazda, powodując uszkodzenie stanu pierścienia Rx.

W jądrze Linux w module SUNRPC funkcja gss_free_in_token_pages() ma błędny warunek zakończenia pętli, ponieważ tablica in_token->pages[] nie jest zakończona NULL-em, co prowadzi do dzikiego odczytu pamięci (KASAN).

W jądrze Linux w podsystemie TIPC występuje problem z walidacją rozmiaru otrzymywanych rekordów domeny. Funkcja tipc_mon_rcv() nie sprawdza, czy liczba członków w rekordzie nie przekracza limitu MAX_MON_DOMAIN, co może prowadzić do przepełnienia stosu. Dodatkowo dodano dodatkową kontrolę w tipc_link_proto_rcv() w celu zapobieżenia przepełnieniu bitowemu.

W jądrze Linuxa w sterowniku systemport (Broadcom SYSTEMPORT) wykryto podatność związaną z brakiem globalnego blokowania dostępu do listy deskryptorów współdzielonej przez wszystkie kolejki transmisji. Umożliwia to równoczesne modyfikowanie deskryptorów przez wiele kolejek, co prowadzi do uszkodzenia danych i błędnych sum kontrolnych w pakietach UDP i TCP.

W jądrze Linuxa w systemie plików GFS2 wykryto potencjalne użycie po zwolnieniu (use-after-free) glocka podczas odmontowywania. DLM automatycznie odblokowuje zamki, ale callbacki bast mogą pozostać aktywne i uzyskiwać dostęp do zwolnionych obiektów.

W jądrze Linux w module Open vSwitch (openvswitch) wykryto podatność polegającą na nadpisywaniu oryginalnej krotki conntrack dla pakietów ICMPv6 podczas przetwarzania komendy OVS_PACKET_CMD_EXECUTE. Parsowanie nagłówka ICMPv6 zerowało pola związane z Neighbor Discovery (ND) nawet dla pakietów niebędących ND, co prowadziło do uszkodzenia metadanych conntrack i błędnego dopasowania pakietów.

W jądrze Linuxa w podsystemie RDMA rxe wykryto błąd segmentacji w funkcji rxe_comp_queue_pkt(). Pakiet odpowiedzi jest dodawany do kolejki, a następnie odwoływano się do niego po podjęciu decyzji o uruchomieniu zadania, co może prowadzić do dostępu do zwolnionej pamięci.

W jądrze Linuxa, w serwerze NFSD, występuje błąd powodujący awarię w funkcji nfsd4_encode_fattr4(). Problem polega na tym, że pole args.acl nie jest inicjalizowane na początku, a jest używane w bezwarunkowym wywołaniu kfree() przy wyjściu z funkcji, co prowadzi do awarii.

W jądrze Linuxa naprawiono podatność w sterowniku vmbus (Hyper-V), gdzie w maszynach wirtualnych CoCo nieudane wywołanie set_memory_encrypted() lub set_memory_decrypted() mogło prowadzić do zwolnienia odszyfrowanych (współdzielonych) stron pamięci. Poprawka polega na wycieku stron w takim przypadku, aby uniknąć potencjalnych problemów funkcjonalnych lub bezpieczeństwa.

W jądrze Linuxa naprawiono podatność w sterowniku vmbus (Hyper-V), gdzie w maszynach wirtualnych CoCo nieudane wywołanie set_memory_encrypted() lub set_memory_decrypted() mogło prowadzić do zwolnienia odszyfrowanych (współdzielonych) stron pamięci. Poprawka dodaje pole w strukturze vmbus_gpadl do śledzenia statusu odszyfrowania buforów, aby zapobiec zwracaniu takich stron do alokatora.

W jądrze Linuxa w sterowniku hv_netvsc wykryto problem polegający na zwalnianiu odszyfrowanej pamięci. W maszynach wirtualnych CoCo nieufny host może spowodować niepowodzenie funkcji set_memory_encrypted() lub set_memory_decrypted(), co skutkuje zwróceniem błędu i pozostawieniem pamięci jako współdzielonej. Sterownik netvsc mógł zwalniać odszyfrowane (współdzielone) strony, jeśli set_memory_decrypted() zawiedzie. Poprawka sprawdza pole decrypted w gpadl, aby zdecydować, czy zwolnić pamięć.

W jądrze Linuxa w sterowniku vmbus (Drivers: hv) wykryto problem polegający na zwalnianiu buforów pierścieniowych, które nie mogły zostać ponownie zaszyfrowane. W maszynach wirtualnych CoCo nieufny host może spowodować niepowodzenie funkcji set_memory_encrypted() lub set_memory_decrypted(), co skutkuje zwróceniem błędu i pozostawieniem pamięci jako współdzielonej. Kod buforów pierścieniowych VMBus mógł zwalniać odszyfrowane (współdzielone) strony, jeśli set_memory_decrypted() zawiedzie. Poprawka sprawdza pole decrypted w strukturze vmbus_gpadl dla buforów pierścieniowych, aby zdecydować, czy zwolnić pamięć.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji tipc_buf_append() w ścieżce obsługi błędów protokołu TIPC. Błąd został zgłoszony przez Sama Page'a we współpracy z Trend Micro Zero Day Initiative i może prowadzić do naruszenia integralności pamięci.

W jądrze Linuxa wykryto podatność w implementacji protokołu TCP, która pozwalała na akceptowanie pakietów ACK potwierdzających bajty, które nigdy nie zostały wysłane. Problem dotyczy walidacji numerów ACK zgodnie z RFC 5961, co umożliwiało atakującemu manipulację strumieniem danych. Poprawka zaostrza sprawdzanie ACK, odrzucając pakiety z numerami spoza dozwolonego zakresu.

W jądrze Linuxa wykryto podatność w mechanizmie TCP, która powoduje uszkodzenie fragmentów stron pamięci podczas obsługi błędów stron. Problem występuje, gdy proces serwera HTTP (np. Apache) korzysta z zamapowanego pliku CIFS, a błąd strony wywołuje zagnieżdżoną alokację fragmentów stron, co prowadzi do korupcji strumienia danych.

W jądrze Linux w module sieciowym SMC wykryto podatność polegającą na błędnym usunięciu elementu z listy w funkcji smc_lgr_cleanup_early(). Zamiast usunąć właściwą grupę linków, funkcja usuwała głowę listy, co prowadziło do uszkodzenia pamięci i paniki jądra.

W jądrze Linux naprawiono podatność use-after-free w serwerze NFS (nfsd) związaną z wyścigiem delegacji. Przerwanie delegacji może nastąpić natychmiast po wywołaniu vfs_setlease, co prowadzi do dodania delegacji do listy del_recall_lru, a następnie zwolnienia jej bez usunięcia z listy, co objawia się później jako use-after-free lub uszkodzenie listy.

W jądrze Linux w module net/tls występuje błąd znaku w wywołaniach tls_err_abort(), gdzie ujemny kod błędu jest przypisywany do sk_err, co prowadzi do błędnej interpretacji i potencjalnego uszkodzenia pamięci. Poprawka polega na spójnym przekazywaniu ujemnych kodów błędów i centralizacji zmiany znaku.

W jądrze Linux w module isofs występuje dostęp poza granicami bufora podczas odczytu uszkodzonego obrazu ISO. Poprawka dodaje sprawdzenie długości wpisu katalogu przed jego użyciem.

W jądrze Linux naprawiono podatność w ksmbd: zapis poza zakresem w funkcji smb_inherit_dacl(). Problem wynika z tego, że offsety są większe niż rozmiar alokacji pntsd. Poprawka dodaje sprawdzenie trzech offsetów przy użyciu rozmiaru alokacji.

W jądrze Linux w module CIFS wykryto podatność use-after-free w funkcji rdata->read_into_pages(). Przy niestabilnym połączeniu sieciowym, podczas odczytu danych z serwera, może dojść do użycia zwolnionej pamięci (wskaźnik rdata), co prowadzi do awarii systemu lub potencjalnego wykonania kodu.

W jądrze Linuxa w module ceph występuje podatność polegająca na blokowaniu klienta kclient po otrzymaniu uszkodzonego śladu snap. Podatność może prowadzić do kontynuowania operacji wejścia/wyjścia i dostępu do metadanych, co może skutkować uszkodzeniem danych.

W jądrze Linux w module scsi iscsi występuje błąd użycia po zwolnieniu (UAF) w obsłudze przerywania (abort) zadań. Poprawka cofa zmianę, która prowadziła do goto do wspólnego kodu sprzątania, i przenosi wywołanie iscsi_get_conn() po sprawdzeniu poprawności zadania.

W jądrze Linux naprawiono podatność use-after-free w sterowniku iSCSI (scsi: iscsi) podczas resetów. Problem występuje, gdy iscsi_conn_teardown budzi wątek EH i zwalnia połączenie, podczas gdy te wątki nadal uzyskują dostęp do pola ehwait połączenia. Poprawka przenosi pola TMF z połączenia do sesji.

W jądrze Linux w podsystemie CAN J1939 występuje podatność Use-after-Free. Problem polega na tym, że pakiet skb jest pobierany z kolejki sesji bez zwiększania licznika referencji, co może prowadzić do użycia po zwolnieniu pamięci, gdy pakiet jest jednocześnie pobierany z kolejki z powodu CTS.

W jądrze Linuxa zidentyfikowano podatność, która dotyczy niewłaściwego powiązania nowych reguł fs w drzewie. Problem ten może prowadzić do sytuacji, w której reguła z refcountem równym 2 nie jest poprawnie powiązana, co skutkuje awarią systemu podczas usuwania grupy przepływów.

W jądrze Linux w funkcji dma-direct występuje problem z wyciekiem stron po niepowodzeniu dma_set_decrypted(). W środowisku TDX niegodny zaufania host może spowodować niepowodzenie set_memory_encrypted() lub set_memory_decrypted(), co prowadzi do zwrócenia pamięci współdzielonej do alokatora stron. Poprawka powoduje wyciek stron w takim przypadku zamiast ich zwolnienia.

W jądrze Linuxa w kliencie SMB naprawiono podatność prowadzącą do użycia po zwolnieniu (use-after-free) podczas przetwarzania odwołań DFS, montowania i przełączania awaryjnego DFS. Zapewniono, że wszystkie dzieci z sesji rodzica są odpowiednio refcountowane, a także usunięto zbędną listę dfs_ses_list.

W jądrze Linuxa, w kliencie SMB, występuje potencjalna podatność use-after-free w funkcji smb2_is_valid_lease_break(). Problem dotyczy sesji, które są w trakcie zamykania (status == SES_EXITING), co może prowadzić do użycia po zwolnieniu. Poprawka pomija takie sesje, aby uniknąć UAF.

W jądrze Linux w podsystemie crypto/safexcel brakuje obsługi błędów dla wywołań dma_map_sg(). Makro dma_map_sg() może zwrócić 0 w przypadku błędu. Poprawka dodaje sprawdzenia w przypadku awarii makra i zapewnia odmapowanie wcześniej zmapowanych buforów za pomocą dma_unmap_sg().

W jądrze Linuxa w module nvmet występuje podatność use-after-free, która może zostać wyzwolona przez testy blktests nvme/004. Problem prowadzi do odczytu zwolnionej pamięci podczas kończenia żądań, co może skutkować awarią systemu.

W jądrze Linux w module nvme-tcp występuje podatność use-after-free podczas wykrywania błędów sum kontrolnych. Poprawka wymaga przerwania pętli io_work po ustawieniu rd_enabled, aby uniknąć odczytu danych z niesynchronizowanego strumienia TCP.

W jądrze Linux w module SUNRPC naprawiono wycieki pamięci w funkcji gssx_dec_option_array. Wcześniej w ścieżkach obsługi błędów nie zwalniano pamięci przydzielonej dla danych uwierzytelniających i tablicy opcji.

W jądrze Linux wykryto podatność use-after-free w podsystemie SCSI core. Problem występuje, gdy funkcje .exit_cmd_priv są wywoływane po zwolnieniu zasobów powiązanych z hostem SCSI, co może prowadzić do dostępu do już zwolnionej pamięci. Poprawka polega na oczekiwaniu w scsi_remove_host() na zwolnienie zestawu tagów przed wywołaniem tych funkcji.

W jądrze Linux w sterowniku kryptograficznym Xilinx (zynqmp) występuje problem polegający na wywołaniu funkcji crypto_finalize_request bez wyłączonych przerwań miękkich (BH), co prowadzi do ostrzeżenia WARNING i potencjalnych problemów ze stabilnością systemu.