Podatności Linux kernel

W jądrze Linux w module cifs występuje niedomiar (underflow) w funkcji parse_server_interfaces() z powodu porównania typu ssize_t z size_t, co prowadzi do kontynuacji pętli przy ujemnej wartości bytes_left. Poprawka rozwiązuje problem z konwersją typów.

W jądrze Linux w sterowniku mlx5e (dla kart sieciowych Mellanox) występuje błąd w przepływie resynchronizacji TLS RX, prowadzący do awarii. Lista kontekstów TLS jest narażona na uszkodzenia z powodu braku ochrony wpisów przed ruchami pochodzącymi z resync_handle_seq_match(), dopóki ich obsługa w napi nie zostanie zakończona.

W jądrze Linux w module ksmbd brakuje walidacji rozmiaru danych odpowiedzi IPC, co może prowadzić do przepełnienia pamięci lub naruszenia granic (slab-out-of-bounds). Poprawka dodaje walidację trzech odpowiedzi IPC z danymi.

W jądrze Linux występuje podatność use-after-free w TLS podczas nieudanego odszyfrowania w kolejce. Gdy operacja kryptograficzna zwraca -EBUSY, funkcja tls_do_decryption czeka na zakończenie wszystkich asynchronicznych odszyfrowań, a jeśli jedno z nich zawiedzie, strony są zwalniane, ale zostały już przekazane do asynchronicznego wywołania zwrotnego.

W jądrze Linux w podsystemie SCSI target (pscsi) występuje błąd w obsłudze przypadku błędu przy zwalnianiu obiektu bio. Bio przydzielony przez bio_kmalloc() musi być zwolniony przez bio_uninit() i kfree(), ale w tym przypadku nie jest to poprawnie wykonane, co prowadzi do ostrzeżenia WARN i dereferencji wskaźnika NULL w bio_free().

W jądrze Linux w funkcjach tuneli (np. VXLAN) występuje błąd polegający na odczycie poza zakresem pamięci podczas budowania błędu PMTU dla IPv6. Problem pojawia się, gdy błąd ICMPv6 jest tworzony z nie-liniowego skb, co prowadzi do naruszenia pamięci (KASAN: slab-out-of-bounds).

W jądrze Linux w funkcji filelayout_decode_layout() w NFS użyto nieprawidłowego rozmiaru struktury, co może prowadzić do uszkodzenia pamięci. Poprawka zmienia rozmiar na NFS_MAXFHSIZE, który odpowiada rozmiarowi bufora.

W jądrze Linux w module TIPC wykryto podatność polegającą na nieprawidłowym dołączaniu fragmentów pakietów do listy frag_list skb, co może prowadzić do użycia po zwolnieniu (use-after-free). Problem występuje, gdy skb został sklonowany lub zmodyfikowany przez pskb_copy() lub pskb_may_pull(), a nowy fragment jest współdzielony przez wiele skb, mimo że tylko raz wykonano na nim skb_get().

W jądrze Linux w sterowniku sieciowym lantiq występuje podatność prowadząca do uszkodzenia pamięci w pierścieniu RX. W sytuacji, gdy alokacja pamięci lub mapowanie DMA nie powiedzie się, do deskryptora programowany jest nieprawidłowy adres, co może prowadzić do uszkodzenia pamięci. Poprawka powoduje, że w przypadku niepowodzenia alokacji DMA ponownie używa poprzedniego skb i mapowania oraz odrzuca pakiet, zwiększając licznik odrzuceń.

W jądrze systemu Linux zidentyfikowano podatność związana z przepełnieniem bufora w funkcji READDIR. Problem występuje, gdy klient wysyła zbyt mały argument count, co prowadzi do błędnych obliczeń rozmiaru bufora i umożliwia zapis poza jego granicami.

Podatność w jądrze Linux dotyczy błędnego zarządzania polem sk_rx_dst w strukturach gniazd TCP, które nie przestrzegało standardowych zasad RCU. Może to prowadzić do użycia po zwolnieniu (use-after-free) w funkcjach wczesnego demultipleksowania pakietów, co zostało zgłoszone przez syzbot.

W jądrze Linux w podsystemie RDMA/srp występuje problem polegający na tym, że procedura srp_abort() wywołuje scsi_done(), co może prowadzić do użycia po zwolnieniu (use-after-free). Poprawka usuwa to wywołanie, pozostawiając wywołanie srp_free_req() przed zwróceniem SUCCESS.

W jądrze Linux w module ksmbd wykryto wyścig między wyszukiwaniem sesji a jej wygaśnięciem, co może prowadzić do użycia po zwolnieniu (UAF). Problem został naprawiony przez dodanie semafora rwsem synchronizującego te operacje.

W jądrze Linuxa w module UDP występuje podatność polegająca na nieprawidłowej agregacji L4 dla pakietów tunelowanych UDP. Gdy włączone są opcje GRO, może dojść do uszkodzenia wewnętrznych protokołów, np. ignorowania różnych identyfikatorów VXLAN.

W jądrze Linux naprawiono podatność use-after-free w funkcji emac_mac_tx_buf_send w sterowniku sieciowym EMAC. Problem polega na tym, że po zwolnieniu skb w przypadku błędu w emac_tx_fill_tpd(), skb jest nadal używany przez netdev_sent_queue(,skb->len), co prowadzi do użycia po zwolnieniu.

W jądrze Linux wykryto podatność w protokole SCTP, prowadzącą do użycia po zwolnieniu (use-after-free) struktury transportu. Problem występuje podczas przetwarzania zduplikowanego fragmentu COOKIE-ECHO w funkcji sctp_sf_do_dupcook_a(), gdzie fragmenty COOKIE-ACK i SHUTDOWN są przypisywane do nowego skojarzenia (asoc), ale później używane przez stare skojarzenie, co może doprowadzić do paniki systemu.

W jądrze Linuxa w module ch_ktls występuje problem powodujący panikę jądra. Zwiększanie licznika referencji strony nie jest idealne i może prowadzić do paniki, dlatego zaleca się użycie blokady tx_ctx dla całego przesyłania skb, aby uniknąć czyszczenia strony w trakcie transmisji.

W jądrze Linux w module netlabel występują dwa przypadki odczytu poza granicami tablicy: w funkcji cipso_v4_map_lvl_valid() oraz w netlbl_bitmap_walk(). Poprawki są proste i dotyczą sprawdzania zakresów.

W jądrze Linux naprawiono podatność w ksmbd: brak walidacji tokenu mechanizmu w żądaniu sesji. Jeśli klient wyśle nieprawidłowy token, ksmbd powinien go zweryfikować i zwrócić błąd.

W jądrze Linux naprawiono podatność use-after-free w funkcji ksmbd_tcp_new_connection() w module ksmbd. Problem wynika z wyścigu między obsługą nowego połączenia TCP a jego rozłączeniem, co prowadzi do użycia po zwolnieniu struktury tcp_transport.

W jądrze Linux w module tls występuje podatność polegająca na wyścigu między planowaniem pracy transmisji a zamknięciem gniazda. Wątek zgłaszający (recvmsg/sendmsg) może zakończyć działanie natychmiast po wywołaniu complete() przez asynchroniczny handler kryptograficzny. Poprawka zmienia kolejność: najpierw planowanie pracy, potem wywołanie complete().

W jądrze Linuxa w module TLS naprawiono problem z obsługą żądań kryptograficznych, które mogą być umieszczane w kolejce oczekującej (backlog). Gdy flaga CRYPTO_TFM_REQ_MAY_BACKLOG jest ustawiona, funkcje crypto_aead mogą zwracać -EBUSY zamiast -EINPROGRESS, co powodowało podwójne wywołanie callbacku asynchronicznego. Poprawka konwertuje -EBUSY na -EINPROGRESS, aby uniknąć modyfikacji ścieżek obsługi błędów.

W jądrze Linuxa występuje podatność wyścigu (race condition) w implementacji TLS, między asynchronicznym powiadomieniem a zamknięciem gniazda. Wątek wywołujący recvmsg/sendmsg może zakończyć działanie natychmiast po wywołaniu complete() przez asynchroniczny handler kryptograficzny, co grozi dostępem do już zwolnionych danych.

W jądrze Linux w module TLS występuje podatność use-after-free przy częściowych odczytach i asynchronicznym odszyfrowaniu. Funkcja tls_decrypt_sg nie przechowuje referencji do stron z clear_skb, co prowadzi do zwolnienia ich przez put_page() w tls_decrypt_done, a następnie użycia po zwolnieniu w process_rx_list.

W jądrze Linux naprawiono podatność w ksmbd: brak walidacji identyfikatora sesji i drzewa w żądaniu złożonym. Funkcja smb2_get_msg() zawsze zwraca pierwszy nagłówek SMB2, co może prowadzić do pominięcia sprawdzenia identyfikatora drzewa. Poprawka używa ksmbd_req_buf_next() do uzyskania bieżącego polecenia.

W jądrze Linux w module ksmbd występuje dostęp poza granicami w funkcji init_smb2_rsp_hdr(). Jeśli klient wyśle żądanie negocjacji SMB2, a następnie SMB1, funkcja jest wywoływana dla żądania SMB1, co prowadzi do problemu. Poprawka ignoruje pakiety SMB1 po ustawieniu need_neg na false.

W jądrze Linux naprawiono podatność w ksmbd: przepełnienie bufora w funkcji ksmbd_decode_ntlmssp_auth_blob(). Jeśli rozmiar klucza sesji w authblob jest większy niż rozmiar klucza sesji (CIFS_KEY_SIZE), może wystąpić przepełnienie w kodach wymiany kluczy. Funkcja cifs_arc4_crypt kopiuje do tablicy klucza sesji z SessionKey od klienta.

W jądrze Linux przed wersją 6.3.4 odkryto problem związany z odczytem poza zakresem w funkcji smb2_find_context_vals. Problem występuje, gdy długość nazwy create_context jest większa niż długość tagu.

W funkcji brcmf_get_assoc_ies w pliku drivers/net/wireless/broadcom/brcm80211/brcmfmac/cfg80211.c jądra Linux wykryto problem odczytu poza granicami bufora (slab-out-of-bounds). Do zdarzenia może dojść, gdy dane assoc_info->req_len są większe niż rozmiar bufora zdefiniowany jako WL_EXTRA_BUF_MAX, co prowadzi do odmowy usługi.

W kodzie transformacji ESP IPsec w plikach net/ipv4/esp4.c i net/ipv6/esp6.c występuje przepełnienie bufora sterty. Umożliwia to lokalnemu atakującemu z uprawnieniami zwykłego użytkownika nadpisanie obiektów jądra, co może prowadzić do eskalacji uprawnień.

W jądrze Linux stwierdzono wadę w przetwarzaniu błędów ICMP (fragmentacja ICMP i przekierowanie ICMP), która umożliwia szybkie skanowanie otwartych portów UDP. Pozwala to zdalnemu użytkownikowi spoza ścieżki na ominięcie randomizacji źródłowego portu UDP.

Funkcja __skb_flow_dissect w jądrze Linux przed wersją 4.3 nie zapewnia inicjalizacji n_proto, ip_proto i thoff, co umożliwia zdalnym atakującym spowodowanie awarii systemu lub potencjalne wykonanie dowolnego kodu za pomocą jednego spreparowanego pakietu MPLS.

Funkcja ip6gre_err w jądrze Linuxa umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu poprzez wykorzystanie flag GRE w pakiecie IPv6, co prowadzi do dostępu poza przydzielony obszar pamięci.

Podatność typu use-after-free w funkcji kvm_ioctl_create_device w jądrze Linux przed wersją 4.8.13 umożliwia użytkownikom systemu operacyjnego gospodarza spowodowanie awarii systemu (denial of service) lub potencjalne uzyskanie uprawnień poprzez spreparowane wywołania ioctl na urządzeniu /dev/kvm.

Funkcja sctp_sf_ootb w jądrze Linux przed wersją 4.8.8 nie sprawdza długości pierwszego kawałka, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (dostęp do pamięci poza przydzielonym obszarem) lub potencjalnie innych nieokreślonych skutków poprzez spreparowane dane SCTP.

Podatność typu use-after-free w funkcji __sys_recvmmsg w jądrze Linux przed wersją 4.5.2 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez nieprawidłowe przetwarzanie błędów podczas wywołania systemowego recvmmsg.

Funkcja usbip_recv_xbuff w jądrze Linux przed wersją 4.5.3 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zapisy poza przydzielonym obszarem pamięci) lub potencjalnie inny nieokreślony wpływ poprzez spreparowaną wartość długości w pakiecie USB/IP.