Podatności Linux kernel

Funkcja nf_nat_redirect_ipv4 w jądrze Linux przed wersją 4.4 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez dereferencję wskaźnika NULL, co prowadzi do awarii systemu. Problem ten jest związany z CVE-2003-1604.

Obsługa suid_dumpable w Linux kernel 2.6.13 do wersji przed 2.6.17.4 oraz 2.6.16 przed 2.6.16.24 pozwala lokalnemu użytkownikowi na wywołanie odmowy usługi (zużycie dysku) i prawdopodobnie uzyskanie uprawnień poprzez argument PR_SET_DUMPABLE funkcji prctl oraz program, który powoduje utworzenie pliku zrzutu w katalogu, do którego użytkownik nie ma uprawnień.

SCTP conntrack (ip_conntrack_proto_sctp.c) w netfilter dla Linux kernel 2.6.17 przed 2.6.17.3 i 2.6.16 przed 2.6.16.23 pozwala zdalnym atakującym na wywołanie odmowy usługi (awaria) poprzez pakiet bez żadnych chunków, co powoduje, że zmienna zawiera nieprawidłową wartość, która jest później używana do dereferencji wskaźnika.

Podatność CVE-1999-0804 dotyczy systemów Linux w wersji 2.2.x, gdzie złośliwe pakiety ICMP o nietypowych typach, kodach i długościach nagłówków IP mogą prowadzić do odmowy usługi.

Wersje jądra Linux 2.2.3 i wcześniejsze umożliwiają zdalnemu atakującemu przeprowadzenie ataku fragmentacji IP, co prowadzi do odmowy usługi.

W jądrze Linux wykryto podatność w mechanizmie cgroup, dotyczącą iteracji po umierających zadaniach (dying_tasks) z zerowym licznikiem referencji. Błąd powoduje wyścig (race condition), w którym iterator może uzyskać dostęp do zadania po jego zwolnieniu, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux w podsystemie nvdimm (pmem) funkcja pmem_submit_bio() rejestruje błąd REQ_PREFLUSH, ale kontynuuje kopiowanie danych bio i może nadpisać błąd udanym flushowaniem REQ_FUA. Pozwala to na wykonanie zapisów danych po nieudanym preflushu i zakończenie bio sukcesem mimo naruszonej bariery kolejności.

W jądrze Linux w podsystemie iSCSI target występuje zawieszenie dla przerwanych komend WRITE_PENDING. Gdy inicjator wysyła pozostałe PDU dataout po przerwaniu, cel nie wywołuje procesu zakończenia, co prowadzi do zakleszczenia wątku roboczego. Poprawka wywołuje target_complete_cmd() po otrzymaniu ostatniego PDU dataout.

W kliencie SMB w jądrze Linux kilka ścieżek kodu bezwarunkowo wywoływało sid_to_id(), nadpisując cf_uid/cf_gid wartościami z serwera, mimo zamontowania z opcjami forceuid/forcegid. Dotyczyło to smb311_posix_info_to_fattr(), cifs_posix_to_fattr() oraz parse_sec_desc(). Umożliwiało to niezaufanemu serwerowi narzucenie lokalnej własności plików wbrew konfiguracji administratora.

W kliencie SMB jądra Linux funkcja cifs_posix_to_fattr() ignoruje wynik posix_info_parse(), co przy nieprawidłowych danych może prowadzić do użycia niezainicjalizowanych SID i potencjalnego wycieku danych z pamięci jądra do procesu mapowania ID. Poprawka sprawdza wynik i pomija mapowanie przy błędzie.

W jądrze Linux sterownik wifi ath9k_htc przechowuje wskaźnik usb_device_id, który nie jest gwarantowany jako trwały dłużej niż funkcja probe z powodu dynamicznego ID. Poprawka polega na przechowywaniu tylko driver_data, ponieważ resztę informacji można uzyskać z usb_device.

W jądrze Linux sterownik sieciowy USB pegasus używa arytmetyki wskaźników na tablicy id, co jest błędne przy dynamicznym ID, ponieważ usb_device_id w probe znajduje się na stercie, a obliczony indeks może być poza zakresem. Poprawka używa pola driver_info zamiast dodatkowej tablicy.

W jądrze Linux sterownik USB xusbatm używał arytmetyki wskaźników na tablicy identyfikatorów urządzeń, co przy dynamicznych identyfikatorach prowadziło do odczytu poza zakresem (wskaźnik na stercie). Poprawka rezygnuje z tej arytmetyki i ustawia no_dynamic_id, ponieważ sterownik i tak nie obsługuje dynamicznych identyfikatorów.

W jądrze Linux sterownik scsi qla2xxx miał dwa błędy na ścieżce błędów tworzenia kolejek: wywołanie dma_free_coherent() ze wskaźnikiem NULL oraz brak spójnego blokowania bitmap (vport_lock vs mq_lock), co mogło prowadzić do wyścigu i nadpisania wpisu kolejki. Poprawka dodaje sprawdzenie NULL i używa mq_lock w funkcjach zwalniających.

W jądrze Linux sterownik scsi qla2xxx na ścieżce błędów qla2x00_mem_alloc() zwalniał wskaźniki, ale ich nie zerował, co prowadziło do podwójnego zwolnienia w qla2x00_mem_free(). Dodatkowo dla dma_pool wywoływano dma_pool_free() po zniszczeniu i wyzerowaniu s_dma_pool, co powodowało dereferencję NULL.

W jądrze Linux naprawiono podatność w gfs2: gfs2_quota_init() sprawdza duplikaty identyfikatorów zmian kwot, trzymając qd_lock i bitlock zasobnika hashy kwot. Ta ścieżka używała gfs2_qd_search_bucket(), która pobiera referencję lockref przez lockref_get_not_dead(). Na PREEMPT_RT może to spać, co nie jest dozwolone pod bitlockiem zasobnika, wywołując 'sleeping function called from invalid context'. Poprawka używa wyszukiwania bez referencji w tej ścieżce i kontynuuje obsługę duplikatów bez pobierania lockref. Refaktoryzuje gfs2_qd_search_bucket(), aby opierać się na pomocniku bez referencji, tak aby przechodzenie pozostało w jednym miejscu.

W jądrze Linux naprawiono podatność w gfs2: przeniesiono inkrementację iteratora qc w pętli gfs2_quota_init() z ciała pętli do wyrażenia inkrementacji pętli for. To sprawia, że postęp iteratora jest jawny i unika mieszania przesuwania wskaźnika z obsługą duplikatów w ciele pętli.

W jądrze Linux naprawiono podatność w drm/xe: w xe_devcoredump_snapshot_free() ss->gt może być NULL, gdy zrzut nie został w pełni wypełniony (np. gdy czyszczenie jest wywoływane bez wcześniejszego przechwycenia). Zabezpieczono wywołanie xe_guc_capture_put_matched_nodes() za pomocą IS_ERR_OR_NULL(), aby zapobiec wyłuskaniu null. W xe_devcoredump_free() praca odroczona jest kolejkowana tylko wtedy, gdy zrzut jest przechwycony, więc zabezpieczono cancel_work_sync() sprawdzeniem coredump->captured.

W jądrze Linux naprawiono podatność w cfg80211: odrzucanie duplikatów wpisów w cipher_suites w wiphy. Duplikaty nie opisują żadnej dodatkowej zdolności, ale cfg80211 je akceptuje, pozostawiając konsumentom radzenie sobie z nimi. Kod WEXT dodaje długość klucza WEP dla każdego wpisu WEP, co może przepełnić stałą tablicę iw_range::encoding_size zwracaną przez SIOCGIWRANGE. Poprawka odrzuca duplikaty w wiphy_register(), co powoduje wczesny błąd -EINVAL dla nieprawidłowych opisów wiphy.

W jądrze Linux naprawiono podatność w nl80211: odrzucanie beaconów z nieprawidłowym elementem HE operation. Element HE operation musi być nie tylko dłuższy niż część stała, ale także mieć odpowiedni rozmiar dla części zmiennej wewnątrz. Dodano sprawdzenie tego.

W sterowniku rtw88 doszło do wyłuskania pustego wskaźnika w funkcji rtw_fw_adaptivity_result(). Na urządzeniach z układem 8821CE, które nie definiują pola edcca_th, kernel wywołuje błąd oops. Poprawka dodaje sprawdzenie na NULL przed wyłuskaniem, zapobiegając awarii.

W sterowniku i3c svc dla NPCM845 wystąpił problem z fałszywym zdarzeniem SLVSTART, które powoduje burzę przerwań. Po emisji warunku STOP kontroler zgłasza nowe zdarzenie, tworząc pętlę i potrafiąc zawiesić procesor. Poprawka czyści bit stanu SLVSTART po wykonaniu STOP, przerywając pętlę.

W sterowniku media chips-media wave5 wykryto problem z blokadą w funkcji handle_dynamic_resolution_change. Wywołanie w initialize_sequence nieprawidłowo nie uzyskuje blokady. Ponadto funkcje v4l2_ctrl_find i s_ctrl mogą spać, więc nie powinny być wywoływane z trzymaną blokadą. Poprawka zapamiętuje wartość fbc_buf_count i aktualizuje sterowanie po zwolnieniu blokady.

W sterowniku chips-media wave5 występuje ryzyko użycia po zwolnieniu (use-after-free) w momencie usuwania instancji z listy. Wątek IRQ może uzyskać blokadę między zwolnieniem m2m_ctx a jego usunięciem, co prowadzi do dereferencji pustego wskaźnika.

W sterowniku SPI Qualcomm QSPI stwierdzono niekompletne zarządzanie błędami w trybie runtime PM. W trakcie zawieszania lub wznawiania system może pozostać w niespójnym stanie, prowadząc do braku równowagi zegarów i zasilania. Poprawka zmienia kolejność operacji i dodaje odpowiednie sprawdzanie błędów z czyszczeniem zasobów.

W module mac80211 wykryto dostęp poza zakresem w funkcji dodającej nagłówek radiotap dla monitorowania w trybie NAN. Gdy pasmo jest ustawione na NUM_NL80211_BANDS, dostęp do tablicy sbands powoduje błąd. Poprawka pomija dostęp do tej tablicy, gdy pasmo jest nieprawidłowe.

W sterowniku Thunderbolt znaleziono wyciek pamięci w funkcji __tb_xdomain_response(). Gdy wywołanie tb_cfg_request() nie powiedzie się i zwróci błąd, nie jest wywoływane wywołanie zwrotne, co prowadzi do utraty pamięci. Poprawka wywołuje tb_cfg_request_put() w przypadku błędu.

W sterowniku Thunderbolt brakuje utrzymywania referencji do XDomain przez czas życia usługi. Ponieważ identyfikator usługi jest zwalniany w tb_service_release(), a tablica identyfikatorów należy do rodzica XDomain, istnieje ryzyko użycia po zwolnieniu. Poprawka utrzymuje referencję.

W sterowniku Thunderbolt po zatrzymaniu domeny nie ustawia się wskaźnika root_switch na NULL. Poprawka ustawia go na NULL, co powoduje, że tb_xdp_handle_request() zwraca błąd do zdalnego hosta. Jednocześnie należy utrzymać uuid, aby odpowiadać do momentu zwolnienia domeny.

W sterowniku dm1105 brakuje sprawdzenia błędu przy alokacji pamięci DMA. Wynik dm1105_dma_map() jest ignorowany w dm1105_hw_init(). Jeśli dma_alloc_coherent() zawiedzie, sterownik użyje wskaźnika NULL dla transferów DMA, co może prowadzić do błędu oops lub nieprawidłowego dostępu do sprzętu. Poprawka dodaje sprawdzenie i propaguje błąd -ENOMEM.

W jądrze Linux w sterowniku crypto ixp4xx występuje podatność na dereferencję wskaźnika NULL podczas alokacji buforów łańcucha. W przypadku niepowodzenia alokacji, kod ustawia buf na NULL i później bezwarunkowo go dereferencjonuje, co może prowadzić do awarii systemu. Dodatkowo, częściowo zbudowany łańcuch nie jest poprawnie zwalniany.

W jądrze Linux w podsystemie PCI/sysfs brakuje sprawdzenia uprawnień CAP_SYS_ADMIN w funkcji __resource_resize_store(). Pozwala to nieuprzywilejowanym użytkownikom na zmianę rozmiaru BAR, co może zakłócić działanie sterowników.

W jądrze Linux w sterowniku watchdog lenovo_se10_wdt występuje podatność na użycie po zwolnieniu (use-after-free) oraz ryzyko wycieku zasobów. Problem dotyczy wskaźnika se10_pdev, który nie jest zerowany po zwolnieniu, oraz wywołania zwrotnego DMI.

W jądrze Linux w podsystemie genirq/proc bufor na nazwy katalogów /proc/irq/<n>/ jest za mały dla 10-cyfrowych numerów przerwań. Może to prowadzić do przepełnienia bufora podczas formatowania nazwy.

W jądrze Linux w sterowniku mmc davinci występuje podatność na dereferencję wskaźnika NULL w procedurze obsługi przerwań. Gdy host->data jest NULL, a w qstatus ustawione są bity TOUTRD lub CRCWR/CRCRD, kod dereferencjonuje data bez sprawdzenia, co prowadzi do awarii.

W jądrze Linux w sterowniku pinctrl mediatek paris występuje problem z użyciem pinctrl_gpio_direction_input/output, które biorą mutex pinctrl, co powoduje, że operacje gpiochip muszą spać. Ponieważ pole .can_sleep nie jest ustawione, może dojść do użycia spinlocka zamiast mutexa, co wywołuje ostrzeżenia.

W jądrze Linux w sterowniku wifi rtw89 phy brakuje sprawdzenia długości przed parsowaniem elementu PHY status IE. Sprzęt może zgłosić nieoczekiwaną długość, co może prowadzić do odczytu poza zakresem.

W jądrze Linux w podsystemie coresight perf występuje wyścig (race condition) związany z użyciem wskaźnika csdev_src per-CPU podczas rejestracji i wyrejestrowania urządzeń. Poprawka pobiera ścieżkę i źródło z danych zdarzenia, aby uniknąć wyścigu.

W jądrze Linux w sterowniku drm/amdgpu/userq obiekty mqd i fw nie są przypięte (pinned), co może prowadzić do ich wywłaszczenia (eviction). Podczas wywłaszczenia sprzęt używa nieprawidłowych adresów, co powoduje błędy stron i zawieszenie systemu.

W jądrze Linux w sterowniku drm/amdkfd funkcja allocate_sdma_queue nie sprawdza granic dla parametru restore_sdma_id, co może prowadzić do nieprawidłowego dostępu do pamięci.

W jądrze Linux w funkcji get_wave_state() sterownika drm/amdkfd wartości cp_hqd_cntl_stack_size i cp_hqd_cntl_stack_offset są odczytywane bezpośrednio z MQD i nie są weryfikowane. Na ścieżce przywracania CRIU (AMDKFD_IOC_RESTORE_PROCESS) atakujący może kontrolować te wartości, co prowadzi do nieograniczonego copy_to_user() i wycieku sąsiedniej pamięci GTT/jądra (nawet ~4 GiB przy niedomiarze lub 1 MiB przy zaniżonej alokacji).

W jądrze Linux w funkcji allocate_doorbell sterownika drm/amdkfd istnieje możliwość ustawienia identyfikatora doorbell na konkretną wartość (używaną przez CRIU) bez sprawdzenia jej zakresu. Brak walidacji może prowadzić do użycia wartości spoza dozwolonego zakresu.

W jądrze Linux w sterowniku drm/amdgpu funkcja psp_copy_fw została zmieniona z void na int, aby zwracać -ENODEV gdy drm_dev_enter zawiedzie oraz -EINVAL gdy rozmiar obrazu jest zerowy lub większy niż 1 MiB bufora prywatnego PSP. Zastąpiono również ręczne memset/memcpy do fw_pri_buf wywołaniem psp_copy_fw.

W jądrze Linux w sterowniku drm/amdgpu liczba wpisów tabeli GPIO I2C pochodząca z VBIOS nie jest odpowiednio ograniczana. Poprawka odrzuca zbyt małe tabele i ogranicza wyliczoną liczbę wpisów do AMDGPU_MAX_I2C_BUS, aby uniknąć przepełnienia adev->i2c_bus[] lub przetwarzania absurdalnie dużej liczby wpisów przy uszkodzonych polach rozmiaru.

W jądrze Linux w podsystemie wifi: mac80211 funkcja ieee80211_handle_reconfig_failure jest wywoływana przy nieudanej rekonfiguracji NAN, co oznacza wszystkie interfejsy jako nieobecne w sterowniku. Następnie cfg80211_shutdown_all_interfaces niszczy interfejsy, ale stany innych interfejsów (np. BSS station) nie są zgłaszane sterownikowi, co może pozostawić wiszące wskaźniki do stacji i linków (przynajmniej w iwlwifi).

W jądrze Linux w podsystemie net/rds funkcja rds_ib_conn_path_shutdown usypia wątek roboczy na wywołaniu wait_event, co blokuje inne elementy kolejki i powoduje zawieszenie podczas zamykania konfiguracji sieci ib. Poprawka zmienia wait_event na wait_event z limitem czasu i pętlę aż do spełnienia warunku.

W jądrze Linux system plików affs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux system plików bfs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux system plików qnx4 używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.