Podatności Linux kernel

W jądrze Linux system plików jfs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux podsystem hpfs nie obsługuje poprawnie błędów funkcji set_blocksize. System plików hpfs używa buforów (buffer_heads), które nie radzą sobie z rozmiarem bloku większym niż PAGE_SIZE, co przy montowaniu powoduje wystąpienie BUG_ON w folio_set_bh.

Podobnie jak w hpfs, omfs w jądrze Linux nie obsługuje błędów set_blocksize. System używa buforów, które nie wspierają rozmiarów bloku większych niż PAGE_SIZE, co przy montowaniu wywołuje BUG_ON w folio_set_bh.

W sterowniku usbip vhci_hcd funkcja status_show_vhci nie sprawdza poprawnie wartości NULL z platform_get_drvdata(). Jeśli inicjalizacja kontrolera VHCI nie powiedzie się (np. z powodu wyczerpania numerów magistrali USB), hcd jest NULL, a wywołanie hcd_to_vhci_hcd() prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux (USB HCD) występuje możliwy deadlock podczas przesyłania kontrolnego do root hub. Gdy w obsłudze błędów SCSI wymagana jest alokacja pamięci, a przy resetowaniu urządzenia konieczne są transfery kontrolne do root hub, usbcore nie przekazuje odpowiednio flag do usb_submit_urb(). Problem dotyczy wszystkich sterowników magazynujących.

W sterowniku USB gadget goku_udc wystąpił przypadek dereferencji wskaźnika NULL w logu podczas obsługi przerwania INT_USBRESET. Gdy kontroler zgłosi reset USB zanim jakikolwiek sterownik gadżetu zostanie załadowany (lub po jego odwiązaniu), dev->driver jest NULL i wywołanie INFO() dereferencuje go, co powoduje awarię.

W sterowniku szeregowym 8250 w jądrze Linux występuje podatność polegająca na braku obsługi flagi FIFO error IRQ (FIFOE). Podczas fazy startowej może to spowodować zablokowanie procesora w ISR (soft lockup), ponieważ zgłoszenie IRQ_HANDLED bez obsłużenia błędu powoduje natychmiastowe ponowne przerwanie.

W jądrze Linuxa w funkcji serial8250_register_8250_port() istnieje podatność na dereferencję NULL, gdy zarówno istniejący slot uart, jak i up mają NULL w polu ->dev. Kod sprawdza tylko, czy up->port.dev jest nie-NULL, ale następnie bezwarunkowo wywołuje has_acpi_companion(uart->port.dev), co prowadzi do dereferencji NULL i awarii jądra.

W jądrze Linux występuje problem w rdzeniu sterowników (driver core), gdzie przy usuwaniu urządzenia, którego dostawca jest w trakcie odłączania (unbinding), generowane jest fałszywe ostrzeżenie jądra. Sytuacja ma miejsce, gdy status łącza dostawcy nie jest ustawiony na DL_DEV_DRIVER_BOUND, lecz na DL_DEV_UNBINDING, co jest prawidłowe w trakcie kaskadowego odłączania konsumentów. Ostrzeżenie pojawia się w funkcji __device_links_no_driver podczas usuwania sterownika, np. lan966x_pci.

W jądrze Linux wykryto podatność w module virt: acrn, prowadzącą do użycia po zwolnieniu (use-after-free) podczas zamykania eventfd. Wyścig między funkcjami acrn_irqfd_deassign() a wybudzeniem EPOLLHUP może spowodować podwójne zwolnienie struktury hsm_irqfd, co umożliwia atakującemu wykorzystanie zwisającego wskaźnika. Problem rozwiązano, zmieniając model zarządzania cyklem życia irqfd na wzór KVM.

W jądrze Linux (RDMA/counter) występuje wyciek licznika num_counters w funkcji alloc_and_bind() po nieudanym wywołaniu __rdma_counter_bind_qp(). W ścieżce błędu nie jest dekrementowany num_counters, co w przypadku powtarzających się awarii może zablokować przejście portu w tryb AUTO (-EBUSY) oraz uniemożliwić automatyczne cofnięcie MANUAL→NONE.

W jądrze Linux naprawiono podatność w module RDS, w której opcje getsockopt z rodziny RDS_INFO_* nie filtrowały odczytywanych globalnych list według przestrzeni nazw sieci (netns) wywołującego. Nieuprzywilejowany użytkownik w nowej przestrzeni nazw użytkownika i sieci mógł odczytać adresy i numery sekwencji wszystkich gniazd oraz połączeń RDS na hoście.

W jądrze Linux sterownik tegra/soctherm nie wyrejestrowywał urządzeń chłodzących przy usuwaniu modułu, pozostawiając w frameworku thermal odwołania do zwolnionej pamięci. Zmiana przechodzi na rejestrację przez devm, co automatycznie zwalnia zasoby i usuwa problem.

W jądrze Linux w sterowniku iwlwifi (tryb MLD) występuje podatność prowadząca do paniki jądra podczas nieudanej rekonfiguracji po błędzie karty sieciowej. Problem wynika z przetwarzania asynchronicznych powiadomień z martwego firmware, które odwołują się do już zwolnionej pamięci (dangling pointer). Poprawka polega na natychmiastowym czyszczeniu powiadomień po zgłoszeniu błędu NIC.

W jądrze Linux funkcja rapl_add_package_cpuslocked() w powercap/intel_rapl zwraca błąd bez zwolnienia wcześniej zaalokowanej struktury rapl_package, co powoduje wyciek pamięci przy każdym nieudanym dodaniu pakietu. Poprawka używa istniejącej etykiety err_free_package do zwolnienia alokacji.

W jądrze Linux po czasowej deprecjacji prefiksu IPv6 przez router i późniejszym jego przywróceniu kernel trwale traci możliwość generowania tymczasowych adresów prywatności (RFC 8981) dla tego prefiksu. Poprawka resetuje licznik regen_count dla najnowszego adresu tymczasowego przy aktualizacji z Router Advertisement.

W jądrze Linux w komponencie ACPICA poprawiono sprawdzanie warunku dla AML_ELSE_OP w funkcji acpi_ps_parse_loop(), aby zapobiec dostępowi poza granice bufora. Błąd mógł prowadzić do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux w komponencie ACPICA naprawiono błąd use-after-free w funkcji acpi_ds_terminate_control_method() poprzez wyczyszczenie odwołań do lokalnych zmiennych i argumentów metody. Błąd mógł prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w komponencie ACPICA dodano sprawdzanie granic w funkcji acpi_ps_get_next_field(), aby zapobiec dostępowi poza granice bufora. Błąd mógł prowadzić do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux w komponencie ACPICA dodano walidację odczytu długości pakietu w funkcji acpi_ps_get_next_package_length(). Brak walidacji mógł prowadzić do nieprawidłowego przetwarzania danych AML.

W jądrze Linux w komponencie ACPICA uniemożliwiono dodawanie nieprawidłowych odwołań dla obiektów lokalnych, argumentów i obiektów debugowania w funkcji acpi_ut_copy_simple_object(). Błąd mógł prowadzić do nieprawidłowego stanu wewnętrznego interpretera ACPI.

W jądrze Linux występuje przepełnienie liczb całkowitych w funkcji acpi_ex_opcode_3A_1T_1R() (mid_op) w ACPICA. Brak sprawdzenia przepełnienia przy dodawaniu Index + Length może skutkować przekazaniem ujemnego rozmiaru do memcpy().

W jądrze Linux w ACPICA brakuje walidacji typu obiektu handlera w funkcjach acpi_ev_has_default_handler() oraz acpi_ev_find_region_handler(). Może to pozwolić na nieprawidłowe operacje na obiektach handlera.

W jądrze Linux w ACPICA brakuje sprawdzeń limitu pakietu w funkcjach parsera. Może to umożliwić dostęp poza granicami bufora.

W jądrze Linux w ACPICA brakuje walidacji węzła w funkcji acpi_ns_build_normalized_path(). Może to prowadzić do podatności typu use-after-free.

W jądrze Linux w ACPICA wzmocniono walidację OEM ID i Table ID w funkcji acpi_ex_load_table_op(). Brak tej walidacji mógł prowadzić do przepełnienia bufora.

W jądrze Linux w ACPICA funkcja acpi_ns_custom_package() bezwarunkowo dereferencjonuje pierwszy element pakietu _BIX bez sprawdzenia NULL. Gdy firmware zwróci pakiet _BIX z nierozwiązywalnym odwołaniem, ACPICA ocenia ten wpis jako NULL, co prowadzi do awarii.

W jądrze Linux naprawiono podatność w ACPICA polegającą na niewystarczającej walidacji bufora w funkcji acpi_ut_walk_aml_resources(). Brak odpowiednich sprawdzeń mógł prowadzić do przepełnienia bufora.

W jądrze Linux naprawiono podatność w ACPICA polegającą na braku kontroli granic w funkcjach acpi_ps_get_next_namestring() i acpi_ps_peek_opcode(). Brak tych kontroli mógł prowadzić do dostępu poza zakres pamięci.

W jądrze Linux naprawiono problem w perf/ftrace, gdzie funkcja perf_ftrace_function_unregister() wywoływała unregister_ftrace_function() bez sprawdzenia, czy ftrace_ops został pomyślnie zarejestrowany. To powodowało ostrzeżenie WARN_ON w __unregister_ftrace_function(), gdy flaga FTRACE_OPS_FL_ENABLED nie była ustawiona.

W jądrze Linux naprawiono podatność w sterowniku wifi ath11k, gdzie w pewnych przypadkach sprzęt mógł dostarczać pakiety o długości większej niż maksymalna długość nagłówka natywnego Wi-Fi. To mogło prowadzić do nieprawidłowego dostępu do danych i uszkodzenia pamięci w funkcji ath11k_dp_rx_h_undecap_nwifi().

W jądrze Linux naprawiono podatność w sterowniku ata: ahci, gdzie gdy kontroler AHCI jest wyłączony w BIOS-ie, rejestr HOST_CAP może zawierać błędną wartość (np. 0xFFFFFFFF). Jeśli CAP.NP deklaruje więcej portów niż fizycznie mieści się w zmapowanym obszarze BAR, dostęp do rejestrów portów poza granicą BAR powoduje panikę jądra.

W jądrze Linux naprawiono wyciek referencji węzła w net: qrtr. Funkcja qrtr_send_resume_tx() wywołuje qrtr_node_lookup(), która zwiększa licznik referencji węzła. Jeśli kolejne wywołanie qrtr_alloc_ctrl_packet() nie powiedzie się z powodu braku pamięci, funkcja zwraca -ENOMEM bez zwolnienia referencji.

W jądrze Linux w systemie plików NTFS3 odkryto podatność, która może doprowadzić do wywołania wskaźnika NULL podczas zapisu do pliku po zmianie atrybutów system.ntfs_attrib i system.dos_attrib. Problem wynika z nadpisywania pełnych atrybutów DOS, co powoduje niespójność między flagami kompresji a operacjami mapowania pamięci. Poprawka zachowuje bity atrybutów niedosowych, aby utrzymać spójność stanu skompresowanego i rzadkiego.

W jądrze Linux naprawiono podatność w ntfs3 polegającą na odczycie poza zakresem w funkcjach ntfs_dir_emit() i hdr_find_e(). Błędne sprawdzenie granic w ntfs_dir_emit() nie uwzględniało kodowania UTF-16LE (2 bajty na znak) ani rozmiaru nagłówka ATTR_FILE_NAME, co pozwalało na odczyt poza granicami wpisu.

W jądrze Linux naprawiono problem w dpaa2-switch dotyczący zarządzania FDB podczas opuszczania mostu. Funkcja dpaa2_switch_port_set_fdb() zawsze przydzielała nowe FDB dla portu stającego się samodzielnym, co w przypadku wielu mostów na tym samym DPSW prowadziło do współdzielenia FDB przez wiele portów.

W jądrze Linux w sterowniku DSA sja1105 funkcja dsa_port_from_netdev() może zwrócić port należący do innego układu przełącznika. Zapisanie indeksu portu innego układu do lokalnego sprzętu powoduje przekierowanie do złego portu lub dostęp poza zakresem, jeśli indeks przekracza liczbę portów lokalnego układu.

W jądrze Linux w sterowniku dpaa2-switch instancje NAPI dla urządzenia DPSW są współdzielone przez wszystkie porty, ale wyłączane dopiero gdy ostatni port zostanie zamknięty. Na ścieżce usuwania (.remove()) porty są wyrejestrowywane pojedynczo, co powoduje usunięcie instancji NAPI, mimo że nie zostały one wyłączone.

W jądrze Linux w sterowniku NVMe brakuje walidacji rozmiarów deskryptorów podczas przetwarzania logu konfiguracji FDP. Deskryptor o rozmiarze dsze == 0 lub wykraczający poza koniec logu może powodować nieograniczoną iterację lub odczyt poza buforem.

W jądrze Linux w sterowniku iwlwifi (mvm) obsługa powiązania P2P-Device może pozostawić wskaźnik phy_ctxt jako cache PHY po zakończeniu remain-on-channel. Kolejna aktualizacja powiązania przez interfejs stacji ponownie dodaje P2P-Device do powiązania, a jego usunięcie usuwa kontekst PHY pozostawiony w powiązaniu, co powoduje awarię firmware'u.

W jądrze Linux w sterowniku drm/amd/display wywołanie dc_update_planes_and_stream osobno dla strumienia i jego strumienia fantomowego powoduje dereferencję wskaźnika NULL, ponieważ strumień fantomowy jest niszczony przy pierwszym wywołaniu.

W jądrze Linux sterownik xhci może kolejkować nowe polecenia na pierścieniu poleceń, nawet gdy kontroler xHC jest oznaczony jako niedostępny flagą HCD_FLAG_HW_ACCESSIBLE. Flaga ta jest ustawiana i czyszczona podczas suspend i resume.

W jądrze Linux w sterowniku drm/amdkfd funkcja wait_on_destroy_queue() zwalnia blokady, aby poczekać na wznowienie kolejki, co pozwala równoległemu procesowi zniszczyć kolejkę i doprowadzić do użycia po zwolnieniu (UAF).

W jądrze Linux w sterowniku drm/amdgpu parsowanie FRU PIA używa otwartego przejścia TLV bez ograniczeń odczytu. Zastąpienie go funkcjami fru_pia_advance() i fru_pia_copy_field() ogranicza każdy odczyt do rzeczywistej długości danych EEPROM.

W jądrze Linux w sterowniku drm/amd/pm funkcja pp_dpm_set_pp_table() używa memcpy z rozmiarem pochodzącym z zapisu sysfs (do PAGE_SIZE) bez górnego ograniczenia, podczas gdy bufor hardcode_pp_table jest alokowany raz z soft_pp_table_size. Powoduje to przepełnienie sterty.

W jądrze Linux w sterowniku drm/amdgpu/pm funkcja obsługi sysfs SmartShift bias zwraca błąd parsowania po nabyciu dostępu PM, co prowadzi do niezrównoważenia licznika referencji PM.

W jądrze Linux wystąpiła podatność na przepełnienie bufora podczas aktualizacji vBIOS w sterowniku drm/amdgpu. Brakuje ograniczenia pozycji zapisu do maksymalnego rozmiaru bufora, co może pozwolić na zapis poza zakresem. Aktualizacja dodaje ograniczenie, które blokuje niebezpieczny dostęp przez warstwę VFS.

W jądrze Linux w sterowniku drm/amdgpu/ras występuje problem z obsługą przerwania cp_ecc_error_irq. Przerwanie jest rejestrowane w jednym miejscu, a zwalniane w innym, co może prowadzić do podwójnego zwolnienia lub użycia po zwolnieniu. Poprawka przenosi zwolnienie do odpowiednich funkcji i dodaje callback ras_suspend.

W jądrze Linux w sterowniku cxl/region występuje podatność na dostęp poza zakresem tablicy. Funkcja construct_region() używa wartości part do indeksowania tablicy bez sprawdzenia, czy nie jest ujemna. Gdy partycja nie została rozwiązana, part pozostaje na -1, co powoduje nieprawidłowy odczyt pamięci.

W jądrze Linux w sterowniku drm/amdkfd występuje luka umożliwiająca wyciek informacji między procesami. Funkcja kfd_smi_ev_enabled() pomija sprawdzenie uprawnień dla pid=0, a zdarzenia PROCESS_START, PROCESS_END i VMFAULT są wysyłane z pid=0, ale zawierają dane innych procesów. Umożliwia to użytkownikom w grupie render monitorowanie wszystkich obciążeń GPU.