Podatności Linux kernel

W jądrze Linux w funkcji ib_umem_find_best_pgsz() występują problemy z warunkami granicznymi, szczególnie na architekturze 32-bitowej. Może dojść do obcięcia wartości iova oraz przepełnienia przy długościach większych niż 4 GB. Poprawka ujednolica typy i dodaje odpowiednie sprawdzenia.

W jądrze Linuxa wykryto podatność w mechanizmie BPF zastępującym wartości sysctl. Funkcja bpf_sysctl_set_new_value kopiowała dane bez dodawania znaku NUL, co powodowało odczyt poza zakresem bufora przez parsery takie jak bitmap_parse. Luka została naprawiona przez dopisywanie '\0' po zastąpionej wartości.

W jądrze Linux w sterowniku hsr występuje problem z wysyłaniem powiadomień netlink do niewłaściwej przestrzeni nazw. Funkcje hsr_nl_ringerror() i hsr_nl_nodedown() używają genlmsg_multicast(), które dostarcza tylko do domyślnej przestrzeni init_net, a urządzenia HSR mogą działać w innych przestrzeniach nazw. Prowadzi to do tego, że zdarzenia nie docierają do właściwych odbiorców.

W jądrze Linux w sterowniku ALSA es18xx występuje możliwość dereferencji wskaźnika NULL podczas tworzenia kontroli. Funkcja snd_es18xx_mixer() nie sprawdza, czy alokacja kontroli się powiodła, co przy braku pamięci może doprowadzić do odwołania do NULL.

W jądrze Linux w module netfilter nf_conntrack występuje problem z nieprawidłowym wyrównaniem pamięci w funkcji tcp_sack(). Szybka ścieżka dla pakietów z tylko znacznikiem czasu odwołuje się do strumienia opcji jako wartości __be32, co zakłada wyrównanie do 4 bajtów, które nie jest gwarantowane w opcjach TCP. Użycie get_unaligned_be32() jest bezpieczniejsze.

W jądrze Linux w systemie plików Btrfs wykryto podatność prowadzącą do wyłuskania pustego wskaźnika (null-ptr-deref) podczas operacji równoważenia (balance). Problem występuje, gdy uszkodzone metadane pozostawiają wpis o przydziale (chunk) w drzewie chunków bez odpowiadającego bloku grupy (block group) w pamięci podręcznej. Funkcja btrfs_may_alloc_data_chunk() nie sprawdza poprawnie wyniku wyszukiwania bloku grupy, co przy wyłączonym CONFIG_BTRFS_ASSERT prowadzi do awarii jądra.

W jądrze Linux w systemie plików btrfs walidator drzewa nie sprawdzał poprawności nazw w elementach ROOT_REF i ROOT_BACKREF. Uszkodzony element mógł spowodować, że czytelnicy używali długości nazwy z dysku bezpośrednio, co prowadziło do odczytu poza elementem i kopiowania zbyt wielu bajtów do bufora UAPI w BTRFS_IOC_GET_SUBVOL_INFO. Dodano walidację w tree-checker oraz ograniczono kopiowanie do zweryfikowanej długości nazwy.

W jądrze Linux w sterowniku ASoC dla MediaTek mt8365 funkcja mt8365_afe_suspend() nie sprawdzała wyniku alokacji bufora kopii zapasowej rejestrów, co mogło prowadzić do wyłuskania pustego wskaźnika. Dodano brakujące sprawdzenie NULL i propagację błędu w mt8365_afe_dev_runtime_suspend(), aby nie aktualizować stanu zawieszenia przy niepowodzeniu.

W jądrze Linux w sterowniku pds_core funkcja pdsc_teardown() zwalniała bufory DMA bez wyłączania masteringu magistrali, co mogło prowadzić do użycia po zwolnieniu, jeśli urządzenie zapisywało do zwolnionej pamięci. Dodano pci_clear_master() przed zwolnieniem zasobów oraz pci_set_master() w pdsc_setup() dla ścieżki odzyskiwania firmware.

W jądrze Linux w sterowniku sieciowym IBM EMAC MAL funkcja mal_remove() wywoływała napi_disable() bezwarunkowo, co mogło prowadzić do zawieszenia systemu, jeśli NAPI nie było włączone lub było już wyłączone. Poprawka polega na wywoływaniu napi_disable() tylko wtedy, gdy lista commac nie jest pusta.

W jądrze Linux w netconsole funkcja drop_netconsole_target() usuwała cel z listy, trzymając tylko target_list_lock, podczas gdy inny wątek (cleanup worker) mógł przetwarzać target_cleanup_list pod target_cleanup_list_lock. To mogło prowadzić do uszkodzenia listy. Poprawka polega na przejęciu target_cleanup_list_lock wokół list_del(), aby zserializować operacje.

W jądrze Linux w Bluetooth L2CAP funkcja l2cap_recv_frame() odczytywała dwubajtowy PSM z ramek bezpołączeniowych bez sprawdzenia, czy ramka zawiera wystarczającą ilość danych. Uszkodzona ramka z zerowym lub jednobajtowym ładunkiem mogła spowodować odczyt poza zakresem. Dodano odrzucanie ramek, które nie mogą zawierać PSM.

W jądrze Linux w sterowniku ASoC rockchip_pdm funkcja rockchip_pdm_set_fmt() ignorowała wartość zwracaną przez pm_runtime_get_sync(), co mogło prowadzić do dostępu do rejestrów bez zasilania, jeśli resume się nie powiedzie. Zastąpiono ją funkcją pm_runtime_resume_and_get() i dodano wczesny powrót w przypadku błędu.

W jądrze Linux w podsystemie sieciowym stmmac dla XGMAC2 włączony był przerywacz RBUE (RX Buffer Unavailable), który przy dużym obciążeniu RX powodował burzę przerwań MAC. Poprawka wyłącza RBUE z domyślnej maski przerwań, ponieważ jest on zbędny — normalne przerwanie RIE już uruchamia NAPI i uzupełnia deskryptory. Dzięki temu zapobiega się przeciążeniu systemu przy jednoczesnym zachowaniu normalnej obsługi RX.

W kliencie SMB jądra Linux wątek cifsd może uzyskać dostęp do struktury tcp_ses, zanim wątek nadrzędny zakończy jej inicjalizację, co prowadzi do wyścigu. Dodatkowo makro kthread_run może uruchomić wątek przed zwróceniem wskaźnika, co w przypadku wywłaszczenia jądra powoduje zawieszenie wątku oczekującego na SIGKILL. Poprawka przenosi utworzenie wątku po wypełnieniu wszystkich pól tcp_ses i rozdziela kthread_create od wake_up_process.

W systemie plików exfat jądra Linux, gdy rozmiar tablicy upcase w wpisie katalogowym wynosi zero (np. z powodu uszkodzonego nośnika), przepełnienie liczby całkowitej powoduje nieskończoną pętlę modułu. Poprawka nie ładuje tablicy przy zerowym rozmiarze, używa domyślnej tablicy upcase, a jeśli tablica nie zostanie znaleziona, oznacza wolumin jako tylko do odczytu.

W virtio-fs jądra Linux funkcja virtio_fs_setup_vqs() zwalnia fs->vqs i fs->mq_map w ścieżce błędu, a następnie virtio_fs_ktype_release() zwalnia je ponownie, co prowadzi do podwójnego zwolnienia i wiszących wskaźników. Poprawka ustawia wskaźniki na NULL po kfree(), dzięki czemu późniejsze zwolnienie jest bezpieczne. Problem można wywołać, gdy uszkodzone urządzenie virtio-fs zgłasza więcej kolejek niż transport zapewnia.

W sterowniku HID hidpp jądra Linux, jeśli input_register_device() zawiedzie, wywoływane jest input_free_device(), ale w hidpp->input pozostaje nieaktualny wskaźnik do starego urządzenia, co może prowadzić do use-after-free. Poprawka resetuje wskaźnik do NULL przed powrotem z hidpp_connect_event().

W podsystemie SPI jądra Linux funkcja spi_get_device_match_data() nie sprawdza, czy spi_get_device_id() zwróciło NULL, co może prowadzić do dereferencji wskaźnika NULL. Sytuacja może wystąpić przy użyciu driver_override bez pasującego wpisu SPI ID. Poprawka dodaje sprawdzenie NULL.

W podsystemie TLS jądra Linux integracja TLS z sockmap (BPF psock) ukrywa wiele błędów, które są potencjalnie eksploatowalne. Ponieważ nie znaleziono aktywnych użytkowników tej integracji, poprawka odrzuca próby konfiguracji kluczy TLS na gniazdach sockmap. Dodanie gniazda TLS do sockmap było już blokowane przez sk_psock_init().

W sterowniku drm/amdkfd jądra Linux rozmiar bufora zwracanego do przestrzeni użytkownika w ioctl AMDKFD_IOC_GET_DMABUF_INFO jest kontrolowany przez użytkownika. Złośliwa wartość (np. 2 GiB) może wywołać alokację rzędu MAX i OOM w kontekście jądra. Poprawka pozwala sterownikowi ustalić rozmiar bufora na podstawie rzeczywistego rozmiaru metadanych.

W sterowniku PCI iproc jądra Linux usuwanie głównej magistrali (root bus) nie jest chronione blokadą pci_rescan_remove_lock, co może powodować wyścig z równoczesnym rescanem lub operacjami hotplug wywołanymi przez sysfs. Poprawka zakłada blokadę podczas zatrzymywania i usuwania magistrali.

W sterowniku PCI altera jądra Linux usuwanie głównej magistrali (root bus) nie jest chronione blokadą pci_rescan_remove_lock, co może powodować wyścig z równoczesnym rescanem lub operacjami hotplug wywołanymi przez sysfs. Poprawka zakłada blokadę podczas zatrzymywania i usuwania magistrali.

W jądrze Linux w sterowniku PCI rockchip nie trzymano blokady pci_rescan_remove_lock podczas zatrzymywania i usuwania magistrali głównej. Brak tej blokady umożliwiał wyścig z równoległym rescanem lub operacjami hotplug wywoływanymi przez sysfs.

W jądrze Linux w sterowniku PCI mediatek nie trzymano blokady pci_rescan_remove_lock podczas zatrzymywania i usuwania magistrali głównej. Brak tej blokady umożliwiał wyścig z równoległym rescanem lub operacjami hotplug wywoływanymi przez sysfs.

W jądrze Linux w sterowniku PCI plda nie trzymano blokady pci_rescan_remove_lock podczas zatrzymywania i usuwania magistrali głównej. Brak tej blokady umożliwiał wyścig z równoległym rescanem lub operacjami hotplug wywoływanymi przez sysfs.

W jądrze Linux podsystem perf używa event::addr_filter_ranges pod ochroną RCU, ale nie zwalnia tej struktury za pomocą mechanizmu RCU. Nieprawidłowy czas życia obiektu może prowadzić do błędów pamięci.

W jądrze Linux w systemie plików f2fs konwersja inline dentry kopiuje nazwy z obszaru inline dentry przed sprawdzeniem, czy długość każdej nazwy mieści się w dostępnych slotach nazw plików. Uszkodzony obraz może spowodować odczyt poza obszarem przechowywania nazw inline.

W jądrze Linux sterownik sieciowy au1000 wywołuje free_irq() w funkcji au1000_close() podczas trzymania blokady aup->lock ze spin_lock_irqsave(). free_irq() może zasnąć, ponieważ pobiera mutex IRQ, więc nie może być wywoływany w sekcji ze spinlockiem.

W jądrze Linux podsystem SPI nie przerywa aktywnej transmisji w trybie target podczas zawieszania kontrolera. Może to pozostawić sprzęt w niespójnym stanie i uniemożliwić czyste wznowienie systemu.

W jądrze Linux w module btrfs wykryto błąd w walidacji długości nazwy (namelen) w elemencie INODE_REF. Złośliwie spreparowany obraz systemu plików btrfs może zawierać namelen większy niż limit 255 bajtów, co prowadzi do zapisu poza granicami bufora i paniki jądra (kernel panic).

W jądrze Linux serwer ksmbd w funkcji ksmbd_vfs_set_sd_xattr nie zwalnia bufora sd_ndr.data przydzielonego przez ndr_encode_v4_ntacl(), gdy późniejsze wywołanie ndr_write_*() zwróci błąd. Prowadzi to do wycieku pamięci.

W jądrze Linux serwer ksmbd ma dwa problemy: gdy ndr_decode_v4_ntacl() zawiedzie, ścieżka błędu nie zwalnia acl.sd_buf (wyciek pamięci), a gdy acl.sd_size jest mniejsze niż sizeof(struct smb_ntsd), funkcja zwraca sukces bez zwolnienia bufora i pozostawia nieaktualny wskaźnik *pntsd.

W jądrze Linux występuje podwójne wywołanie fput() w obsłudze błędów funkcji cachefiles_create_tmpfile() w podsystemie cachefiles. Błąd prowadzi do nieprawidłowego zwalniania referencji do pliku.

W jądrze Linux w sterowniku drm/amdgpu występuje podatność polegająca na braku synchronizacji z wywołaniami RCU podczas odłączania modułu. Może to prowadzić do wykonania callbacków RCU po zwolnieniu pamięci modułu, co skutkuje błędem strony (page fault) i awarią systemu.

W jądrze Linux w sterowniku ALSA usb-audio (caiaq) funkcja usb_ep1_command_reply_dispatch() odczytuje dane z bufora URB bez uprzedniego sprawdzenia, czy długość actual_length zawiera wymagane bajty. Brak walidacji długości odpowiedzi EP1 może prowadzić do odczytu poza buforem.

W jądrze Linux w sterowniku wifi rsi funkcja rsi_hal_load_key() bezwarunkowo kopiuje klucze MIC z offsetów przeznaczonych dla 32-bajtowego klucza TKIP, nawet dla innych szyfrów (np. CCMP) o krótszym kluczu. Może to powodować odczyt poza dostarczonym buforem klucza.

W jądrze Linux w podsystemie wifi cfg80211 funkcja cfg80211_rx_assoc_resp() inicjalizuje pola statusu i IE odpowiedzi asocjacyjnej z ramki zarządzającej przed sprawdzeniem, czy ramka jest wystarczająco długa dla tych offsetów. Ścieżka S1G poprawia resp_ie dopiero po niebezpiecznej inicjalizacji.

W linuksowym jądrze funkcje cfg80211_rx_mlme_mgmt() i cfg80211_tx_mlme_mgmt() nie walidują poprawnie długości ramek zarządzania przed odwołaniem się do pól zależnych od podtypu, co może prowadzić do odczytu poza granicami bufora. Łatka dodaje sprawdzanie długości ramki kontrolnej oraz minimalnych rozmiarów dla każdego podtypu.

W jądrze Linux w podsystemie wifi mac80211 podczas opuszczania IBSS w ieee80211_ibss_disconnect() może wystąpić wyścig, w którym transmisja do sterownika następuje po wyłączeniu nośnej i poinformowaniu sterownika o opuszczeniu IBSS. W przypadku iwlwifi prowadzi to do próby użycia nieprawidłowych kolejek.

W jądrze Linux w podsystemie wifi libipw funkcja libipw_rx() odczytuje skb->data[hdrlen + 3] w celu wyodrębnienia indeksu klucza WEP, ale istniejąca kontrola sprawdza tylko skb->len >= hdrlen + 3, co nie gwarantuje obecności bajtu pod hdrlen + 3. Wymagane jest hdrlen + 4 bajtów przed odczytem.

W jądrze Linux w sterowniku wifi rsi funkcja rsi_prepare_beacon() kopiuje ramkę beacon z mac80211 po FRAME_DESC_SZ do skb zarządzającego, którego dostępna przestrzeń tailroom po wyrównaniu może być mniejsza niż MAX_MGMT_PKT_SIZE. Brak walidacji długości beaconu przed kopiowaniem może prowadzić do przepełnienia bufora.

W jądrze Linux w kliencie SMB struktura cifs_open_info_data alokowana na stosie może zawierać losowe dane, co może prowadzić do nieprawidłowych wartości pól, jeśli nie zostaną one później ustawione.

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) brakuje walidacji identyfikatora sta_id w powiadomieniu BA_WINDOW_STATUS_NOTIFICATION_ID. Identyfikator ten jest używany do indeksowania tablicy fw_id_to_mac_id[] bez sprawdzenia zakresu, co może prowadzić do odczytu poza granicami tablicy.

W jądrze Linux w systemie plików btrfs występuje problem w funkcji merge_reloc_roots() dotyczący czyszczenia reloc root. Gdy root ma zero referencji, resetowanie wskaźnika reloc_root odbywa się bez użycia barier pamięci, a także nieprawidłowo czyści flagę BTRFS_ROOT_DEAD_RELOC_TREE. Poprawka używa funkcji clear_reloc_root(), która zapewnia odpowiednią synchronizację.

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) występuje błąd off-by-one w sprawdzaniu granic. Przed odczytaniem 11. bajtu nie jest sprawdzane, czy długość danych jest wystarczająca, co może prowadzić do odczytu poza buforem.

W jądrze Linux w sterowniku iwlwifi (podsystem pcie) po nieudanej inicjalizacji TX, podczas zwalniania zasobów RX, wskaźniki do tych zasobów nie są zerowane. Może to prowadzić do użycia zwolnionej pamięci podczas późniejszego czyszczenia lub ponownej inicjalizacji.

W jądrze Linux w blk-cgroup występują dwa problemy w ścieżce błędów funkcji blkg_create(): flaga online jest ustawiana nawet gdy blkg nie został w pełni wstawiony, oraz zamiast percpu_ref_kill() wywoływane jest blkg_put(), co prowadzi do trwałego wycieku pamięci i uniemożliwia zniszczenie cgroup.

W jądrze Linux w kliencie SMB (smb/client) przed wykonaniem operacji 'punch hole' nie są opróżniane brudne dane. Może to prowadzić do sytuacji, w której po wycięciu dziury zakres jest nadal raportowany jako dane, co jest niezgodne z oczekiwaniami.

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) parsowanie odpowiedzi TX_CMD nie sprawdza poprawności układu odpowiedzi. Minimalna długość jest sprawdzana niezgodnie z rzeczywistym obliczeniem układu, co może prowadzić do odczytu poza buforem. Dla nowego API TX odrzucane są odpowiedzi z frame_count != 1.