Podatności Linux kernel

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) występuje możliwość niedomiaru (underflow) podczas przetwarzania pakietu wowlan. Długość pakietu jest ufana firmware'owi bez odpowiedniej weryfikacji, co może prowadzić do nieprawidłowych obliczeń.

W jądrze Linux w sterowniku iwlwifi (podsystem mvm) wartość tid pochodząca z firmware jest używana jako indeks tablicy tid_data[] bez walidacji. Brak sprawdzenia zakresu może prowadzić do odczytu lub zapisu poza tablicą.

W sterowniku iwlwifi podsystemu mvm wykryto nieprawidłowe indeksowanie tablicy tid_data — zamiast faktycznej wartości TID użyto licznika pętli. Obecnie nie powoduje to szkód, ale dodano sprawdzenie granic, aby zapobiec potencjalnemu dostępowi poza zakresem.

Parser firmware iwlwifi nieprawidłowo sprawdzał wyrównaną długość TLV, co mogło prowadzić do niedomiaru długości przy nieprawidłowych danych. Dodano walidację, aby uniknąć potencjalnego odczytu poza zakresem.

W funkcji ACPI iwlwifi brakowało sprawdzenia wartości wersji tabeli WGDS przed użyciem jej jako przesunięcia bitowego, co przy nieprawidłowej wartości mogło prowadzić do niezdefiniowanego zachowania.

W jądrze Linux w module CIFS (SMB1) funkcja cifs_filldir() kopiuje nazwy wpisów katalogu z odpowiedzi serwera SMB, używając długości podanej przez serwer bez sprawdzenia, czy nazwa mieści się w buforze odpowiedzi. Złośliwy serwer SMB1 może zwrócić zawyżoną długość nazwy, co prowadzi do odczytu poza końcem bufora (slab-out-of-bounds) podczas wywołania memchr() w filldir64().

Serwer ksmbd (SMB) mógł nadpisywać maski ACL dziedziczone z katalogu nadrzędnego, co prowadziło do poszerzenia efektywnych uprawnień podczas tworzenia obiektów. Poprawka zachowuje oryginalne maski.

W mechanizmie cifs.idmap nieprawidłowo przetwarzano długość ładunku klucza, który może być obcięty do rozmiaru U16_MAX. Brak odrzucania zbyt dużych ładunków prowadził do niespójności długości i potencjalnych błędów pamięci.

W cfg80211 funkcji cfg80211_wext_siwgenie() brakowało walidacji bufora IE, co prowadziło do odczytu poza zakresem i niedomiaru liczby całkowitej przy przetwarzaniu przez późniejsze operacje. Dodano sprawdzanie przed zapisem.

W Bluetooth RFCOMM brakowało walidacji długości ramki w funkcji rfcomm_recv_frame, co pozwalało na odczyt poza zakresem przy skróconych ramkach oraz niedomiar długości (UINT_MAX) przy zerowej długości. Poprawka odrzuca ramki mniejsze niż wymagany rozmiar.

W vhost-scsi występował wyścig między przesłaniem komend a podmianą tablicy pamięci (VHOST_SET_MEM_TABLE), co mogło skutkować zapisem odpowiedzi do niepowiązanego obiektu po zakończeniu operacji. Poprawka opróżnia backend po ioctl.

W jądrze Linux wykryto podatność w podsystemie SCSI, gdzie funkcja scsi_eh_lock_door() może blokować się podczas alokacji tagów, gdy wszystkie tagi są zajęte przez ponownie zakolejkowane komendy. Prowadzi to do zakleszczenia (deadlock) w wątku obsługi błędów, szczególnie dla urządzeń z pojedynczym tagiem (np. USB storage).

W jądrze Linuxa w module netfilter nfnetlink_log występuje problem z synchronizacją: funkcja nfnl_log_net_exit() czyści wskaźnik logera bez oczekiwania na okres RCU, co może prowadzić do użycia zwolnionej pamięci przez równoległe pakiety. Poprawka przenosi czyszczenie do .pre_exit, aby zapewnić zakończenie czytelników RCU przed zwolnieniem pamięci per-net.

W jądrze Linux wykryto podatność w podsystemie i2c/smbus polegającą na braku wczesnej walidacji długości transferu blokowego SMBus. Zbyt duża, kontrolowana przez użytkownika wartość data->block[0] może trafić do tracepointów oraz implementacji smbus_xfer sterowników bez sprawdzenia, co prowadzi do przepełnienia bufora poza zakresem (out-of-bounds).

W jądrze Linuxa w sterowniku DRM (drm/pagemap) funkcja drm_pagemap_migrate_unmap_pages() opiera się na tablicy stron do DMA unmap, ale funkcja drm_pagemap_migration_unlock_put_pages() czyści tę tablicę podczas sprzątania, co powoduje brak ważnych informacji o stronach. Poprawka wywołuje funkcję unmap przed unlock_put_pages, aby tablica pozostała ważna.

W jądrze Linux funkcja gb_audio_gb_get_topology() pobiera blob topologii o rozmiarze podanym przez moduł, a gbaudio_tplg_parse_data() używa pól size_dais, size_controls i size_widgets do wyznaczenia przesunięć sekcji bez sprawdzenia ich względem pobranego rozmiaru. Moduł podający mały rozmiar topologii, ale duże rozmiary sekcji, powoduje przesunięcia poza alokację i odczyt poza granicami.

W jądrze Linux w sterowniku RDMA/bnxt_re wywołania zwrotne niszczenia zerują wyjście udata po zniszczeniu zasobów sterownika. Jeśli dostęp do przestrzeni użytkownika zawiedzie, uverbs zachowuje uobject i pozwala na ponowne wykonanie wywołania zwrotnego niszczenia, mimo że zasób sterownika został już zwolniony. Poprawka przenosi ib_no_udata_io() przed zniszczenie oraz ib_respond_empty_udata() na początek przepływów tworzenia i modyfikacji.

W jądrze Linux w sterowniku PCI/pwrctrl tc9563 parsowanie obu funkcji zintegrowanego endpointu Ethernet MAC pod DSP3 powodowało dostęp poza granice tablicy tc9563_pwrctrl->cfg. Poprawka polega na parsowaniu węzła endpointu pod DSP3 zamiast obu funkcji.

W jądrze Linux w module md/raid5-ppl funkcja ppl_do_flush() kontynuuje iterację pętli po wywołaniu ppl_io_unit_finished(), która zwalnia pamięć obiektu io. Późniejszy dostęp do pola io->pending_flushes prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux dla architektury powerpc w podsystemie XIVE, gdy funkcja xive_init_ipis() zakończy się błędem, globalna tablica xive_ipis jest zwalniana. Jednak xive_smp_probe() wcześniej ignorowała ten błąd i wywoływała xive_setup_cpu_ipi(), która używała już zwolnionego wskaźnika, prowadząc do użycia po zwolnieniu.

W jądrze Linuxa funkcja acpi_get_first_physical_node() może zwrócić nieaktualny wskaźnik do urządzenia fizycznego, co w skrajnych przypadkach prowadzi do użycia po zwolnieniu (use-after-free). Wprowadzono nową funkcję acpi_bus_get_primary_device(), która zabezpiecza przed tym problemem poprzez odpowiednie zarządzanie referencjami.

W jądrze Linuxa odkryto podatność use-after-free w funkcji vxlan_mdb_flush() w mechanizmie VXLAN MDB. Błąd pozwala na zwolnienie pamięci jednego wpisu MDB podczas przetwarzania innego, co przy operacjach usuwania może prowadzić do zapisu do zwolnionej pamięci.

W jądrze Linux wykryto podatność w mechanizmie memory cgroup (memcg), która powoduje, że procesy zabite przez OOM killer mogą utknąć w ścieżce wyjścia na wiele godzin. Problem dotyczy sytuacji, gdy oom_reaper nie zdołał zwolnić pamięci procesu (ustawiając flagę MMF_OOM_SKIP), a umierające wątki nadal próbują ładować strony z zswap, co prowadzi do blokady na oom_lock i ogromnych opóźnień w zakończeniu procesu.

W jądrze Linux mechanizm memcg v1 soft limit został wycofany — zapisy do memory.soft_limit_in_bytes są teraz ignorowane, a odczyt zawsze zwraca wartość maksymalną. Poprawka usuwa też ostrzeżenie syzbot związane z reclaimem soft limit wywoływanym z kswapd.

W jądrze Linux dla architektury LoongArch brakuje definicji DIRECT_MAP_PHYSMEM_END, co powoduje, że funkcje get_free_mem_region() i mhp_get_pluggable_range() mogą zwracać regiony ZONE_DEVICE poza obszarem vmemmap. Może to prowadzić do uszkodzenia tablic stron lub awarii systemu, zwłaszcza na procesorach z mniejszą liczbą bitów adresu fizycznego, takich jak seria Loongson-2K.

W serwerze NFS (nfsd) brakuje bariery pamięci odczytu (read barrier) w funkcji rpc_status_get dumpit. Na architekturach o słabym uporządkowaniu pamięci (ARM, POWER) może to prowadzić do nieskutecznego mechanizmu ponawiania i odczytu niespójnych danych. Poprawka dodaje smp_rmb() przed drugim sprawdzeniem licznika.

W sterowniku phy (fsl-imx8mq-usb) występuje wyciek przełącznika typec w przypadku błędu podczas inicjalizacji (probe). Poprawka polega na użyciu devm_add_action_or_reset(), aby zapewnić sprzątanie zarówno przy błędzie, jak i przy usuwaniu sterownika.

W jądrze Linux naprawiono błąd w module svcrdma, gdzie przy nieudanej akceptacji połączenia wywoływano rpcrdma_rn_unregister() bez wcześniejszej rejestracji. Prowadziło to do usunięcia cudzego wpisu w tablicy XArray oraz niezrównoważonego zwolnienia referencji urządzenia, a także do wycieku pamięci struktury svcxprt_rdma przy każdym nieudanym połączeniu.

W jądrze Linux występuje wyścig (race condition) w strukturze nfsd_net, gdzie pole logiczne grace_ended jest odczytywane i zapisywane bez synchronizacji z wielu wątków. Dwa równoczesne wywołania nfsd4_end_grace() mogą jednocześnie przejść do nfsd4_record_grace_done(), co prowadzi do podwójnego zwolnienia pamięci (double-free) i uszkodzenia listy reclaim_str_hashtbl. Podatność została naprawiona poprzez zastąpienie pól logicznych słowem flag i użycie atomowej operacji test_and_set_bit().

W jądrze Linux, w kliencie SMB, podatność dotyczy wzmocnienia pamięci podręcznej DFS przed nieprawidłowymi wskazówkami dotyczącymi celów. Funkcje get_tgt_name() i dfs_cache_noreq_update_tgthint() nie radzą sobie poprawnie z przypadkami braku wskazówki (NULL), co może prowadzić do dereferencji pustego wskaźnika. Poprawka utwardza wywołania i dodaje sprawdzanie NULL.

W jądrze Linux interfejs procfs do odczytu przestrzeni konfiguracyjnej PCI (proc_bus_pci_read) sprawdzał uprawnienie CAP_SYS_ADMIN na podstawie procesu wywołującego read(), a nie procesu, który otworzył plik. Uprzywilejowany proces mógł otworzyć plik i przekazać deskryptor nieuprzywilejowanemu procesowi, który następnie mógł odczytać całą przestrzeń konfiguracyjną. Poprawka używa file_ns_capable(), aby sprawdzać uprawnienia zapisane w file->f_cred w momencie otwarcia pliku, zgodnie z zachowaniem sysfs.

W jądrze Linux, w sterowniku iommu/arm-smmu-v3, podatność dotyczy zarządzania procesem zamykania (teardown). Ręczne zwalnianie zasobów w funkcji arm_smmu_device_remove() działa w niewłaściwej kolejności względem zasobów zarządzanych przez devm, co może prowadzić do użycia po zwolnieniu (use-after-free), np. kolejki IOPF zwalnianej przed obsługującym ją IRQ. Poprawka przenosi całe zarządzanie do devm.

Podatność w jądrze Linuxa w ścieżce odpowiedzi serwera RPC-over-RDMA prowadzi do zapisu poza zakresem na stercie. Specjalnie spreparowane żądanie może spowodować przepełnienie sterty, co prowadzi do awarii jądra lub potencjalnego wykonania kodu.

W jądrze Linux moduł dm-pcache nie weryfikował identyfikatorów segmentów pamięci podręcznej przed użyciem ich do indeksowania w tablicy segments[]. Ponieważ metadane są chronione tylko przez CRC z publicznym ziarnem, atakujący z uprawnieniami CAP_SYS_ADMIN dostarczający urządzenie pamięci podręcznej może spowodować odczyty i zapisy poza zakresem. Poprawka dodaje walidację i odrzuca nieprawidłowe identyfikatory segmentów z błędem -EIO.

W jądrze Linux wykryto podatność use-after-free w sterowniku virtio_pmem dla pamięci trwałej NVDIMM. Problem występuje, gdy żądanie zostało już zwolnione przez nadawcę, ale jest jeszcze dostępne przez kolejkę virtqueue, co prowadzi do wybudzenia zwolnionej pamięci podczas przerwania.

W jądrze Linux sterownik drm/v3d nie czyści queue->active_job, gdy v3d_fence_create() zawiedzie. Callbacki run_job() dla BIN, RENDER, TFU i CSD przypisują zadanie do queue->active_job przed wywołaniem v3d_fence_create(); w razie błędu zwracają NULL, pozostawiając wiszący wskaźnik. Poprawka dodaje ścieżkę błędu czyszczącą active_job.

W jądrze Linux funkcja cros_typec_register_partner_pdos() kopiuje PDO partnera z odpowiedzi EC TYPEC_STATUS do tablicy caps_desc.pdo[PDO_MAX_OBJECTS] (7 elementów) bez walidacji liczby. Jeśli source_cap_count lub sink_cap_count przekracza 7, memcpy zapisuje poza tablicą na stosie — liczba 255 przepełnia ją o około 1 KB. Poprawka waliduje liczniki i pomija rejestrację PDO przy przekroczeniu limitu.

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd i vddcInd pochodzących z tablic parsowanych z VBIOS. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć.

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd, vddciInd i mvddInd pochodzących z tablic parsowanych z VBIOS w dziewięciu miejscach kodu. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć vddc, vddci i vddmem.

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_plane_drm_plane_reset() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_crtc_reset_state() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w sterowniku dmaengine: xilinx_dma występował wyścig w procedurach obsługi przerwań AXIDMA i MCDMA. Kanał mógł zostać błędnie oznaczony jako bezczynny i rozpocząć zbędne transfery, gdy deskryptory były wciąż przetwarzane, co prowadziło do korupcji deskryptorów lub pominiętych ukończeń.

W jądrze Linux w module platform/chrome sensorhub wartości max_response i sensor_num pochodzą z różnych poleceń EC. Przy wadliwym firmware EC liczba odczytanych bajtów może być mniejsza niż oczekiwana, co powoduje przepełnienie odczytu (overread) bufora resp->fifo_info w funkcji cros_ec_sensorhub_ring_handler(). Poprawka sprawdza wartość zwracaną przez cros_ec_cmd_xfer_status() i przerywa działanie przy niezgodności długości.

W jądrze Linux sterownik RDMA/irdma nie zabezpieczał rejestrów pamięci (MR) stojących za pierścieniami QP/CQ/SRQ przed wyrejestrowaniem z przestrzeni użytkownika. Poprawka dodaje zliczanie referencji do MR-ów użytkownika poprzez zwiększenie licznika przy kojarzeniu.

W jądrze Linux występuje wyciek zasobów w module nvmet-rdma. Gdy cel NVMe z transportem RDMA jest usuwany podczas trwających operacji I/O, odpowiedź może zostać wysłana, ale jej potwierdzenie wysłania nigdy nie dociera przed zerwaniem połączenia, przez co funkcje nvmet_rdma_send_done() i nvmet_rdma_release_rsp() nie są wywoływane i dochodzi do wycieku kontekstu RDMA oraz SGL żądań.

W jądrze Linux w mechanizmie BPF występuje podatność pozwalająca na dostęp do pamięci poza granicami obiektu dla wskaźników MEM_ALLOC BTF. Podczas przeglądania struktury BTF, dla obiektów przydzielonych statycznie, nie jest odpowiednio egzekwowane ograniczenie rozmiaru, co może prowadzić do odczytu/zapisu poza przydzielonym obszarem.

W jądrze Linux w podsystemie BPF dla architektury s390 występuje problem z instrukcją 'ly', która nie zeruje górnych bitów rejestru 64-bitowego przy ładowaniu 32-bitowej wartości. Zamiast tego należy użyć instrukcji 'llgf', która poprawnie zeruje górne bity.

W jądrze Linux w mechanizmie BPF występuje podatność pozwalająca na zapis przez niezaufane wskaźniki BTF, co omija politykę tylko do odczytu dla wskaźników utworzonych przez helpery takie jak bpf_rdonly_cast(). Brakuje odrzucenia zapisów na wspólnym etapie wejścia.

W jądrze Linux w funkcji bpf_get_btf_vmlinux() występuje wyścig podczas publikowania wyniku parsowania BTF vmlinux. Wynik jest publikowany przez zwykłe zapisanie, a odczytywany bez blokady, co na architekturach o słabym modelu pamięci może pozwolić na obserwację wskaźnika przed widocznością zainicjalizowanych danych. Poprawka wprowadza bariery pamięci (smp_store_release/smp_load_acquire).

W jądrze Linux funkcja bpf_find_vma() odczytuje task->mm i wywołuje mmap_read_trylock() bez trzymania referencji do mm_struct. W przypadku obcego zadania, równoczesne exit_mm() może zwolnić mm_struct między odczytem a próbą zamka, prowadząc do use-after-free. Poprawka przypina mm pod task->alloc_lock i używa mmput_async(), odrzucając konteksty z wyłączonymi przerwaniami i !CONFIG_MMU.