Podatności Linux kernel

W jądrze Linux w sterowniku fbdev uvesafb funkcja uvesafb_init() rejestruje funkcję zwrotną złącza v86d przed zarejestrowaniem sterownika platformowego. Jeśli platform_driver_register() zakończy się niepowodzeniem, funkcja zwraca błąd bez wyrejestrowania funkcji zwrotnej złącza, pozostawiając ją zarejestrowaną. Późniejsza ścieżka błędu urządzenia platformowego już wykonuje takie wyrejestrowanie.

W jądrze Linux naprawiono błąd wyścigu w podsystemie fsnotify dotyczący aktualizacji masek zdarzeń dla znaczników (mark). Równoległe aktualizacje różnych znaczników na tym samym obiekcie mogły prowadzić do pozostawienia nieaktualnej maski obiektu, przez co zdarzenia takie jak FAN_MODIFY lub IN_MODIFY mogły nie być zgłaszane mimo poprawnej konfiguracji. Problem występował m.in. w fanotify i inotify.

W jądrze Linux sterownik hsi omap_ssi_core używa syntetycznego urządzenia kontrolera HSI przydzielonego przez hsi_alloc_controller(), które nie przechodzi normalnej ścieżki inicjalizacji urządzenia OF/platform. W rezultacie osadzona struktura device nie ma domyślnie zainicjalizowanej maski DMA. Po ostatnich zmianach wzmacniających API DMA funkcje dma_map_sg() i pokrewne wymagają prawidłowej dma_mask, w przeciwnym razie sterownik może się zawiesić lub wywołać ostrzeżenia.

W jądrze Linux w podsystemie hugetlb funkcja __unmap_hugepage_range może dostosowywać rezerwacje od czasu zmiany df7a6d1f6405. Gdy folio jest zmapowane zarówno w rodzicu, jak i w dziecku, a rodzic najpierw odmapuje zakres, dostosowanie rezerwacji powoduje niedomiar licznika rezerwacji. Po odmapowaniu zakresu przez dziecko licznik zostaje przywrócony. Poprawka sprawdza mapcount przed dostosowaniem rezerwacji.

W jądrze Linux sterownik accel/rocket w funkcji rocket_job_push() przydziela tymczasową tablicę na wskaźniki obiektów GEM wejściowych i wyjściowych. Występują dwa błędy: brak sprawdzenia NULL po nieudanej alokacji kvmalloc_array() powodujący dereferencję NULL oraz przepełnienie liczb całkowitych przy sumowaniu in_bo_count i out_bo_count (typy u32), które mogą się zawinąć, prowadząc do zbyt małej alokacji i późniejszych dostępów poza granicami tablicy.

W jądrze Linux sterownik accel/rocket funkcja rocket_ioctl_submit_job() zwalnia rjob przez rocket_job_put() na ścieżkach błędów alokacji. Funkcja rocket_job_cleanup() bezwarunkowo wywołuje rocket_iommu_domain_put(job->domain), ale job->domain jest przypisywane dopiero po kopiowaniu zadań i wyszukiwaniu BO. Awaria przed tym przypisaniem może spowodować czyszczenie zadania z wskaźnikiem domain równym NULL. Dodatkowo rjob->tasks nie jest czyszczone po zwolnieniu w rocket_copy_tasks(), co może prowadzić do podwójnego zwolnienia.

W jądrze Linux w funkcji rocket_job_run() sterownika accel/rocket występują błędy w obsłudze ścieżek błędów. Nie zwalniane są referencje do fence (job->done_fence), a pm_runtime_get_sync() zwiększa licznik użycia nawet przy błędzie, co uniemożliwia uśpienie NPU. Dodatkowo do schedulera DRM zwracany jest niezsygnalizowany fence, co wywołuje ostrzeżenie WARN.

W jądrze Linux występuje zakleszczenie w obsłudze błędów CXL CPER w module acpi/apei/ghes. Blokady cxl_cper_work_lock i cxl_cper_prot_err_work_lock były używane jako zwykłe spinlocki, co przy przerwaniu GHES na tym samym CPU prowadziło do zakleszczenia. Problem rozwiązano przez zmianę na raw_spinlock_t, dodanie WARN_ONCE oraz uporządkowanie funkcji wyrejestrowujących.

W jądrze Linux w funkcji ghes_handle_arm_hw_error() (ACPI APEI GHES) po pominięciu nagłówka cper_sec_proc_arm pozostała długość jest zmniejszana o sizeof(err) (rozmiar wskaźnika) zamiast sizeof(*err) (rozmiar struktury). Powoduje to przeszacowanie dostępnych bajtów i może doprowadzić do odczytu poza sekcją CPER, gdy err_info_num jest wystarczająco duże.

W jądrze Linux w funkcji query_capability() (ACPI pfr_update) kopiowane są cztery obiekty bufora ACPI zwracane przez firmware _DSM do pól u8[16] w strukturze pfru_update_cap_info za pomocą memcpy z długością dostarczoną przez firmware. Jeśli firmware zwróci buffer.length > 16, memcpy zapisuje poza docelową tablicą, powodując przepełnienie bufora na stosie.

W jądrze Linux występuje błąd w funkcji ata_format_dsm_trim_descr(), która buduje deskryptor polecenia ATA TRIM w buforze o rozmiarze 2048 bajtów. Na urządzeniach z logicznym rozmiarem sektora większym niż 2048 bajtów (np. 4Kn, sektor 4096 bajtów) funkcja nigdy nie zwraca oczekiwanego rozmiaru sektora, przez co każde polecenie TRIM jest odrzucane z błędem długości listy parametrów i generuje ostrzeżenia WARN_ON().

W jądrze Linux w sterowniku auxdisplay charlcd, przy włączonej opcji CONFIG_CHARLCD_BL_FLASH, funkcja charlcd_init() planuje bl_work przed wywołaniem charlcd_register(). Jeśli rejestracja się nie powiedzie, obiekt charlcd jest zwalniany, podczas gdy opóźniona praca nadal zawiera jego adres, co prowadzi do use-after-free.

W jądrze Linux nie walidowano wyrównania wektorów przestrzeni użytkownika podczas budowania bio z iov_iter. Sterowniki blokowe oparte na bio nie sprawdzały podziału przy niezgodności wyrównania, co mogło prowadzić do błędnego działania. Poprawka waliduje wektory względem dma_alignment urządzenia i odrzuca niezgodne z -EINVAL.

W jądrze Linux funkcja eir_get_service_data() w module Bluetooth EIR zawiera błąd odczytu poza buforem (OOB read). Nieprawidłowe przeliczanie eir_len przy pomijaniu pól powoduje, że wskaźnik wykracza poza bufor le_per_adv_data[] i odczytuje dane z reszty struktury hci_conn. Poprawka przelicza eir_len od końca bufora w każdej iteracji.

W jądrze Linux sterownik bnx2x zawiera błąd podwójnego zwolnienia pamięci w ścieżce błędów funkcji bnx2x_init_firmware(). Wskaźniki init_ops, init_data i init_ops_offsets nie są ustawiane na NULL po zwolnieniu, więc późniejsze wywołanie bnx2x_release_firmware() zwalnia je ponownie. Poprawka ustawia każdy wskaźnik na NULL po kfree().

W jądrze Linux naprawiono błąd w kompilatorze BPF dla architektury x86 dotyczący rozwiązywania adresów per-CPU do rejestru rozszerzonego. Prefiks REX był budowany z użyciem REX.B zamiast REX.R, przez co bit wysokiego rejestru był gubiony, a adres per-CPU trafiał do niewłaściwego rejestru (np. R5 zamiast R8). Prowadziło to do wyłuskania niepoprawnego wskaźnika i paniki jądra.

W jądrze Linux naprawiono podatność w funkcji __bpf_get_stack. Bufor perf_callchain_entry zwracany przez get_perf_callchain() jest współdzielony per-CPU i nie jest chroniony przed ponownym użyciem po zwróceniu, więc program BPF z możliwością wywłaszczenia może zostać przełączony między pobraniem bufora a kopiowaniem, a inny wątek na tym samym CPU nadpisze trace->nr większą wartością. Powoduje to wyliczenie zbyt dużego copy_len i zapis poza zakresem bufora w memcpy() oraz w ścieżce build_id.

W jądrze Linux naprawiono podatność w mechanizmie BPF dotyczącą obliczania rozmiaru i indeksowania filtra Bloom na jądrach 32-bitowych. Gdy bitmapa osiąga przypadek fallback U32_MAX, błąd arytmetyczny powoduje zbyt małą alokację pamięci, a ujemne przesunięcia bitów pozwalają na zapis poza przydzielonym obszarem. Umożliwia to lokalne podniesienie uprawnień na 32-bitowym jądrze x86 przez proces z uprawnieniem CAP_BPF.

W jądrze Linux moduł dm-io przy żądaniach DM_IO_BIO odbudowywał bio docelowe poprzez kopiowanie biovec źródłowego, co przy niezgodnych z sektorem długościach wektorów (np. niezgodny bufor O_DIRECT) powodowało utratę fragmentu podsektora i zawieszenie I/O. Poprawka klonuje biovec źródła przez bio_alloc_clone() i remapuje na urządzenie docelowe, eliminując ręczne kopiowanie stron.

W jądrze Linux kody błędów BLK_STS_NOTSUPP i BLK_STS_INVAL nie powinny powodować awarii nogi (leg) w dm-raid1. Poprawka zmienia interfejs dm-io, aby raportował dwa bitmapy błędów: error_bits i unsup_bits, gdzie unsup_bits śledzi błędy nieobsługiwane, a dm-raid1 nie zawodzi nogi przy takich błędach. Naprawia to nieprawidłowe działanie przy niezgodnych wektorach bio na dm-raid1.

W jądrze Linux moduł dm-era zawiera wyciek pamięci bloku metadanych przy niepowodzeniu operacji take-snap. Funkcja metadata_take_snap() zwiększa licznik referencji superbloku i alokuje nowy blok cienia, ale jeśli późniejsze dm_sm_inc_block() zawiedzie, blok nie jest zwracany do mapy przestrzeni metadanych. Poprawka zwalnia klon przez dm_sm_dec_block() w ścieżkach błędów.

W jądrze Linux funkcja build_constructor_string() w module dm-raid1 nie rezerwuje miejsca na znak NUL kończący łańcuch po maksymalnie 20 cyfrach dziesiętnych wartości long long. Może to prowadzić do przepełnienia bufora w sprintf(). Poprawka rezerwuje dodatkowe miejsce na terminator NUL.

W jądrze Linux występuje podatność use-after-free w funkcji rfcomm_security_cfm() w podsystemie Bluetooth RFCOMM. Funkcja przegląda listę sesji i DLC bez blokady rfcomm_mutex, przez co wątek krfcommd może jednocześnie zwolnić tę samą sesję i jej DLC. Prowadzi to do odczytu zwolnionej pamięci (KASAN: slab-use-after-free).

W jądrze Linux występuje podatność use-after-free w ścieżce przekazywania pakietów multicast IPv4/IPv6. Gdy pakiet multicast nie jest dostarczany lokalnie, skb zachowuje przypisanie skb->sk ustawione przez bpf_sk_assign() lub wczesny demux UDP, mimo że referencja do gniazda nie jest gwarantowana. Po zniszczeniu gniazda późniejsze zwolnienie skb wywołuje sock_pfree() i odwołuje się do nieaktualnego wskaźnika skb->sk.

W jądrze Linux funkcja ip6_tnl_xmit() używa skb_realloc_headroom(), która zastępuje skb będący własnością wywołującego i zachowuje nowy skb tylko w zmiennej lokalnej. Jeśli po realokacji wystąpi błąd (np. odrzucenie enkapsulacji w tunelach collect_md lub błąd ip6_tnl_encap()), wywołujący nadal posiada wskaźnik do oryginalnego skb, co prowadzi do podwójnego zwolnienia skb.

W jądrze Linux funkcja ip6gre_tnl_link_config_route() nieprawidłowo dodaje długość nagłówka sprzętowego urządzenia niższego warstwy do dev->hard_header_len dla tuneli NBMA ip6gre. Powoduje to błędne obliczenie długości nagłówka sprzętowego tunelu, co może prowadzić do problemów z transmisją pakietów.

W jądrze Linux występuje podatność polegająca na braku sprawdzenia wartości NULL dla wskaźnika idev w funkcji ipv6_rpl_srh_rcv(). Gdy MTU interfejsu spadnie poniżej IPV6_MIN_MTU, addrconf_ifdown() czyści dev->ip6_ptr, a pakiet, który przeszedł wcześniejszą weryfikację, może dotrzeć do ipv6_rpl_srh_rcv() z już wyczyszczonym wskaźnikiem, powodując dereferencję NULL.

W jądrze Linux naprawiono lukę w mechanizmie Landlock dotyczącą tworzenia obiektów whiteout używanych przez OverlayFS. Tworzenie whiteout przez mknod(2) z S_IFCHR i makedev(0,0) oraz przez renameat2(2) z RENAME_WHITEOUT nie było prawidłowo kontrolowane przez uprawnienia Landlock, co pozwalało na obejście ograniczeń. Wprowadzono wymóg posiadania uprawnienia LANDLOCK_ACCESS_FS_MAKE_REG dla obu tych przypadków.

W jądrze Linux funkcja __nd_label_validate() w libnvdimm/labels zawiera przepełnienie liczb całkowitych. Pole nslot (u32) jest mnożone przez rozmiar etykiety w 32-bitach, co może spowodować zawinięcie i ominięcie sprawdzenia granic, prowadząc do zapisu poza buforem w nd_label_data_init().

W jądrze Linux w funkcji super_1_load() modułu md nie sprawdzano zakresu wartości sb->bblog_shift wczytywanej z superbloku na dysku. Wartość ta (0-255) jest używana jako przesunięcie bitowe przy obliczaniu sektora i liczby bloków, co przy nieprawidłowej wartości może doprowadzić do przepełnienia zmiennej 64-bitowej i błędu w funkcji badblocks_set() w block/badblocks.c.

W jądrze Linux funkcje elf_validity_cache_secstrings i elf_validity_cache_index_str uzyskują dostęp do nagłówków tabeli nazw sekcji (.shstrtab) i tabeli łańcuchów symboli (.strtab) bez uprzedniego sprawdzenia, czy ich typ to SHT_STRTAB. Jeśli typ sekcji to SHT_NULL lub SHT_NOBITS, sh_offset nie został zwalidowany i może wskazywać poza granice pamięci, powodując odczyt poza buforem.

W jądrze Linux funkcja mptcp_token_join_cookie_init_state() nie przywraca pola local_id z zapisanego wpisu cookie podczas odtwarzania gniazda żądania dla MP_JOIN obsługiwanego przez SYN cookies. Niezainicjalizowane pole jest następnie odczytywane przez subflow_ulp_clone() i zapisywane jako address-ID podłączonego podprzepływu, co może być wpływane przez zdalnego atakującego wysyłającego równoległe SYN-y MP_JOIN.

W jądrze Linux w sterowniku nouveau/gem występuje wyścig w ścieżce nie-uvmm między wyszukiwaniem vma w ioctl info a zamknięciem vma w ścieżce zamknięcia gem. Prowadzi to do użycia zwolnionej pamięci (use-after-free).

W jądrze Linux funkcja param_set_charp() zwalnia poprzednią wartość parametru przed udaną alokacją nowej, co w przypadku niepowodzenia kmalloc_parameter() pozostawia parametr jako NULL. Może to później wywołać NULL pointer dereference, np. podczas nieudanej aktualizacji kompresora zswap przed inicjalizacją zswap.

W jądrze Linux funkcja svc_pool_for_cpu() może wybrać pulę bez wątków, gdy usługa ma mniej wątków niż pul (np. nfsd w trybie pernode/percpu z mniejszą liczbą wątków niż węzłów NUMA). Transport zakolejkowany w takiej puli nigdy nie zostanie obsłużony, co prowadzi do zawieszenia połączenia.

W jądrze Linux funkcja sunrpc_destroy_cache_detail() anuluje globalny cache_cleaner tylko gdy cache_list jest pusty, co nie ma miejsca podczas sprzątania per-netns. Prowadzi to do use-after-free, gdy cache_clean() używa wskaźnika do zwolnionego cache_detail.

W jądrze Linux funkcja __svc_create() ignorowała wartości zwracane przez percpu_counter_init() przy inicjalizacji trzech liczników statystyk puli RPC. Gdy alokacja per-CPU pamięci nie powiedzie się (np. przy presji pamięciowej), usługa RPC (nfsd, lockd, callback NFS) jest uruchamiana z niepoprawnie zainicjalizowanymi licznikami, których wskaźnik per-CPU ma wartość NULL. Powoduje to cichą korupcję danych w obszarze per-CPU bieżącego procesora oraz zwracanie błędnych wartości w /proc/fs/nfsd/pool_stats.

W jądrze Linux funkcja svc_rqst_free() zwalnia rq_argp i rq_resp synchronicznie, podczas gdy struktura rqstp jest zwalniana przez kfree_rcu(). Powoduje to okno, w którym czytelnicy RCU mogą uzyskać dostęp do już zwolnionych pól, prowadząc do use-after-free.

W jądrze Linux naprawiono cztery powiązane błędy w dekoderze tablicy opcji gssx (SUNRPC). Błędy powodowały dereferencję NULL w funkcji wywołującej, wyciek licznika referencji obiektu group_info oraz potencjalne użycie zwolnionej pamięci (use-after-free).

W jądrze Linux występuje podatność use-after-free w funkcjach __rpc_clnt_handle_event i __rpc_clnt_remove_pipedir w podsystemie sunrpc. Pole clnt->pipefs_sb nie jest odświeżane przy zdarzeniach montowania ani czyszczone przy odmontowaniu, co prowadzi do porównania z nieaktualnym wskaźnikiem i pominięcia sprzątania. W efekcie wpisy pipefs mogą wskazywać na zwolnioną strukturę rpc_clnt, co powoduje use-after-free podczas późniejszych wywołań rpc_info_open() lub rpc_show_info().

W jądrze Linux występuje wyścig (race condition) w module sunrpc. Wpis /proc/net/rpc/use-gss-proxy jest publikowany przez proc_create_data() zanim mutex sn->gssp_lock zostanie zainicjalizowany przez mutex_init(), co pozwala zapisującemu procesowi użyć niezainicjalizowanego muteksa.

W jądrze Linux w funkcji gssx_dec_option_array() podsystemu SUNRPC nie odrzucane są zduplikowane opcje CREDS_VALUE. Każde wystąpienie CREDS_VALUE powoduje wywołanie gssx_dec_linux_creds(), które nadpisuje creds->cr_group_info bez zwolnienia poprzedniej alokacji, prowadząc do wycieku pamięci. Wystarczy odpowiedź zawierająca dwie opcje CREDS_VALUE, aby wyciekła pierwsza alokacja group_info.

W jądrze Linux w funkcji svc_rdma_free() podsystemu svcrdma występuje use-after-free wynikający z kolejności operacji. Funkcja rpcrdma_rn_unregister() jest wywoływana po rdma_destroy_id(), przez co wpis sc_rn pozostaje w rd_xa urządzenia po zwolnieniu cm_id. Równoległe przejście ib_unregister_device może wywołać svc_rdma_xprt_done() na zwolnionym sc_cm_id. Dodatkowo brak sprawdzenia NULL przy dereferencji sc_cm_id.

W jądrze Linux w module svcrdma, gdy obsługa zdarzenia ADDR_CHANGE tworzy zastępczy identyfikator połączenia (cm_id) i alokacja się nie powiedzie, wskaźnik sc_cm_id nadal wskazuje na stary cm_id, który rdzeń CM ma zniszczyć. Późniejsze użycie sc_cm_id, np. w wywołaniu rdma_disconnect() z svc_rdma_detach(), prowadzi do use-after-free.

W jądrze Linux w module svcrdma funkcja handle_connect_req() nie podejmuje żadnych działań, gdy svc_rdma_create_xprt() nie zdoła zaalokować nowego transportu. Ponieważ rdzeń CM zwraca 0 dla zdarzeń CONNECT_REQUEST, nowy rdma_cm_id nie jest niszczony, co przy presji pamięci powoduje wyciek jednego rdma_cm_id na każdą nieudaną alokację.

W jądrze Linux w module svcrdma dekoder listy Read RPC/RDMA przechowuje długości segmentów podane w komunikacie bez walidacji. Zbyt duża wartość rs_length trafia do svc_rdma_build_read_segment(), gdzie na jej podstawie wyliczany jest nr_bvec i może dojść do dużej dynamicznej alokacji bvec przed sprawdzeniem liczby dostępnych rq_pages; jeśli zabezpieczenie przed przekroczeniem stron zadziała, świeżo pozyskany kontekst rw nie jest zwracany, co powoduje wyciek zasobu.

W jądrze Linux w module svcrdma pojedyncze długości segmentów Read są walidowane podczas dekodowania, ale nic nie powstrzymuje klienta przed wysłaniem wielu segmentów, których łączna długość przekracza budżet tablicy rq_pages. Gdy jeden segment dokładnie wypełnia tablicę stron, zabezpieczenie w svc_rdma_build_read_segment() jest pomijane, ponieważ len osiąga zero, a kolejny segment sięga do slotu sentinela NULL w rq_pages[rq_maxpages], powodując dereferencję NULL podczas mapowania DMA.

W jądrze Linux w module svcrdma funkcja svc_rdma_create() wywołuje kfree(cma_xprt), gdy svc_rdma_create_listen_id() zawiedzie. Ponieważ svc_xprt_init() wcześniej pozyskało referencję do przestrzeni nazw sieci przez get_net_track(), kfree omija svc_xprt_free(), która zwolniłaby tę referencję, co prowadzi do niezrównoważenia liczników referencji.

W jądrze Linux w systemie plików UDF mapowanie wirtualnej partycji UDF 1.50 używa tablicy VAT jako tablicy mapowań bloków fizycznych, gdzie s_num_entries przechowuje liczbę wpisów, a nie najwyższy prawidłowy indeks. udf_get_pblock_virt15() odrzuca obecnie tylko indeksy większe niż s_num_entries, więc spreparowany obraz może zażądać indeksu równego s_num_entries, przejść kontrolę zakresu i spowodować odczyt jednego wpisu poza zaalokowaną tablicą VAT.

W jądrze Linux naprawiono błąd w schedulerze sched_ext dotyczący funkcji dispatch kfuncs. W przypadku core scheduling funkcja ops.dispatch() może być wykonywana na innym CPU niż docelowe rq, co prowadziło do błędnych założeń w kilku ścieżkach kfunc, w tym do potencjalnego zakleszczenia (deadlock) w scx_dsq_move() oraz nieprawidłowego rozwiązywania SCX_DSQ_LOCAL.