Podatności Linux kernel

W jądrze Linux naprawiono błąd w schedulerze sched_ext dotyczący korupcji stanu rq->core_pick podczas core scheduling. Gdy wybór zadania zwalniał blokadę rq (podczas dispatchu), równoległe wybory na tym samym rdzeniu SMT wzajemnie niszczyły swój stan, co prowadziło do NULL deref lub deadlocka i twardych zawieszeń systemu. Poprawka wymusza zwracanie RETRY_TASK, gdy dispatch zwolnił blokadę, tak aby wybór zatwierdzał tylko decyzje podjęte przy ciągle trzymanej blokadzie.

W jądrze Linux występuje podatność w podsystemie SCSI, gdzie w funkcji scsi_alloc_sgtables() bajty dopełnienia DMA (pad_len) dla ostatniego nie wyrównanego elementu scatterlisty pozostają niezainicjalizowane. Prowadzi to do odczytu niezainicjalizowanej pamięci (wykrytego przez KMSAN) podczas operacji DMA, co może skutkować wyciekiem danych lub niestabilnością systemu.

W jądrze Linux sterownik fnic (SCSI/FCoE) wywołuje alokację deskryptora VLAN z flagą GFP_KERNEL, trzymając jednocześnie spinlock vlans_lock. Alokacja GFP_KERNEL może usypiać, co jest niedozwolone w kontekście atomowym i może prowadzić do ostrzeżenia o uśpieniu w nieprawidłowym kontekście lub zakleszczenia.

W jądrze Linux w komponencie KVM dla architektury RISC-V występuje przepełnienie rozmiaru tablicy informacji o zdarzeniach PMU. Wartość num_events kontrolowana przez gościa jest mnożona przez sizeof(*einfo) i zapisywana w 32-bitowej zmiennej, co przy dużych wartościach powoduje obcięcie rozmiaru i alokację zbyt małego bufora. Następnie pętla iteruje po oryginalnej liczbie zdarzeń, co prowadzi do odczytów i zapisów poza granicami zaalokowanej pamięci.

W jądrze Linux w podsystemie remoteproc (sterownik SCP) występuje wyciek referencji do urządzenia przy nieudanym wyszukaniu danych sterownika przed jego powiązaniem. Referencja pobrana do urządzenia SCP nie jest zwalniana w przypadku niepowodzenia wyszukiwania.

W jądrze Linux sterownik qede (karta sieciowa QLogic FastLinQ) zawiera błąd, w którym pod presją pamięciową dochodzi do dereferencji wskaźnika NULL podczas przetwarzania fragmentów kontynuacji TPA. Z powodu braku przypisania tpa_info->buffer.data w qede_tpa_start() do pierścienia Rx trafia „widmowy" bufor z prawidłowym mapowaniem DMA, ale wskaźnikiem danych NULL, co powoduje panikę jądra w qede_fill_frag_skb().

W jądrze Linux w sterowniku RDMA/cxgb4 funkcja c4iw_remove() może zwolnić ctx->dev, podczas gdy zakolejkowana praca reg_work (rejestrująca urządzenie RDMA) jest wciąż oczekująca lub wykonywana. Prowadzi to do tego, że c4iw_register_device() uzyskuje dostęp do zwolnionego urządzenia.

W jądrze Linux sterownik RDMA/ionic nie został dostosowany do wymogu osadzania struktury rdma_counter w strukturze specyficznej dla sterownika i rejestrowania jej rozmiaru przez INIT_RDMA_OBJ_SIZE. Powoduje to, że rdma_zalloc_drv_obj() alokuje zero bajtów, co prowadzi do dereferencji wskaźnika NULL w alloc_and_bind().

W jądrze Linux w funkcji ucma_set_ib_path() brakowało blokady handlera podczas wywołania ucma_event_handler() z ścieżki write(). Równoległe wywołanie ucma_migrate_id() mogło zmienić ctx->file, powodując operacje na liście zdarzeń innego pliku bez odpowiedniego mutexa, co prowadziło do use-after-free (wykryte przez KASAN).

W jądrze Linux w podsystemie RDMA/uverbs metoda UVERBS_METHOD_REG_MR nie zawiera atrybutu UVERBS_ATTR_UHW, mimo że trzy sterowniki (mthca, irdma, siw) mają dane UHW powiązane z reg_mr i zakładają, że udata nie może być NULL. Złośliwy proces w przestrzeni użytkownika może wywołać dereferencję NULL udata w tych sterownikach.

W jądrze Linux w podsystemie RDMA/uverbs starsza ścieżka write() przekazuje do kodu dostawcy pakiet uverbs_attr_bundle bez elementu metody ioctl. Jeśli błędne dane wejściowe dostawcy spowodują wygenerowanie komunikatu błędu przez wspólny kod walidacji, funkcja uverbs_get_handler_fn() dereferencjonuje niezainicjalizowany wskaźnik method_elm.

W funkcji as3722_get_regulator_dt_data() jądra Linux wywołanie of_get_child_by_name() pozyskuje referencję do węzła, która jest przypisywana do pdev->dev.of_node, ale zaraz potem of_node_put(np) zwalnia tę referencję, pozostawiając wiszący wskaźnik. Usunięcie tego wywołania pozwala urządzeniu utrzymać referencję.

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_alloc_read_page() jest podatna na wyścig z ring_buffer_subbuf_order_set, mogąc przydzielić stronę czytnika z nieaktualnym rozmiarem (order). Jeśli subbuf_order zmieni się w trakcie alokacji, bpage->order może nie odpowiadać rzeczywistej pamięci.

W podsystemie ring-buffer jądra Linux, gdy podbufory używają rozmiaru (order) większego niż 0, cpu_buffer->free_page jest przydzielana z użyciem subbuf_order. Poprawka zapewnia użycie właściwego rozmiaru dla cpu_buffer->free_page.

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_subbuf_order_set() może wyczyścić cpu_buffer->free_page, co powoduje wyścigi z ring_buffer_alloc_read_page() i ring_buffer_free_read_page(). Poprawka polega na trzymaniu cpu_buffer->lock podczas zmiany rozmiaru podbufora.

W podsystemie ring-buffer jądra Linux odrzucenie buforowanej strony czytnika po równoczesnej zmianie rozmiaru bufora używa nowego globalnego subbuf_order w wywołaniu free_pages(), co może prowadzić do awarii jądra lub wycieku pamięci. Poprawka zapisuje rzeczywisty rozmiar strony wraz z jej adresem, czyniąc free_page strukturą buffer_data_read_page.

W podsystemie ring-buffer jądra Linux funkcja __rb_get_reader_page_from_remote() kontynuuje działanie mimo niepowodzenia callbacku swap_reader_page (zwracającego -EBUSY), co może prowadzić do nieprawidłowego przetwarzania listy stron. Poprawka traktuje błąd callbacku jako odzyskiwalny, loguje go przez pr_warn_ratelimited() i zwraca NULL.

W systemie plików orangefs jądra Linux funkcja orangefs_devreq_write_iter() zwalnia op->downcall.trailer_buf przez vfree() przy niepowodzeniu copy_from_iter_full(), ale nie czyści wskaźnika przed goto Efault. Powoduje to podwójne zwolnienie tego samego wskaźnika po stronie readdir, gdy klient wyśle downcall z trailer_size większym niż dostarczone dane.

W systemie plików orangefs jądra Linux funkcja orangefs_prepare_cdm_array() rozmiaruje bufor słowa kluczowego za pomocą strcspn(cds_head, " "), ale parsuje je przez %s, który pomija wiodące białe znaki. Jeśli wpis debugowania klienta zaczyna się od spacji, alokacja może być za mała, a sscanf() zapisze poza buforem.

W jądrze Linux naprawiono podatność w module ocfs2/cluster, w funkcji o2hb_region_pin(). Funkcja ta była wywoływana z trzymaną blokadą spinlock o2hb_live_lock, jednocześnie wywołując śpiącą funkcję configfs_depend_item(), co powodowało błąd BUG przy włączonej opcji CONFIG_DEBUG_ATOMIC_SLEEP, inwersję kolejności blokad prowadzącą do zakleszczenia oraz wyciek licznika o2hb_dependent_users przy częściowym niepowodzeniu przypinania regionów.

W jądrze Linux występuje podatność typu NULL pointer dereference w implementacji SCTP, związana z zakończeniem żądania rekonfiguracji strumienia, które nie zostało jeszcze wysłane. Gdy żądanie jest już opublikowane w asoc->strreset_chunk, ale nie ma przypisanego transportu (chunk->transport == NULL), próba zatrzymania timera powoduje odwołanie do NULL i panikę jądra. Problem można wywołać lokalnie przez nieuprzywilejowany proces lub zdalnie przez spreparowany pakiet RECONF.

W jądrze Linux w stosie SCTP zbuforowany chunk RECONF może zawierać więcej niż jeden parametr żądania. Zduplikowana odpowiedź może ponownie przetworzyć to samo żądanie ADD_OUT, co powoduje dwukrotne cofnięcie licznika outcnt i jego niedomknięcie (underflow). Poprawka śledzi typy oczekujących żądań jako bity i ignoruje późniejsze odpowiedzi.

W jądrze Linux w sterowniku power: supply: bq24257 przerwanie STAT-pin jest zarządzane przez devm, więc pozostaje aktywne do momentu sprzątania po remove(). Funkcja remove() anuluje pracę bq->iilimit_setup_work, ale wątek obsługi przerwania może ją ponownie zaplanować i odwołać się do zwolnionej pamięci bq. Poprawka używa devm_delayed_work_autocancel() i rejestruje pracę przed żądaniem przerwania.

W jądrze Linux w sterowniku power: supply: bq256xx notyfikator USB-PHY kolejkuje usb_work, którego handler wywołuje power_supply_changed(bq->charger). Akcja reset devm rejestrowana jest przed zasilaczami, więc devm zwalnia bq->charger przed jej uruchomieniem, a zakolejkowana praca może odwołać się do zwolnionej pamięci. Poprawka rejestruje akcję reset po zasilaczach i inicjalizuje usb_work przed notyfikatorami.

W jądrze Linux w sterowniku power: supply: bq25890 funkcja bq25890_fw_probe() pozyskuje referencję do dodatkowego zasilacza przez power_supply_get_by_name(), ale nie zwalnia jej przy późniejszych błędach sondowania ani przy odłączaniu sterownika. Poprawka rejestruje akcję sprzątania zarządzaną przez urządzenie natychmiast po pozyskaniu referencji.

W jądrze Linux w module charger-manager (power: supply) występuje luka use-after-free. Regulatorzy są zwalniani (regulator_put) przed wyrejestrowaniem wpisów sysfs (power_supply_unregister), a jednocześnie wpisy sysfs są rejestrowane przed pozyskaniem regulatorów, co pozwala na wyścig i dostęp do zwolnionych uchwytów.

W jądrze Linux w sterowniku power: supply: cros_usbpd-charger funkcja cros_usbpd_charger_probe() odczytuje z EC dwie liczby portów i używa num_charger_ports jako granicy pętli wypełniającej tablicę ports[] o stałym rozmiarze 8 elementów. Brak walidacji względem EC_USB_PD_MAX_PORTS pozwala wadliwemu lub złośliwemu EC zgłosić wartość do 255, co powoduje zapis poza granicami tablicy (slab out-of-bounds write). Poprawka odrzuca liczbę portów większą niż rozmiar tablicy.

W jądrze Linux w sterowniku power: supply: cros_usbpd-charger funkcja sondowania iteruje na podstawie surowej liczby portów zwróconej przez kontroler EC. Jedynym sprawdzeniem jest porównanie z liczbą portów USB PD również zdefiniowaną przez EC, więc złośliwy EC może zwrócić niedokładną liczbę (do 255), powodując zapis poza granicami i uszkodzenie pamięci. Poprawka ogranicza liczbę portów do EC_USB_PD_MAX_PORTS.

W jądrze Linux w sterowniku power: supply: lp8727 funkcja lp8727_release_irq() anuluje pracę pchg->work przed zwolnieniem przerwania, więc przerwanie dostarczone w międzyczasie może ponownie uzbroić pracę przez wątek obsługi. Po powrocie z .remove warstwa devm zwalnia pchg, a lp8727_delayed_func() może wciąż działać i odwołać się do zwolnionej pamięci. Poprawka najpierw zwalnia przerwanie, a następnie anuluje pracę.

W jądrze Linux w sterowniku ładowarki lp8788-charger występuje błąd use-after-free podczas usuwania urządzenia. Funkcja lp8788_charger_remove() opróżnia kolejkę pracy przed wyrejestrowaniem przerwań IRQ, przez co wątek IRQ może zakolejkować pracę po zakończeniu flush_work(), a następnie praca ta odwołuje się do zwolnionej pamięci pchg.

W jądrze Linux w sterowniku qcom_battmgr występuje błąd use-after-free. Funkcja qcom_battmgr_pdr_notify() kolejkuje enable_work, gdy usługa PMIC GLINK startuje, a klient PMIC GLINK pozostaje na liście klientów do momentu zwolnienia przez devres, co pozwala powiadomieniu PDR wielokrotnie kolejkować pracę i uzyskać dostęp do zwolnionej pamięci battmgr.

W jądrze Linux w sterowniku qcom_battmgr funkcja qcom_battmgr_sc8280xp_strcpy() kopiuje ciągi znaków z firmware bez gwarancji terminatora, gdy firmware nie używa formatu Pascal. Pola model_number, serial_number i oem_info mogą nie być zakończone znakiem null, co powoduje odczyt poza granice bufora przy wyświetlaniu ich w przestrzeni użytkownika.

W jądrze Linux w sterowniku ładowarki rt9455 występuje błąd use-after-free. Podczas usuwania sterownika (rt9455_remove) kolejność anulowania zadań opóźnionych jest nieprawidłowa — batt_presence_work może zakolejkować max_charging_time_work po jego anulowaniu, co prowadzi do odwołania się do zwolnionej struktury rt9455_info. Problem występuje również w ścieżce błędu funkcji probe, gdy rt9455_hw_init() zawiedzie po zarejestrowaniu przerwania.

W jądrze Linux w sterowniku twl4030_charger występuje błąd use-after-free. Funkcja twl4030_bci_remove() nie anuluje dwóch workerów (bci->work i bci->current_worker), które odwołują się do struktury bci alokowanej przez devm, co może prowadzić do dostępu do zwolnionej pamięci po usunięciu urządzenia.

W jądrze Linux w sterowniku ucs1002 występuje błąd use-after-free podczas usuwania urządzenia. Sterownik nie ma funkcji remove, więc odłączenie odbywa się przez devm, ale devm zwalnia przerwanie alert IRQ bez anulowania opóźnionej pracy health_poll, która może następnie odwołać się do zwolnionej pamięci.

W jądrze Linux w sterowniku max17040 funkcje max17040_get_vcell() i max17040_get_soc() ignorują błędy zwracane przez regmap_read(). Gdy transfer I2C zawiedzie, niezainicjalizowana wartość rejestru jest konwertowana i raportowana do przestrzeni użytkownika jako prawidłowe napięcie lub stan naładowania, a worker może zastąpić buforowany stan naładowania błędną wartością.

W jądrze Linux w sterowniku max17040 występuje problem z synchronizacją anulowania pracy podczas suspend. Funkcja max17040_work() ponownie kolejkuje się po każdym odpytywaniu, a cancel_delayed_work() nie czeka na już uruchomiony callback, co może prowadzić do kontynuowania dostępu do układu paliwa po zakończeniu suspend.

W jądrze Linux na architekturze s390 podatność w podsystemie cpum_cf (licznik wydajności CPU) powoduje panikę jądra, gdy procesor jest włączany w trakcie działania polecenia perf stat. Struktura danych dla danego CPU nie jest inicjalizowana, jeśli CPU było offline w momencie tworzenia zdarzenia perf, co prowadzi do odwołania do wskaźnika NULL w funkcji cpumf_pmu_add().

W jądrze Linux na architekturze s390 makro MVIY_PERCPU() generuje wywołanie makra asemblera z argumentami łańcuchowymi rozdzielonymi spacjami, co w starszych wersjach binutils (przed 2.39) powoduje nieprawidłowe parsowanie i pominięcie instrukcji mviy. W rezultacie przerwana sekwencja per-CPU nie jest oznaczana w lowcore, a ścieżka powrotu z wyjątku nie może naprawić rejestru adresu per-CPU po migracji.

W jądrze Linux w sterowniku s390/dasd funkcja dasd_int_handler() oznaczała żądanie odczytu NRF nieprzydzielonego toru ESE jako zakończone sukcesem (DASD_CQR_SUCCESS) bez sprawdzenia wartości zwracanej przez ese_read(). Gdy dasd_eckd_ese_read() zwracało błąd przed wyzerowaniem bufora docelowego, warstwa blokowa otrzymywała niezerowane, niezinicjalizowane dane zamiast zer.

W jądrze Linux w sterowniku s390/dasd kilka procedur obsługi sysfs show/store wywołuje funkcję zwrotną dyscypliny, która odwołuje się do device->private. Podczas dasd_generic_set_online() dyscyplina jest przypisywana przed alokacją device->private przez check_device(), więc nieuprzywilejowany odczyt jednego z tych ogólnodostępnych atrybutów w tym oknie powoduje dereferencję wskaźnika NULL i panikę jądra.

W jądrze Linux w sterowniku s390/dasd funkcja dasd_default_erp_postaction() kopiuje stan czasu i urządzenia z zakończonego żądania ERP do żądania oryginalnego, ale pomija proc_bytes. Żądanie częściowo zakończone (odczyt ESE jeszcze nieprzydzielonego toru zwraca mniej bajtów niż żądano), a następnie odzyskane przez łańcuch ERP, traci długość częściowego ukończenia, przez co __dasd_cleanup_cqr() kończy całe żądanie zamiast zakolejkować resztę, zwracając wyzerowane dane dla nieodczytanej części.

W jądrze Linux w sterowniku PCI plda funkcja plda_pcie_irq_domain_deinit() usuwa pcie->event_domain przez irq_domain_remove(), ale poszczególne przerwania zdarzeń zmapowane z tej domeny są żądane przez devm_request_irq() w plda_init_interrupts(). Zwolnienie free_irq() dla przerwania zarządzanego przez devres jest odraczane do czasu po powrocie z probe()/remove(), więc irq_domain_remove() może zwolnić wewnętrzne dane domeny, zanim odroczone free_irq() zostanie wykonane, co prowadzi do dereferencji już zwolnionej domeny (use-after-free).

W jądrze Linux w sterowniku PCI plda funkcja plda_init_interrupts() inicjalizuje domeny przerwań i tworzy mapowania, ale nie cofa ich, gdy późniejszy krok zawiedzie. Jeśli platform_get_irq() lub którekolwiek irq_create_mapping() zawiedzie, domeny nigdy nie zostają zdeinicjalizowane, a port->intx_irq pozostaje zainicjalizowany, co prowadzi do wycieku domen przerwań.

W jądrze Linux w sterowniku iommu/amd funkcja iommu_call_iopf_notifier() wyszukuje requestera przez pci_get_domain_bus_and_slot(), co zwraca urządzenie PCI z zwiększonym licznikiem referencji. Ani ścieżka sukcesu iommu_report_device_fault(), ani ścieżka przerwania nie zwalniają tej referencji, więc każde obsłużone żądanie PPR powoduje wyciek referencji urządzenia PCI.

W jądrze Linux w sterowniku iommu/msm funkcja msm_iommu_probe() dodaje zarządzany przez devm obiekt IOMMU do qcom_iommu_devices przed dodaniem urządzenia sysfs IOMMU i zarejestrowaniem go w rdzeniu IOMMU. Jeśli iommu_device_sysfs_add() lub iommu_device_register() zawiedzie, obiekt pozostaje na liście qcom_iommu_devices, a rdzeń sterownika zwalnia alokację devm, pozostawiając wiszący wpis listy, który może być później dereferencjonowany.

W jądrze Linux w sterowniku iommu/sva funkcja iommu_attach_device_pasid() instaluje nowy uchwyt SVA w wyszukiwaniu PASID grupy, zanim iommu_sva_bind_device() zwróci wynik. Współbieżne bind może znaleźć i ponownie użyć ten sam uchwyt po zwolnieniu iommu_sva_lock. Pole handle->dev było inicjalizowane po zwolnieniu iommu_sva_lock, co pozostawia okno, w którym wyścigowy bind może zwrócić uchwyt z wciąż NULL wskaźnikiem dev, a następnie iommu_sva_unbind_device() może go dereferencjonować przez handle->dev->iommu_group.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja tegra241_vintf_init_vsid() programuje dostarczony przez gościa vSID do pola SID_MATCH, którego pole VIRT_SID obejmuje bity [20:1] z bitem 0 jako flagą włączenia dopasowania, więc sprzęt dopasowuje tylko 20-bitowy Stream ID. Sprawdzenie zakresu odrzuca jedynie virt_sid > UINT_MAX, co dopuszcza wartość znacznie szerszą niż pole; zapis "virt_sid << 1 | 0x1" odrzuca wszystkie bity powyżej 20, więc virt_sid 0x80000000 staje się SID_MATCH = 0x1, prawidłowym dopasowaniem vSID 0, przez co wpis aliasuje niewłaściwy Stream ID. Ponieważ vdev->virt_id jest kontrolowane przez gościa, VMM może to wywołać.

W jądrze Linux występuje wyciek pamięci w funkcji iommu_mock_device_add(). Gdy wywołanie device_add() zakończy się niepowodzeniem, ścieżka błędu zwalnia tylko fwspec, pozostawiając zaalokowaną strukturę dev->iommu. Problem został naprawiony poprzez wywołanie dev_iommu_free() zamiast iommu_fwspec_free().

W jądrze Linux funkcja iommufd_access_notify_unmap() pomija dostęp wewnętrzny, ale najpierw wywołuje iommufd_lock_obj(), co przy sukcesie powoduje pominięcie iommufd_put_object() i wyciek referencji obiektu. Poprawka sprawdza dostęp wewnętrzny przed blokowaniem.