Podatności Linux kernel

Sterownik ALSA aloop w jądrze Linux bez weryfikacji ufa wartości devptr->id podczas probe, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Przy ręcznym powiązaniu urządzenia przez sysfs wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów.

Sterownik ALSA mpu401 w jądrze Linux bez weryfikacji ufa wartości devptr->id podczas probe, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Przy ręcznym powiązaniu urządzenia przez sysfs wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów.

Sterownik ALSA mts64 w jądrze Linux sprawdza wartość devptr->id, ale nie weryfikuje wartości ujemnych, które są często przekazywane jako "none" przy powiązaniu urządzenia przez sysfs. Może to prowadzić do dostępu poza zakresem tablicy index[] i innych parametrów.

Funkcja pcxhr_probe() w jądrze Linux wywołuje pcxhr_threaded_irq() przed zainicjalizowaniem mutexa mgr->lock, mimo że wątek obsługi przerwania używa tego mutexa. Wczesne przerwanie może więc działać na niezainicjalizowanym stanie mutexa podczas probe.

Sterownik ALSA portman2x4 w jądrze Linux sprawdza wartość devptr->id, ale nie weryfikuje wartości ujemnych, które są często przekazywane jako "none" przy powiązaniu urządzenia przez sysfs. Może to prowadzić do dostępu poza zakresem tablicy index[] i innych parametrów.

W jądrze Linux w funkcji kset_replay() modułu dm-pcache występuje błąd use-after-free oraz nieprawidłowe operacje na segmentach. Gdy klucz ma nieaktualny seg_gen, pamięć klucza jest zwalniana, a następnie odwołuje się do niej wywołanie cache_seg_get(). Dodatkowo dla wygasłych nieprawidłowych kluczy niepotrzebnie ustawiany jest bit w seg_map i wywoływane cache_seg_get().

W jądrze Linux funkcja i3c_device_get_supported_xfer_mode() odwołuje się do dev->desc bez trzymania blokady bus->lock, co jest niedozwolone. Funkcja potrzebuje jedynie kontrolera nadrzędnego powiązanego z magistralą urządzenia, więc należy użyć dev->bus, które jest zawsze ważne przez cały czas życia urządzenia.

W jądrze Linux sterownik adi_i3c_master_probe() żąda przerwania i odmaskowuje REG_IRQ_PENDING_CMDR przed zainicjalizowaniem stanu IBI, listy kolejki transferów i blokady kolejki transferów. Oczekujące przerwanie CMDR może wywołać adi_i3c_master_irq() i użyć niezainicjalizowanej blokady, co wykrył Lockdep.

W jądrze Linux funkcja i3c_master_unregister_i3c_devs() czyści i3cdev->dev->desc przed wywołaniem device_unregister(). Podczas wyrejestrowania i3c_device_uevent() oraz wyścigowy modalias_show() mogą zobaczyć NULL desc i użyć niezainicjalizowanej struktury na stosie, ujawniając zawartość stosu jądra. Może też wystąpić use-after-free przy zapisie desc po zwolnieniu urządzenia.

W jądrze Linux funkcja svc_i3c_master_handle_ibi() odczytuje ładunek IBI z RX FIFO do slotu, ograniczając pętlę rozmiarem FIFO (SVC_I3C_FIFO_SIZE), a nie rozmiarem slotu. Sterownik może zażądać mniejszego max_payload_len (np. mctp-i3c żąda 1), więc urządzenie wysyłające więcej bajtów powoduje zapis poza slot->data, czyli out-of-bounds write do puli IBI.

W jądrze Linux sterownik Renesas I3C używa modelu asynchronicznego: przygotowuje strukturę renesas_i3c_xfer, kolejkuje ją i czeka na zakończenie. Jeśli wystąpi przekroczenie czasu, wątek oczekujący usuwa transfer z kolejki i zwalnia go; późniejsze przerwanie może odwołać się do zwolnionej pamięci, powodując awarię.

W jądrze Linux funkcja brcmf_sdio_read_control() nie zwalnia pamięci przydzielonej dla buf w niektórych ścieżkach błędów. Poprawka polega na dodaniu wywołań vfree() w tych ścieżkach.

W jądrze Linux funkcja iwl_op_mode_dvm_start() w sterowniku iwlwifi dvm: skok do out_free_eeprom pomija etykietę out_free_eeprom_blob. W efekcie ścieżki błędów po pomyślnym sparsowaniu EEPROM zwalniają priv->nvm_data, ale wycieka priv->eeprom_blob. Poprawka zmienia kolejność etykiet obsługi błędów.

W jądrze Linux w sterowniku wifi rtl8xxxu występuje błąd use-after-free związany z kolejką roboczą rx_urb_wq. Funkcja rtl8xxxu_stop() nie anuluje rx_urb_wq, więc worker może wykonać się po zwolnieniu struktury priv przez rtl8xxxu_disconnect(), co prowadzi do użycia zwolnionej pamięci. Problem występuje przy aktywnym ruchu RX i następującym po nim rozłączeniu urządzenia.

W jądrze Linux transport fuse-io-uring kopiuje req->in.h i req->out.h bezpośrednio do/z przestrzeni użytkownika w fuse_uring_copy_to_ring() i fuse_uring_commit(). Nagłówki znajdują się w obiekcie slab fuse_request, którego cache nie ma białej listy usercopy, co narusza CONFIG_HARDENED_USERCOPY i powoduje panikę jądra.

W jądrze Linux w sterowniku wifi rtlwifi (rtl8192du) funkcja rtl92du_tx_fill_desc() używa wartości QoS TID z nagłówka 802.11 jako indeksu tablicy sta_entry->tids[]. Ponieważ ieee80211_get_tid() zwraca wartość 0..15, a tablica ma tylko MAX_TID_COUNT (9) elementów, TID większy niż 8 powoduje dostęp poza zakresem tablicy stanu agregacji.

W jądrze Linux w sterowniku wifi rtlwifi (rtl8192du) funkcja rtl92du_init_sw_vars() nie zwalnia pamięci przydzielonej w rtl92du_init_shared_data() w żadnej ze ścieżek błędów występujących po tym przydziale. Prowadzi to do wycieku pamięci.

W jądrze Linux w sterowniku wifi rtw88 funkcja rtw_txq_push_skb() nie zwalnia skb przed powrotem w ścieżce błędu, mimo że funkcja rtw_hci_tx_write() oczekuje zwolnienia skb w przypadku niepowodzenia. Prowadzi to do wycieku pamięci w rtw_txq_push().

W jądrze Linux w sterowniku wifi rtw88 (PCI) funkcja rtw_pci_probe() przydziela zasoby PCI przez rtw_pci_setup_resource() przed konfiguracją NAPI. Jeśli rtw_pci_napi_init() zawiedzie, ścieżka błędu pomija rtw_pci_destroy(), pozostawiając przydzielone zasoby PCI.

W jądrze Linux w sterowniku wifi mt76 (mt7615) funkcja mt7615_suspend() pozyskuje muteks mt76, a następnie wywołuje cancel_delayed_work_sync() na mac_work. Ponieważ mt7615_mac_work() również pozyskuje ten sam muteks, jeśli mac_work już działa i czeka na muteks, ścieżka suspend zakleszcza się.

W jądrze Linux w sterowniku wifi mt76 (mt7915) funkcja mt7915_mcu_get_eeprom() kopiuje stały blok EFUSE do bufora dev->mt76.eeprom.data pod adresem raportowanym przez MCU (res->addr) bez sprawdzenia go względem rozmiaru bufora. Złośliwe lub wadliwe urządzenie może zgłosić dowolny adres i wywołać 16-bajtowy zapis poza zakresem bufora.

W jądrze Linux w sterowniku wifi mt76 (mt7925) funkcja mlo_pm_work jest kolejkowna z 5-sekundowym opóźnieniem podczas konfiguracji oszczędzania energii multi-link i nigdy nie jest anulowana na ścieżce zatrzymania. Jeśli urządzenie zostanie zniszczone w tym oknie, praca przeżywa teardown, a jej timer odpala się później, próbując kolejkować do już nieistniejącej kolejki roboczej.

W jądrze Linuxa wykryto podatność w mechanizmie VLAN, polegającą na dynamicznej zmianie pola hard_header_len podczas przełączania sprzętowego odciążania VLAN TX. Powoduje to wyścig danych w ścieżkach transmisji bez blokady RTNL, co może prowadzić do błędu skb_under_panic oraz niezgodności między zarezerwowaną przestrzenią nagłówka a faktycznym tworzeniem nagłówka.

W jądrze Linuxa w module crypto: krb5 funkcje crypto_krb5_prepare_encryption() i crypto_krb5_prepare_checksum() zwalniają bufor zawierający świeżo wygenerowane klucze za pomocą zwykłego kfree(), pozostawiając materiał klucza w zwolnionym obiekcie slab. To może prowadzić do wycieku wrażliwych danych.

W jądrze Linuxa w KVM: s390 vsie, podczas cieniowania bitów dostępu kryptograficznego z formatu0 apcb (crycb 0 lub 1), bity 64..255 pozostają niezmienione z tego, co jest w stronie vsie w crycb i w apcb. To daje zagnieżdżonemu gościowi potencjalny dostęp do urządzenia, które już nie jest dostępne. Należy wyzerować pozostałe bity.

W jądrze Linux w podsystemie Bluetooth ISO naprawiono błąd use-after-free gniazda nasłuchującego w funkcji iso_conn_ready. Problem występował, gdy gniazdo nasłuchujące zostało zamknięte współbieżnie, co prowadziło do użycia zwolnionej pamięci przy tworzeniu gniazda potomnego.

W jądrze Linux naprawiono podatność w SELinux: wymagane jest, aby każda wartość logiczna (boolean) była zdefiniowana. Liczba booleanów (p_bools.nprim) pochodzi z obrazu polityki niezależnie od tego, ile booleanów faktycznie występuje, a cond_index_bool() wypełnia tablicę bool_val_to_struct[] przy wartości - 1, więc większa liczba niż dostępne wartości pozostawia puste wpisy. Każdy użytkownik tej tablicy przechodzi przez nią po indeksie i dereferencjonuje każdy wpis, co może prowadzić do problemów. Poprawka odrzuca wartość logiczną, która nie jest zdefiniowana, podczas budowania tablicy.

W jądrze Linux w funkcji security_get_classes() w module SELinux nie sprawdzano, czy wartość klasy jest zdefiniowana w polityce. Prowadzi to do pozostawienia wskaźnika NULL w tablicy, co może skutkować awarią systemu podczas tworzenia wpisów w katalogach.

W jądrze Linux w podsystemie ASoC SOF w funkcji sof_widget_setup_unlocked() występuje błąd w ścieżce obsługi błędów. W przypadku niepowodzenia konfiguracji lub inicjalizacji widgetu, funkcja czyszcząca jest wywoływana dwukrotnie, co prowadzi do podwójnego dekrementacji licznika użycia i podwójnego wywołania core_put.

W jądrze Linux w sterowniku kodeka lpass-wsa-macro, kontrolki typu enum (takie jak 'EAR SPKR PA Gain' i 'WSA RX* Mux') są nieprawidłowo obsługiwane. Funkcje get/put odwołują się do wartości przez pole integer zamiast enumerated, co na 64-bitowych jądrach z włączonym CONFIG_SND_CTL_DEBUG powoduje błąd -EINVAL przy każdym odczycie.

W jądrze Linux w sterowniku drm/amdgpu brakuje walidacji liczby referencji H.265 w komunikatach UVD. Może to prowadzić do przepełnienia przy obliczaniu minimalnego rozmiaru bufora DPB.

W jądrze Linux w sterowniku drm/amdgpu brakuje walidacji wymiarów (powyżej 4096) w komunikatach UVD, co może prowadzić do przepełnienia w obliczeniach rozmiaru bufora DPB.

W jądrze Linux w sterowniku drm/amdgpu, obliczanie minimalnego rozmiaru bufora DPB dla H.264 używa maksymalnej liczby referencji wynikającej z poziomu, zamiast rzeczywistej liczby referencji z komunikatu dekodowania. Może to prowadzić do nieprawidłowego przydziału pamięci.

W jądrze Linuxa wykryto podatność w funkcji packet_parse_headers() dotyczącą wysyłania ramek z tagiem VLAN. Błędna kolejność wywołań powoduje, że pole transport_header pozostaje niezainicjalizowane, co może prowadzić do nieprawidłowego działania stosu sieciowego.

W jądrze Linux w funkcji tap_get_user_xdp() sterownika net: tap, podczas przetwarzania ramki VLAN, nagłówek transportowy nie jest poprawnie ustawiany. Powoduje to, że transport_header pozostaje niezainicjalizowany, co może prowadzić do błędów w dalszym przetwarzaniu pakietów.

W jądrze Linux w podsystemie net/tls, funkcja tls_sw_splice_read() nie sprawdza błędu po nieudanym asynchronicznym deszyfrowaniu. W przeciwieństwie do innych funkcji odczytu, splice może nadal dostarczać dane na połączeniu, które powinno być zamknięte z powodu błędu uwierzytelniania.

W jądrze Linux w sterowniku drm/xe/oa, funkcja xe_oa_emit_oa_config() nie zwalnia wpisów synchronizacji w przypadku błędu przed punktem bez powrotu. Prowadzi to do wycieku pamięci i referencji do fence, które nie są już dostępne.

W jądrze Linux w sterowniku DMA sun6i-dma podczas kończenia transferów DMA aktywne deskryptory nie są poprawnie odzyskiwane. Obsługiwane były tylko deskryptory cykliczne, co powodowało trwały wyciek deskryptorów niecyklicznych i ich łańcuchów LLI. Poprawka wykorzystuje vchan_terminate_vdesc() i dodaje kontrolę, aby zapobiec podwójnemu dodawaniu ukończonych deskryptorów.

W jądrze Linux w IPVS brakuje walidacji sum kontrolnych dla pakietów ICMPv6 od klientów oraz dla odpowiedzi ICMPv6 od rzeczywistych serwerów (brak obliczania pseudo-nagłówka). Poprawka wprowadza funkcję pomocniczą ip_vs_checksum_common_check() i używa nf_checksum() do walidacji ICMP, TCP i UDP, z poprawnym offsetem IP dla debugowania. Walidacja sum kontrolnych jest wykonywana tylko na LOCAL_IN, a nie na LOCAL_OUT ani FORWARD.

W jądrze Linux w ASoC SDCA kontrola rozmiaru wiadomości UMP może być niepoprawnie zaliczona, jeśli offset wiadomości jest większy niż długość bufora. Poprawka wzmacnia tę kontrolę, aby była bardziej odporna na nieprawidłowe rozmiary.

W jądrze Linux usunięto całkowicie backend fscache dla systemu plików EROFS. Funkcjonalność ta była przestarzała od prawie dwóch lat, a równoważną funkcję zapewniają teraz montowania plikowe EROFS i hooki fanotify pre-content. Usunięcie eliminuje również problemy implementacyjne, które nie były warte dalszych prac.

W jądrze Linux w netfs, gdy operacja kopiowania do bufora (copy-to-cache) nie powiedzie się, flaga PG_private_2 na folio nie jest usuwana, co prowadzi do przetrzymywania referencji. Poprawka czyści flagę i zwalnia referencję natychmiast po niepowodzeniu append.

W jądrze Linux w netfs, gdy przygotowanie iteratora wejścia/wyjścia nie powiedzie się, folio readahead, które zostały już zgrupowane, nie są zwalniane, co prowadzi do przetrzymywania referencji. Poprawka zwalnia zgrupowane folio przed zwróceniem błędu.

W jądrze Linux w mshv występuje wyścig w mshv_irqfd_deassign, ponieważ brakuje blokady pt->pt_irqfds_lock podczas przeglądania listy i dezaktywacji. Dodatkowo użycie hlist_del() zamiast hlist_del_init() powoduje, że węzeł po usunięciu nie jest oznaczony jako niezhashowany, co może prowadzić do podwójnego usunięcia. Poprawka dodaje blokadę i używa hlist_del_init().

W jądrze Linuxa w module mshv (Microsoft Hypervisor) występuje podatność polegająca na wyścigu (race condition) między publikacją wskaźnika do struktury VP w tablicy pt_vp_array a ścieżką szybkiego potwierdzania przerwań irqfd. W rezultacie na architekturach o słabym modelu pamięci (np. ARM64) czytelnik może zobaczyć niezerowy wskaźnik przed pełną inicjalizacją struktury VP, co prowadzi do użycia częściowo zainicjalizowanych pól.

W jądrze Linux w iommufd, podczas wymiany urządzenia, do funkcji iommufd_auto_response_faults przekazywany jest nowy hwpt zamiast starego, co powoduje błędne przetwarzanie grup błędów. Poprawka przekazuje stary hwpt, zgodnie z pierwotną implementacją.

W jądrze Linux wykryto podatność w mechanizmie hugetlb, gdzie podczas operacji fork() dochodzi do uszkodzenia wpisów wymiany (swap entries) dla stron hugetlb. Funkcja copy_hugetlb_page_range() błędnie czyści bit uffd-wp w pozycji bitu przeznaczonej dla obecnych PTE, co w przypadku wpisów migracji lub hwpoison powoduje modyfikację zakodowanego numeru strony (PFN) o dwie strony. Problem występuje nawet bez użycia userfaultfd, wystarczy zwykły fork() z aktywnym wpisem migracji lub zatrutą stroną hugetlb.

W jądrze Linux w systemie plików EROFS rozmiar puli strumieni LZMA jest ograniczany nową opcją konfiguracyjną. Domyślnie pula jest ograniczona do 16 strumieni, co zapobiega przypinaniu nadmiernej ilości pamięci vmalloc przez małe obrazy EROFS na systemach z wieloma CPU.

W jądrze Linux dla KVM na architekturze s390 dodano walidację adresów AIBV i AISB przed przypinaniem stron gościa. Żądania z AIBV przekraczającym granicę strony lub z niewyrównanym adresem AISB są odrzucane.

W jądrze Linux w protokole SCTP zaostrzono sprawdzanie ważności ciasteczek (cookies). Odrzucane są nieaktualne ciasteczka, gdy tagi weryfikacyjne nie pasują do bieżącego skojarzenia, co zapobiega nieautoryzowanemu ponownemu uruchomieniu skojarzenia.