Podatności Linux kernel

W jądrze Linux naprawiono podatność w module CAN ISO-TP dotyczącą błędów w kolejności wygaszania timerów, obsłudze wybudzania oraz kolejności generowania transakcji (tx_gen). Błędy te mogły prowadzić do wyścigów (race conditions) podczas równoczesnych operacji wysyłania i zamykania gniazda, potencjalnie powodując nieprawidłowe stany, zawieszenia lub uszkodzenie danych.

W jądrze Linux w sterowniku DRM vmwgfx podczas importu obcego deskryptora prime nie zwalniano referencji do dma_buf, co prowadziło do wycieku pamięci. Poprawka zapewnia zwolnienie referencji w ścieżce błędu.

W jądrze Linux w sterowniku DRM vmwgfx podczas walidacji rozmiaru i przesunięcia shadera występowało przepełnienie liczby całkowitej bez znaku. Poprawka używa funkcji check_add_overflow do wykrywania przepełnienia.

W jądrze Linux naprawiono problem w sterownikach graficznych Tegra (gr2d/gr3d), polegający na inicjalizacji mapy rejestrów adresowych przed rejestracją klienta HOST1X. Wcześniej rejestracja klienta odbywała się przed inicjalizacją, co mogło pozwolić przestrzeni użytkownika na wysyłanie zadań przed inicjalizacją. Poprawka przenosi inicjalizację rejestrów przed rejestrację klienta.

W jądrze Linux w systemie plików AFS występuje wyciek pamięci związany z wolumenem, który nie został pobrany (ungot volume). Funkcja afs_lookup_volume_rcu() nie zwalnia wolumenu, który jest w stanie umierania, gdy afs_try_get_volume() zawiedzie.

W jądrze Linuxa wykryto podatność w sterowniku USB xHCI, gdzie funkcja xhci_gen_setup() odczytuje rejestr kontrolera nawet gdy jest on niedostępny (np. po awarii zasilania lub odłączeniu od magistrali). Odczyt zwraca wartość 0xFFFFFFFF, co prowadzi do nieprawidłowego obliczenia adresu rejestrów operacyjnych i wywołuje błąd wyrównania na architekturze ARM64, powodując awarię systemu (oops). Problem dotyczy kontrolerów takich jak Renesas uPD720201, które nie wznawiają pracy z trybu D3cold.

W jądrze Linux w systemie plików FUSE występuje wyścig między przerwaniem a ponownym wysłaniem żądania, co może powodować wyzwalanie WARN_ON i potencjalne problemy.

W jądrze Linux w systemie plików FUSE brakuje bariery pamięci podczas sprawdzania gotowości io-uring, co może prowadzić do zakleszczenia z odwróconą kolejnością blokad.

W jądrze Linux w systemie plików FUSE publikowanie kolejek io-uring nie używa semantyki release, co może prowadzić do niespójności widoczności danych dla czytelników.

W jądrze Linux w systemie plików FUSE ścieżka abort_on_kill nie czeka na FR_FINISHED, co może prowadzić do use-after-free podczas równoległego przetwarzania żądań.

W jądrze Linux w stosie TCP występuje problem z wartością advmss pochodzącą z trasy, która może być mniejsza niż 1, co prowadzi do dzielenia przez zero w tcp_select_initial_window(). Poprawka wprowadza funkcję tcp_dst_advmss(), która ogranicza advmss do TCP_MIN_MSS.

W jądrze Linuxa w podsystemie AF_PACKET naprawiono podatność związaną z buforami pierścieniowymi TX_RING. Problem polegał na tym, że deskryptory skb przechowywały surowy wskaźnik do ramki pierścienia, który mógł wskazywać na nieistniejące już mapowanie vmalloc po zwolnieniu pg_vec. Naprawa opóźnia zwolnienie referencji do momentu po zapisie znacznika czasu i statusu ramki oraz dodaje dodatkowe sprawdzenie przed wymianą pierścienia.

W jądrze Linuxa w module crypto virtio występuje podatność na odczyt poza zakresem pamięci. Funkcja virtio_crypto_dataq_akcipher_callback() ustawia długość wyniku na podstawie długości zgłoszonej przez urządzenie, bez ograniczenia do rozmiaru bufora docelowego, który został przydzielony dla pierwotnej długości żądania. Funkcja sg_copy_from_buffer() czyta wtedy tę liczbę bajtów z bufora docelowego; backend zgłaszający większą długość odczytuje sąsiedni obszar sterty jądra do scatterlist wywołującego (odczyt poza zakresem). Poprawka ogranicza zgłoszoną długość do pierwotnie żądanej długości docelowej.

W jądrze Linux usunięto interfejs crypto_rng z sterownika sun8i-ce, ponieważ był nieużywany i zbędny. Sterownik zawierał podatność use-after-free w funkcji ->generate() z powodu nieprawidłowej obsługi przerwania operacji DMA. Wsparcie dla hwrng pozostaje nietknięte.

W jądrze Linux usunięto interfejs crypto_rng z sterownika sun8i-ss, ponieważ był nieużywany i zbędny. Sterownik zawierał podatność use-after-free w funkcji ->generate() oraz błąd nadmiernego odczytu bufora w linii memcpy(ctx->seed, d + dlen, ctx->slen). Wsparcie dla hwrng pozostaje.

W jądrze Linux w podsystemie USB dodano blokadę (spin lock) do funkcji usb_wakeup_notification(), aby zapobiec wyścigowi związanemu z dereferencją zwolnionej pamięci. Problem mógł wystąpić, gdy sterownik xHCI wywoływał tę funkcję z przerwania, konkurując z funkcją hub_disconnect().

W jądrze Linux w sterowniku mailbox mchp-ipc-sbi brakuje sprawdzenia, czy funkcja devm_kasprintf() zwróciła poprawny wskaźnik. Jeśli alokacja pamięci się nie powiedzie, może dojść do użycia pustego wskaźnika.

W jądrze Linux w sterowniku rndis_host brakuje kontroli przepełnienia w funkcji rndis_rx_fixup(). Brak tej kontroli może umożliwić odczyt poza zakresem bufora danych USB.

W jądrze Linux w sterowniku ALSA dummy, funkcja snd_dummy_probe() nie sprawdza poprawności wartości indeksu karty. Jeśli urządzenie jest podpięte ręcznie przez sysfs, indeks może być -1, co prowadzi do dostępu poza zakresem tablicy.

W jądrze Linux w podsystemie nvmet-tcp odkryto podatność polegającą na tym, że zdalny inicjator może kontrolować rozmiar alokacji SGL, co prowadzi do wyzwolenia ostrzeżenia jądra (WARN_ON_ONCE_GFP) przy bardzo dużych alokacjach. Problem został rozwiązany przez dodanie flagi GFP_NOWARN do alokacji, aby uniknąć paniki systemu w przypadku włączenia panic-on-warn.

W jądrze Linux w podsystemie fbdev odkryto brak spójności w obsłudze zmian trybu wyświetlania. Niektóre ścieżki wywołań (np. przez sysfs) nie aktualizowały stanu fbcon, co mogło prowadzić do nieprawidłowego działania konsoli. Wprowadzono funkcję pomocniczą fb_set_var_from_user(), która centralizuje obsługę zmian trybu, w tym aktualizację fbcon.

W jądrze Linux w podsystemie fbdev wykryto brak synchronizacji dostępu do listy modeli (modelist) i bieżącego trybu (mode) w operacjach sysfs. Równoczesny odczyt/zapis mógł prowadzić do użycia po zwolnieniu (use-after-free) lub przechowywania zwolnionego wskaźnika. Poprawka polega na dodaniu blokady lock_fb_info() w funkcjach show_mode(), show_modes() i store_mode().

W jądrze Linuxa w SELinuxie występuje podatność polegająca na zapisie poza zakresem pamięci (out-of-bounds heap write). Klasa, która dziedziczy uprawnienia ze wspólnego (common) bloku, może mieć mniejszą liczbę uprawnień niż odziedziczone, co prowadzi do zapisu poza przydzieloną tablicę podczas ładowania polityki.

W jądrze Linuxa w SELinuxie występuje podatność na dereferencję wskaźnika NULL. Przy pierwszym ładowaniu polityki, gdy budowa drzewa selinuxfs zawiedzie, wywoływana jest funkcja selinux_policy_cancel(), która próbuje uzyskać dostęp do nieistniejącej starej polityki, co prowadzi do awarii systemu.

W jądrze Linux w module SELinux występuje podatność polegająca na braku odrzucenia wartości uprawnień przekraczającej liczbę uprawnień klasy. Funkcja perm_read() ogranicza wartość przez SEL_VEC_MAX, ale nie przez nprim klasy, co prowadzi do zapisu poza zakresem sterty w security_get_permissions(). Poprawka odrzuca uprawnienia, których wartość przekracza nprim.

W jądrze Linuxa w sterowniku synaptics-rmi4 występuje błąd polegający na błędnym przypisaniu liczby elektrod nadajnika (TX) do wartości odbiornika (RX) z powodu literówek. Prowadzi to do nieprawidłowego rozmiaru raportu diagnostycznego i potencjalnego dostępu poza zakresem bufora.

W jądrze Linux w sterowniku ovpn występuje problem z bezpieczeństwem związany z uruchamianiem odroczonej pracy na globalnych kolejkach systemowych. Praca może być wykonywana po zwolnieniu tekstu modułu, co prowadzi do użycia po zwolnieniu. Poprawka dodaje kolejkę pracy należącą do modułu i opróżnia ją przed zniszczeniem modułu.

W jądrze Linuxa w sterowniku psxpad-spi występuje podatność na dereferencję wskaźnika NULL. Funkcja psxpad_spi_suspend() pobiera dane sterownika, ale nie są one zapisywane podczas inicjalizacji, co prowadzi do awarii podczas zawieszenia systemu.

W jądrze Linux w sterowniku pmdomain dla MediaTek (mtk_mfg) występuje niezainicjalizowana zmienna prev_o w funkcji mtk_mfg_attach_dev(). Przy pierwszej iteracji pętli zmienna jest odczytywana przed przypisaniem, co może prowadzić do użycia nieprawidłowego wskaźnika i potencjalnego błędu lub pominięcia pierwszej pozycji OPP.

W jądrze Linux w podsystemie pmdomain dla układów MediaTek występuje problem z użyciem wskaźnika do zwolnionego węzła device-tree w ścieżkach błędów. Funkcja scpsys_get_bus_protection_legacy() zwalnia węzeł przed sprawdzeniem wyniku wyszukiwania regmap, a następnie używa go w komunikacie błędu, co może prowadzić do dereferencji zwolnionej pamięci.

W jądrze Linux w sterowniku DRM dla złączy HDMI występuje problem z odczytem poza zakresem pamięci. Funkcja pomocnicza kopiuje infoframe audio do kopii w złączu, używając rozmiaru miejsca docelowego (60 bajtów) zamiast rozmiaru źródła (28 bajtów), co powoduje odczyt poza przydzielonym buforem.

W jądrze Linux w sterowniku MMC dla układów Loongson występuje problem z iteracją po liście scatterlist w funkcjach zmiany kolejności danych. Makro for_each_sg() już iteruje po wpisach, ale kod używa '&sg[i]' i 'sg_dma_len(&sg[i])', co prowadzi do dostępu do niewłaściwych wpisów lub odczytu poza zakresem.

W jądrze Linux w sterowniku drm/amdkfd parser CRAT nie sprawdza, czy deklarowana długość podtypu mieści się w granicach obrazu. Złośliwa tabela CRAT z nadmiernym polem długości może powodować odczyty poza zakresem podczas parsowania.

W jądrze Linux w sterowniku clk dla Qualcomm (dispcc-eliza) występuje problem z reparentingiem zegara, gdy wyświetlacz jest wyłączony. Powoduje to ostrzeżenie i nieprawidłową konfigurację zegara na platformie Eliza EVK.

W jądrze Linux w sterowniku regulatora FP9931 występuje problem z tabelą napięć dla VPOS/VNEG. Tabela VPOSNEG_table[] nie zgadza się z kartą katalogową: zawiera dodatkowy wpis 7.04V (przesuwając wszystkie kolejne) i ma tylko 41 wpisów zamiast 64, co powoduje odczyt poza zakresem dla selektorów powyżej 0x28.

W jądrze Linux w module netfilter nf_tables_offload funkcja nft_flow_rule_offload_abort() wywołuje WARN_ON_ONCE(err) dla każdego błędu podczas wycofywania transakcji, w tym dla -ENOMEM. Błędy alokacji pamięci są oczekiwane przy niskim poziomie pamięci i nie oznaczają błędu jądra. Poprawka zmienia warunek na WARN_ON_ONCE(err && err != -ENOMEM), aby ostrzegać tylko o nieoczekiwanych błędach.

W jądrze Linuxa w sterowniku ASoC Xilinx formatter_pcm występuje podatność na dereferencję wskaźnika NULL. Procedury obsługi przerwań pobierają dane sterownika przez dev_get_drvdata(), ale dane są ustawiane dopiero po rejestracji przerwań, co może prowadzić do awarii.

W jądrze Linuxa w af_packet występuje podatność polegająca na wysyłaniu pakietów o zerowej długości przez tpacket_snd(). Prowadzi to do ostrzeżenia w __dev_queue_xmit() i potencjalnej awarii systemu.

W jądrze Linux w funkcji drm_log_draw_kmsg_record() występuje problem z odczytem poza zakresem, gdy długość komunikatu jest równa 0. Funkcja używa wyrażenia s[len - 1], gdzie len jest typu unsigned int, co przy len=0 powoduje zawinięcie do UINT_MAX i odczyt poza pamięcią.

W jądrze Linux w sterowniku drm/log występuje nieskończona pętla, gdy skala jest zbyt duża dla wyświetlacza, co powoduje, że liczba wierszy lub kolumn wynosi 0. Pętla w drm_log_draw_kmsg_record() nie zmniejsza długości, gdy kolumny są równe 0. Dodano sprawdzenie zerowych wierszy/kolumn w drm_log_setup_modeset() i zwracanie błędu, z posprzątaniem już przydzielonego bufora, aby uniknąć wycieku.

W jądrze Linux w sterowniku mlx5e (dla kart sieciowych Mellanox/NVIDIA) wykryto podatność prowadzącą do zakleszczenia (deadlock) typu AA. Problem występuje, gdy operacja dodania przepływu FDB (Forwarding Database) w TC (Traffic Control) nie powiedzie się na niższym poziomie, a następnie usunięcie przepływu (mlx5e_tc_del_flow) próbuje ponownie uzyskać blokadę devcom, która jest już trzymana w przypadku przepływów peer. Powoduje to rekurencyjne zablokowanie (lockdep: possible recursive locking detected).

W jądrze Linux w funkcjach bpf_tcp_gen_syncookie i bpf_tcp_check_syncookie występuje problem z brakiem walidacji stanu gniazda przed dostępem do sk_protocol. Funkcje te mogą uzyskać wskaźnik do mini-socketu, który nie ma pełnych pól gniazda, co może prowadzić do dereferencji nieprawidłowej pamięci.

W jądrze Linux w sterowniku szeregowym amba-pl011 występuje problem z synchronizacją podczas wyłączania DMA. Funkcja dmaengine_terminate_all() nie czeka na zakończenie wywołania zwrotnego, więc callback TX może nadal dotykać bufora TX po jego zwolnieniu. Timer odpytywania RX odczytuje bufory RX bez blokady portu. Poprawka polega na użyciu dmaengine_terminate_sync() i usunięciu timera RX przed zwolnieniem buforów.

W jądrze Linux w podsystemie Thunderbolt występuje problem z indeksowaniem tablicy rezerwacji przepustowości. Funkcja tb_consumed_dp_bandwidth() używa identyfikatora grupy (od 1 do MAX_GROUPS) jako indeksu tablicy group_reserved[], która ma tylko MAX_GROUPS wpisów, co powoduje odczyt poza zakresem dla grupy MAX_GROUPS i pominięcie jej w sumowaniu.

W jądrze Linux w sterowniku ovpn występuje problem z bezpieczeństwem przy dereferencji sk_user_data. Niektóre podsystemy, takie jak BPF SOCKMAP, ustawiają sk_user_data bez ustawiania encap_type. Należy upewnić się, że typ jest oczekiwany przez ovpn przed dereferencją, aby uniknąć odczytów poza zakresem.

W jądrze Linux w systemie plików btrfs wykryto podatność polegającą na nieprawidłowej inicjalizacji flag mapowania i minimalnego rzędu folio dla buforowanych (cached) i-węzłów. W określonych warunkach (np. przy rozmiarze bloku 8K i stronie 4K) może to prowadzić do naruszenia asercji i paniki jądra (kernel BUG).

W jądrze Linux funkcja sk_mc_loop() wywołuje WARN_ON_ONCE(1) dla gniazd, które nie są AF_INET ani AF_INET6, np. gniazda AF_PACKET przy wysyłaniu pakietów przez surowe gniazda na wirtualnych urządzeniach takich jak VRF lub ipvlan. Gniazda nie-INET nie obsługują opcji IP_MULTICAST_LOOP ani IPV6_MULTICAST_LOOP, więc pętla zwrotna powinna domyślnie być włączona bez generowania ostrzeżenia. Poprawka usuwa to ostrzeżenie.

W jądrze Linux w sterowniku ata: pata_sl82c105 występuje użycie po zwolnieniu (use-after-free) podczas odczytu rewizji mostka. Funkcja pci_get_slot() zwraca urządzenie PCI z referencją, ale po zmianie na bezpośredni dostęp do pola revision, odczyt następuje po pci_dev_put(), co może prowadzić do użycia zwolnionej pamięci. Poprawka przenosi odczyt rewizji przed zwolnieniem referencji.

W jądrze Linuxa wykryto podatność w funkcji dev_validate_header() w stosie sieciowym. Funkcja ta, dla procesów z uprawnieniem CAP_SYS_RAWIO, dopełniała zerami krótkie nagłówki warstwy łącza, odczytując dev->hard_header_len bezpośrednio. Jeśli w międzyczasie urządzenie zostało przekonfigurowane i wartość ta wzrosła, zapis zerami wychodził poza przydzielony bufor, powodując zapis poza zakresem.

W jądrze Linux w teście ring-buffer występuje błąd prowadzący do awarii podczas przekazywania ERR_PTR do kthread_stop(). Pętla czyszcząca w test_ringbuffer() sprawdza tylko wartości NULL, a nie ERR_PTR, co prowadzi do dereferencji błędnego wskaźnika i paniki jądra podczas testu inicjalizacji. Poprawka prawdopodobnie polega na odpowiednim obsłużeniu ERR_PTR.