Podatności Linux kernel

W jądrze Linux występuje luka w mechanizmie gennetlink, gdzie zrzut polityki (policy dump) kontrolera generycznego netlink zachowuje wskaźniki do tabel operacji i polityk docelowej rodziny. Moduł docelowej rodziny nie jest przypięty, więc może zostać wyrejestrowany i wyładowany, podczas gdy zrzut polityki jest w toku. Kontynuacja zrzutu powoduje dereferencję pamięci polityki z wyładowanego modułu.

W jądrze Linux funkcja drm_exec_prepare_array() zwraca sukces bez wywołania drm_exec_lock_contended(), gdy num_objects wynosi zero. To łamie niezmiennik, w którym każdy punkt wejścia musi najpierw spróbować zablokować wcześniej zakontenderowany obiekt. Sterowniki łańcuchujące wiele wywołań mogą trafić na nieskończoną pętlę, gdy pusta tablica nigdy nie czyści exec->contended.

W jądrze Linux w funkcji query_perf_config_list() sterownika drm/i915 występuje wyciek pamięci. Gdy krealloc() zawiedzie, oryginalna tablica oa_config_ids nie jest zwalniana przed powrotem, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku drm/rockchip analogix_dp funkcja rockchip_dp_drm_encoder_enable() używa sprintf() do formatowania ścieżki device tree do 32-bajtowego bufora na stosie. Ścieżki device tree nie są ograniczone do tego rozmiaru, więc wystarczająco długa ścieżka może przepełnić bufor.

W jądrze Linux wykryto podatność w podsystemie io_uring/rw. Przeniesienie zakończenia rozliczania zapisu do task_work powoduje zakleszczenie (deadlock) podczas zamrażania systemu plików (freeze), gdy zadanie czeka na semafor sb_writers. Poprawka przenosi zakończenie rozliczania zapisu z powrotem do procedury ukończenia żądania (ki_complete), pozostawiając w task_work tylko wywołania fsnotify.

W jądrze Linux w io_uring/net podczas odbioru z MSG_TRUNC, gdy pakiet jest większy niż bufor, warstwa sieciowa zwraca pełną długość pakietu zamiast liczby skopiowanych bajtów. Powoduje to nadmierne zużycie bufora pierścieniowego io_uring. Należy użyć rzeczywistego rozmiaru wypełnionego regionu do konsumpcji bufora, zachowując semantykę MSG_TRUNC.

W jądrze Linux w ring-buffer funkcja ring_buffer_subbuf_order_set() zapisuje nowy rozmiar, a dopiero potem sprawdza procesory, zwracając -EBUSY, jeśli któryś ma wyłączone zmienianie rozmiaru. Bufor mapowany przez użytkownika ma wyłączone zmienianie rozmiaru, a __rb_map_vma() odczytuje buffer->subbuf_order bez mutexa, co może prowadzić do wyścigu i nieprawidłowego mapowania.

W jądrze Linux w net/sched act_api podczas zbiorczego żądania RTM_NEWACTION zastępującego istniejącą akcję, tcf_idr_check_alloc() pobiera tymczasową referencję. Jeśli późniejsza akcja nie zainicjuje się, tcf_action_destroy() używa ścisłych semantyki zwalniania, co dla akcji powiązanej z filtrem zwraca -EPERM bez zwolnienia referencji. Prowadzi to do wycieku akcji i jej slotu IDR.

W jądrze Linuxa w module mostów sieciowych (bridge) występuje problem z obsługą ramek CFM i MRP. Gdy protokoły te są włączone na wielu mostach, ten sam węzeł listy jest dodawany do wielu list, co prowadzi do uszkodzenia stanu listy przy wyłączaniu na jednym z mostów. Poprawka polega na śledzeniu stanu włączenia za pomocą bitów opcji i bezpośrednim wywoływaniu odpowiedniego handlera, co również zmniejsza rozmiar struktury net_bridge.

W jądrze Linuxa w taggerze DSA dla Broadcom (tag_brcm) występuje problem z obliczaniem sumy kontrolnej FCS dla ramek nieliniowych. Tagger nie deklaruje wymaganego miejsca na końcu ramki (tailroom), co powoduje odczyt poza przydzieloną pamięcią (slab-out-of-bounds) podczas obliczania CRC. Poprawka polega na zadeklarowaniu wymaganego tailroom, co powoduje wyłączenie funkcji SG i FRAGLIST oraz linearyzację ramek przed przetworzeniem.

W jądrze Linuxa w sterowniku MANA (Microsoft Azure Network Adapter) występuje problem z rozmiarem kolejki RX. Kolejka jest rozmiaru dokładnie na jeden CQE na WQE, ale sprzęt może dodać dodatkowy CQE (fence), co w rzadkich przypadkach prowadzi do braku miejsca i utraty tego CQE, a sterownik czeka trzymając blokadę RTNL. Poprawka rezerwuje dodatkowe miejsce na CQE fence.

W jądrze Linuxa wykryto podatność w obsłudze MPLS, gdzie pole inner_protocol nie jest czyszczone po zdjęciu ostatniej etykiety MPLS. Może to prowadzić do ujemnego przesunięcia nagłówka sieciowego, co w Open vSwitch powoduje ogromną kopię pamięci (memcpy) poza bufor, prowadząc do awarii systemu (page fault).

W jądrze Linuxa w module Open vSwitch występuje podatność use-after-free dotycząca tablicy masek przepływu. Funkcja tbl_mask_array_realloc() wycofuje starą tablicę przed jej całkowitym wycofaniem z użycia, co w pewnym oknie czasowym pozwala na odczyt po zwolnieniu pamięci. Poprawka polega na opublikowaniu nowej tablicy przed wycofaniem starej.

W jądrze Linuxa w module netfs występuje problem z niezainicjalizowaną wartością zwracaną w funkcji netfs_unbuffered_write(). Jeśli przygotowanie pierwszego podzadania nie powiedzie się, pętla kończy się przed inicjalizacją zmiennej ret, co może prowadzić do zwrócenia błędnego kodu błędu. Poprawka inicjalizuje ret na 0.

W jądrze Linux wykryto podatność use-after-free w module netfilter cttimeout podczas odłączania modułu. Funkcja nf_ct_set_timeout() chroni dostęp do haka i zasad przez rcu_read_lock(), ale cttimeout_exit() najpierw usuwa struktury per-net, zanim wyczyści hak, co pozwala na użycie zwolnionej pamięci. Problem zgłoszony przez KASAN jako slab-use-after-free w ctnl_timeout_find_get.

W jądrze Linuxa wykryto podatność w module netfilter nf_log, dotyczącą wyścigu (race condition) podczas wyrejestrowywania loggerów. Kolejność operacji powoduje, że po wyczyszczeniu stanu per-net, ale przed wyrejestrowaniem globalnego backendu, możliwe jest ponowne powiązanie loggera przez sysctl lub netlink, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linuxa w sterowniku ifcvf (Intel FPGA Virtual Function) występuje problem z wyciekiem zasobów przy błędzie nieobsługiwanej funkcji. Gdy funkcja nie jest obsługiwana, sterownik nie zwalnia poprawnie przydzielonego urządzenia i wskaźnika adaptera. Poprawka kieruje błąd przez wspólną ścieżkę, aby zapewnić zwolnienie zasobów.

W jądrze Linuxa w module autofs występuje wyciek pamięci w funkcji autofs_fill_super(). Jeśli utworzenie root_inode nie powiedzie się, funkcja zwraca błąd -ENOMEM bez zwolnienia wcześniej utworzonego inode, co prowadzi do wycieku pamięci. Poprawka dodaje wywołanie autofs_free_ino() w ścieżce błędu.

W jądrze Linux w systemie plików EROFS występuje podatność polegająca na nieprawidłowym zarządzaniu dekoderami LZMA podczas zmiany rozmiaru puli. W przypadku częściowego niepowodzenia alokacji, uszkodzony strumień pozostaje w niespójnym stanie, co może prowadzić do przekazania wskaźnika NULL do funkcji xz_dec_microlzma_reset().

W jądrze Linux w sterowniku fbdev vfb występuje podatność use-after-free, ponieważ kolorystyka (colormap) jest zwalniana natychmiast po wyrejestrowaniu framebuffera, nawet gdy otwarty plik nadal trzyma referencję. Może to prowadzić do odczytu po zwolnieniu podczas kopiowania danych do przestrzeni użytkownika.

W jądrze Linux w sterowniku idpf wykryto podatność polegającą na braku wyłączenia prac DIM (Dynamic Interrupt Moderation) przed zwolnieniem pamięci wektorów q_vectors. Prace te mogą wykonywać się na zwolnionej pamięci, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w mechanizmie fragmentacji pakietów IPv6 (inet: frags). Nieprawidłowe opróżnianie kolejek fragmentów przed ich usunięciem może prowadzić do użycia nieaktualnych metadanych, co skutkuje dostępem poza pamięć (out-of-bounds) i uszkodzeniem sterty. Atakujący z dostępem do nieuprzywilejowanych przestrzeni nazw sieciowych może wykorzystać tę wadę do lokalnej eskalacji uprawnień.

W jądrze Linux w podsystemie ieee802154 6lowpan występuje podatność na dereferencję wskaźnika NULL w funkcji lowpan_newlink. Urządzenie TUN może zmienić typ łącza na ARPHRD_IEEE802154 bez inicjalizacji wskaźnika ieee802154_ptr, co prowadzi do awarii.

W jądrze Linux w sterowniku ieee802154 cc2520 występuje podatność use-after-free w pracy FIFOP. Po usunięciu sterownika, przerwanie FIFOP może nadal kolejkować pracę po flush, co pozwala na wykonanie po zwolnieniu danych prywatnych.

W jądrze Linux w sterowniku ieee802154 hwsim występuje podatność na podwójne zwolnienie (double-free) w funkcji hwsim_update_pib. Aktualizacje PIB nie są serializowane, co może prowadzić do wyścigu i podwójnego zwolnienia obiektu.

W jądrze Linux w podsystemie IPv4 FIB występuje podatność polegająca na nieograniczonym przeszukiwaniu identyfikatorów tabel podczas automatycznego przydziału. Może to prowadzić do długotrwałego trzymania blokady RTNL, co powoduje problemy z wydajnością.

W jądrze Linux w podsystemie IPv6 flowlabel występuje podatność polegająca na nieograniczonym wzroście listy dzierżaw dla gniazda. Powtarzane żądania GET mogą prowadzić do niekontrolowanego zużycia pamięci.

W jądrze Linux w podsystemie IPVS występuje podatność polegająca na akceptowaniu nieprawidłowych stanów w rekordach synchronizacji szablonów połączeń. Może to prowadzić do użycia nieprawidłowego stanu jako indeksu w tablicach przejść TCP/SCTP.

W jądrze Linux w podsystemie mac802154 wykryto podatność use-after-free (użycie po zwolnieniu) związaną z kolejką ramek RX. Miękkie przerwanie (softirq) dodaje ramki beacon i MAC-command do list bez blokady, a pracownik (worker) przetwarza je po ewentualnym usunięciu interfejsu, co prowadzi do odwołań do zwolnionej pamięci (sdata). Problem został potwierdzony przez KASAN.

W jądrze Linux wykryto podatność use-after-free w module Landlock, dotyczącą funkcji current_check_refer_path(). Podczas przetwarzania operacji linkat() moduł odwołuje się do rodzica katalogu źródłowego bez trzymania referencji ani blokady, co pozwala równoczesnemu rename(2) i rmdir(2) na zwolnienie pamięci i jej ponowne wykorzystanie. Problem został naprawiony przez dodanie odpowiedniego trzymania referencji na dentry rodzica.

W jądrze Linux w podsystemie iommu/s390 występuje błąd dereferencji wskaźnika NULL w funkcji iova_to_phys() przy użyciu 5-poziomowej tablicy translacji ZPCI_TABLE_TYPE_RFX. Funkcja get_rso_from_iova() zwraca NULL, gdy wpis region-first jest nieprawidłowy, ale get_rto_from_iova() nie sprawdza tego przed dostępem do rso[rsx].

W jądrze Linux w podsystemie s390/crypto brakuje czyszczenia (scrub) buforów tymczasowych w algorytmach AES CTR i GCM. Bufor przetwarzający pozostałe bajty < AES_BLOCK_SIZE w ctr_aes_crypt() nie był czyszczony, a w gcm_aes_crypt() ścieżki błędów nie czyściły bloku parametrów CPACF ani buforów struktur gcm_sg_walk.

W jądrze Linux w podsystemie s390/crypto brakuje poprawnej obsługi kodu EBUSY w algorytmie PHMAC, gdy żądanie jest przekazywane do silnika kryptograficznego. Funkcja crypto_transfer_hash_request_to_engine() zwraca EINPROGRESS lub EBUSY jako sygnał sukcesu, ale EBUSY nie było obsługiwane.

W jądrze Linux w podsystemie s390/crypto brakuje czyszczenia (scrub) buforów tymczasowych w algorytmie PAES. Bufor przetwarzający pozostałe bajty < AES_BLOCK_SIZE w ctr_paes_do_crypt() nie był czyszczony, a w __xts_2keys_prep_param() czyszczono tylko pole klucza zamiast całego bloku parametrów.

W jądrze Linux w podsystemie s390/crypto występuje błędny kod zwrotny w asynchronicznych callbackach silnika kryptograficznego. Gdy crypto_finalize_hash_request() lub crypto_finalize_skcipher_request() jawnie kończy żądanie, callback do_one_request musi zwrócić 0, a zwracanie kodu błędu powoduje podwójne zakończenie żądania.

W jądrze Linux w podsystemie s390/crypto trwały błąd -EBUSY po wyczerpaniu ponownych prób konwersji klucza jest przekazywany do crypto_finalize_*_request(). Otoczka API kryptograficznego traktuje -EBUSY jako status kolejkowania i go połyka, przez co callback zakończenia nie jest wywoływany.

W jądrze Linux w podsystemie perf dla RISC-V maska dostępnych liczników była pojedynczym unsigned long, ale iteracja używa RISCV_MAX_COUNTERS równego 64. Na RV32 powoduje to odczyt poza obiektem, a ustawianie bitu o indeksie 32 i wyższym jest nieprawidłowe.

W jądrze Linux w podsystemie AFS funkcja afs_dir_search_bucket() nie wywołuje kunmap na bloku, którego używa, w ścieżce oznaczonej etykietą "bad:". Prowadzi to do braku odwzorowania (unmap) pamięci jądra.

W jądrze Linux w systemie plików AFS występuje podwójne odmapowanie bloku katalogu. Ręczne odmapowanie bez wyczyszczenia wskaźnika może prowadzić do podwójnego kunmap, gdy funkcja afs_dir_find_block() jest wywoływana dwukrotnie z rzędu.

W jądrze Linux w funkcji afs_lookup_server() występuje nieprawidłowe zwolnienie pamięci podczas czyszczenia kandydata. Funkcja zwalnia stan punktu końcowego istniejącego serwera, mimo że kandydat nie ma jeszcze takiego stanu.

W jądrze Linux w podsystemie AFS (Andrew File System) wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Problem wynika z nieprawidłowego czyszczenia danych aplikacji peerów podczas aktualizacji listy adresów serwera, co może doprowadzić do odwołania do zwolnionej pamięci.

W jądrze Linux w sterowniku hwmon gpio-fan występuje użycie po zwolnieniu (use-after-free) w pracy alarmowej. Kolejkowana praca alarmowa nie jest anulowana, a po odwiązaniu sterownika może wykonać się po zwolnieniu pamięci.

W jądrze Linux w sterowniku Verisilicon Hantro dla HEVC pętle nad kafelkami nie są ograniczone do pojemności bufora. Funkcja prepare_tile_info_buffer() zapisuje wpisy do bufora DMA, ale pętle mogą wyjść poza zakres.

W jądrze Linux w sterowniku rkvdec dla HEVC pętle nad kafelkami i identyfikator PPS nie są ograniczone do pojemności tablic. Funkcje compute_tiles_uniform() i compute_tiles_non_uniform() oraz assemble_hw_pps() mogą zapisywać poza tablice.

W jądrze Linux w sterowniku mediatek vcodec dla AV1 kopiowanie początków kafelków nie jest ograniczone do pojemności tablic. Funkcja vdec_av1_slice_setup_tile() kopiuje wpisy do tablic mi_col_starts[] i mi_row_starts[] bez sprawdzenia granic.

W jądrze Linux w sterowniku Verisilicon Rockchip dla VPU981 AV1 dzielenie przez zero i zapis do bufora kafelków nie są zabezpieczone. Funkcja rockchip_vpu981_av1_dec_set_tile_info() dzieli przez tile_cols, które może być zero, i zapisuje deskryptory bez ograniczenia do pojemności bufora.

W jądrze Linux w sterowniku Verisilicon Rockchip dla AV1 ramki przekraczające pojemność kafelków nie są odrzucane. Funkcja rockchip_vpu981_av1_dec_set_tile_info() może czytać poza tablicą i programować sprzęt dla większej liczby kafelków niż bufor.

W jądrze Linux w sterownikach v4l2-ctrls brakuje walidacji liczby kafelków HEVC. Liczby tile columns i rows nie są ograniczone do pojemności tablic, co może prowadzić do odczytu poza zakresem.

W jądrze Linux funkcja std_validate_compound() nie ograniczała pól tile_cols i tile_rows dla kontrolek V4L2_CTRL_TYPE_AV1_FRAME. Wartości te są używane jako granice pętli, indeksy tablic oraz dzielnik, a ich iloczyn wyznacza rozmiar buforów deskryptorów. Dodano walidację odrzucającą wartości przekraczające V4L2_AV1_MAX_TILE_COLS/_ROWS lub iloczyn większy niż V4L2_AV1_MAX_TILE_COUNT.

W jądrze Linux funkcja bnxt_queue_mem_alloc() kopiowała płytko pierścień RX do klona, pozostawiając wskaźniki rx_tpa i rx_tpa_idx_map wskazujące na pamięć aktywnego pierścienia. W przypadku późniejszego błędu alokacji etykieta err_free_tpa_info mogła zwolnić pamięć wciąż używaną przez aktywny pierścień. Poprawka inicjalizuje wskaźniki klona wartością NULL.