Podatności Linux kernel

W jądrze Linux w kodzie mm/huge_memory podczas dzielenia folio nie inicjalizowano stanu workingset, co powoduje, że węzeł xa_node nie jest powiązany z listą shadow_nodes. Może to wywołać ostrzeżenie VM_WARN_ON podczas odzyskiwania pamięci.

W jądrze Linux w sterowniku drm/amdgpu wycofano poprawkę dotyczącą wycieku mapowania apertury. Poprzednia poprawka powodowała błąd strony podczas wywołania zwrotnego vcn_v4_0_sw_fini, ponieważ devres teardown jest LIFO i apertura była odmapowywana przed zwolnieniem urządzenia DRM. Wycofanie przywraca poprzednie zachowanie.

W jądrze Linux w podsystemie x86 MCE występuje problem z inicjalizacją timera przed wykryciem CMCI. Podczas wykrywania burzy CMCI, timer jest modyfikowany przed jego prawidłowym skonfigurowaniem, co prowadzi do ostrzeżeń ODEBUG i potencjalnych problemów.

Opcja X-mount.subdir używa szybkiej ścieżki z oddzielonym drzewem w Linuksie 6.15 i nowszych i przekazuje skonfigurowany podkatalog do open_tree() z AT_SYMLINK_NOFOLLOW. Ta flaga nie zatrzymuje przechodzenia przez pośrednie dowiązania symboliczne ani nie utrzymuje rozwiązywania wewnątrz nowo zamontowanego systemu plików. Lokalny nieuprzywilejowany użytkownik z wpisem X-mount.subdir autoryzowanym w fstab może podłączyć ścieżkę hosta w zamierzonym punkcie montowania.

Podatność w podsystemie I3C IBI w jądrze Linux (drivers/i3c/i3c_ibi_workq.c) wynika z braku synchronizacji na liście wolnych węzłów pracy (sys_slist_t). Funkcje alokujące i zwalniające węzły są wywoływane z kontekstu przerwania (ISR) i wątku workqueue bez użycia blokad, co prowadzi do wyścigu. Atakujący z fizycznym dostępem do magistrali I3C może wygenerować serię przerwań, powodując uszkodzenie listy, podwójne przydzielenie węzła lub zapis poza pamięć.

W jądrze Linux naprawiono podatność w ptp: vmclock, która pozwalała na zmianę mapowania strony tylko do odczytu na zapisywalną. Funkcja vmclock_miscdev_mmap() odrzucała zapisywalne mapowania strony ABI vmclock z błędem -EROFS, ale pozostawiała flagę VM_MAYWRITE. Użytkownik mógł zmapować stronę jako tylko do odczytu, a następnie uaktualnić ją do zapisywalnej za pomocą mprotect(), co pozwalało gościowi na uszkodzenie danych czasu przechowywanych przez hosta (licznik sekwencji, czas UTC, offset TSC), które są zdefiniowane jako tylko do odczytu. Poprawka polega na wyczyszczeniu flagi VM_MAYWRITE na ścieżce tylko do odczytu, aby uniemożliwić uaktualnienie mapowania.

W jądrze Linux naprawiono podatność w of: reserved_mem, która powodowała zapis poza granicami tablicy, gdy zdefiniowano zbyt wiele dynamicznych regionów. Podczas uruchamiania funkcja fdt_scan_reserved_mem() zapisuje każdy dynamicznie umieszczony podwęzeł /reserved-memory do lokalnej tablicy o rozmiarze MAX_RESERVED_REGIONS. Jeśli drzewo urządzeń definiuje więcej niż MAX_RESERVED_REGIONS dynamicznie umieszczonych regionów, funkcja zapisuje poza koniec lokalnej tablicy. Poprawka dodaje sprawdzenie granic, które loguje błąd i pomija nadmiarowe regiony, przywracając oryginalne zachowanie.

W jądrze Linux naprawiono podatność w wifi: mac80211, która dotyczyła walidacji parametrów TWT przed konfiguracją sterownika. Funkcja ieee80211_process_rx_twt_action() tylko częściowo waliduje odebraną ramkę S1G TWT setup przed jej zakolejkowaniem. Indywidualne porozumienie może dotrzeć do ieee80211_s1g_rx_twt_setup() z twt->length zbyt krótkim dla pełnej struktury ieee80211_twt_params. Ścieżka indywidualna przekazuje twt do drv_add_twt_setup(). Zarówno tracepoint, jak i callback sterownika konsumują pełny blok parametrów, a nie tylko req_type. Poprawka nie przekazuje krótkiego indywidualnego porozumienia do sterownika. Porozumienia rozgłoszeniowe pozostają niezmienione, ponieważ są odrzucane lokalnie po uzyskaniu dostępu tylko do req_type.

W jądrze Linux naprawiono podatność w Bluetooth: ISO, która dotyczyła pozostawania wiszących referencji hcon w iso_conn. Po iso_conn_del(), gniazda ISO nie powinny już dereferencjonować hcon. Obecnie wyczyszczenie iso_conn::hcon polega na tym, że iso_conn_del() zwalnia ostatnią referencję do iso_conn. Poprawka upraszcza to przez jawne wyczyszczenie conn->hcon w iso_conn_del(), aby uniknąć bardziej złożonego rozumowania na temat wyścigów o to, kto trzyma ostatnią referencję.

W jądrze Linux naprawiono podatność w iomap, która powodowała zakleszczenie. Funkcja iomap_split_ioend może dzielić biosa, które już pochodzą z iomap_ioend_bioset, co prowadzi do zakleszczenia, gdy bioset jest wyczerpany. Poprawka dodaje oddzielny bioset, aby uniknąć tego zakleszczenia. Dodatkowo oznaczono iomap_ioend_split_bioset jako statyczny, ponieważ jest używany tylko w ioend.c, co naprawia ostrzeżenie sparse zgłoszone przez kernel test robot.

W jądrze Linux wykryto podatność w mechanizmie MGLRU (Multi-Gen LRU) związaną z nieaktualnymi aktualizacjami partii po zmianie rodzica memcg. Problem wynika z wyścigu między chodzeniem po tablicach stron a procesem reparentingu memcg, co może prowadzić do zaniżenia liczby stron i przedwczesnego wywołania OOM.

W jądrze Linux naprawiono podatność w mm/percpu-km, która powodowała przepełnienie bitmapy i błędy w księgowaniu w funkcji pcpu_create_chunk(). W pcpu_create_chunk(), nr_pages to całkowita ciągła alokacja zapasowa, czyli nr_units * pcpu_unit_pages, ale pcpu_chunk_populated() używa jej do ustawienia chunk->populated, którego rozmiar bitmapy to pcpu_unit_pages. Ponieważ bit N w chunk->populated oznacza, że offset strony N wewnątrz każdej jednostki jest wspierany, gdy nr_units > 1, funkcja zapisuje poza chunk->populated. Poprawka używa chunk->nr_pages. Naprawia to również globalne księgowanie pcpu_nr_empty_pop_pages, ponieważ pcpu_balance_free() iteruje tylko do chunk->nr_pages. Problem został wprowadzony przez commit a63d4ac4ab609, a później commit b539b87fed37f dodał pcpu_nr_empty_pop_pages i spowodował problem księgowania.

W jądrze Linux w protokole SCTP parametr Adaptation Indication nie był poprawnie walidowany pod względem długości. Akceptowano parametr zawierający tylko nagłówek, co prowadziło do odczytu poza zadeklarowanym obszarem i potencjalnego ujawnienia czterech bajtów z bufora odbiorczego.

W jądrze Linux w podsystemie ALSA PCM występuje problem z budzeniem oczekujących na zakończenie drenażu (drain) po rozłączeniu strumienia. Może to prowadzić do użycia zwolnionej pamięci stosu podczas późniejszego wybudzania.

W jądrze Linux w sterowniku igc występuje problem z funkcją napi_synchronize() w igc_down(), która może powodować zawieszenie interfejsu sieciowego podczas zamykania, gdy używany jest AF_XDP zero-copy.

W jądrze Linux w io_uring występuje problem z zachowaniem ograniczeń per-task po wykonaniu exec. Ograniczenia te są usuwane podczas czyszczenia kontekstu zadania, co pozwala na utworzenie nieograniczonego ringa po exec.

W jądrze Linux wykryto podatność w sterowniku SPI-NAND dla układów Qualcomm (spi-qpic-snand). Wartość funkcji SET_FEATURE była zapisywana do rejestru po wykonaniu komendy, co powodowało opóźnienie zapisu o jedną operację. W rezultacie chip pozostawał w trybie OTP, co czyniło pamięć flash bezużyteczną i urządzenie niebootowalnym.

W jądrze Linux w sterowniku max17040 występuje problem z obsługą braku dostawcy statusu. Gdy nie ma zarejestrowanego dostawcy, funkcja zwraca sukces, ale wartość statusu pozostaje niezainicjalizowana, co może prowadzić do odczytu nieprawidłowych danych przez użytkownika.

W jądrze Linux w sterowniku dasd występuje problem z niedowymiarowanym buforem do sprawdzania formatu. Zmienna fmt_buffer_size jest typu int, co powoduje obcięcie wyniku obliczeń i może prowadzić do zapisu poza buforem.

W jądrze Linux w sterowniku zcrypt występuje problem z nieprawidłową walidacją wartości domeny dla CPRB EP11. Błędny górny limit może prowadzić do odczytu pamięci poza tablicą perms->adm podczas wysyłania administracyjnego CPRB.

W jądrze Linux w sterowniku zcrypt występuje problem z brakiem czyszczenia pamięci po imporcie klucza jawnego w funkcji cca_clr2cipherkey(). Bufor wewnętrzny może zawierać wrażliwe dane, które mogą zostać ujawnione przy ponownym użyciu pamięci.

W jądrze Linux w module CAN J1939 funkcja j1939_session_fresh_new() nie zerowała bufora przed użyciem, co mogło pozostawić w nim resztkowe dane. Poprawka polega na wyzerowaniu przydzielonego bufora, aby uniknąć potencjalnego wycieku informacji.

W jądrze Linux w sterowniku CAN softing funkcja fw_parse() nie sprawdzała, czy rekordy firmware mieszczą się w granicach obrazu firmware, co mogło prowadzić do odczytu poza zakresem. Ponadto obliczenia granic dla zapisów do DPRAM były podatne na przepełnienie liczb całkowitych, a kopiowanie danych w aplikacyjnym loaderze nie było odpowiednio ograniczone.

W jądrze Linux w sterowniku graficznym AMD Display (drm/amd/display) brakowało sprawdzenia, czy funkcja dml21_add_phantom_plane() poprawnie przydzieliła phantom plane, co mogło prowadzić do błędu segmentacji przy późniejszym użyciu.

W jądrze Linux w sterowniku AMD Display (drm/amd/display) funkcja get_ss_info_from_atombios() używała niezainicjalizowanego kontekstu do logowania, co prowadziło do dereferencji wskaźnika NULL podczas wywołań DC_LOG_SYNC(). Podobny problem występuje w innych funkcjach, takich jak dce112_get_pix_clk_dividers() i dcn3_get_pix_clk_dividers(). Poprawka zmienia użycie kontekstu na ten z bazy źródła zegara.

W jądrze Linux w sterowniku AMD KFD (drm/amdkfd) brakowało autoryzacji w funkcji KFD_IOC_DBG_TRAP_DISABLE, co pozwalało użytkownikom z dostępem do /dev/kfd na kończenie sesji debugowania GPU innych procesów bez odpowiednich uprawnień.

W jądrze Linux w sterowniku VMware (drm/vmwgfx) dwa miejsca w pliku vmwgfx_resource.c przypisywały wartości logiczne do pola guest_memory_size, które jest polem rozmiaru alokacji, zamiast do sąsiedniego pola bitowego guest_memory_dirty. To powodowało, że pole guest_memory_size zawierało 0 lub 1 zamiast rzeczywistego rozmiaru alokacji, co prowadziło do błędów w obliczeniach zakresów stron i alokacji buforów.

W jądrze Linux w sterowniku DRM vmwgfx odkryto podatność polegającą na braku walidacji rozmiaru kursora dla ścieżki MOB (SVGA_CAP2_CURSOR_MOB). Atakujący z uprawnieniami DRM master może przez ioctl DRM_IOCTL_MODE_CURSOR2 ustawić bardzo duży kursor, co prowadzi do wywołania vmw_bo_map_and_cache(NULL) i awarii systemu (oops).

W jądrze Linux w sterowniku VMware (drm/vmwgfx) funkcja vmw_external_bo_copy() nie sprawdzała poprawności granic dla operacji kopiowania na importowanych buforach dma-buf. Brak walidacji mógł prowadzić do odczytu lub zapisu poza zakresem mapowania, szczególnie przy spreparowanych danych z plane state.

W jądrze Linux w KVM dla architektury ARM64 (vgic) występował problem podwójnej dezaktywacji przerwań w kontekście zagnieżdżonym. Fizyczne przerwanie było już dezaktywowane przez bit HW w LR, a dodatkowa dezaktywacja mogła wywołać błąd errata na procesorach AmpereOne, powodując utratę stanu oczekującego przerwania i blokowanie przyszłych przerwań.

W jądrze Linux w sterowniku DMA Engine (idxd) występował problem podwójnego zwalniania pamięci dla struktur wq, engine i group. Funkcje zwalniające (release callbacks) wywoływały kfree() na strukturze, a dodatkowo ścieżki błędów i funkcje sprzątające również wywoływały kfree() po put_device(), co prowadziło do podwójnego zwolnienia.

W jądrze Linux w systemie plików EROFS wykryto błąd polegający na tym, że pliki kopii zapasowej dla współdzielenia pamięci podręcznej stron miały nieprawidłowe pole f_path (pozostawione jako NULL). Powodowało to awarię jądra (NULL pointer dereference) podczas wywołania mincore, co objawiało się błędem w teście erofs/028.

W jądrze Linux w sterowniku hwmon ltc4282 wykryto błąd polegający na braku instrukcji return podczas odczytu minimalnego napięcia alarmowego dla kanału VGPIO, co prowadzi do odczytu poza zakresem pamięci (out-of-bounds access).

W jądrze Linux w sterowniku hwmon sht3x wykryto problem z nieprawidłowym wyrównaniem pamięci podczas odczytu 16-bitowych wartości temperatury i wilgotności. Użycie funkcji be16_to_cpup() na nieparzystych offsetach powoduje błąd wyrównania na architekturach z surowym wyrównaniem (np. ARMv5, SPARC), prowadząc do paniki jądra.

W jądrze Linux w podsystemie Bluetooth (hci_sync) wykryto teoretyczną podatność typu use-after-free (UAF) w funkcjach hci_connect_acl/le_sync(). Jeśli połączenie (conn) zostanie zwolnione podczas działania zadania hci_sync, może dojść do użycia zwolnionej pamięci.

W jądrze Linux w sterowniku SCSI target iblock wykryto błąd w funkcji iblock_execute_pr_out() polegający na nieprawidłowym sprawdzaniu NULL dla operacji PREEMPT, PREEMPT_AND_ABORT i RELEASE. Błąd pozwala na wywołanie niezaimplementowanych funkcji (ops->pr_clear), co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku SCSI UFS core wykryto błąd polegający na braku inicjalizacji listy hba->rpmbs w funkcji ufshcd_alloc_host(). Jeśli funkcja ufs_rpmb_probe() zakończy się niepowodzeniem, podczas usuwania urządzenia może dojść do dereferencji wskaźnika NULL.

W jądrze Linux w podsystemie tracing/mmiotrace wykryto brak sprawdzenia NULL dla wskaźnika mmio_trace_array w funkcjach __trace_mmiotrace_rw() i __trace_mmiotrace_map(). Jeśli funkcje te zostaną wywołane, gdy mmio_trace_array jest NULL (np. przed inicjalizacją lub po wyłączeniu), dostęp do tr->array_buffer.buffer spowoduje dereferencję wskaźnika NULL i awarię systemu.

W jądrze Linux dla architektury RISC-V funkcja vec_check_unaligned_access_speed_all_cpus była oznaczona jako __init, co powoduje, że jej kod znajduje się w sekcji .init.text, która jest zwalniana po zakończeniu bootowania. Funkcja ta działa w wątku jądra (kthread), który może nie zakończyć się przed zwolnieniem pamięci, co prowadzi do błędu strony przy próbie wykonania kodu z już zwolnionego obszaru.

W jądrze Linux w podsystemie iommufd/viommu, w funkcji iommufd_vdevice_alloc_ioctl(), po nieudanej walidacji rozmiaru vdevice_size, skok do etykiety out_put_idev pomija zwolnienie blokady igroup, co prowadzi do zakleszczenia kolejnych operacji vDEVICE na tej grupie.

W jądrze Linux w funkcji migrate_vma_collect_pmd() funkcje pte_pfn() i pte_dirty() mogą być wywoływane na nieobecnych wpisach PTE (np. wpisach device-private), co prowadzi do potencjalnych awarii lub błędnego liczenia brudnych foli. Poprawka dodaje sprawdzenia pte_present().

W jądrze Linux w funkcji snapshot_page() odczyt __page_2 jest wykonywany dla foli rzędu 1, mimo że powinien być wykonywany tylko dla foli o liczbie stron większej niż 2. Może to prowadzić do błędu strony (fault) podczas usuwania pamięci DLPAR na systemach ppc64le.

W jądrze Linuxa w podsystemie Bluetooth SCO wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Problem wynika z nieprawidłowego zarządzania referencjami do struktury sco_conn, gdzie gniazdo nie posiadało własnego licznika referencji, co przy wyścigu między zamknięciem gniazda a obsługą zdarzenia rozłączenia mogło skutkować podwójnym zwolnieniem pamięci.

W jądrze Linux dla architektury RISC-V wykryto błąd w obliczaniu wyrównania adresu vmemmap_start_pfn. Błąd polega na użyciu wyrównania wyrażonego w bajtach pamięci struktury page zamiast w bajtach adresu fizycznego, co powoduje ostrzeżenie i potencjalne problemy podczas inicjalizacji pamięci na systemach takich jak QEMU virt.

W jądrze Linux w sterowniku i2c amd-mp2, w przypadku niepowodzenia rejestracji adaptera, kontekst I2C jest zwalniany przez devres, ale sterownik PCI nadal może używać wygasłego wskaźnika w callbackach IRQ i sleep. Poprawka wyrejestrowuje callback przed zwróceniem błędu.

W jądrze Linux w sterowniku s390/dasd, w funkcji dasd_release_space(), użycie operatora logicznego AND zamiast OR prowadzi do wywołania funkcji is_ese() nawet gdy wskaźnik funkcji jest NULL, co powoduje dereferencję NULL.

W jądrze Linux w sterowniku i2c imx, występuje wyścig (race) podczas rejestracji slave oraz błąd w obsłudze błędów. Przypisanie wskaźnika slave przed pm_runtime_resume_and_get() może pozostawić go niezerowym po błędzie, a także może wystąpić wyścig z przerwaniem, prowadzący do dereferencji NULL. Poprawka przenosi przypisanie po udanym resume i wewnątrz sekcji krytycznej slave_lock.

W jądrze Linux w funkcji dev_has_sync_state() pole dev->driver jest odczytywane dwukrotnie bez trzymania blokady device_lock(), co może prowadzić do wyścigu podczas równoległego odpinania urządzenia. Poprawka polega na jednokrotnym odczycie z użyciem READ_ONCE(), co synchronizuje się z WRITE_ONCE() w device_set_driver().

W jądrze Linux w sterownikach Hyper-V (vmbus) pole driver_override jest dostępne bez blokady podczas wywołania match() z __driver_attach(), co może prowadzić do użycia po zwolnieniu (UAF). Poprawka wykorzystuje ogólną infrastrukturę driver_override, która zapewnia odpowiednie blokowanie.

W jądrze Linux w sterowniku NTFS wykryto podatność polegającą na obcięciu długości obszaru restartu do typu u16, co pozwala na ominięcie kontroli mieszczenia się danych w stronie systemowej. Specjalnie spreparowany obraz NTFS może doprowadzić do odczytu poza przydzielonym buforem podczas montowania systemu plików.