Podatności Linux kernel

W jądrze Linux w podsystemie net: mana zainicjalizowano identyfikator kolejki gdma na INVALID_QUEUE_ID. Wcześniej identyfikator pozostawał 0, co mogło prowadzić do usunięcia nieprawidłowej kolejki podczas czyszczenia po nieudanym tworzeniu, co mogło uszkodzić tablicę gc->cq_table[0] i wpłynąć na działanie innej kolejki.

W jądrze Linux wykryto podatność w kodzie watchdoga sieciowego (net/sched/sch_generic.c), związaną z wyścigami w śledzeniu referencji (refcount tracking). Brak synchronizacji między funkcjami netdev_watchdog_up() i dev_watchdog() może prowadzić do uszkodzenia listy i awarii systemu (kernel panic).

W jądrze Linux w sterowniku WWAN t7xx funkcja t7xx_port_ctrl_tx() klonuje każdy fragment skb przed przekazaniem go do ścieżki transmisji. Brak sprawdzenia wyniku skb_clone() prowadzi do dereferencji wskaźnika NULL, gdy klonowanie się nie powiedzie.

W jądrze Linux w module KCM funkcje kcm_attach() i kcm_unattach() podmieniają wskaźniki wywołań zwrotnych (sk_data_ready, sk_write_space) na żywym gnieździe TCP bez użycia WRITE_ONCE(). Może to prowadzić do niespójnych obserwacji tych pól na innych CPU i błędnych wywołań zwrotnych.

W jądrze Linux wykryto podatność w podsystemie ALSA sequencer, związaną z operacją zmiany rozmiaru kolejki FIFO (snd_seq_fifo_resize). Problem polega na tym, że podczas zmiany rozmiaru mogą pozostać nieaktualne komórki (stale cells) w kolejce, co prowadzi do zakleszczenia w funkcji snd_seq_pool_done podczas usuwania starej puli. Atakujący może wywołać tę sytuację poprzez odpowiednie operacje ioctl, powodując blokadę wątku na czas nieokreślony.

W jądrze Linux w module netfilter nf_dup_netdev funkcje nft_dup i nft_fwd zostały zaktualizowane, aby używać pomocniczych funkcji nf_dev_xmit_recursion(). Dodatkowo wyłączono przerwania (BH) podczas transmisji skb, aby zapobiec migracji na inny CPU i niezbalansowanemu dekrementowaniu liczników rekurencji.

W jądrze Linuxa w mechanizmie BPF dla danych uprobe_multi brakowało sprawdzenia access_ok przed użyciem __get_user, co mogło prowadzić do nieautoryzowanego dostępu do pamięci użytkownika. Poprawka dodaje odpowiednie sprawdzenie granic.

W jądrze Linux wykryto podatność use-after-free w funkcji udp_bpf_recvmsg() dla mechanizmu sockmap. Problem wynika z braku serializacji dostępu do struktury sk_msg, co przy współbieżnym odczycie może prowadzić do użycia zwolnionej pamięci. Poprawka przywraca blokadę lock_sock() w tej funkcji.

W jądrze Linux wykryto podatność w mechanizmie BPF sockmap, polegającą na przepełnieniu liczby całkowitej w funkcji bpf_msg_pop_data(). Mnożenie start + len wykonywane jest w arytmetyce 32-bitowej, co pozwala na obejście kontroli granic i prowadzi do dostępu poza zakresem listy rozproszonej (scatterlist), skutkując błędem ogólnej ochrony (GPF) i potencjalną awarią systemu.

W jądrze Linuxa w protokole TCP dla IPv6, funkcja ip6_default_advmss() może zwracać wartość IPV6_MAXPLEN (65535), która jest interpretowana jako mss_clamp, pozwalając MSS osiągnąć 65535. Jednak wartość 0xFFFF jest również używana jako magiczna wartość GSO_BY_FRAGS, co może prowadzić do dereferencji wskaźnika NULL podczas segmentacji pakietów TCP.

W jądrze Linuxa w sterowniku RDMA bnxt_re, zmienna dpi jest inicjalizowana tylko dla przypadku BNXT_RE_ALLOC_WC_PAGE, ale jest kopiowana dla wszystkich przypadków. Brak inicjalizacji może prowadzić do użycia niezainicjalizowanej wartości.

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla SRQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_srq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla CQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_cq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, podczas zrzucania informacji o MR za pomocą narzędzia rdma, wyświetlany jest wskaźnik jądra mr_hwq. Nie ma potrzeby ujawniania tej wartości użytkownikowi końcowemu, więc została usunięta.

W jądrze Linuxa w sterowniku RDMA bnxt_re, brakuje sprawdzenia maksymalnej liczby slotów dla SQ. Tryb zmiennej WQE musi być walidowany względem maksymalnej liczby slotów obsługiwanych przez sprzęt (maks. 64K). Dodano sprawdzenie maksymalnej i minimalnej wartości, aby odrzucić wartości większe niż maksymalna i równe zero.

W jądrze Linux w module ksmbd funkcja same_client_has_lease() zwraca wskaźnik opinfo z listy ci->m_op_list po zwolnieniu blokady m_lock bez przejęcia referencji. Może to prowadzić do użycia po zwolnieniu (UAF) podczas równoczesnego zamykania. Dodano przejmowanie referencji i jej zwalnianie po skopiowaniu stanu dzierżawy.

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_aes_decrypt zawierała nieprawidłowe sprawdzenie wskaźnika stainfo, które zwracało _FAIL dla prawidłowego wskaźnika. Odwrócono warunek, aby zwracał _FAIL tylko dla nieprawidłowego wskaźnika.

W jądrze Linux w sterowniku staging nvec funkcja nvec_rx_completed() zawiera błąd użycia po zwolnieniu (UAF). Po wywołaniu nvec_msg_free() kod nadal odczytuje nvec->rx->data[0], co może być już nadpisane przez równoczesne wywołanie nvec_msg_alloc(). Poprawka zapisuje bajt typu wiadomości przed zwolnieniem i używa zapisanej wartości.

W jądrze Linux w podsystemie soundwire funkcja sdw_add_element_group_count zawierała błąd powodujący dostęp poza zakres pamięci w pętli for, gdy i == num. Poprawka dodaje sprawdzenie istniejących wpisów rate/lane przed ich dodaniem, bez zmian funkcjonalnych poza tą poprawką.

W jądrze Linux w podsystemie PCI funkcja pci_get_rom_size może powodować awarię z powodu dostępu poza zakres pamięci ROM lub nieprawidłowego wyrównania adresu struktury danych. Dodano sprawdzanie nagłówka obrazu i adresu struktury danych oraz sprawdzanie wyrównania, aby zapobiec awariom na architekturach x86_64 i arm64.

W jądrze Linuxa w sterowniku mailbox mtk-adsp występuje podatność use-after-free podczas wyłączania urządzenia. Gdy inicjalizacja sterownika audio SOF nie powiedzie się, obiekt snd_sof_dev jest zwalniany, a późne przerwanie może wywołać procedurę obsługi po zwolnieniu kanału, prowadząc do dostępu do zwolnionej pamięci. Naprawa polega na użyciu disable_irq() i IRQF_NO_AUTOEN, aby zapobiec wyzwalaniu przerwań w nieodpowiednim momencie.

W jądrze Linuxa w podsystemie coresight platform występuje problem z licznikiem połączeń, który jest zwiększany przed udaną alokacją pamięci. Jeśli alokacja się nie powiedzie, licznik pozostaje zwiększony, a funkcja sprzątająca może odwoływać się do nieprawidłowych wskaźników, powodując panikę jądra. Poprawka przenosi zwiększenie licznika po wszystkich udanych alokacjach.

W jądrze Linuxa w sterowniku most: video występuje podwójne zwolnienie pamięci (double free) podczas nieudanej rejestracji urządzenia wideo. Funkcja comp_register_videodev() zwalnia video_device, ale ścieżka błędu w __video_register_device() również go zwalnia, co prowadzi do podwójnego zwolnienia. Poprawka używa video_device_release_empty() podczas rejestracji, aby uniknąć podwójnego zwolnienia.

W jądrze Linuxa w sterowniku USB host max3421 występuje podatność przesunięcia poza zakres (shift-out-of-bounds) w funkcji max3421_hub_control(). Niezaufany proces użytkownika może wysłać żądanie USBDEVFS_CONTROL z wartością wValue większą lub równą 32, co powoduje przesunięcie bitowe poza zakres i uszkodzenie port_status, w tym bitów niezmiennych. Poprawka odrzuca żądania z wartością przekraczającą szerokość przesunięcia.

W jądrze Linuxa w sterowniku gpib występuje podwójne zmniejszenie licznika descriptor_busy w funkcji command_ioctl(). Ścieżka błędu wewnątrz pętli zmniejsza licznik i przerywa, ale potem następuje bezwarunkowe zmniejszenie po pętli, co prowadzi do niedomiaru licznika. To ponownie umożliwia use-after-free, które pierwotna poprawka miała zapobiec. Poprawka usuwa wczesne zmniejszenie ze ścieżki błędu.

W jądrze Linuxa w sterowniku iio: magnetometer ak8975 występuje potencjalny wyciek pamięci stosu jądra. Jeśli funkcja i2c_smbus_read_i2c_block_data_or_emulated() zwróci mniej bajtów niż rozmiar bufora, niezainicjalizowane bajty pozostają w buforze i są przekazywane do buforów IIO, co może ujawnić pamięć jądra użytkownikowi. Poprawka dodaje sprawdzenie, czy zwracana wartość jest równa rozmiarowi bufora.

W jądrze Linuxa w sterowniku iio: adc xilinx-ams występuje podatność odczytu poza zakresem w funkcji ams_event_to_channel(). Funkcja może zwrócić wskaźnik poza koniec tablicy dev->channels, gdy nie zostanie znaleziony pasujący scan_index, co prowadzi do nieprawidłowego dostępu do pamięci w ams_handle_event(). Poprawka dodaje sprawdzenie granic i zwraca NULL, gdy kanał nie zostanie znaleziony.

W jądrze Linuxa w sterowniku iio: accel mma8452 występuje problem z obsługą błędów odczytu I2C w funkcji mma8452_read(). Jeśli odczyt I2C się nie powiedzie, ale funkcja mma8452_set_runtime_pm_state() zakończy się sukcesem, funkcja zwraca 0, co powoduje, że wywołujący używa niezainicjalizowanej pamięci stosu. Poprawka dodaje sprawdzenie wartości zwracanej i propaguje błędy do wywołującego.

W jądrze Linuxa w systemie plików NTFS3 występuje podatność odczytu poza zakresem w funkcji run_get_highest_vcn(). Funkcja analizuje bufor mapowania par bez ograniczenia długości, polegając tylko na terminatorze 0x00. Specjalnie spreparowany rekord $LogFile UpdateMappingPairs może spowodować odczyt poza przydzieloną pamięcią, wywołując błąd KASAN podczas montowania. Poprawka dodaje parametr run_buf_size i odrzuca nagłówki, których dane wykraczają poza bufor.

W jądrze Linux w funkcji dma_release_channel() występuje podatność na użycie po zwolnieniu (use-after-free). Sprawdzenie licznika privatecnt odbywa się po wywołaniu dma_chan_put(), które może zwolnić ostatnie odniesienie do urządzenia, jeśli dostawca DMA już nie istnieje, prowadząc do zwolnienia pamięci. Poprawka przenosi wywołanie dma_chan_put() przed sprawdzenie.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z niepełnym zwolnieniem struktury axi_dmac_desc. W ścieżce błędu po wywołaniu axi_dmac_alloc_desc() w axi_dmac_prep_peripheral_dma_vec() nie jest używana funkcja axi_dmac_free_desc(), co prowadzi do wycieku pamięci lub niepełnego zwolnienia.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z zarządzaniem deskryptorami DMA. Użycie dma_alloc_coherent() może powodować remapowanie pamięci (vmalloc) na architekturach takich jak Microblaze lub arm64, co prowadzi do BUG() podczas wywołania dma_free_coherent() z kontekstu softirq. Poprawka wykorzystuje pulę DMA do zarządzania deskryptorami, unikając bezpośredniego wywołania dma_free_coherent() w kontekście przerwania.

W jądrze Linux w systemie plików NTFS3 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej lcn. Gdy poszukiwany VCN nie zostanie znaleziony w runs[0], funkcja run_lookup() zwraca false, co prowadzi do przedwczesnego wyjścia z attr_data_get_block_locked() bez inicjalizacji lcn, wywołując błąd KMSAN. Poprawka przenosi sprawdzenie clen przed sprawdzenie lcn w ni_seek_data_or_hole().

W jądrze Linux w systemie plików NTFS3 (fs/ntfs3) występuje podatność polegająca na przepełnieniu bufora. Podczas montowania brudnego woluminu NTFS, funkcja log_replay() alokuje bufor one_page_buf o rozmiarze strony hosta, a następnie, gdy odnajdzie obszar restartu, może przyjąć większy rozmiar strony z dysku. Jeśli rozmiar strony na dysku jest większy niż początkowo zaalokowany, bufor pozostaje za mały, a późniejszy odczyt log->page_size bajtów do tego bufora powoduje przepełnienie.

W jądrze Linuxa w podsystemie xprtrdma wykryto podatność polegającą na braku równowagi w liczniku referencji (kref) podczas obsługi zdarzenia ADDR_CHANGE. Gdy zdarzenie to pojawi się przed ESTABLISHED, wywoływane jest ep_put bez odpowiadającego ep_get, co prowadzi do niedomiaru licznika i użycia zwolnionej pamięci (use-after-free) podczas rozłączania.

W jądrze Linux w module xprtrdma występuje podatność na wyścig (race condition) podczas inicjalizacji re_id. rpcrdma_create_id() rejestruje ep->re_rn zanim rpcrdma_ep_create() przypisze ep->re_id, co pozwala lokalnemu administratorowi na wywołanie usunięcia urządzenia RDMA w tym oknie, prowadząc do wyłuskania NULL w trace_xprtrdma_device_removal(). Poprawka przypisuje re_id przed publikacją re_rn.

W jądrze Linux w module xprtrdma występuje podatność polegająca na ignorowaniu wyniku funkcji frwr_wp_create() podczas nawiązywania połączenia. Jeśli funkcja zawiedzie, ep->re_write_pad_mr pozostaje NULL, a połączenie jest nadal uznawane za udane, co prowadzi do wyłuskania NULL podczas kodowania listy zapisu. Poprawka sprawdza wartość zwracaną i kończy połączenie z błędem -ENOTCONN.

W jądrze Linux w podsystemie xprtrdma stwierdzono podatność polegającą na braku ograniczenia wartości kredytu odpowiedzi (credit grant) przed jej użyciem. Złośliwy peer może wysłać odpowiedź z nieznanym XID i zawyżonym kredytem, co prowadzi do nadmiernej alokacji i wysyłania Receive WR, przekraczając limit re_max_requests.

W jądrze Linux w podsystemie xprtrdma wykryto podatność, która pozwala zdalnemu przeciwnikowi na wyczerpanie kolejki odebranych pakietów (Receive queue) klienta poprzez wysyłanie ciągłego strumienia nieprawidłowych odpowiedzi (zbyt krótkich lub z nieznaną wersją RPC/RDMA). Każda taka odpowiedź zużywa jeden wpis w kolejce bez jego uzupełnienia, co po opróżnieniu kolejki prowadzi do zatrzymania transportu do czasu ponownego połączenia.

W jądrze Linux w module AppArmor występuje wyścig w mediacji gniazd unixowych, gdy używana jest ścieżka peer_path. Dostęp do ścieżki poza blokadą stanu pozwala na wyścig z funkcją unix_release_sock(), co może prowadzić do użycia po zwolnieniu.

W jądrze Linux w module AppArmor występuje wyciek referencji podczas aktualizacji sk_ctx. Funkcja update_sk_ctx() przenosi referencję plabel, ale wywołujący zawsze ją zwalnia, co prowadzi do podwójnego zwolnienia lub wycieku referencji.

W jądrze Linux w module AppArmor występuje podatność polegająca na sprawdzeniu etykiety przed testem no_new_privs. Funkcja aa_change_profile() buduje etykietę zastępczą, która może zwrócić NULL lub ERR_PTR, ale wynik jest przekazywany do aa_label_is_unconfined_subset() przed sprawdzeniem IS_ERR_OR_NULL(), co może prowadzić do dereferencji nieprawidłowej etykiety.

W jądrze Linux w module AppArmor występuje wyciek zasobów w funkcji aa_label_alloc(). Funkcja alokuje secid przed alokacją lub przejęciem proxy etykiety. Jeśli późniejszy krok proxy zawiedzie, ścieżka błędu zwalnia tylko pamięć etykiety, nie zwalniając zasobów zainicjowanych przez aa_label_init().

W jądrze Linux w module AppArmor występuje podatność polegająca na dereferencji wskaźnika NULL w funkcji unpack_pdb. Jeśli funkcja unpack_dfa zawiedzie, pdb->dfa może być NULL, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w module AppArmor występuje podatność polegająca na nieprawidłowej obsłudze błędu alokacji tabeli ACCEPT2 w funkcji unpack_pdb. Jeśli alokacja zawiedzie, funkcja ustawia komunikat błędu, ale przechodzi do ścieżki sukcesu, zwracając policydb bez wymaganej tabeli.

W jądrze Linux w module AppArmor funkcja get_current_exe_path() przecieka referencje do pliku exe i ścieżki, gdy aa_path_name() zwróci błąd. Poprawka kieruje obsługę błędu przez wspólną ścieżkę czyszczenia, aby zawsze zwalniać zasoby.

W jądrze Linux w module AppArmor wykryto błąd polegający na przekazaniu niezainicjalizowanego wskaźnika do funkcji audit_log_untrustedstring(). Błąd został wprowadzony przez commit 4a134723f9f1 i może prowadzić do błędu strony (page fault) podczas operacji na plikach, gdy ścieżka została zastąpiona przez aa_null.dentry. Problem zaobserwowano na jądrze 7.0.2 openSUSE Tumbleweed.

W jądrze Linux w sterowniku MIPI I3C HCI występuje wyścig w funkcji i3c_hci_addr_to_dev(), która przeszukuje listę urządzeń I3C bez odpowiedniego blokowania. Poprawka wprowadza dedykowaną tablicę lookupową i synchronizację przez hci->lock.

W jądrze Linux w mechanizmie regcache, gdy funkcja populate() zwróci błąd, a operacje cache zawierają callback exit(), kod błędu jest nadpisywany wartością zwracaną przez exit(). To ukrywa błąd przed wywołującym regcache_init() i może prowadzić do dereferencji pustego wskaźnika.

W jądrze Linux w sterowniku i915 (drm) funkcja intel_crtc_put_color_blobs() zwalnia referencje do blobów kolorów CRTC, ale nie czyści wskaźników. Może to prowadzić do podwójnego zwolnienia przy ponownym czyszczeniu stanu CRTC.