Podatności Linux kernel

W jądrze Linux naprawiono podatność w drm/xe: w xe_devcoredump_snapshot_free() ss->gt może być NULL, gdy zrzut nie został w pełni wypełniony (np. gdy czyszczenie jest wywoływane bez wcześniejszego przechwycenia). Zabezpieczono wywołanie xe_guc_capture_put_matched_nodes() za pomocą IS_ERR_OR_NULL(), aby zapobiec wyłuskaniu null. W xe_devcoredump_free() praca odroczona jest kolejkowana tylko wtedy, gdy zrzut jest przechwycony, więc zabezpieczono cancel_work_sync() sprawdzeniem coredump->captured.

W jądrze Linux naprawiono podatność w cfg80211: odrzucanie duplikatów wpisów w cipher_suites w wiphy. Duplikaty nie opisują żadnej dodatkowej zdolności, ale cfg80211 je akceptuje, pozostawiając konsumentom radzenie sobie z nimi. Kod WEXT dodaje długość klucza WEP dla każdego wpisu WEP, co może przepełnić stałą tablicę iw_range::encoding_size zwracaną przez SIOCGIWRANGE. Poprawka odrzuca duplikaty w wiphy_register(), co powoduje wczesny błąd -EINVAL dla nieprawidłowych opisów wiphy.

W jądrze Linux naprawiono podatność w nl80211: odrzucanie beaconów z nieprawidłowym elementem HE operation. Element HE operation musi być nie tylko dłuższy niż część stała, ale także mieć odpowiedni rozmiar dla części zmiennej wewnątrz. Dodano sprawdzenie tego.

W sterowniku rtw88 doszło do wyłuskania pustego wskaźnika w funkcji rtw_fw_adaptivity_result(). Na urządzeniach z układem 8821CE, które nie definiują pola edcca_th, kernel wywołuje błąd oops. Poprawka dodaje sprawdzenie na NULL przed wyłuskaniem, zapobiegając awarii.

W sterowniku i3c svc dla NPCM845 wystąpił problem z fałszywym zdarzeniem SLVSTART, które powoduje burzę przerwań. Po emisji warunku STOP kontroler zgłasza nowe zdarzenie, tworząc pętlę i potrafiąc zawiesić procesor. Poprawka czyści bit stanu SLVSTART po wykonaniu STOP, przerywając pętlę.

W sterowniku media chips-media wave5 wykryto problem z blokadą w funkcji handle_dynamic_resolution_change. Wywołanie w initialize_sequence nieprawidłowo nie uzyskuje blokady. Ponadto funkcje v4l2_ctrl_find i s_ctrl mogą spać, więc nie powinny być wywoływane z trzymaną blokadą. Poprawka zapamiętuje wartość fbc_buf_count i aktualizuje sterowanie po zwolnieniu blokady.

W sterowniku SPI Qualcomm QSPI stwierdzono niekompletne zarządzanie błędami w trybie runtime PM. W trakcie zawieszania lub wznawiania system może pozostać w niespójnym stanie, prowadząc do braku równowagi zegarów i zasilania. Poprawka zmienia kolejność operacji i dodaje odpowiednie sprawdzanie błędów z czyszczeniem zasobów.

W module mac80211 wykryto dostęp poza zakresem w funkcji dodającej nagłówek radiotap dla monitorowania w trybie NAN. Gdy pasmo jest ustawione na NUM_NL80211_BANDS, dostęp do tablicy sbands powoduje błąd. Poprawka pomija dostęp do tej tablicy, gdy pasmo jest nieprawidłowe.

W sterowniku Thunderbolt znaleziono wyciek pamięci w funkcji __tb_xdomain_response(). Gdy wywołanie tb_cfg_request() nie powiedzie się i zwróci błąd, nie jest wywoływane wywołanie zwrotne, co prowadzi do utraty pamięci. Poprawka wywołuje tb_cfg_request_put() w przypadku błędu.

W sterowniku dm1105 brakuje sprawdzenia błędu przy alokacji pamięci DMA. Wynik dm1105_dma_map() jest ignorowany w dm1105_hw_init(). Jeśli dma_alloc_coherent() zawiedzie, sterownik użyje wskaźnika NULL dla transferów DMA, co może prowadzić do błędu oops lub nieprawidłowego dostępu do sprzętu. Poprawka dodaje sprawdzenie i propaguje błąd -ENOMEM.

W jądrze Linux w sterowniku crypto ixp4xx występuje podatność na dereferencję wskaźnika NULL podczas alokacji buforów łańcucha. W przypadku niepowodzenia alokacji, kod ustawia buf na NULL i później bezwarunkowo go dereferencjonuje, co może prowadzić do awarii systemu. Dodatkowo, częściowo zbudowany łańcuch nie jest poprawnie zwalniany.

W jądrze Linux w podsystemie PCI/sysfs brakuje sprawdzenia uprawnień CAP_SYS_ADMIN w funkcji __resource_resize_store(). Pozwala to nieuprzywilejowanym użytkownikom na zmianę rozmiaru BAR, co może zakłócić działanie sterowników.

W jądrze Linux w sterowniku watchdog lenovo_se10_wdt występuje podatność na użycie po zwolnieniu (use-after-free) oraz ryzyko wycieku zasobów. Problem dotyczy wskaźnika se10_pdev, który nie jest zerowany po zwolnieniu, oraz wywołania zwrotnego DMI.

W jądrze Linux w podsystemie genirq/proc bufor na nazwy katalogów /proc/irq/<n>/ jest za mały dla 10-cyfrowych numerów przerwań. Może to prowadzić do przepełnienia bufora podczas formatowania nazwy.

W jądrze Linux w sterowniku mmc davinci występuje podatność na dereferencję wskaźnika NULL w procedurze obsługi przerwań. Gdy host->data jest NULL, a w qstatus ustawione są bity TOUTRD lub CRCWR/CRCRD, kod dereferencjonuje data bez sprawdzenia, co prowadzi do awarii.

W jądrze Linux w sterowniku pinctrl mediatek paris występuje problem z użyciem pinctrl_gpio_direction_input/output, które biorą mutex pinctrl, co powoduje, że operacje gpiochip muszą spać. Ponieważ pole .can_sleep nie jest ustawione, może dojść do użycia spinlocka zamiast mutexa, co wywołuje ostrzeżenia.

W jądrze Linux w sterowniku wifi rtw89 phy brakuje sprawdzenia długości przed parsowaniem elementu PHY status IE. Sprzęt może zgłosić nieoczekiwaną długość, co może prowadzić do odczytu poza zakresem.

W jądrze Linux w podsystemie coresight perf występuje wyścig (race condition) związany z użyciem wskaźnika csdev_src per-CPU podczas rejestracji i wyrejestrowania urządzeń. Poprawka pobiera ścieżkę i źródło z danych zdarzenia, aby uniknąć wyścigu.

W jądrze Linux w sterowniku drm/amdgpu/userq obiekty mqd i fw nie są przypięte (pinned), co może prowadzić do ich wywłaszczenia (eviction). Podczas wywłaszczenia sprzęt używa nieprawidłowych adresów, co powoduje błędy stron i zawieszenie systemu.

W jądrze Linux w funkcji allocate_doorbell sterownika drm/amdkfd istnieje możliwość ustawienia identyfikatora doorbell na konkretną wartość (używaną przez CRIU) bez sprawdzenia jej zakresu. Brak walidacji może prowadzić do użycia wartości spoza dozwolonego zakresu.

W jądrze Linux w sterowniku drm/amdgpu funkcja psp_copy_fw została zmieniona z void na int, aby zwracać -ENODEV gdy drm_dev_enter zawiedzie oraz -EINVAL gdy rozmiar obrazu jest zerowy lub większy niż 1 MiB bufora prywatnego PSP. Zastąpiono również ręczne memset/memcpy do fw_pri_buf wywołaniem psp_copy_fw.

W jądrze Linux w sterowniku drm/amdgpu liczba wpisów tabeli GPIO I2C pochodząca z VBIOS nie jest odpowiednio ograniczana. Poprawka odrzuca zbyt małe tabele i ogranicza wyliczoną liczbę wpisów do AMDGPU_MAX_I2C_BUS, aby uniknąć przepełnienia adev->i2c_bus[] lub przetwarzania absurdalnie dużej liczby wpisów przy uszkodzonych polach rozmiaru.

W jądrze Linux w podsystemie wifi: mac80211 funkcja ieee80211_handle_reconfig_failure jest wywoływana przy nieudanej rekonfiguracji NAN, co oznacza wszystkie interfejsy jako nieobecne w sterowniku. Następnie cfg80211_shutdown_all_interfaces niszczy interfejsy, ale stany innych interfejsów (np. BSS station) nie są zgłaszane sterownikowi, co może pozostawić wiszące wskaźniki do stacji i linków (przynajmniej w iwlwifi).

W jądrze Linux w podsystemie net/rds funkcja rds_ib_conn_path_shutdown usypia wątek roboczy na wywołaniu wait_event, co blokuje inne elementy kolejki i powoduje zawieszenie podczas zamykania konfiguracji sieci ib. Poprawka zmienia wait_event na wait_event z limitem czasu i pętlę aż do spełnienia warunku.

W jądrze Linux system plików affs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux system plików bfs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux system plików qnx4 używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux system plików jfs używa buffer_heads, które nie obsługują dobrze rozmiaru bloku większego niż PAGE_SIZE. Bez poprawki montowanie prowadzi do wywołania BUG_ON(offset >= folio_size(folio)) w folio_set_bh przy pierwszym wywołaniu __bread_gfp.

W jądrze Linux podsystem hpfs nie obsługuje poprawnie błędów funkcji set_blocksize. System plików hpfs używa buforów (buffer_heads), które nie radzą sobie z rozmiarem bloku większym niż PAGE_SIZE, co przy montowaniu powoduje wystąpienie BUG_ON w folio_set_bh.

Podobnie jak w hpfs, omfs w jądrze Linux nie obsługuje błędów set_blocksize. System używa buforów, które nie wspierają rozmiarów bloku większych niż PAGE_SIZE, co przy montowaniu wywołuje BUG_ON w folio_set_bh.

W sterowniku usbip vhci_hcd funkcja status_show_vhci nie sprawdza poprawnie wartości NULL z platform_get_drvdata(). Jeśli inicjalizacja kontrolera VHCI nie powiedzie się (np. z powodu wyczerpania numerów magistrali USB), hcd jest NULL, a wywołanie hcd_to_vhci_hcd() prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux (USB HCD) występuje możliwy deadlock podczas przesyłania kontrolnego do root hub. Gdy w obsłudze błędów SCSI wymagana jest alokacja pamięci, a przy resetowaniu urządzenia konieczne są transfery kontrolne do root hub, usbcore nie przekazuje odpowiednio flag do usb_submit_urb(). Problem dotyczy wszystkich sterowników magazynujących.

W sterowniku USB gadget goku_udc wystąpił przypadek dereferencji wskaźnika NULL w logu podczas obsługi przerwania INT_USBRESET. Gdy kontroler zgłosi reset USB zanim jakikolwiek sterownik gadżetu zostanie załadowany (lub po jego odwiązaniu), dev->driver jest NULL i wywołanie INFO() dereferencuje go, co powoduje awarię.

W sterowniku szeregowym 8250 w jądrze Linux występuje podatność polegająca na braku obsługi flagi FIFO error IRQ (FIFOE). Podczas fazy startowej może to spowodować zablokowanie procesora w ISR (soft lockup), ponieważ zgłoszenie IRQ_HANDLED bez obsłużenia błędu powoduje natychmiastowe ponowne przerwanie.

W jądrze Linuxa w funkcji serial8250_register_8250_port() istnieje podatność na dereferencję NULL, gdy zarówno istniejący slot uart, jak i up mają NULL w polu ->dev. Kod sprawdza tylko, czy up->port.dev jest nie-NULL, ale następnie bezwarunkowo wywołuje has_acpi_companion(uart->port.dev), co prowadzi do dereferencji NULL i awarii jądra.

W jądrze Linux występuje problem w rdzeniu sterowników (driver core), gdzie przy usuwaniu urządzenia, którego dostawca jest w trakcie odłączania (unbinding), generowane jest fałszywe ostrzeżenie jądra. Sytuacja ma miejsce, gdy status łącza dostawcy nie jest ustawiony na DL_DEV_DRIVER_BOUND, lecz na DL_DEV_UNBINDING, co jest prawidłowe w trakcie kaskadowego odłączania konsumentów. Ostrzeżenie pojawia się w funkcji __device_links_no_driver podczas usuwania sterownika, np. lan966x_pci.

W jądrze Linux (RDMA/counter) występuje wyciek licznika num_counters w funkcji alloc_and_bind() po nieudanym wywołaniu __rdma_counter_bind_qp(). W ścieżce błędu nie jest dekrementowany num_counters, co w przypadku powtarzających się awarii może zablokować przejście portu w tryb AUTO (-EBUSY) oraz uniemożliwić automatyczne cofnięcie MANUAL→NONE.

W jądrze Linux naprawiono podatność w module RDS, w której opcje getsockopt z rodziny RDS_INFO_* nie filtrowały odczytywanych globalnych list według przestrzeni nazw sieci (netns) wywołującego. Nieuprzywilejowany użytkownik w nowej przestrzeni nazw użytkownika i sieci mógł odczytać adresy i numery sekwencji wszystkich gniazd oraz połączeń RDS na hoście.

W jądrze Linux sterownik tegra/soctherm nie wyrejestrowywał urządzeń chłodzących przy usuwaniu modułu, pozostawiając w frameworku thermal odwołania do zwolnionej pamięci. Zmiana przechodzi na rejestrację przez devm, co automatycznie zwalnia zasoby i usuwa problem.

W jądrze Linux funkcja rapl_add_package_cpuslocked() w powercap/intel_rapl zwraca błąd bez zwolnienia wcześniej zaalokowanej struktury rapl_package, co powoduje wyciek pamięci przy każdym nieudanym dodaniu pakietu. Poprawka używa istniejącej etykiety err_free_package do zwolnienia alokacji.

W jądrze Linux po czasowej deprecjacji prefiksu IPv6 przez router i późniejszym jego przywróceniu kernel trwale traci możliwość generowania tymczasowych adresów prywatności (RFC 8981) dla tego prefiksu. Poprawka resetuje licznik regen_count dla najnowszego adresu tymczasowego przy aktualizacji z Router Advertisement.

W jądrze Linux w komponencie ACPICA poprawiono sprawdzanie warunku dla AML_ELSE_OP w funkcji acpi_ps_parse_loop(), aby zapobiec dostępowi poza granice bufora. Błąd mógł prowadzić do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux w komponencie ACPICA dodano walidację odczytu długości pakietu w funkcji acpi_ps_get_next_package_length(). Brak walidacji mógł prowadzić do nieprawidłowego przetwarzania danych AML.

W jądrze Linux w ACPICA brakuje sprawdzeń limitu pakietu w funkcjach parsera. Może to umożliwić dostęp poza granicami bufora.

W jądrze Linuxa w module appletalk funkcja aarp_send_ddp() wywołuje atalk_find_dev_addr() bez sprawdzenia wartości NULL, co prowadzi do dereferencji wskaźnika NULL, gdy urządzenie nie ma skonfigurowanego interfejsu AppleTalk. Poprawka dodaje sprawdzenie NULL, zgodnie z innymi wywołaniami tej funkcji.

W jądrze Linuxa w systemie plików f2fs struktura f2fs_gc_kthread jest alokowana dynamicznie, co prowadzi do wyścigu podczas zamykania: wątek GC może uzyskać dostęp do zwolnionej pamięci. Poprawka osadza f2fs_gc_kthread w f2fs_sb_info, upraszczając zarządzanie cyklem życia i przygotowując grunt pod naprawę wyścigów.

W jądrze Linux w funkcji i3c_master_register_new_i3c_devs() ścieżka błędu device_register() nie czyści wskaźników desc->dev->desc oraz desc->dev przed zwolnieniem urządzenia. Prowadzi to do ostrzeżenia WARN_ON oraz do pozostawienia wiszącego wskaźnika na zwolnioną pamięć, co może skutkować użyciem po zwolnieniu.

W jądrze Linux funkcja rtw89_mac_check_he_obss_narrow_bw_ru_iter() odczytuje bajt 10 rozszerzonych możliwości, ale odrzuca tylko wartości datalen poniżej 10, podczas gdy odczyt bajtu 10 wymaga co najmniej 11 bajtów. Brak sprawdzenia długości może prowadzić do odczytu poza granicami bufora.

W jądrze Linux w sterowniku staging octeon funkcja cvm_oct_tx_shutdown nie wywołuje tasklet_kill, więc tasklet TX cleanup może zostać zaplanowany przez obsługę przerwania watchdog i wykonać się po zwolnieniu struktur net_device w cvm_oct_remove(). Prowadzi to do użycia po zwolnieniu w cvm_oct_tx_do_cleanup() podczas iteracji tablicy cvm_oct_device[].

W jądrze Linux w sterowniku staging octeon funkcja cvm_oct_rx_shutdown wywołuje free_irq i netif_napi_del bez uprzedniego wyłączenia instancji NAPI. Ponieważ free_irq czeka tylko na zakończenie twardych procedur obsługi przerwań, funkcja odpytywania NAPI może być nadal aktywna, a jeśli cvm_oct_remove zwolni strukturę plat zawierającą instancje NAPI, aktywna funkcja odpytywania uzyska dostęp do zwolnionej pamięci.