Podatności Linux kernel

W jądrze Linuxa w sterowniku ice (Intel Ethernet) brak walidacji wartości ptype w ice_parser_profile_init pozwala złośliwemu VF na zapis poza bitmapą, powodując błąd strony. Poprawka odrzuca wartości ptype spoza zakresu.

W jądrze Linuxa w podsystemie mac802154 pracownik skanowania nie utrzymuje referencji do interfejsu sieciowego, co może prowadzić do użycia po zwolnieniu podczas równoczesnego usuwania interfejsu. Poprawka dodaje netdev_hold() i zwalnia referencję przy każdym wyjściu.

W jądrze Linuxa w podsystemie mac802154 llsec brakuje walidacji długości ramki względem długości tagu uwierzytelniającego, co prowadzi do przekazania ogromnej wartości do AEAD i odczytu poza zakresem. Poprawka odrzuca ramki krótsze niż tag.

W jądrze Linuxa w module ovpn (OpenVPN) w ścieżkach błędów TCP może wystąpić wyciek referencji do obiektu peer, gdy schedule_work() zwraca false. Poprawka sprawdza wartość zwracaną i zwalnia dodatkową referencję.

W jądrze Linux w funkcji pppoe_sendmsg() wskaźnik do nagłówka PPPoE jest zapisywany przed wywołaniem dev_hard_header(), które może ponownie przydzielić bufor skb i unieważnić wskaźnik. W pewnych warunkach może to prowadzić do zapisu przez zwisający wskaźnik do zwolnionej pamięci. Poprawka polega na ponownym załadowaniu wskaźnika po utworzeniu nagłówka urządzenia.

W jądrze Linux wykryto podatność w sterowniku rtase, która może powodować zawieszenie transmisji (TX hang) z powodu błędów sprzętowego parsowania pakietów. Niekompletne nagłówki IPv4, IPv6, TCP lub UDP, a także pakiety PTP z krótkimi danymi transportowymi, mogą wywołać ten problem. Sterownik stosuje obejścia, takie jak odrzucanie uszkodzonych pakietów i dopełnianie danych transportowych.

W jądrze Linux w funkcjach tcp_v4_send_ack() i tcp_v6_send_response() podczas konstruowania odpowiedzi TCP z opcjami TCP-AO, bajty wyrównania po znaczniku MAC nie są inicjalizowane, co może prowadzić do wysłania niezainicjalizowanych danych. Poprawka inicjalizuje tylko bajty wyrównania w gałęziach TCP-AO przed hashowaniem nagłówka.

W jądrze Linux w funkcji tcp_check_req() w stanie SYN-RECEIVED, nieprecyzyjny RST (niezgodny z RCV.NXT) jest akceptowany i usuwa żądanie, zamiast wywołać challenge ACK zgodnie z RFC 9293. Poprawka dodaje sprawdzenie zgodności z RFC 5961 przed walidacją pola ACK, aby wymusić challenge ACK dla nieprecyzyjnych RST.

W jądrze Linuxa w module VXLAN wykryto podatność polegającą na uszkodzeniu listy źródeł wpisu MDB podczas nieudanej operacji zastąpienia. W wyniku błędu w obsłudze wyjątków, istniejące wpisy źródeł są usuwane, co prowadzi do nieprawidłowego działania filtrów EXCLUDE i INCLUDE, powodując nieautoryzowany ruch lub blokowanie ruchu.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX10, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX12.1, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX12, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku graficznym AMDGPU dla generacji GFX9.4.3, makro BUG_ON() zostało zastąpione przez WARN_ON(), aby uniknąć awarii jądra w przypadku błędów. Poprawka pochodzi z wybranego commita.

W jądrze Linux w sterowniku amdgpu dla GFX9 zastąpiono makro BUG_ON() funkcją WARN_ON(). Wcześniej nieprawidłowe warunki powodowały awarię całego systemu, teraz generują jedynie ostrzeżenie.

W jądrze Linux w sterowniku amdgpu dla SDMA 4.4.2 zastąpiono makro BUG_ON() funkcją WARN_ON(). Wcześniej nieprawidłowe warunki powodowały awarię całego systemu, teraz generują jedynie ostrzeżenie.

W jądrze Linux w sterowniku amdgpu dla SDMA 7.1 zastąpiono makro BUG_ON() funkcją WARN_ON(). Wcześniej nieprawidłowe warunki powodowały awarię całego systemu, teraz generują jedynie ostrzeżenie.

W jądrze Linux w sterowniku amdgpu (VCE) naprawiono przepełnienie liczby całkowitej przy obliczaniu rozmiaru obrazu. Złośliwe strumienie VCE z bardzo dużymi wymiarami (np. 65536×65536) powodowały zawinięcie rozmiaru bufora do 0, co omijało walidację i umożliwiało dostęp do pamięci poza zakresem przez firmware GPU. Poprawka używa arytmetyki 64-bitowej i odrzuca nieprawidłowe wymiary.

W jądrze Linux w sterowniku amdgpu (VCN4) uniknięto ponownego odczytu długości parametrów IB. Zamiast tego używa się wartości zwróconej przez funkcję vcn_v4_0_enc_find_ib_param(), co eliminuje potencjalny problem TOCTOU, gdy zawartość IB zmienia się między odczytami.

W jądrze Linux w sterowniku amdgpu naprawiono dzielenie przez zero przy nieprawidłowych wymiarach UVD. Gdy szerokość lub wysokość jest mniejsza niż 16, wartości width_in_mb lub height_in_mb stają się 0, co prowadzi do dzielenia przez zero w ścieżkach dekodowania H264 i H264 Perf. Dodano walidację odrzucającą ramki o wymiarach mniejszych niż 16.

W jądrze Linux w sterowniku amdgpu naprawiono panikę jądra podczas niepowodzenia ładowania sterownika. Wcześniej, gdy inicjalizacja MES zawiodła, pierścień KIQ był błędnie oznaczany jako gotowy, co prowadziło do dereferencji pustego wskaźnika i paniki jądra.

W jądrze Linux w sterowniku amdgpu naprawiono problem z zarządzaniem pamięcią: przed zwolnieniem pamięci acp_genpd wywoływana jest funkcja pm_genpd_remove(), aby wyrejestrować ją z globalnej listy, a wskaźnik jest czyszczony po zwolnieniu.

W jądrze Linux w sterowniku amdgpu naprawiono problem z mapowaniem doorbell. Wcześniej funkcja xa_store_irq() pozwalała na nadpisanie istniejącego mapowania doorbell przez nowo tworzoną kolejkę, co mogło prowadzić do błędnego kierowania przerwań fence IRQ lub usunięcia mapowania innej kolejki. Poprawka używa xa_insert_irq(), która odrzuca mapowanie zarezerwowanego doorbell do nowej kolejki.

W jądrze Linux w sterowniku amdgpu naprawiono wyciek mapowania apertury. Wcześniej podczas normalnego wyładowania sterownika funkcja iounmap() nie była wywoływana, co pozostawiało osierocony wpis w drzewie PAT. Przy ponownym załadowaniu powodowało to konflikt WC vs WB i błąd inicjalizacji. Poprawka używa mapowań zarządzanych przez devres, co gwarantuje sprzątanie.

W jądrze Linux w module ksmbd (serwer SMB) wykryto podatność polegającą na braku walidacji pola num_subauth podczas kopiowania wpisów ACE w funkcji set_ntacl_dacl. Złośliwy, uwierzytelniony klient może wysłać spreparowany deskryptor zabezpieczeń z nieprawidłową wartością num_subauth, co prowadzi do odczytu poza zakresem pamięci sterty (out-of-bounds read) o wielkości około 1 KB.

W jądrze Linux w ksmbd występuje problem z przywracaniem rozmiaru DACL po wykryciu przepełnienia w check_add_overflow(), co prowadzi do nieprawidłowego ACL. Funkcja check_add_overflow() zapisuje obciętą sumę nawet przy przepełnieniu, a następnie ta wartość jest używana do obliczenia rozmiaru, co powoduje niedoszacowanie rozmiaru i może prowadzić do odczytów poza zakresem.

W jądrze Linux w ksmbd występuje problem z ograniczeniem pętli deduplikacji DACL do skopiowanych ACE. Gdy kopiowanie ACE zostanie przerwane z powodu przepełnienia rozmiaru, liczba ACE odzwierciedla tylko skopiowane, ale funkcja set_posix_acl_entries_dacl() nadal używa oryginalnej liczby, co prowadzi do skanowania poza skopiowaną tablicą.

W jądrze Linux w ksmbd występuje problem z walidacją rozmiaru ACE względem liczby sub-authorities w SID. Funkcja set_ntacl_dacl() nie sprawdza, czy zadeklarowany rozmiar ACE zawiera wszystkie sub-authorities, co może prowadzić do kopiowania zbyt małych ACE i późniejszych odczytów poza zakresem podczas deduplikacji.

W jądrze Linux wykryto zakleszczenie w podsystemie audit podczas duplikowania reguł dotyczących plików wykonywalnych. Problem występuje przy przenoszeniu pliku, gdy aktywna reguła audytu pasuje do przenoszonego pliku — funkcja audit_dupe_exe() próbuje ponownie uzyskać blokadę katalogu nadrzędnego (I_MUTEX_PARENT), która jest już trzymana przez operację rename, co prowadzi do rekurencyjnego zakleszczenia. Łatka wprowadza strukturę audit_watch_ctx, aby przekazać kontekst zdarzenia fsnotify i uniknąć ponownego rozwiązywania ścieżki.

W jądrze Linux w fuse-uring występuje problem z wyścigiem między rejestracją a przerwaniem połączenia. Może to prowadzić do zawieszenia wątku podczas odmontowywania, ponieważ nic nie zmniejsza licznika referencji kolejki ani nie budzi kolejki oczekujących.

W jądrze Linux wykryto podatność w mechanizmie sched_ext, gdzie funkcja dispatch_to_local_dsq() może przełączać kolejki rq bez aktualizacji śledzenia bieżącego rq, co prowadzi do naruszenia asercji lockdep i potencjalnego błędu krytycznego. Problem dotyczy zachowania spójności między blokadami rq a ich śledzeniem podczas zagnieżdżonych wywołań ops.dequeue().

W jądrze Linux w podsystemie KVM dla procesorów AMD (SVM) wykryto podatność powodującą kolizję identyfikatorów ASID po cyklu hotplug CPU. Jeśli vCPU pozostaje wstrzymane, a procesor, na którym działało, zostanie wyłączony i ponownie włączony, vCPU może wznowić działanie z ASID przypisanym już innemu vCPU, co prowadzi do użycia nieaktualnych wpisów TLB. Problem objawia się wewnętrznym błędem KVM (Suberror: 1) i awarią emulacji instrukcji FPU/XSave.

W jądrze Linux w czasie/jiffies występuje problem z rejestracją źródła zegara jiffies przed jego użyciem. Użycie przed rejestracją pozostawia pole max_delta_raw na zero, co powoduje, że czas nie postępuje, co prowadzi do długiego opóźnienia rozruchu w systemach XEN HVM.

W jądrze Linux w sterowniku HID Wacom wykryto problem polegający na tym, że po uruchomieniu sprzętu HID, ale przed rejestracją urządzeń wejściowych i inicjalizacją diod LED, mogą wystąpić błędy. W takich przypadkach zasoby sterownika są zwalniane bez zatrzymania sprzętu HID, co może prowadzić do nieprawidłowego stanu. Poprawka polega na wywołaniu hid_hw_stop() przed zwolnieniem zasobów.

W jądrze Linux wykryto podatność w mechanizmie debugobjects, która pozwala na wyścig (race condition) podczas równoczesnego wyłączania z powodu braku pamięci (OOM). W wyniku tego, funkcje debug_object_assert_init() i debug_object_activate() mogą wywołać funkcję naprawczą (fixup) mimo wyłączonego debugowania, co prowadzi do nieprawidłowego działania timerów (np. hrtimer).

W jądrze Linux w podsystemie IIO (Industrial I/O) wykryto problem z niezainicjalizowanymi danymi w debugfs. Jeśli argument *ppos jest różny od zera, funkcja simple_write_to_buffer() nie inicjalizuje początku bufora, co może prowadzić do ujawnienia niezainicjalizowanych danych. Poprawka dodaje sprawdzenie na początku funkcji i zwraca -EINVAL dla niezerowych wartości *ppos.

W jądrze Linux w funkcji USB gadget RNDIS wykryto brak sprawdzenia długości w odpowiedzi na zapytanie. Dodano zmienne reprezentujące BufLength i BufOffset w rndis_query_response() oraz wykonano na nich sprawdzenie długości, analogicznie do rndis_set_response().

W jądrze Linux w sterowniku HID Wacom wykryto problem z użyciem GFP_KERNEL w funkcji wacom_wac_queue_flush(), która jest wywoływana w kontekście atomicznym (z poziomu callbacku raw_event). Może to prowadzić do błędu "scheduling while atomic". Poprawka zmienia alokację na GFP_ATOMIC, a istniejący kod już obsługuje niepowodzenie alokacji.

W jądrze Linuxa w sterowniku Bluetooth hci_uart nie był czyszczony bit HCI_UART_SENDING podczas anulowania pracy write_work, co blokowało przyszłe zapisy po ponownym otwarciu urządzenia. Poprawka polega na wyczyszczeniu tego bitu oraz bezpiecznym anulowaniu pracy przez disable_work_sync i enable_work.

W jądrze Linuxa w sterowniku staging vme_user dla mostka tsi148 występuje wyciek zasobu location monitor podczas odłączania urządzenia lub zwalniania modułu. Funkcja tsi148_remove() nie zwalnia listy lm_resources, co prowadzi do wycieku pamięci.

W jądrze Linuxa naprawiono podatność w KVM nVMX, gdzie w przypadku nieudanego zagnieżdżonego VM-Enter z powodu nieprawidłowego stanu gościa, strony vmcs12 nie były zwalniane. Powodowało to wyciek zablokowanych stron lub mapowań, jeśli L1 ponawiało VMLAUNCH/VMRESUME.

W jądrze Linuxa wykryto podatność w mechanizmie Safe-RET, która pozwala atakującemu na wstrzykiwanie przerwań podczas wykonywania sekwencji Safe-RET na maszynach dotkniętych problemem SRSO. Może to zneutralizować bezpieczną sekwencję powrotu i potencjalnie prowadzić do wycieku danych przez spekulacyjne wykonanie. Poprawka polega na emulacji stanu rejestrów tak, jakby sekwencja Safe-RET została wykonana pomyślnie, oraz unikaniu wykonania instrukcji RET po powrocie z przerwania.

W jądrze Linux wykryto podatność w KVM/VMX, gdzie funkcja vmx_update_cr8_intercept wywoływała get_vmcs12() bez sprawdzenia, czy vCPU jest w trybie gościa. Powodowało to ostrzeżenie lockdep i potencjalny problem podczas tworzenia vCPU. Poprawka ogranicza wywołanie get_vmcs12() tylko do trybu gościa, bez zmiany funkcjonalności.

W jądrze Linux w sterowniku intel-hid występuje podatność na wyścig (race condition) w obsłudze zdarzeń ACPI. Gdy dwa zdarzenia trybu tabletu wystąpią jednocześnie na różnych rdzeniach CPU, może dojść do podwójnej rejestracji urządzenia wejściowego, co prowadzi do zduplikowanego wpisu w sysfs i późniejszego wyłuskania wskaźnika NULL.

W jądrze Linux w sterowniku spear_adc (iio: adc) inicjalizacja struktury completion odbywa się po rejestracji procedury obsługi przerwań. Jeśli przerwanie pojawi się przed inicjalizacją, procedura obsługi wywołuje complete() na niezainicjalizowanej strukturze, co prowadzi do paniki jądra z powodu wyłuskania dzikiego wskaźnika.

W jądrze Linux w sterowniku ALSA us144mkii funkcja capture_urb_complete() wywołuje usb_anchor_urb() przy każdym zakończeniu transmisji, mimo że URB jest już zakotwiczony. To powoduje uszkodzenie listy dwukierunkowej i zawyżenie licznika referencji, co przy zatrzymywaniu strumienia prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w sterowniku kryptograficznym dla układów Amlogic (meson_crypto_probe). Podwójne czyszczenie zasobów podczas błędu alokacji prowadzi do użycia po zwolnieniu (use-after-free) w funkcji kthread_destroy_worker, co może zostać wykorzystane do naruszenia integralności pamięci.

W jądrze Linux w funkcji smb2_aead_req_alloc() występuje błąd w kodzie błędu: zmienna *num_sgs jest typu u32, więc użycie ERR_PTR(*num_sgs) nie działa poprawnie. Może to prowadzić do zwrócenia nieprawidłowego wskaźnika błędu, co przy jego wyłuskaniu spowoduje awarię systemu.

W jądrze Linux w funkcji init_pseudo() brakuje domyślnego ustawienia flag SB_I_NOEXEC i SB_I_NODEV. Powoduje to ostrzeżenie w path_noexec() przy mapowaniu plików anonimowych (np. dma-buf) na systemach z CONFIG_DEBUG_VFS=y, a także pozwala na wykonywalne mapowanie takich plików, co narusza niezmiennik bezpieczeństwa.

W jądrze Linux w sterowniku HID hid-lenovo-go funkcja hid_go_cfg_remove() nie anuluje opóźnionej pracy go_cfg_setup, która może zostać wykonana po zniszczeniu urządzenia HID. Prowadzi to do użycia zwolnionego wskaźnika drvdata.hdev, co może spowodować awarię systemu.

W jądrze Linuxa wykryto podatność w sterowniku USB gadget f_fs (FunctionFS). Niezainicjowana struktura pracy (work_struct) reset_work jest używana podczas odmontowywania systemu plików, co prowadzi do ostrzeżenia WARN_ON i potencjalnego problemu w działaniu. Problem występuje, gdy instancja FunctionFS jest montowana bez opcji "no_disconnect" lub odmontowywana bez wcześniejszej dezaktywacji.