Podatności Linux kernel

W jądrze Linux w sterowniku phy-rcar-gen3-usb2 funkcja devm_regulator_get_exclusive() inicjalizuje regulator z enable_count = 1, wymagając od konsumenta wyłączenia go przed zwolnieniem. Akcja devm wyłączania była rejestrowana tylko, gdy wywołujący jawnie zażądał włączenia, więc gdy regulator pozostawał w początkowym stanie włączonym bez jawnego wywołania enable, ścieżka czyszczenia pomijała dekrementację enable_count, wywołując WARN_ON podczas zwalniania regulatora przy usuwaniu urządzenia.

W jądrze Linux w sterowniku perf/x86/intel/pt występuje błąd niezrównoważenia wywołań perf_aux_output_begin() i perf_aux_output_end(). Gdy pt_event_stop() zostanie wywołane bez flagi PERF_EF_UPDATE (np. w wyniku grupowego throttlingu), kolejne pt_event_start() ponownie otwiera kontekst AUX, co narusza zasadę braku zagnieżdżania i wywołuje ostrzeżenie w perf_aux_output_begin(). Problem dotyczy m.in. próbkowania obszaru AUX.

W jądrze Linux w sterowniku pinctrl bcm2835 funkcja bcm2835_pinctrl_probe() wywołuje gpiochip_remove() przed zarejestrowaniem układu GPIO przez gpiochip_add_data(), gdy devm_pinctrl_register() zawiedzie. Powoduje to, że gpio_chip.gpiodev jest NULL, co prowadzi do dereferencji wskaźnika null w gpiochip_remove().

W jądrze Linux w funkcji tps6594_regulator_probe() pętla konfiguracji wielofazowej nie zwalniała referencji do węzłów urządzeń (np, np_parent, np_pmic_parent) uzyskanych przez of_find_node_by_name() i of_get_parent(), powodując wyciek referencji w każdej iteracji. Dodatkowo brak sprawdzenia NULL po of_find_node_by_name() mógł prowadzić do dereferencji NULL.

W jądrze Linux w sterowniku remoteproc qcom_wcnss zmieniono inkrementację wskaźnika info z num_pd_vregs na num_pds, co dla platformy pronto-v3 (bez regulatorów domen zasilania w vregs) powodowało wyjście poza tablicę. Objawiało się to błędem "regulator request with no identifier" na urządzeniach SDM632 przy kompilacji LLVM.

W jądrze Linux sterownik wifi ath11k mógł otrzymywać ramki HT/VHT/HE z MCS przekraczającym maksimum dla danej przestrzeni szybkości mac80211 (np. HE z MCS 12). Funkcja ath11k_dp_rx_h_rate() pozostawiała nieprawidłową wartość rate_idx i nie ustawiała encoding, co powodowało odrzucenie ramki przez mac80211 z ostrzeżeniem i utratę prawidłowych danych.

W jądrze Linux interpreter BPF ignorował pole 'off' w instrukcji BPF_MOV64_PERCPU_REG (BPF_ADDR_PERCPU), która wymaga kompilacji JIT do natywnego kodu. W rezultacie ładowanie pamięci z takiego rejestru powodowało błąd strony (page fault) i oops jądra.

W jądrze Linux w funkcji ext4_ext_migrate() występował cykliczny zakleszczenie (deadlock) między s_writepages_rwsem a sb_internal (ochrona przed zamrożeniem). Wywołanie iput(tmp_inode) przed zwolnieniem ext4_writepages_up_write() powodowało zakleszczenie z równoległym czyszczeniem osieroconych inodów podczas montowania.

W jądrze Linux funkcja ext4_try_to_expand_extra_isize() wywoływana podczas montowania (!SB_ACTIVE) mogła przenosić xattrs do bloków zewnętrznych i zwalniać ea_inodes przez iput(), co prowadziło do cyklicznej zależności blokad: s_writepages_rwsem -> jbd2_handle -> xattr_sem -> s_writepages_rwsem.

W jądrze Linux w RDMA/core funkcja uverbs_free_dmah() wywoływała rdma_restrack_del() zbyt późno, po zwolnieniu zasobów specyficznych dla dostawcy powiązanych z dmah. Pozostawiało to krótkie okno, w którym dmah był nadal dostępny przez restrack, co mogło prowadzić do use-after-free.

W jądrze Linux w architekturze arm64 w funkcji rsi_attestation_token_init kopiowanie challenge do &regs.a1 powodowało ostrzeżenie FORTIFY o zapisie wykraczającym poza pojedyncze pole (field-spanning write), ponieważ rejestr a1 jest traktowany jako pole 8-bajtowe, a kopiowano 64 bajty.

W jądrze Linux w sterowniku RDMA/efa przy rejestracji MR i tworzeniu pośredniego PBL, jeśli liczba stron PBL była wielokrotnością EFA_PTRS_PER_CHUNK, długość ostatniego chunka była błędnie obliczana jako 0. Powodowało to, że urządzenie widziało chunk jako pusty i odrzucało rejestrację pamięci.

W jądrze Linux w sterowniku eswin dla układów EIC7700 funkcje eswin_clk_register_pll() i eswin_register_clkdiv() nie inicjalizują wszystkich pól struktury clk_init_data alokowanej na stosie. Niezainicjalizowane dane na stosie powodują błędne rozpoznanie rodzica zegara i prowadzą do dereferencji wskaźnika NULL podczas rejestracji zegara.

W jądrze Linux w module lockdep funkcja __lock_set_class() nie sprawdza, czy register_lock_class() zwróciła NULL. W przypadku wyczerpania puli klas blokad lub błędu walidacji, obliczany jest nieprawidłowy indeks klasy, co prowadzi do dereferencji wskaźnika NULL lub poza zakresem.

W jądrze Linux w trybie CONFIG_PPC_KERNEL_PCREL dla architektury PowerPC, funkcje call_do_irq() i call_do_softirq() używają inline assembly bez zadeklarowania rejestru r2 jako modyfikowanego (clobber). Powoduje to, że kompilator zakłada, iż r2 jest zachowywany, co prowadzi do uszkodzenia rejestrów i awarii jądra podczas obsługi przerwań, uniemożliwiając bootowanie.

W jądrze Linux w systemie plików OCFS2 funkcja ocfs2_read_inode_block_full() używała make_bad_inode(), która zmienia typ i-węzła na S_IFREG. Dla i-węzła katalogu podczas aktywnego wyszukiwania VFS może to prowadzić do błędów, w tym wyzwolenia VFS_BUG_ON_INODE().

W jądrze Linux w podsystemie fs-integrity (block) brakuje sprawdzenia flag BIP_CHECK przed generowaniem lub weryfikacją informacji PI. Może to prowadzić do nieprawidłowego wywołania dla metadanych niebędących PI, generowania błędnych metadanych i awarii w handlerze weryfikacji.

W jądrze Linuxa w kodzie hibernacji dla architektury arm64 stwierdzono nieprawidłowe zarządzanie maskowaniem wyjątków DAIF podczas wznawiania systemu, co może prowadzić do awarii lub ostrzeżeń. Podczas przywracania obrazu hibernacji maskowane są tylko przerwania, a nie wszystkie wyjątki DAIF, co może skutkować nieoczekiwanymi wyjątkami w niekonsystentnym stanie systemu.

W jądrze Linux dla architektury ARM64 wykryto problem w ścieżce wyjścia z trybu jądra, gdzie niepotrzebnie wywoływano local_irq_disable() w kontekstach, w których przerwania były już wyłączone lub w kontekstach NMI. To powodowało mylenie stanu śledzenia pNMI i generowanie ostrzeżeń przy włączonej opcji CONFIG_ARM64_DEBUG_PRIORITY_MASKING. Poprawka dzieli funkcję arm64_exit_to_kernel_mode() na części, aby uniknąć zbędnej pracy i zachować poprawność logiki.

W jądrze Linux wykryto podatność w mechanizmie izolacji CPU (housekeeping), gdzie pamięć przydzielona przez memblock dla maski CPU była zwalniana zbyt wcześnie podczas procesu bootowania, zanim mapa pamięci została w pełni zainicjalizowana. Powodowało to ostrzeżenie i potencjalnie nieprawidłowe działanie systemu przy użyciu parametru 'nohz_full'. Poprawka polega na odroczeniu zwolnienia tej pamięci do momentu przetwarzania initcall.

Wykryto podatność w systemie plików OCFS2 w jądrze Linux, polegającą na cyklicznej zależności blokad między semaforem ip_xattr_sem a barierą transakcji j_trans_barrier. Może to prowadzić do zakleszczenia (deadlock) podczas równoczesnych operacji setxattr i mkdir/mknod. Poprawka polega na wcześniejszym przygotowaniu stanu ACL przed rozpoczęciem transakcji oraz usunięciu zbędnego przechwytywania semafora.

W sterowniku spi: amlogic-spisg struktura clk_init_data nie jest w pełni inicjalizowana, co może prowadzić do awarii, gdy włączone są opcje CONFIG_INIT_STACK_ALL_PATTERN lub CONFIG_INIT_STACK_NONE. Problem dotyczy niezainicjalizowanego pola parent_names.

W sterowniku drm/xe występuje problem z ostrzeżeniem WARN podczas timeoutu zadania jądra, gdy urządzenie jest już w stanie wedged. Poprawka honoruje stan wedged nawet dla zabitych kolejek, aby uniknąć fałszywych ostrzeżeń.

W jądrze Linux występuje błąd w module Bluetooth mgmt, polegający na wyścigu przy dostępie do pól 'uuid_count' i 'uuids' struktury discovery_state bez blokady. Może dojść do sytuacji, gdy 'uuid_count' jest różne od zera, a wskaźnik 'uuids' jest NULL, co prowadzi do dereferencji NULL i paniki jądra. Podatność została naprawiona poprzez objęcie tych pól blokadą discovery.lock oraz przypisanie 'uuid_count' dopiero po udanej alokacji kmemdup.

W sterowniku octeontx2-af występuje podatność na odczyt poza zakresem (out-of-bounds read) podczas ustawiania powinowactwa przerwań MSI-X. Funkcja strstr() może czytać poza buforem, gdy pole nie jest zainicjalizowane, co może wywołać błąd KASAN.

W jądrze Linux w module AppArmor wykryto podatność polegającą na tym, że w przypadku niepowodzenia tworzenia profilu przed zakończeniem inicjalizacji policy_init, listy powiązane nie są poprawnie inicjalizowane. Prowadzi to do wyzwolenia ostrzeżeń i potencjalnego błędu w funkcji aa_policy_destroy podczas zwalniania profilu.

W sterowniku drm/sysfb: simpledrm poprawiono walidację stride, aby sprawdzać, czy obliczona wartość nie przekracza maksymalnej wartości INT_MAX. Zapobiega to potencjalnym problemom z przepełnieniem.

W jądrze Linux w mechanizmie secretmem (mm/secretmem) stwierdzono błąd w rozliczaniu zablokowanych stron pamięci. Strony secretmem nie są prawidłowo uwzględniane w limicie RLIMIT_MEMLOCK ani w RSS procesu, więc użytkownik może wielokrotnie mapować i odmapowywać pamięć (lub forkować), omijając limit i wyczerpując całą dostępną pamięć systemową nieusuwalnymi stronami. Prowadzi to do niestabilności systemu, a mechanizm OOM killer nie zabija procesu, bo nie widzi zużycia pamięci.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja __qla_consume_iocb() zużywała o jeden wpis kolejki odpowiedzi za dużo. Powodowało to oznaczenie jako przetworzonego niewłaściwego IOCB i pominięcie prawidłowej odpowiedzi firmware. Poprawka polega na oznaczeniu nagłówkowego IOCB jako przetworzonego i skonsumowaniu tylko entry_count - 1 kontynuacyjnych IOCB.

W jądrze Linux na architekturze arm64 funkcja show_pte() wykonuje bezzamkowy spacer po tablicach stron, co może prowadzić do użycia zwolnionej strony tablicy lub wyliczenia błędnego wskaźnika przy równoczesnym niszczeniu tablic. Poprawka używa bezzamkowych helperów offsetowych z zapisanymi wpisami nadrzędnymi i wyłącza przerwania lokalne wokół spaceru.

W jądrze Linux w module s390/vfio-ap bitmapa apm_filtered jest alokowana na stosie bez zerowania. Gdy zmiana hot plug dodaje tylko domeny kontrolne, funkcja filtrująca jest pomijana i niezainicjalizowana bitmapa trafia do reset_queues_for_apids(), co może wywołać niezamierzone resety kolejek sprzętowych gościa. Poprawka zeruje bitmapę na początku funkcji.

W jądrze Linux w sterowniku media: meson: vdec funkcja vdec_try_fmt_common() przy nieobsługiwanym formacie pikseli wraca do V4L2_PIX_FMT_MPEG2. Jeśli dystrybucja usunęła obsługę MPEG2, find_format() zwraca NULL, co prowadzi do dereferencji NULL i awarii. Poprawka używa pierwszego formatu z tablicy platformy zamiast zakodowanego na stałe MPEG2.

W jądrze Linux w sterowniku drm/gud funkcja gud_connector_add_tv_mode() przekazuje nazwy trybów TV o stałym rozmiarze bezpośrednio do kodu właściwości DRM. Jeśli urządzenie zwróci wpis bez bajtu NUL, strlen() czyta poza bufor, powodując odczyt poza granicami. Poprawka waliduje obecność terminatora NUL i odrzuca błędne odpowiedzi z -EIO.

Podatność w sterowniku Nouveau (drm/nouveau/dmem) powoduje niedomiar licznika callocated przy podziale dużego folio. Licznik nie jest aktualizowany podczas podziału, co prowadzi do wycieku pamięci i ostrzeżeń. Poprawka uwzględnia nowe sub-folio w funkcji split.

W jądrze Linux wykryto podatność powodującą panikę podczas bootowania w konfiguracji CONFIG_DEBUG_VM z włączoną opcją hugetlb_free_vmemmap. Problem dotyczy inicjalizacji współdzielonych stron ogonowych (zone->vmemmap_tails[]) używanych przez HVO, które są przygotowywane zbyt późno, co prowadzi do dereferencji niezainicjalizowanej strony i paniki. Poprawka przenosi inicjalizację do gather_bootmem_prealloc(), przed przetwarzaniem foliów HugeTLB z bootmem.

W jądrze Linux wykryto podatność w module lockd, gdzie funkcja nlmsvc_match_ip() miała zamienione argumenty podczas porównywania adresów IP. Powodowało to, że zwalnianie blokad przez adres IP serwera (za pomocą /proc/fs/nfsd/unlock_ip) praktycznie nigdy nie działało, ponieważ porównanie opierało się na odczytaniu nieprawidłowych danych z pamięci.

Podatność w mechanizmie HugeTLB dla stron gigantycznych (gigantic bootmem) polega na zbyt późnej inicjalizacji strukturalnych stron (struct pages). Może to prowadzić do błędnego określenia ciągłości stref lub paniki podczas uruchamiania. Poprawka przenosi inicjalizację do wcześniejszej fazy (page_alloc_init_late).

W jądrze Linuxa wykryto podatność w mechanizmie opóźnionej inicjalizacji stron pamięci (CONFIG_DEFERRED_STRUCT_PAGE_INIT). Przy użyciu dużych rezerwacji CMA, funkcja deferred_grow_zone() może niewłaściwie zaktualizować wskaźnik first_deferred_pfn, co prowadzi do przepełnienia i wywołania BUG_ON w deferred_init_memmap(), skutkując awarią systemu podczas inicjalizacji.

W jądrze Linux funkcja rt6_nh_dump_exceptions() iterowała po liście wyjątków tras IPv6 za pomocą hlist_for_each_entry() bez odpowiedniej ochrony RCU, podczas gdy równolegle rt6_insert_exception() mogła dodawać nowe wpisy. Powodowało to wyścig danych (data race) wykryty przez KCSAN. Problem rozwiązano, przechodząc na iterator hlist_for_each_entry_rcu().

W jądrze Linux w sterowniku tegra-video (staging/media) funkcja tegra_vip_channel_of_parse() w ścieżkach błędów zwalnia referencję do węzła OF, której nigdy nie pobrała, co powoduje niedomiar licznika referencji. Problem występuje, gdy parsowanie endpointu nie powiedzie się na uszkodzonym device tree.

W jądrze Linux funkcja send_signal_locked() nadpisuje identyfikatory nadawcy dla docelowej przestrzeni nazw, a przy wysyłaniu grupowym ten sam siginfo jest współdzielony między odbiorcami. Jeden odbiorca może więc wpłynąć na dane kolejnego.

W jądrze Linux w schedulerze sched_ext funkcja kick_sync_wait_bal_cb() zakłada, że działa na CPU kolejki rq, ale w wyniku zmian w zwalnianiu blokady rq może zostać uruchomiona na obcym CPU. Prowadzi to do porównań z niepowiązanymi danymi i potencjalnego zakleszczenia.

W jądrze Linux sterownik zegara timer-sun4i reklamuje TIMER_SYNC_TICKS jako minimalną deltę, co pozwala rdzeniowi clockevents wywołać set_next_event() z wartością prowadzącą do interwału zerowego. Może to zawiesić kolejne zdarzenie i powodować zawieszenie rozruchu na Allwinner D1.

W jądrze Linux w mm/huge_memory funkcja madvise_free_huge_pmd() może napotkać device-private PMD i wejść w gałąź !pmd_present(), co prowadzi do wywołania pmd_folio() na nieoczekiwanym PMD. Sytuacja może wystąpić, gdy sterownik GPU oparty na HMM ściga się z madvise(MADV_FREE).

W jądrze Linux w mm/madvise funkcja madvise_cold_or_pageout_pte_range() może napotkać device-private PMD i wejść w gałąź !pmd_present(), wywołując VM_BUG_ON(). Sytuacja może wystąpić, gdy sterownik GPU oparty na HMM ściga się z madvise(MADV_COLD)/MADV_PAGEOUT.

W jądrze Linux w mm/page_owner funkcja print_page_owner_memcg() odczytuje page->memcg_data bez blokady w dwóch miejscach, co stwarza warunek TOCTOU. Jeśli strona zostanie równocześnie zwolniona i ponownie przydzielona jako strona ogonowa THP lub strona slab, asercje VM_BUG_ON mogą wywołać awarię jądra.

W jądrze Linux w funkcji cdx_create_res_attr() niepowodzenie sysfs_create_bin_file() powoduje zwolnienie res_attr bez wyzerowania wskaźnika w tablicy cdx_dev->res_attr[num]. Późniejsze wywołanie cdx_destroy_res_attr() zwalnia już zwolnioną pamięć, powodując podwójne zwolnienie.

W jądrze Linux w USB gadget f_tcm funkcja usbg_make_tpg() trzyma dep_lock podczas wywołania configfs_depend_item_unlocked(), co tworzy cykliczną zależność blokad z configfs_rmdir(). Może to prowadzić do zakleszczenia.

W jądrze Linux wykryto podatność polegającą na odczycie poza zakresem w funkcji of_alias_scan(). Parser rdzenia sprawdza isdigit przed weryfikacją granic, co powoduje odczyt bajtu przed nazwą właściwości, gdy nazwa jest pusta lub składa się tylko z cyfr. Może to prowadzić do niepożądanego zachowania lub wycieku informacji.

W jądrze Linux, w serwerze NFS (nfsd), występuje podatność na dereferencję pustego wskaźnika w funkcji nfsd_file_net_dispose(). Podczas zamykania sieci, wskaźnik nn->nfsd_serv może być wyczyszczony, a funkcja nadal próbuje go użyć, co prowadzi do awarii. Poprawka polega na bezpiecznym sprawdzeniu wskaźnika przed użyciem.