Podatności Linux kernel

W jądrze Linux wykryto podatność w mechanizmie RT_PUSH_IPI dla harmonogramu zadań czasu rzeczywistego (RT). Gdy RT_PUSH_IPI jest włączone w systemie bez PREEMPT_RT, może dojść do zakleszczenia na żywo (live lock) na CPU, gdzie miękkie przerwania (softirqs) są wykonywane w kontekście przerwania, a nie wątkowym. Powoduje to nadmierną liczbę przerwań IPI, które spowalniają softirq, uniemożliwiając przełączenie kontekstu i prowadząc do blokady CPU.

W cpufreq wykryto wyścig między wyłączaniem a operacjami hotplug CPU podczas restartu systemu. Funkcja cpufreq_suspend() nie synchronizuje się z hotplugiem, co może prowadzić do dereferencji pustego wskaźnika.

W sterowniku cpufreq pcc wykryto użycie po zwolnieniu i podwójne zwolnienie podczas oceny _OSC. Po pierwszym wywołaniu acpi_evaluate_object() zwalniany jest bufor wyjściowy, ale nie są resetowane wskaźnik i długość, co prowadzi do zapisu do zwolnionej pamięci przy drugim wywołaniu.

W procfs wykryto brak ochrony ptrace_may_access() za pomocą exec_update_lock w kilku funkcjach. Funkcje do_task_stat(), proc_pid_wchan(), proc_map_files_lookup(), proc_map_files_readdir(), proc_ns_get_link() i proc_ns_readlink() wykonują sprawdzenie dostępu bez odpowiedniego blokowania.

W timerach procesora POSIX wykryto wyciek referencji PID w funkcji do_cpu_nanosleep(). W przypadku błędu po utworzeniu timera, funkcja nie zwalnia referencji PID, co prowadzi do wycieku.

W architekturze s390 wycofano wsparcie dla DCACHE_WORD_ACCESS z powodu problemów z obsługą wyjątków dla stron przekazanych do Ultravisora. Funkcja load_unaligned_zeropad() może powodować nieskończoną pętlę wyjątków.

W jądrze Linux w podsystemie mm/slab wykryto błąd w mechanizmie zerowania pamięci przy alokacji. Gdy włączone jest tylko oznaczanie stref czerwonych (SLAB_RED_ZONE) bez śledzenia żądanego rozmiaru (SLAB_STORE_USER), funkcja kmalloc może zerować tylko żądany rozmiar zamiast pełnego obiektu, co narusza gwarancje __GFP_ZERO dla krealloc.

W sterowniku HID dla układów Goodix SPI (hid-goodix-spi) brakuje walidacji rozmiaru raportu przed skopiowaniem go do 128-bajtowego bufora stosowego. Atakujący może przez ioctl SET_REPORT przesłać raport większy niż ~116 bajtów, co powoduje przepełnienie bufora stosowego.

W sterowniku HID Wacom (wacom_wac) funkcja wacom_wac_queue_insert() może wywołać kfifo_skip() na pustym buforze kfifo, co prowadzi do odczytu śmieciowych danych i uszkodzenia wewnętrznego stanu kfifo. W efekcie możliwe jest zapisanie poza granicami 256-bajtowego bufora, co może spowodować zapis do 3842 bajtów poza pamięć.

W sterowniku HID letsketch jądra Linux wykryto podatność na użycie po zwolnieniu (UAF) w timerze inrange_timer podczas odłączania urządzenia. Brak funkcji .remove powoduje, że timer może wywołać callback na już zwolnionej pamięci, prowadząc do naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność w sterowniku HID multitouch, gdzie pole mt_io_flags jest używane jako bitmapa per-slot, ale jego rozmiar (unsigned long) nie jest dostosowany do maksymalnej liczby kontaktów (do 255). Powoduje to zapis poza zakresem i uszkodzenie sąsiednich pól struktury mt_device, co prowadzi do paniki jądra.

W sterowniku HID appleir jądra Linux wykryto podatność Use-After-Free (UAF) w funkcji appleir_remove(). Timer key_up_timer może wywołać callback po zwolnieniu struktury input_dev, co prowadzi do odwołania do już zwolnionej pamięci. Problem został załatany przez dodanie flagi 'removing' i synchronizację timera.

W sterowniku HID dla klawiatur Logitech G (lg-g15) wykryto błąd use-after-free. Sterownik nie anulował oczekującej pracy przed zwolnieniem pamięci, co umożliwiało odwołanie do zwolnionej pamięci podczas odłączania urządzenia.

W systemach plików HFS i HFSPlus w jądrze Linux wykryto przepełnienie liczby całkowitej bez znaku (u32) w funkcji check_and_correct_requested_length. Duża wartość len może spowodować zawinięcie sumy off+len, omijając sprawdzenie granic i prowadząc do odczytu poza zakresem bufora.

W systemach plików HFS i HFSPlus w jądrze Linux funkcja hfs_bnode_read może zwrócić wcześniej bez zapisu do bufora wyjściowego, pozostawiając go niezainicjowanym. Wywołania takie jak hfs_bnode_read_u16 używają wyniku bezwarunkowo, prowadząc do raportów KMSAN o niezainicjowanej wartości.

W jądrze Linux w systemie plików nilfs2 wykryto podatność polegającą na braku walidacji numerów segmentów przed rozpoczęciem operacji czyszczenia segmentów. Nieprawidłowe numery segmentów przekazane przez użytkownika powodują blokowanie wątku na czas drukowania ostrzeżeń, co prowadzi do zawieszenia systemu.

W sterowniku MediaTek JPEG (mtk-jpeg) w jądrze Linux funkcja mtk_jpeg_release wywołuje cancel_work_sync nawet dla wariantów, które nie używają workqueue, co powoduje ostrzeżenie WARN_ON. Poprawka ogranicza wywołanie tylko do platform z zdefiniowanym callbackiem workqueue.

W systemie plików XFS w jądrze Linux funkcja xfs_exchmaps_estimate_overhead dodaje narzut bmbt i rmapbt do lokalnej zmiennej resblks, ale końcowe sprawdzenie UINT_MAX nadal testuje req->resblks, czyli wartość przed dodaniem narzutu. Sprawdzenie powinno dotyczyć obliczonej wartości, która jest później używana.

W systemie plików XFS w jądrze Linux funkcja xfs_dqinode_metadir_create() nie zwalnia zaalokowanego stanu transakcji i aktualizacji w przypadku niepowodzenia xfs_metadir_create(), powodując wyciek pamięci. Poprawka kieruje ścieżkę błędu przez xfs_metadir_cancel() i zwalnia referencję do inode.

W jądrze Linux w parserze BTF (BPF Type Format) funkcja btf_repeat_fields() wykonuje obliczenia liczby pól w arytmetyce u32, co może ulec zawinięciu przy złośliwym BTF. To omija sprawdzenie pojemności i prowadzi do zapisu poza zakresem tablicy scratch. Poprawka używa sprawdzonego dodawania i mnożenia.

W jądrze Linux w mechanizmie BPF dla ARRAY_OF_MAPS z flagą BPF_F_INNER_MAP, weryfikator błędnie pomija sprawdzanie nullowości wyniku wyszukiwania dla stałych kluczy, używając max_entries z szablonu zamiast rzeczywistej mapy wewnętrznej. Poprawka nie pomija nullowości dla map oznaczonych BPF_F_INNER_MAP.

W jądrze Linux wykryto podatność w implementacji mapy LPM (Longest Prefix Match) w BPF, która powodowała fałszywe ostrzeżenia lockdep podczas wykonywania programów BPF w kontekście usypialnym (sleepable). Problem dotyczył nieprawidłowego użycia mechanizmów RCU w funkcjach trie_lookup_elem, trie_update_elem i trie_delete_elem, które nie uwzględniały kontekstu rcu_read_lock_trace().

W sterowniku sieciowym USB Kalmia w jądrze Linuxa występuje podatność na odczyt poza zakresem bufora. Funkcja kalmia_rx_fixup() nieprawidłowo oblicza długość pakietu USB, co może prowadzić do odczytu poza przydzielonym buforem o rozmiarze 14000 bajtów.

W sterowniku USB cdnsp w jądrze Linuxa występuje wyciek pamięci przy alokacji strumieni. Funkcja cdnsp_alloc_stream_info() nie zwalnia tablicy kontekstów strumieni (stream_ctx_array) w przypadku błędu alokacji pierścienia strumienia.

W sterowniku USB dwc3 w jądrze Linuxa występuje błąd w wywołaniach funkcji dwc3_readl() i dwc3_writel() w kodzie dwc3_ulpi_setup(). Funkcje te są wywoływane z nieprawidłowym argumentem (dwc3->regs zamiast struktury dwc3), co może prowadzić do błędów dostępu do pamięci.

W sterownikach USB EHCI i FOTG210 w jądrze Linuxa występuje wyciek pamięci przy nieudanym przesyłaniu izochronicznym. Gdy przesyłanie nie powiedzie się przed podłączeniem URB do kolejki, zaplanowana struktura (ehci_iso_sched) pozostaje w urb->hcpriv i nie jest zwalniana.

W sterowniku USB gadget composite w jądrze Linuxa występuje podatność na odczyt poza zakresem w obsłudze deskryptora USB_DT_OTG. Funkcja list_first_entry() nigdy nie zwraca NULL, więc sprawdzenie if (!config) jest martwe, co prowadzi do odczytu z nieprawidłowego adresu, gdy lista konfiguracji jest pusta.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w mechanizmie USB gadget. Problem występuje, gdy funkcja gadget_match_driver() uzyskuje dostęp do już zwolnionej pamięci struktury udc, co może prowadzić do dereferencji wskaźnika NULL i awarii systemu.

W sterowniku USB gadget f_printer w jądrze Linuxa występuje wyciek referencji. Funkcja printer_open() zwiększa licznik referencji (kref) nawet w przypadku błędu -EBUSY, gdy urządzenie jest już otwarte, ale VFS nie wywołuje release() dla nieudanego otwarcia.

W sterowniku USB idmouse w jądrze Linuxa występuje podatność use-after-free na wyścig podczas rozłączania. Funkcja mutex_unlock() może uzyskać dostęp do struktury mutex po zwolnieniu blokady, co prowadzi do użycia po zwolnieniu, gdy release() ściga się z disconnect().

W sterowniku USB ldusb w jądrze Linuxa występuje podatność use-after-free na wyścig podczas rozłączania. Funkcja mutex_unlock() może uzyskać dostęp do struktury mutex po zwolnieniu blokady, co prowadzi do użycia po zwolnieniu, gdy release() ściga się z disconnect().

W jądrze Linux w sterowniku USB iowarrior występuje podatność use-after-free podczas odłączania urządzenia. Zgłoszone zapytania write URB nie są zatrzymywane przy zamknięciu, co wymusza ich zatrzymanie podczas odłączania, aby uniknąć dostępu do zwolnionej pamięci w procedurze obsługi zakończenia.

W jądrze Linux w sterowniku USB iowarrior występuje podatność use-after-free podczas wyścigu odłączania. Funkcja mutex_unlock() może uzyskać dostęp do struktury mutex po zwolnieniu blokady, co uniemożliwia zarządzanie czasem życia obiektów. Zastosowano kref do zwalniania danych sterownika, aby uniknąć use-after-free w mutex_unlock() podczas wyścigu release() z disconnect().

W jądrze Linux w sterowniku USB legousbtower występuje podatność use-after-free podczas wyścigu odłączania. Funkcja mutex_unlock() może uzyskać dostęp do struktury mutex po zwolnieniu blokady, co uniemożliwia zarządzanie czasem życia obiektów. Zastosowano kref do zwalniania danych sterownika, aby uniknąć use-after-free w mutex_unlock() podczas wyścigu release() z disconnect().

W jądrze Linuxa w sterowniku usbio (usb: misc) wykryto podatność polegającą na odczycie poza zakresem bufora. Funkcja usbio_bulk_msg() kopiuje dane o długości kontrolowanej przez urządzenie, ale sprawdza ją tylko względem bufora nadawczego (txbuf), a nie odbiorczego (rxbuf). Złośliwe urządzenie USB może wykorzystać tę różnicę do ujawnienia pamięci jądra.

W jądrze Linux w sterowniku USB misc uss720 występuje podatność polegająca na niezarejestrowaniu portu równoległego po niepowodzeniu funkcji probe. Funkcja uss720_probe() rejestruje port przed odczytem rejestru 1284, a w przypadku błędu get_1284_register() nie wycofuje rejestracji, co prowadzi do wycieku zasobów i potencjalnego użycia zwolnionego wskaźnika.

W jądrze Linux w sterowniku USB mtu3 występuje podatność polegająca na nieodmapowaniu DMA żądania po niepowodzeniu kolejki. Funkcja mtu3_gadget_queue() mapuje żądanie przed sprawdzeniem, czy pierścień QMU GPD może przyjąć transfer, a w przypadku błędu mtu3_prepare_transfer() żądanie jest zwracane z -EAGAIN bez odmapowania DMA, co pozostawia mapowanie DMA aktywne.

W jądrze Linux w sterowniku USB serial keyspan_pda występuje podatność wycieku informacji. Funkcja write() powinna zwracać liczbę zaakceptowanych znaków, ale implementacja keyspan_pda zwraca liczbę przesłanych znaków, jeśli URB write nie jest używany. Jeśli ta liczba jest większa niż liczba przekazanych znaków, dyscyplina linii kontynuuje zapis danych spoza bufora tty, co prowadzi do wycieku informacji.

W jądrze Linux w sterowniku USB serial digi_acceleport występuje podatność polegająca na przerwaniu odbioru po throttlingu. Jeśli port jest zamknięty podczas throttlingu, URB odczytu nie jest ponownie przesyłany, a port nie otrzymuje dalszych danych aż do ponownego podłączenia urządzenia. Poprawka polega na wyczyszczeniu flag throttlingu i przesłaniu URB przy otwieraniu portu.

W jądrze Linux w sterowniku USB serial digi_acceleport występuje podatność twardego zawieszenia (hard lockup) podczas odłączania. Jeśli przesyłanie URB write OOB nie powiedzie się (np. podczas odłączania urządzenia), sterownik zapętla się w nieskończoność z wyłączonymi przerwaniami. Poprawka dodaje sprawdzanie błędów przesyłania URB podczas wysyłania komend OOB.

W jądrze Linux w sterowniku USB serial digi_acceleport występuje podatność uszkodzenia bufora zapisu. Funkcja digi_write_inb_command() powinna czekać na dostępność URB write lub zwrócić błąd, ale w przypadku timeoutu aktualizuje bufor transferu i próbuje ponownie przesłać URB. Dodatkowo, dla komend bez timeoutu, uszkodzenie następuje natychmiast z powodu błędnego porównania jiffies. Poprawka dodaje brakujący return przy timeoutcie i czeka w nieskończoność, gdy nie określono timeoutu.

W jądrze Linux stwierdzono wyciek pamięci w sterowniku USB ULPI podczas nieudanej rejestracji urządzenia. Alokowana nazwa urządzenia nie jest zwalniana, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku usbip vudc występuje błąd dereferencji wskaźnika NULL w funkcji vep_dequeue(). Pole vrequest->udc nie jest inicjalizowane, co powoduje awarię przy anulowaniu żądań AIO FunctionFS.

W jądrze Linux w sterowniku USB Type-C TCPM brakuje walidacji indeksu SVID w funkcji svdm_consume_modes(). Nieprawidłowy indeks może prowadzić do odczytu poza zakresem tablicy i rejestracji fałszywego SVID.

W jądrze Linux w sterowniku USB Type-C UCSI CCG występuje błąd use-after-free podczas usuwania urządzenia. Obsługa przerwania może uzyskać dostęp do już zwolnionej struktury ucsi.

W jądrze Linux w sterowniku USB gadget f_fs występuje wyciek obiektów DMA fence. Podwójna referencja do dma_fence nie jest prawidłowo zarządzana, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku USB gadget f_fs pole epfile->in jest inicjalizowane zbyt późno, co powoduje błędne określenie kierunku DMA dla wczesnych wywołań ioctl.

W jądrze Linux w funkcji bdev_mark_dead() brakuje warunku pomijającego sync_blockdev() przy niespodziewanym usunięciu urządzenia. Może to prowadzić do zawieszenia systemu podczas oczekiwania na zapis.

W jądrze Linux w sterownikach WiFi mt7921 i mt7925 występuje dereferencja wskaźnika NULL w funkcjach obsługi beaconów CSA. Po rozłączeniu stacji wskaźnik new_ctx może być NULL.

W jądrze Linux w systemie plików UDF brakuje walidacji zakresu bloków w funkcji udf_free_blocks(). Możliwe jest wyjście poza tablicę bitmapy przestrzeni, prowadzące do paniki jądra.