Podatności Linux kernel

W sterowniku mms114 w jądrze Linuxa występuje podatność na zapis poza zakresem stosu. Sterownik nie sprawdza górnego limitu rozmiaru pakietu pochodzącego z urządzenia, co pozwala na odczyt do 255 bajtów do stałego bufora o rozmiarze 80 bajtów, powodując przepełnienie stosu.

W systemie plików FUSE w jądrze Linuxa występuje podatność na zawijanie licznika w 32-bitowym mnożeniu podczas walidacji długości ładunku powiadomienia PRUNE. Kontrolowane przez demona mnożenie count * sizeof(u64) może się zawinąć, omijając sprawdzenie i prowadząc do odczytu poza zakresem.

W jądrze Linux w systemie plików FUSE występuje podatność use-after-free. Funkcja fuse_ref_folio() odblokowuje żądanie, ale nie blokuje go ponownie przed zwróceniem, co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w systemie plików FUSE występuje podatność use-after-free. Funkcje fuse_resend() i fuse_remove_pending_req() nie usuwają wpisu intr_entry z listy fiq->interrupts, co prowadzi do użycia zwolnionej pamięci podczas iteracji.

W jądrze Linux w podsystemie fuse-uring występuje podatność polegająca na nadpisywaniu błędu EFAULT. Funkcja fuse_uring_commit() po błędzie copy_from_user() ustawia err na dodatnią resztę, co powoduje, że fuse_uring_req_end() nadpisuje -EFAULT dodatnią wartością, maskując błąd.

W jądrze Linux w podsystemie fuse-uring występuje podatność prowadząca do wyłuskania wskaźnika NULL. Funkcja fuse_uring_cancel() przenosi anulowane wpisy na listę ent_in_userspace, a ent_list_request_expired() dereferencjonuje ent->fuse_req bez sprawdzenia, co powoduje crash.

W jądrze Linux w podsystemie FUSE-uring wykryto błąd, w którym anulowanie zadania przez io_uring (np. przy zakończeniu wątku) nie kończy poprawnie żądania FUSE. Powoduje to blokadę wątku wywołującego w stanie D oraz zawyżanie licznika tła, co może zatrzymać wszystkie późniejsze operacje FUSE.

W jądrze Linux w podsystemie fuse-uring występuje podatność use-after-free. Funkcja fuse_uring_async_stop_queues() może zostać uruchomiona po zwolnieniu ostatniego odniesienia do ring->queue_refs.

W jądrze Linux w podsystemie fuse-uring występuje podatność wyścigu (race condition) dotycząca flagi queue->stopped. Funkcja fuse_uring_commit_fetch() sprawdza queue->stopped bez blokady, a wartość nie jest ustawiana pod blokadą w fuse_uring_abort_end_requests().

W jądrze Linux w podsystemie fuse-uring występuje podatność use-after-free. Złośliwy użytkownik może wysłać SQE commit dla żądań, które nie zostały jeszcze wysłane do serwera FUSE, co może prowadzić do użycia zwolnionej pamięci podczas operacji memcpy.

W jądrze Linux w podsystemie fuse-uring występuje podatność prowadząca do wyłuskania wskaźnika NULL. Jeśli kopiowanie do pierścienia użytkownika się nie powiedzie, wpis pozostaje na liście ent_w_req_queue z ent->fuse_req ustawionym na NULL, co może spowodować crash przy skanowaniu listy.

W jądrze Linux w systemie plików XFS wykryto podatność polegającą na zawijaniu się identyfikatorów przydziałów (quota IDs) podczas iteracji. Gdy identyfikator osiągnie maksymalną wartość (XFS_DQ_ID_MAX), dodawanie powoduje jego wyzerowanie i rozpoczęcie iteracji od nowa, co może prowadzić do nieprawidłowego działania mechanizmu przydziałów.

W jądrze Linux w sterowniku iwlwifi (WiFi) trzy procedury obsługi sesji BA (Block Ack) używały ffs(ba_data->sta_mask) - 1 do wyznaczenia ID stacji bez sprawdzenia, czy sta_mask jest niezerowe. Gdy sta_mask jest zerowe, ffs() zwraca 0, a odejmowanie daje 0xFFFFFFFF, co prowadzi do odczytu poza zakresem tablicy fw_id_to_link_sta[]. Dodano zabezpieczenie WARN_ON_ONCE(!ba_data->sta_mask) przed każdym wywołaniem ffs().

W jądrze Linux w sterowniku NTB (Non-Transparent Bridge) dla EPF (Endpoint Function) podczas zwalniania zasobów, gdy BAR_PEER_SPAD i BAR_CONFIG współdzielą jeden BAR PCI, wywoływano pci_iounmap() z offsetem na tym samym obszarze iomem, co jest niepotrzebne i wyzwala ostrzeżenie jądra. Poprawka polega na wywoływaniu pci_iounmap() tylko gdy BAR-y są różne.

W jądrze Linux w funkcji copy_process() brakowało wyczyszczenia flagi PF_BLOCK_TS podczas kopiowania procesu. Flaga ta jest ustawiana tylko gdy current->plug jest niepusty, a copy_process() dziedziczy ją z rodzica, ale resetuje plug dziecka na NULL, co narusza niezmiennik. Poprawka dodaje wyczyszczenie PF_BLOCK_TS przy zerowaniu plug.

W jądrze Linux dla architektury MIPS DEC wykryto podatność, w której bufor używany przez początkowy handler konsoli może zostać umieszczony w segmencie pamięci XKPHYS (64-bitowym). Powoduje to obcięcie adresu przez 32-bitowe oprogramowanie układowe, prowadząc do dostępu do nieprawidłowej lokalizacji pamięci i awarii jądra.

W jądrze Linux w podsystemie pwrseq wykryto błąd use-after-free w funkcji pwrseq_debugfs_seq_next(). Problem wynika z nieprawidłowego zarządzania licznikiem referencji urządzenia, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linux dla architektury LoongArch odkryto podatność polegającą na braku informowania mechanizmu RCU o wyłączeniu procesora w funkcji stop_this_cpu(). Powoduje to, że RCU oczekuje na stan spoczynku od procesorów, które są już wyłączone i kręcą się w nieskończoność z wyłączonymi przerwaniami, co może doprowadzić do zawieszenia systemu podczas restartu lub wyłączania.

W jądrze Linux w podsystemie FPGA region wykryto błąd use-after-free w funkcji child_regions_with_firmware(). Wywołanie of_node_put(child_region) przed komunikatem błędu powoduje dostęp do zwolnionej pamięci.

W jądrze Linux wykryto podatność w MIPS, gdzie funkcja stop_this_cpu() wyłącza CPU dla schedulera, ale nie informuje RCU. Powoduje to blokowanie procesu ponownego uruchamiania systemu, ponieważ RCO oczekuje na stan spoczynku od wyłączonych CPU, które kręcą się w nieskończoność z wyłączonymi przerwaniami.

W jądrze Linux w module KVM dla architektury x86 podczas obsługi Hyper-V wykryto podatność na odczyt poza zakresem pamięci. Funkcja sprawdzająca obecność identyfikatora procesora wirtualnego w zestawie banków rzadkich nie weryfikuje, czy indeks banku mieści się w dozwolonym limicie (maksymalnie 64 banki po 64 vCPU). Atakujący gość Hyper-V może wykorzystać tę lukę do odczytu pamięci jądra.

W jądrze Linux w sterowniku linkstation-poweroff wykryto błąd use-after-free w funkcji linkstation_poweroff_init(). Wywołanie of_node_put(dn) przed of_match_node() powoduje dostęp do zwolnionej pamięci.

W jądrze Linux w podsystemie fbdev (framebuffer) wykryto błąd use-after-free w funkcji fb_find_mode(). Zmienna mode_option_buf jest zwalniana przed zakończeniem jej użycia przez alias name, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w sterowniku pamięci (drivers/base/memory) wykryto błąd, w którym mem->altmap jest ustawiane przed pomyślną rejestracją urządzenia. W przypadku błędu xa_store() wywoływane jest device_unregister(), które uruchamia memory_block_release() z ustawionym altmap, powodując ostrzeżenie WARN_ON.

W jądrze Linux w sterowniku ASoC codec simple-mux wykryto błąd w sprawdzaniu zakresu wartości w funkcji simple_mux_control_put(). Funkcja akceptuje wartości równe e->items, podczas gdy wartości enum są indeksowane od zera, co pozwala na zapisanie nieprawidłowego stanu multipleksera.

W jądrze Linux w sterowniku USB gadget net2280 wykryto podwójne zwolnienie pamięci w ścieżce błędu funkcji probe. Po wywołaniu net2280_remove() i usb_put_gadget(), następowało jawne wywołanie kfree(dev), co prowadziło do podwójnego zwolnienia tej samej struktury.

W jądrze Linux w sterowniku GPIO rockchip wykryto wiele problemów: wyciek referencji zegara debounce, nieodłączenie łańcuchowego handlera IRQ oraz wyciek domeny IRQ. Te błędy mogą prowadzić do paniki jądra i wycieków zasobów.

W jądrze Linux w sterowniku media rc igorplugusb wykryto podatność polegającą na nieprawidłowym przekazaniu pakietu konfiguracyjnego do usb_fill_control_urb(). Sterownik przekazywał wskaźnik do pola ir->request zamiast do zaalokowanej struktury usb_ctrlrequest, co prowadziło do błędnego kierunku sterowania.

W jądrze Linux w podsystemie DAMON sysfs wykryto podatność na użycie po zwolnieniu (use-after-free) podczas odświeżania katalogów regionów próbkowanych. Opóźnione wywołanie zwrotne usuwania obiektu kobj może prowadzić do naruszenia listy połączonej i wycieku pamięci.

W jądrze Linux w sterowniku gpio:shared wykryto zakleszczenie (deadlock) podczas usuwania rodzica proxy. Problem powstał przez zbyt szeroką sekcję krytyczną mutexu, która blokowała dostęp do pola offset.

W sterowniku elan_i2c dla paneli dotykowych Elan w jądrze Linux brakowało walidacji rozmiaru pliku firmware przed jego użyciem. Może to prowadzić do odczytu poza zakresem pamięci.

W sterowniku i2c:davinci w jądrze Linux brak właściwości 'clock-frequency' w drzewie urządzeń powodował dzielenie przez zero. Wartość domyślna była zdefiniowana w kHz, a oczekiwano Hz, co prowadziło do paniki jądra.

W jądrze Linux wykryto błąd w mechanizmie dynamicznych trampolin ftrace na architekturze x86. Gdy włączone jest śledzenie głębokości wywołań (CALL_DEPTH_TRACKING) na platformach podatnych na retbleed, rejestracja dynamicznej trampoliny powoduje błąd strony (page fault) i panikę jądra przy pierwszym wywołaniu śledzonej funkcji. Problem wynika z nieprawidłowego przeliczania adresów względnych %rip dla zmiennych per-CPU po skopiowaniu kodu z ftrace_regs_caller.

W sterowniku pch_uart dla portów szeregowych w jądrze Linux brakowało sprawdzenia wyniku funkcji dma_alloc_coherent(). Nieudana alokacja może prowadzić do dereferencji pustego wskaźnika.

W jądrze Linux w sterowniku USB gadget UVC wykryto podatność polegającą na braku synchronizacji dostępu do listy rozszerzeń (extension_units) podczas wiązania funkcji. Funkcja uvc_function_bind() przegląda listę bez trzymania zamka opts->lock, co może prowadzić do wyścigu z operacjami configfs i użycia po zwolnieniu pamięci.

W jądrze Linux w sterowniku DRM MSM DSI występuje podatność polegająca na odczycie pamięci poza mapowanym obszarem. Podczas zrzutu stanu (snapshot) używany jest rozmiar nieuwzględniający przesunięcia (io_offset), co może prowadzić do dostępu do niezmapowanej pamięci.

W regulatorze napięcia tps65219 w jądrze Linux brakuje przypisania pola irq_data.rdev, co prowadzi do niezdefiniowanego zachowania przy wywołaniu regulator_notifier_call_chain() z obsługi przerwań. Może to skutkować błędem Oops.

W systemie Linux wykryto podatność w mechanizmie unieważniania TLB na architekturze x86. Gdy jądro uruchomiono z parametrem 'nopcid', wyłączającym obsługę identyfikatorów kontekstu procesora (PCID), nadal możliwe jest użycie rozgłoszeniowego unieważniania TLB (INVLPGB) z niezerowym PCID, co prowadzi do błędu ochrony ogólnej (#GP) i awarii systemu.

W jądrze Linux w narzędziu ethtool dla PHY występuje podatność na wyłuskanie wskaźnika NULL, gdy sterownik PHY zostanie odwiązany (unbind) przez sysfs. Funkcja phy_remove() czyści wskaźnik drv, ale nie odłącza urządzenia, co prowadzi do błędu przy próbie odczytu nazwy sterownika.

W jądrze Linux w sterownikach platformowych ACPI brakuje sprawdzenia, czy obiekt ACPI_COMPANION() nie jest NULL przed jego użyciem. Ponieważ każdy sterownik platformowy może być wymuszony do dopasowania urządzenia bez ACPI, brak sprawdzenia może prowadzić do błędów.

W jądrze Linux w schedulerze sched_ext występuje podatność use-after-free (UAF) w funkcji scx_root_enable_workfn(). Funkcja put_task_struct() jest wywoływana przed scx_error(), która dereferencjonuje p->comm i p->pid, co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w sterowniku octeontx2-af CGX brakuje sprawdzenia zakresu indeksu tablicy cgx_speed_mbps. Funkcja RESP_LINKSTAT_SPEED może zwracać wartości 0-15, podczas gdy tablica ma tylko 13 elementów, co prowadzi do odczytu poza zakresem.

W jądrze Linux w sterowniku octeontx2-pf występuje podwójne zwolnienie pamięci (double free) w funkcji rvu_rep_rsrc_init(). Gdy inicjalizacja zasobów sprzętowych się nie powiedzie, funkcja otx2_init_hw_resources() już cofa częściowo zainicjalizowane zasoby, a następnie ścieżka błędu ponownie wywołuje otx2_free_hw_resources(), co prowadzi do podwójnego zwolnienia.

W jądrze Linux w podsystemie mac80211 wykryto podatność polegającą na odczycie poza zakresem podczas parsowania negocjowanych map TTLM. Błąd występuje, gdy parser przesuwa kursor dla każdego TID, nawet jeśli nie ma on mapy, co może prowadzić do odczytu poza zatwierdzonym elementem.

W sterowniku octeontx2-pf jądra Linux wykryto podwójne zwolnienie pamięci pool->stack w przypadku niepowodzenia inicjalizacji AQ. Funkcja otx2_pool_aq_init() zwalnia pamięć, ale nie zeruje wskaźnika, co prowadzi do ponownego zwolnienia w ścieżce czyszczenia.

W sterowniku SPI ti-qspi jądra Linux wykryto podatność use-after-free po niepowodzeniu konfiguracji DMA. Sterownik przechodzi w tryb PIO, ale nie czyści wskaźnika kanału DMA, co może prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w podsystemie device property wykryto podatność polegającą na niezainicjalizowanym wskaźniku secondary w strukturze fwnode. Jeśli węzeł jest inicjalizowany przez fwnode_init() bez zerowania pamięci, wskaźnik może zawierać śmieci, co prowadzi do dereferencji.

W sterowniku graficznym AMD Display (drm/amd/display) jądra Linux wykryto podatność na przepełnienie bufora stosu w funkcji dc_process_dmub_aux_transfer_async. Funkcja kopiuje dane do 16-bajtowego bufora bez sprawdzania długości, a także używa link_index bez walidacji zakresu.

W module batman-adv jądra Linux wykryto podatność na wyciek pracy (work leak) podczas czyszczenia wpisów backbone_gw. Funkcja batadv_bla_purge_backbone_gw() nie czeka na zakończenie lub anulowanie report_work przed zwolnieniem pamięci, co może prowadzić do use-after-free.

W jądrze Linux w podsystemie netfs wykryto podatność na przepełnienie w funkcji netfs_extract_user_iter(). Jeśli iov_iter_extract_pages() wypełni tablicę pages[] ponad limit, nadmiarowe strony mogą zostać uwzględnione w konstruowanym iteratorze, prowadząc do uszkodzenia pamięci.