Podatności Linux kernel

W jądrze Linux stwierdzono podatność w podsystemie iommupt, polegającą na braku sprawdzenia obecności rozmiaru strony (PAGE_SIZE) w bitmapie pgsize_bitmap. Sterownik może usunąć PAGE_SIZE z bitmapy, co jest technicznie dozwolone, ale niezgodne z założeniami projektowymi i może prowadzić do problemów z interfejsem DMA API.

W jądrze Linux usunięto błędną walidację w funkcji dma_map_resource(), która używała pfn_valid() do sprawdzania, czy zakres nie jest pamięcią RAM. Na ARM64 z SPARSEMEM adresy MMIO współdzielące sekcję z RAM fałszywie wywoływały WARN_ON_ONCE i zwracały błąd, co powodowało problemy na Raspberry Pi 4 podczas inicjalizacji sterownika SPI.

W jądrze Linux w sterowniku pds_core naprawiono dwa błędy w funkcji pdsc_devcmd_wait: awaria firmware'u powodowała zwracanie nieaktualnego sukcesu zamiast błędu, a przekroczenie czasu oczekiwania nadpisywało kod błędu nieaktualnym statusem.

W jądrze Linux w sterowniku pds_core wykryto wyciek referencji dentry oraz błędną obsługę błędów w funkcji debugfs_lookup(). debugfs_lookup() zwraca dentry z podniesionym licznikiem referencji, który musi być zwolniony przez dput(). Kod nie wywołuje dput(), powodując wyciek przy każdym odzyskiwaniu po resecie firmware. Dodatkowo, gdy CONFIG_DEBUG_FS jest wyłączone, debugfs_lookup() zwraca ERR_PTR(-ENODEV), a nie NULL, co przy błędnym sprawdzeniu prowadzi do wywołania dput() na nieprawidłowym wskaźniku i awarii systemu.

W jądrze Linux w systemie plików EROFS wykryto wyciek bufora meta podczas inicjalizacji atrybutów rozszerzonych inode. Błąd powoduje, że w niektórych ścieżkach błędów po odczycie bufora meta nie jest on zwalniany, co prowadzi do wycieku referencji do folio.

W sterowniku wilc1000 dla układów WiFi wykryto wyciek pamięci. Funkcja wilc_wlan_firmware_download() alokuje bufor dma_buffer, ale w przypadku błędu podczas pierwszej próby przejęcia magistrali (acquire_bus) zwraca błąd bez zwolnienia tego bufora, co prowadzi do wycieku pamięci.

W sterowniku Bluetooth btmtk jądra Linux stwierdzono wyciek pamięci w przypadku niepowodzenia wysłania lub zabicia urb. Setup_packet kontrolnego urb nie jest zwalniany w ścieżkach błędów, co prowadzi do wycieku pamięci.

W jądrze Linux stwierdzono podatność w sterowniku uniwill-laptop, która może prowadzić do trwałego uszkodzenia baterii w starszych modelach (~2020) przy włączaniu limitu ładowania nawet przez parametr 'force'. Problem został rozwiązany poprzez zablokowanie możliwości wymuszenia tej funkcji.

W jądrze Linux w systemie plików ksmbd wykryto podatność na dereferencję pustego wskaźnika w funkcji compare_guid_key(). Podczas zamykania sesji trwałego uchwytu (durable handle) funkcja session_fd_check() zeruje wskaźnik conn w strukturze opinfo, ale nie usuwa opinfo z listy dzierżaw (lease_list). Przy ponownym nawiązaniu sesji z tym samym ClientGuid i wysłaniu żądania SMB2 CREATE z kontekstem dzierżawy, funkcja find_same_lease_key() przetwarza nieaktualne opinfo, a compare_guid_key() próbuje odczytać ClientGUID przez pusty wskaźnik conn, co prowadzi do paniki jądra.

W jądrze Linux w systemie plików ksmbd wykryto podatność polegającą na dereferencji wskaźnika null w funkcji proc_show_files(). Gdy klient SMB2 otworzy plik z trwałym uchwytem v2, a następnie wyśle SMB2 SESSION_LOGOFF, wskaźnik fp->tcon jest zerowany, ale wpis pozostaje w global_ft.idr. Odczyt pliku /proc/fs/ksmbd/files w tym oknie czasowym powoduje panikę jądra.

W jądrze Linux w module ksmbd wykryto wyciek pamięci struktury smb_sid w funkcji set_posix_acl_entries_dacl(). Gdy liczba wpisów ACL przekroczy limit rozmiaru DACL (65535 bajtów), nowo dodane zabezpieczenie check_add_overflow() przerywa pętlę, ale pomija zwolnienie zaalokowanej wcześniej pamięci, powodując wyciek.

W jądrze Linuxa wykryto podatność w module ksmbd, polegającą na braku walidacji identyfikatorów SID (Owner i Group) w deskryptorze zabezpieczeń katalogu nadrzędnego podczas dziedziczenia list ACL. Luka może umożliwić atakującemu manipulację uprawnieniami dostępu do plików.

W jądrze Linuxa stwierdzono podatność w implementacji CIFS SWN netlink. Brak flag uprawnień dla operacji generycznego netlinka pozwala każdemu lokalnemu procesowi na wysyłanie powiadomień RESOURCE_CHANGE lub CLIENT_MOVE do wewnątrzjądrowego handlera witness. Dodatkowo, brak zabezpieczeń grupy multicastowej umożliwia nieuprzywilejowanym procesom dołączanie do niej i odbieranie wiadomości rejestracyjnych zawierających nazwę użytkownika, domenę i hasło dla montowań NTLM.

W sterowniku pmbus/adm1266 jądra Linux wykryto podatność na przepełnienie bufora stosu. Funkcja adm1266_nvmem_read_blackbox() używa 5-bajtowego bufora lokalnego do odczytu danych blokowych przez i2c_smbus_read_block_data(), która nie sprawdza rozmiaru bufora i kopiuje do 32 bajtów, co może prowadzić do przepełnienia stosu.

W jądrze Linuxa wykryto podatność w podsystemie ALSA PCM, gdzie przy przejściu na iov_iter dla transferu danych PCM, błędnie stosowano konfigurację iov_iter również dla wyciszania (gdy dane są NULL). Prowadzi to do wyliczenia fałszywego iov_iter, co na architekturze RISC-V powoduje dereferencję wskaźnika NULL.

W jądrze Linux w sterowniku ALSA asihpi wykryto podatność na odczyt poza zakresem tablicy (OOB) podczas odczytu pamięci podręcznej. Funkcja find_control() uzyskuje dostęp do tablicy bez sprawdzania poprawności indeksu, co może prowadzić do naruszenia pamięci.

W jądrze Linux wykryto błąd w funkcji unmap_page_range, który powodował fałszywe ostrzeżenie podczas odmapowywania stron urządzeń prywatnych/wyłącznych. Problem wynikał z błędnego założenia, że strony anonimowe (folio_test_anon) zawsze należą do anonimowych VMA (vma_is_anonymous), co nie jest prawdą w przypadku prywatnych mapowań plikowych.

W jądrze Linux wykryto podatność w mechanizmie inicjalizacji tagów pamięci dla ogromnej strony zerowej (huge zero folio). Gdy włączona jest opcja init_on_free, tagi pamięci nie są zerowane, co prowadzi do wycieku danych z poprzednich alokacji. Problem dotyczy architektury ARM64 z rozszerzeniem Memory Tagging Extension (MTE).

W jądrze Linux wykryto podatność w mechanizmie migracji pamięci (mm/migrate_device). Gdy funkcja check_stable_address_space() zawiedzie po przejęciu blokady spinlock PMD, kod przeskakuje do etykiety abort, pomijając zwolnienie blokady, co prowadzi do trwałego zablokowania (deadlock).

W jądrze Linux wykryto podatność w stosie Bluetooth ISO, gdzie ramki ISO_END wysłane bez wcześniejszej ramki ISO_START powodują dereferencję wskaźnika NULL. Atakujący w zasięgu radiowym może doprowadzić do zawieszenia systemu (oops) poprzez wysłanie spreparowanych pakietów.

W jądrze Linux w podsystemie Bluetooth L2CAP wykryto podatność polegającą na nieprawidłowym przekazywaniu wskaźnika stosu zamiast spakowanej struktury PDU w funkcji ecred_reconfigure. Powoduje to wyciek adresu jądra do sparowanego urządzenia Bluetooth oraz uniemożliwia poprawne działanie funkcji L2CAP_ECRED_RECONFIGURE.

W jądrze Linux wykryto podatność w module Bluetooth MGMT, gdzie operacja MGMT_OP_ADD_EXT_ADV_DATA nie sprawdzała, czy długość danych reklamowych mieści się w granicach przesyłanego polecenia. Atakujący z uprawnieniami CAP_NET_ADMIN może wykorzystać krótkie polecenie do odczytu poza dozwolonym buforem, co prowadzi do wycieku danych lub awarii systemu.

W jądrze Linux stwierdzono podatność w mechanizmie net:devmem, polegającą na braku walidacji wyrównania do strony rozmiaru bufora dma-buf oraz długości segmentów SG. Niezgodność ta może prowadzić do odczytu poza zakresem tablicy tx_vec podczas operacji sendmsg() oraz do desynchronizacji licznika num_niovs z regionem gen_pool, co wpływa zarówno na ścieżkę RX, jak i TX.

W jądrze Linux wykryto podatność w module HSR (High-availability Seamless Redundancy). Funkcje operacji generycznych-netlink, które działają pod osłoną rcu_read_lock(), mogą uzyskać dostęp do zwolnionej pamięci (use-after-free) podczas usuwania interfejsu HSR (RTM_DELLINK), ponieważ lista węzłów jest usuwana za pomocą zwykłego list_del() i natychmiast zwalniana, podczas gdy czytelnicy RCU mogą nadal trzymać wskaźniki do tych węzłów.

W sterowniku IFB jądra Linux wykryto podatność polegającą na odczycie poza zakresem pamięci (slab-out-of-bounds) podczas raportowania statystyk ethtool. Problem występuje, gdy liczba kolejek RX przekracza liczbę kolejek TX, co prowadzi do indeksowania poza zaalokowaną pamięcią i potencjalnego wycieku danych.

W jądrze Linux wykryto podatność polegającą na braku sprawdzania wyniku funkcji kstrdup() w phy_prepare_data(). Nieudana alokacja pamięci dla łańcucha 'name' prowadzi do dereferencji wskaźnika NULL w phy_reply_size() podczas wywołania strlen(), co powoduje panikę jądra.

W jądrze Linux w module L2TP wykryto podatność polegającą na użyciu list_del_init() zamiast list_del_rcu() podczas usuwania sesji z listy. Nieuprawniony użytkownik lokalny może zablokować rdzeń procesora na czas nieokreślony, wywołując jednocześnie operacje GET, CREATE i DELETE na sesji L2TP.

W jądrze Linux w sterowniku qed wykryto podwójne zwolnienie pamięci w funkcji qed_cxt_tables_alloc(). Gdy alokacja bitmap CID dla PF lub VF nie powiedzie się, funkcja qed_cid_map_alloc() zwalnia już zaalokowane bitmapy, a następnie qed_cxt_tables_alloc() wywołuje qed_cxt_mngr_free(), która ponownie je zwalnia. Problem został rozwiązany przez ustawienie wskaźników bitmap na NULL po ich zwolnieniu.

W jądrze Linux w podsystemie mac80211 wykryto podatność polegającą na użyciu pamięci po zwolnieniu (use-after-free) podczas przetwarzania ramek w sieci mesh. Problem występuje, gdy funkcja ieee80211_invoke_fast_rx() odczytuje status RX przez skb->cb, który jest następnie nadpisywany przez ieee80211_rx_mesh_data() danymi TX, co prowadzi do dostępu do zwolnionej lub wyzerowanej pamięci.

W jądrze Linuxa w funkcji ipv6_hop_ioam() brakowało sprawdzenia wartości zwracanej przez __in6_dev_get(). Podczas zrywania interfejsu sieciowego wskaźnik może być NULL, co prowadzi do dereferencji pustego wskaźnika przy przetwarzaniu opcji IOAM Hop-by-Hop.

W jądrze Linuxa w sterowniku vsock/vmci wykryto podatność na użycie po zwolnieniu (UAF) podczas uzgadniania połączenia. Gdy zdalny host resetuje połączenie (RST) w trakcie uzgadniania, sterownik nieprawidłowo usuwa oczekujące gniazdo z listy, co prowadzi do podwójnego zwolnienia pamięci i dostępu do już zwolnionego obiektu.

W jądrze Linux stwierdzono podatność w implementacji surowych gniazd IPv4 (raw socket). Funkcja raw_send_hdrinc() nie odrzuca pakietów z polem ihl (Internet Header Length) mniejszym niż 5, co pozwala na wysłanie nieprawidłowego nagłówka IP. Skutkuje to dostępem poza zakresem pamięci (OOB) w funkcji ah_output() i paniką jądra.

W jądrze Linux wykryto wyścig (race condition) w sterowniku RBD (Ceph RADOS Block Device) podczas odłączania obrazu. Funkcja lock_dwork może być ponownie zakolejkowana przez maybe_kick_acquire() po jej anulowaniu, co prowadzi do wykonania rbd_acquire_lock() po zwolnieniu zasobów, naruszając asercję o poprawnym formacie obrazu.

W jądrze Linux stwierdzono podatność w mechanizmie LSM (Linux Security Module). Funkcja lsm_set_self_attr() nie przechowuje mutexu cred_guard_mutex, co może pozwolić na nieautoryzowaną zmianę atrybutów bezpieczeństwa procesu, szczególnie w kontekście SELinux i AppArmor.

W jądrze Linux wykryto wyciek pamięci w sterowniku igc dla kart sieciowych Intel. Funkcja igc_fpe_xmit_smd_frame() nie zwalnia zaalokowanego bufora skb, gdy igc_fpe_init_tx_descriptor() zakończy się niepowodzeniem, co prowadzi do wycieku pamięci.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji unix_stream_data_wait() dla gniazd AF_UNIX. Problem wynika z braku synchronizacji przy odczycie wskaźnika do ostatniego pakietu (SKB) w kolejce odbiorczej, co może prowadzić do odwołania do zwolnionej pamięci. Luka występuje od wersji jądra 6.5.

W jądrze Linux w systemie plików CIFS wykryto błąd powodujący użycie zajętego obiektu dentry po odmontowaniu. Problem pojawia się, gdy opóźnione zamykanie pliku (cfile->deferred) wykonuje się po odmontowaniu, co wyzwala ostrzeżenie w generic_shutdown_super.

W sterowniku układu PCM512x w jądrze Linux wykryto błąd powodujący dereferencję pustego wskaźnika w funkcjach pcm512x_overclock_xxx_put(). Problem wynika z nieprawidłowego użycia makra snd_soc_dapm_kcontrol_to_dapm() dla kontrolera miksera ogólnego, które powinno być zastąpione przez snd_soc_component_to_dapm().

W jądrze Linux wykryto podatność w komponencie KVM dla architektury ARM64, dotyczącą zarządzania pamięcią wirtualnego kontrolera przerwań (vGIC). Gdy inicjalizacja vGIC dla wirtualnego procesora (vCPU) zakończy się niepowodzeniem po alokacji prywatnych przerwań (private_irqs), nie są one zwalniane, co prowadzi do wycieku pamięci. Brakuje wywołania kvm_vgic_vcpu_destroy() w ścieżce błędu funkcji kvm_vgic_vcpu_init().

W jądrze Linux w module sev-guest wykryto podatność polegającą na tym, że w przypadku niepowodzenia funkcji set_memory_{encrypted,decrypted}() strony pamięci pozostają w nieznanym stanie. Aby uniknąć potencjalnego wycieku poufnych danych, strony te nie są zwracane do alokatora, lecz jawnie wyciekane za pomocą snp_leak_pages().

W sterowniku ISCI dla jądra Linux wykryto podatność use-after-free podczas usuwania urządzenia. Zadanie (tasklet) obsługi zakończenia operacji nie jest zabijane przed zakończeniem pracy kontrolera, co pozwala na wyścig między przerwaniami a czyszczeniem pamięci. Po zwolnieniu struktury ihost, opóźnione zadanie może nadal odwoływać się do zwolnionej pamięci, prowadząc do awarii lub potencjalnego wykorzystania.

W jądrze Linuxa wykryto podatność w sterowniku pds fwctl, gdzie walidacja rozmiaru danych wejściowych RPC następuje po ich parsowaniu. Może to prowadzić do odczytu poza przydzielonym buforem, jeśli rozmiar wejściowy jest mniejszy niż oczekiwana struktura.

W jądrze Linux wykryto zakleszczenie w sterowniku MSM DRM podczas odśmiecania pamięci (shrinker). Proces kswapd, trzymając blokadę fs_reclaim, próbuje uzyskać blokadę reservation_ww_class_acquire, co prowadzi do cyklicznej zależności i potencjalnego zakleszczenia systemu.

W jądrze Linux w sterowniku DRM dla V3D wykryto podatność use-after-free na ścieżce błędu podczas obsługi zadań CPU. Po wywołaniu v3d_job_cleanup() zwalniana jest pamięć zadania, a następnie próba odczytu tablic znaczników czasu i wydajności prowadzi do naruszenia pamięci. Dodatkowo na wczesnej ścieżce błędu dochodzi do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku DRM dla VirtIO wykryto podatność polegającą na ignorowaniu wartości zwracanej przez funkcję blokującą rezerwację DMA (dma_resv_lock_interruptible). W przypadku przerwania sygnałem (-EINTR) lub braku pamięci (-ENOMEM) blokada nie jest przechwytywana, co prowadzi do wyścigu podczas dodawania ogrodzeń (fence) i może skutkować uszkodzeniem listy ogrodzeń.

W jądrze Linux w sterowniku graficznym AMD/Display wykryto podatność na odczyt poza dozwolonym obszarem pamięci. Funkcje parsujące tablicę pinów GPIO nie sprawdzały, czy deklarowany rozmiar struktury z VBIOS mieści się w dostępnym obrazie BIOS-u, co umożliwiało odczyt poza jego granicami.

W jądrze Linux w module batman-adv wykryto podatność use-after-free w funkcji batadv_mcast_purge_orig(). Funkcja usuwa wpisy z list hlist chronionych przez RCU, ale nie czeka na zakończenie okresu RCU przed zwróceniem wyniku, co pozwala równoczesnym czytelnikom RCU na dostęp do już zwolnionej pamięci.

W jądrze Linux w module batman-adv (BLA) wykryto podatność polegającą na podwójnym dekrementacji licznika bla.num_requests. Problem wynika z braku atomowości operacji na liczniku i fladze request_sent, co prowadzi do wyścigu (race condition) i nieprawidłowego stanu.

W jądrze Linuxa w module batman-adv (BLA) wykryto podatność polegającą na możliwości dereferencji wskaźnika NULL. Problem występuje, gdy interfejs sieciowy (hardif) zostanie odłączony od interfejsu mesh (meshif) podczas operacji na nim, bez odpowiedniego blokowania rtnl_lock. W rezultacie wskaźnik do meshif staje się NULL, a dalsze operacje (np. wysyłanie żądania ARP) prowadzą do błędu.

W jądrze Linux w module batman-adv (tp_meter) wykryto podatność polegającą na tym, że funkcja batadv_tp_sender_cleanup() używała niebezpiecznej kombinacji timer_delete_sync() i timer_delete() do zatrzymania timera. Może to prowadzić do ponownego uzbrojenia timera po jego wyczyszczeniu, co skutkuje użyciem po zwolnieniu (use-after-free).