Podatności Linux kernel

W jądrze Linuxa wykryto podatność w mechanizmie rxrpc, która powoduje uszkodzenie pamięci podręcznej stron (pagecache) podczas lokalnego przesyłania pakietów DATA za pomocą splice(). Problem został załatany poprzez kopiowanie danych do bufora tymczasowego przed deszyfrowaniem w funkcji recvmsg().

W jądrze Linuxa w sterowniku gpio: aggregator wykryto podatność na użycie po zwolnieniu (use-after-free). Podczas obsługi błędu najpierw zwalniano pole dev_id w strukturze aggr->lookups, a dopiero potem usuwano wpis z tablicy wyszukiwania. Umożliwiało to współbieżnemu wątkowi wywołanie gpiod_find() i dostęp do już zwolnionej pamięci przez strcmp().

W jądrze Linuxa wykryto wyciek dynamicznego węzła oprogramowania (software node) w sterowniku agregatora GPIO. Węzeł ten jest tworzony dla urządzenia platformowego agregatora podczas korzystania z configfs, ale nie jest niszczony podczas dezaktywacji urządzenia.

W sterowniku DRM xe w jądrze Linux wykryto wyciek referencji do kolejki exec (exec_queue) podczas otwierania strumienia OA. Gdy parametr width > 1, funkcja zwraca błąd bez zwolnienia referencji, co prowadzi do trwałego zablokowania zasobów.

W jądrze Linuxa wykryto wyciek alokacji dma_vec w sterowniku nvme-pci podczas korzystania z pamięci P2P. Alokacja nie była zwalniana po zakończeniu operacji, ponieważ pamięć P2P nie jest odwzorowywana.

W jądrze Linux wykryto wyciek mapowania DMA w sterowniku nvme-pci podczas obsługi błędów konfiguracji danych. Problem występuje, gdy nie uda się przydzielić deskryptora śledzącego dla PRP lub SGL, a także w przypadku wykrycia nieprawidłowego bio_vec podczas mapowania PRP.

W jądrze Linux wykryto podatność use-after-free w mechanizmie blk-mq. Problem występuje, gdy zadanie po pobraniu buforowanego żądania (cached request) zasypia przed jego faktycznym użyciem, co prowadzi do zwolnienia pamięci i potencjalnego wykorzystania przez atakującego.

W jądrze Linux wykryto podatność w mechanizmie wyszukiwania kluczy, gdzie funkcja find_key_to_update() wywołuje assoc_array_find() bez trzymania blokady RCU. Powoduje to problemy z bezpieczeństwem, szczególnie w przypadku trwałych kluczy, które używają innego modelu blokowania niż standardowe klucze.

W sterowniku usbtouchscreen jądra Linux wykryto podatność polegającą na braku walidacji długości danych pochodzących z urządzenia NEXIO. Atakujące urządzenie może podać zawyżone wartości w nagłówku pakietu, co prowadzi do odczytu poza przydzielonym buforem DMA (do 64 KiB) i potencjalnego wycieku pamięci jądra do przestrzeni użytkownika jako zdarzenia dotyku.

W jądrze Linux wykryto podatność w sterowniku ACPI Button. Podczas usuwania sterownika nie jest poprawnie usuwany handler powiadomień ACPI, co może prowadzić do wycieku zasobów i awarii jądra przy próbie ponownego załadowania sterownika.

W jądrze Linux wykryto podatność w harmonogramie sieciowym SFB, która może prowadzić do paniki jądra. Problem występuje, gdy SFB ma dzieci (np. QFQ) z funkcją peek() qdisc_peek_dequeued(), a nadrzędny harmonogram (np. TBF) wywołuje dequeue() zamiast użyć qdisc_dequeue_peeked(). Powoduje to dereferencję pustego wskaźnika.

W jądrze Linux wykryto podatność use-after-free w funkcji llcp_sock_release() stosu NFC LLCP. Problem występuje, gdy gniazdo w stanie nawiązywania połączenia jest usuwane z niewłaściwej listy, co może prowadzić do naruszenia pamięci.

W jądrze Linuxa wykryto podatność w stosie NFC LLCP, polegającą na wyścigu podczas przetwarzania pakietu potwierdzenia połączenia (CC). Może to prowadzić do użycia po zwolnieniu (use-after-free) gniazda, gdy operacja jest wykonywana współbieżnie z jego zamykaniem.

W jądrze Linux wykryto podatność w funkcji xfrm_state_mtu, która może prowadzić do zapisu poza zakresem (OOB) w komponencie ESP. Atakujący bez uprawnień może zainstalować tunel ESP IPv4 z dużym kluczem uwierzytelniania, małym MTU interfejsu i dużą wartością XFRMA_TFCPAD, powodując niedomiar arytmetyczny (underflow) i zapis ogromnej ilości zer do pamięci.

W sterowniku rocket w jądrze Linux wykryto podatność use-after-free (UAF) polegającą na pozostawieniu wiszącego uchwytu GEM po nieudanym utworzeniu obiektu bufora. Błąd występuje, gdy funkcja rocket_ioctl_create_bo() tworzy uchwyt GEM przed wykonaniem operacji, które mogą zakończyć się niepowodzeniem, a w przypadku błędu usuwa obiekt bez usunięcia uchwytu z IDR.

W jądrze Linux w podsystemie netfilter nf_tables wykryto podatność polegającą na uszkodzeniu danych docelowych (dst) podczas operacji przesunięcia bitowego (lshift/rshift) wykonywanej na tym samym rejestrze. Gdy źródło (src) i cel (dst) wskazują na tę samą lokalizację pamięci, wartość przeniesienia (carry) jest błędnie obliczana na podstawie już zmodyfikowanych danych, co prowadzi do nieprawidłowego wyniku operacji.

W jądrze Linux stwierdzono podatność w module SMC (Shared Memory Communications). Funkcja smc_init() niepotrzebnie i niebezpiecznie ponownie inicjalizuje tablice mieszające (hashtables) smc_v*_hashinfo.ht, co może prowadzić do uszkodzenia listy skrótów, gdy istnieją już aktywne wpisy.

W jądrze Linux wykryto podatność w mechanizmie blokowania funkcji .getsockopt dla gniazd AF_IUCV. Brak odpowiedniego blokowania pozwala na wyścig między operacjami recvmsg() i getsockopt(SO_MSGSIZE), co prowadzi do dereferencji wskaźnika NULL i awarii systemu.

W jądrze Linuxa w podsystemie SCSI wykryto podatność, w której funkcja scsi_run_host_queues() nie uruchamiała kolejek dla urządzeń w stanie SDEV_CANCEL, co mogło prowadzić do zawieszenia procesu usuwania urządzenia. Problem wynika z użycia makra shost_for_each_device(), które pomija urządzenia w trakcie usuwania, pozostawiając nieobsłużone żądania.

W jądrze Linux wykryto podatność w IPv4, gdzie struktura sysctl_local_reserved_ports jest zwalniana zbyt wcześnie przed wyrejestrowaniem tabeli sysctl. Może to prowadzić do użycia po zwolnieniu (use-after-free) podczas dostępu do /proc/sys/net/ipv4/ip_local_reserved_ports.

W jądrze Linux w podsystemie ALSA PCM OSS wykryto podatność use-after-free (UAF) podczas zapisu do pliku proc. Funkcja snd_pcm_oss_proc_write() dodaje nowy wpis konfiguracyjny do listy przed skopiowaniem nazwy zadania, a w przypadku błędu alokacji pamięci zwalnia już dodany wpis, pozostawiając wiszący wskaźnik na liście. Późniejsze otwarcie urządzenia OSS może wykorzystać ten uszkodzony wpis, prowadząc do dereferencji zwolnionej pamięci.

W jądrze Linux wykryto podatność polegającą na wycieku pamięci w funkcji ethtool RSS. Funkcja rss_prepare_get() alokuje bufory dla tablicy pośredniej i klucza haszującego, ale nie zwalnia ich w przypadku niepowodzenia wywołania ops->get_rxfh().

W jądrze Linux stwierdzono podatność polegającą na pomijaniu wywołania funkcji ethnl_ops_complete() w przypadku błędów podczas flashowania modułu przez narzędzie ethtool. Gdy funkcja validate() zakończy się niepowodzeniem, nie jest wywoływana funkcja kończąca operację, mimo że wcześniej uruchomiono ethnl_ops_begin().

W jądrze Linuxa wykryto podatność w funkcji module_flash_fw_schedule() w narzędziu ethtool, która nie cofa ustawienia flagi 'in_progress' i nie zwalnia referencji netdev w przypadku błędów flashowania modułu. Opóźnienie przejęcia tych zasobów zapobiega zniknięciu urządzenia podczas trzymania rtnl_lock.

W jądrze Linuxa wykryto podatność w module ethtool cmis, gdzie złośliwy moduł SFP może odpowiedzieć z długością danych (rpl_len) większą niż oczekiwana przez funkcję cmis_cdb_process_reply(), co prowadzi do zapisu poza dozwolonym obszarem pamięci (OOB write). Problem dotyczy teoretycznie złośliwego sprzętu, ale także błędnych lub uszkodzonych modułów.

W jądrze Linuxa w sterowniku ethtool dla modułów CMIS wykryto podatność polegającą na braku walidacji rozmiaru danych odbieranych z modułu. Złośliwy moduł może zwrócić zawyżoną wartość start_cmd_payload_size, co prowadzi do zapisu poza bufor (OOB) w funkcji cmis_fw_update_start_download().

W jądrze Linuxa w stosie Bluetooth 6lowpan funkcja send_mcast_pkt() nie sprawdza wartości zwracanej przez skb_clone(). Jeśli alokacja pamięci się nie powiedzie, skb_clone() zwraca NULL, co prowadzi do dereferencji wskaźnika NULL w send_pkt() podczas odwołania do skb->data.

W jądrze Linux wykryto podatność polegającą na możliwości dodania interfejsu CAN (np. vxcan) do agregacji łącza (bonding). Proces ten powoduje naruszenie struktury danych CAN, prowadząc do wywołania błędu pustego wskaźnika i awarii systemu. Problem wynika z braku sprawdzania typu urządzenia przed próbą jego agregacji.

W jądrze Linux wykryto błąd w mostku sieciowym (bridge), który powodował wywołanie funkcji mogącej spać (dev_set_promiscuity()) w kontekście atomowym. Problem pojawiał się podczas konfiguracji portów mostka przez Netlink, gdy blokada mostka była trzymana zbyt długo, obejmując operacje, które jej nie wymagają.

W jądrze Linux wykryto błąd w funkcji brport_store() w ścieżce sysfs mostka sieciowego, który powodował wywołanie funkcji mogącej spać (dev_set_promiscuity()) w kontekście atomowym. Problem wynikał z niepotrzebnego trzymania blokady mostka (bridge lock) podczas przetwarzania wielu atrybutów portu, które jej nie wymagają. Poprawka ogranicza zakres blokady tylko do atrybutów STP, które faktycznie jej potrzebują.

W jądrze Linux wykryto podatność w funkcji ethnl_update_profile() w ethtool, gdzie indeks 'i' używany do zapisu do tablicy new_profile nie jest ograniczany, co pozwala na zapis poza przydzieloną pamięcią (5 wpisów). Liczba wpisów w zagnieżdżonej liście Netlink jest całkowicie kontrolowana przez użytkownika, a polityki Netlink nie ograniczają liczby zagnieżdżonych wpisów.

W jądrze Linux wykryto podatność w funkcji ethtool tsinfo, gdzie w przypadku niepowodzenia przygotowania zrzutu (dump) przekazywany jest wskaźnik błędu (ERR_PTR) do funkcji genlmsg_cancel, co może prowadzić do awarii systemu.

W jądrze Linuxa w mechanizmie odczytu EEPROM przez Netlink brakowało walidacji, czy żądany zakres danych (offset + length) mieści się w całkowitym rozmiarze EEPROM. Dodatkowo bufor przekazywany do sterowników nie był zerowany, co mogło prowadzić do wycieku danych.

W jądrze Linuxa wykryto podatność w mechanizmie duplikacji pakietów w dyscyplinie kolejkowania netem. Gdy netem duplikuje pakiet, ponownie umieszcza kopię w korzeniu kolejki, co może prowadzić do nieskończonej pętli duplikacji, jeśli w drzewie kolejkowania znajduje się inny netem. Problem został rozwiązany przez użycie pola tc_depth w strukturze skb, które zapobiega wielokrotnej duplikacji tego samego pakietu.

W jądrze Linux wykryto podatność w mechanizmie mirred (net/sched), która powoduje utratę informacji o stanie pętli przy przekierowywaniu ruchu do ingress. W rezultacie pętla między interfejsami (np. ethx:ingress -> ethy:egress -> ethx:ingress) nie jest wykrywana, co może prowadzić do przeciążenia systemu.

W jądrze Linux wykryto podatność w mechanizmie blokcast akcji mirred (net/sched/act_mirred). Brak inkrementacji licznika rekurencji przed wywołaniem tcf_blockcast() pozwala na nieograniczoną pętlę rekurencyjną między urządzeniami sieciowymi, prowadzącą do przepełnienia stosu jądra.

W jądrze Linux wykryto podatność w mechanizmie uzgadniania (handshake) dla połączeń TLS. Funkcja handshake_req_cancel() może być wywołana z kontekstu przerwania programowego (softirq) przez sterownik NVMe over TCP, co prowadzi do zakleszczenia (deadlock) przy próbie przejęcia blokady hn_lock za pomocą zwykłego spin_lock(). Problem został rozwiązany poprzez zmianę wszystkich operacji na blokadzie hn_lock na wariant wyłączający przerwania programowe (spin_lock_bh/spin_unlock_bh).

W jądrze Linux usunięto mechanizm change_work w sterowniku dpll zl3073x, który powodował wyścig podczas zamykania urządzenia. Zastąpiono go bezpośrednim wywołaniem __dpll_device_change_ntf(), co eliminuje ryzyko dereferencji zwolnionego wskaźnika.

W jądrze Linux w stosie Bluetooth L2CAP wykryto podatność polegającą na nieczyszczeniu identyfikatora kanału (chan->ident) po udanej rekonfiguracji ECRED. Umożliwia to zdalnemu atakującemu odtworzenie odpowiedzi o błędzie ze starym identyfikatorem, co prowadzi do zniszczenia już ustanowionego kanału.

W jądrze Linuxa wykryto podatność w stosie Bluetooth L2CAP, która może prowadzić do awarii systemu podczas obsługi odpowiedzi na żądanie połączenia ECRED. Problem występuje, gdy docelowy identyfikator kanału (dcid) jest już przypisany, a próba usunięcia kanału może naruszyć strukturę listy używanej do iteracji.

W jądrze Linuxa w podsystemie Bluetooth wykryto podatność polegającą na braku ustawienia flagi HCI_CMD_DRAIN_WORKQUEUE podczas zamykania urządzenia. W rezultacie podczas resetowania mogą być kolejkowane niepotrzebne timeouty, co prowadzi do nieprawidłowego działania.

W sterowniku sieciowym MANA w jądrze Linuxa brakuje zabezpieczeń przed pustymi wskaźnikami podczas czyszczenia po błędzie alokacji kolejek. Gdy alokacja kolejek nie powiedzie się w połowie, zwolnione wskaźniki są później wyłuskiwane w funkcjach takich jak mana_chn_setxdp(), mana_destroy_vport(), mana_fence_rqs() i mana_dealloc_queues(), co prowadzi do paniki jądra.

W jądrze Linux w sterowniku sieciowym MANA wykryto podatność polegającą na braku sprawdzenia, czy port jest już odłączony przed ponownym wywołaniem funkcji mana_detach(). Prowadzi to do dereferencji pustego wskaźnika podczas próby ponownego odłączenia już odłączonego portu.

W jądrze Linux wykryto błąd wyścigu w funkcji sctp_wait_for_connect() protokołu SCTP. Podczas oczekiwania na ustanowienie połączenia, inny wątek może przenieść asocjację do nowego gniazda, co prowadzi do użycia niewłaściwego zamka. Poprawka dodaje sprawdzenie, czy gniazdo nie zostało zmienione, zwracając błąd w przypadku migracji.

Podatność w jądrze Linux w sterowniku vsock/virtio dotycząca błędnego wiązania uarg przed wypełnieniem zerocopy skb. Może prowadzić do nieprawidłowego zarządzania pamięcią i potencjalnego wycieku danych.

W jądrze Linux wykryto podatność w funkcji rt6_fill_node() dla IPv6, która może prowadzić do nieskończonej pętli. Problem wynika z braku synchronizacji między operacjami list_del_rcu() wykonywanymi z blokadą tb6_lock a jednoczesnym odczytem listy przez program obsługi softirq, co powoduje zakleszczenie procesora.

W jądrze Linux wykryto podatność w funkcji fib6_select_path() dla IPv6, która może prowadzić do nieskończonej pętli. Problem wynika z braku synchronizacji między operacjami list_del_rcu() na liście fib6_siblings a równoczesnym odczytem przez softirq, co powoduje, że iterator nie osiąga warunku zakończenia.

W sterowniku ST_LSM6DSX dla układów IMU w jądrze Linuxa wykryto wyciek danych ze stosu w ścieżce obsługi bufora FIFO z tagami. Struktura danych na stosie nie jest inicjalizowana, co powoduje kopiowanie niezainicjalizowanych bajtów do przestrzeni użytkownika.

W sterowniku ADIS16550 dla jądra Linux wykryto wyciek danych ze stosu w funkcji obsługi przerwania. Tablica danych skanowania deklarowana na stosie nie jest inicjalizowana, a kopiowanie danych wypełnia tylko pierwsze 28 bajtów, pozostawiając bajty 28-31 niezainicjalizowane, co powoduje wyciek danych do przestrzeni użytkownika przy każdym wyzwoleniu.

W sterowniku BMP280 w jądrze Linux wykryto wyciek stosu w funkcji obsługi przerwań czujnika BMP580. Deklaracja bufora skanowania na stosie bez inicjalizacji powoduje, że dwa nieinicjalizowane bajty są przesyłane do przestrzeni użytkownika na każdy skan.