Podatności Linux kernel

W sterowniku USB Type-C UCSI CCG jądra Linux wykryto podatność polegającą na braku walidacji nagłówka pliku firmware. Jeśli obraz firmware nie zawiera znaku ':', funkcja strnchr() zwraca NULL, co prowadzi do dereferencji wskaźnika NULL i awarii systemu (oops).

W jądrze Linux stwierdzono podatność w sterowniku USB Type-C TCPM, gdzie brak walidacji liczby VDO (Vendor Defined Object) w procedurach obsługi odpowiedzi Discover Identity może prowadzić do odczytu poza zakresem tablicy. Atakujący podłączony przez USB-C może celowo przekazać nieprawidłową liczbę VDO, co potencjalnie umożliwia wyciek danych z pamięci jądra.

W jądrze Linux w sterowniku USB Type-C TCPM wykryto podatność polegającą na braku sprawdzania granic tablicy altmode_desc[] w pętli funkcji svdm_consume_modes(). Niezaufane urządzenie może wysłać nieoczekiwane odpowiedzi ACK, powodując zapis poza przydzieloną pamięcią.

W jądrze Linux wykryto podatność w sterowniku trybu alternatywnego DisplayPort dla USB Type-C. Uszkodzone lub złośliwe urządzenie może wysłać nieprawidłową liczbę w VDO aktualizacji statusu, co prowadzi do odczytu niezainicjalizowanych danych ze stosu i ich wysłania dalej.

W sterowniku USB Type-C w jądrze Linux wykryto podatność polegającą na zapisie poza strukturą pd_message w funkcji wcove_read_rx_buffer(). Złośliwe urządzenie może wysłać ramkę PD o długości do 31 bajtów, co powoduje zapis poza przydzieloną pamięcią na stosie wątku IRQ.

W jądrze Linuxa w sterowniku USB Type-C TCPM/TCPCI Maxim brakowało walidacji liczby obiektów danych w nagłówku ramki względem rzeczywistej liczby odebranych bajtów. Uszkodzony lub złośliwy port mógł wysłać ramkę z nagłówkiem deklarującym do siedmiu obiektów danych, ale z mniejszą liczbą bajtów, co prowadziło do odczytu niezainicjalizowanej pamięci stosu.

W jądrze Linuxa w sterowniku UCSI (USB Type-C) wykryto podatność polegającą na braku walidacji numeru złącza w funkcji ucsi_connector_change(). Numer złącza pochodzący z PPM (7-bitowe pole) jest używany do indeksowania tablicy bez sprawdzenia, czy nie przekracza liczby złączy zgłoszonych podczas inicjalizacji. Może to pozwolić błędnemu lub złośliwemu PPM na wywołanie schedule_work() na pamięci poza tablicą.

W jądrze Linux wykryto podatność w sterowniku USB safe_serial, która pozwala na uszkodzenie pamięci (slab corruption) poprzez kontrolowane przez użytkownika dane. Problem występuje, gdy złośliwe urządzenie zgłasza zbyt mały rozmiar bufora bulk-out (mniejszy niż 8 bajtów).

W jądrze Linux stwierdzono podatność w sterowniku USB cypress_m8, która może prowadzić do uszkodzenia pamięci lub dereferencji wskaźnika NULL. Problem występuje, gdy złośliwe urządzenie zgłasza zbyt mały rozmiar pakietu dla punktu końcowego przerwania-wyjścia.

W jądrze Linux wykryto błąd w funkcji __get_vm_area_node(), która wywołuje BUG(), gdy wykryty zostanie kontekst z wyłączonymi przerwaniami (BH). Powoduje to awarię systemu podczas normalnych operacji mostkowania sieciowego, np. przy dodawaniu wpisów FDB przez most.

W jądrze Linuxa w systemie plików HPFS wykryto podatność powodującą awarię (crash) w przypadku niepowodzenia funkcji hpfs_map_dnode_bitmap. Błąd polega na wywołaniu hpfs_brelse4 na niezainicjalizowanym buforze quad, co prowadzi do naruszenia pamięci.

W jądrze Linux wykryto wyciek pamięci w funkcji migrate_vma_insert_huge_pmd_page. Gdy sprawdzenie PMD nie powiedzie się, alokowana wcześniej tablica stron (pgtable) nie jest zwalniana, co prowadzi do wycieku pamięci. Dodano etykietę free_abort, aby zwolnić pgtable w ścieżce błędu.

W jądrze Linux wykryto lukę w mechanizmie memfd, gdzie dodanie flagi SEAL_EXEC implikuje SEAL_WRITE, ale sprawdzenie zapisywalnych mapowań następuje przed ustawieniem tej implikacji. Pozwala to na uzyskanie SEAL_WRITE przy istniejących zapisywalnych mapowaniach, co narusza kontrakt SEAL_WRITE.

W jądrze Linux wykryto podatność w mechanizmie zram, prowadzącą do użycia po zwolnieniu (use-after-free) w funkcji zram_writeback_endio. Problem wynika z wyścigu między obsługą zakończenia operacji wejścia/wyjścia a zadaniem zapisu zwrotnego, co może skutkować awarią systemu.

W jądrze Linux wykryto podatność w funkcji try_to_unmap_one w mm/rmap, gdzie zmienna nr_pages nie jest inicjalizowana na początku każdej iteracji pętli. Może to prowadzić do ponownego użycia wartości z poprzedniego wywołania folio_unmap_pte_batch(), co skutkuje uszkodzeniem liczników referencji/mapowania folio. Problem występuje przy łączeniu folio z flagą MAP_DROPPABLE, wywołaniu madvise(MADV_FREE) i użyciu HMM_DMIRROR_EXCLUSIVE, co może doprowadzić do awarii jądra.

W jądrze Linux wykryto podatność w sterowniku auxdisplay line-display, polegającą na odczycie poza zakresem (OOB) przy zapisie zerowej liczby bajtów do atrybutu sysfs 'message'. Funkcja linedisp_display() odczytuje msg[count - 1] przed sprawdzeniem, czy count jest równe zero, co prowadzi do odczytu spod adresu msg[-1] i może spowodować panikę jądra na systemach z KASAN lub ciche odczytywanie sąsiednich danych.

W jądrze Linux wykryto wyciek referencji w stosie Bluetooth L2CAP. Funkcja l2cap_chan_timeout() nie zwalnia referencji pobranej przez __set_chan_timer() w przypadku, gdy połączenie (chan->conn) jest puste, co prowadzi do wycieku pamięci.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto brak walidacji długości danych w funkcji hidp_input_report(). Sparowane urządzenie może wysłać obcięty pakiet, co prowadzi do odczytu poza zakresem bufora skb. Problem może skutkować interpretacją nieprawidłowych danych jako fałszywych naciśnięć klawiszy lub ruchów myszy.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji iso_recv_frame stosu Bluetooth ISO. Funkcja odczytuje wskaźnik do gniazda (sk) pod blokadą, ale używa go po jej zwolnieniu, co umożliwia współbieżne wywołanie iso_sock_kill() i zwolnienie pamięci.

W jądrze Linuxa w podsystemie Bluetooth ISO wykryto podatność polegającą na wyścigu danych w funkcji iso_sock_clear_timer(). Funkcja ta odczytuje wskaźnik do połączenia bez blokady gniazda, co może prowadzić do dereferencji wskaźnika NULL lub użycia po zwolnieniu pamięci (UAF) przy jednoczesnym zamykaniu gniazda.

W jądrze Linuxa w podsystemie Bluetooth wykryto podatność use-after-free (UAF) w funkcji hci_le_create_cis_sync. Problem polega na tym, że wskaźnik conn jest używany po zwolnieniu blokad RCU i hci_dev_lock, co umożliwia współbieżne rozłączenie i zwolnienie pamięci przed jej odczytem. Mechanizm anulowania w hci_conn_del() nie zapobiega temu, ponieważ dane przekazywane do kolejki i dequeue nie są zgodne.

W sterowniku xpad w jądrze Linux wykryto podatność umożliwiającą dostęp poza zakresem bufora podczas obsługi przycisku Share. Kontroler może wysłać spreparowany pakiet GIP_CMD_INPUT o długości mniejszej niż 18 bajtów, co prowadzi do odczytu poza przydzieloną pamięcią.

W jądrze Linuxa wykryto błąd w podsystemie parport, który powoduje wyścig między rejestracją portu a klienta. Porty są rejestrowane przed pełną inicjalizacją, co umożliwia klientom (np. lp) podłączenie się do nie w pełni gotowych portów, prowadząc do awarii systemu.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, dotyczącą nieprawidłowego ograniczania rejestru ZCR_EL2 przez gościnny hipervisor. Problem polega na tym, że wartość ZCR_EL2 aktualizowana przez gościa za pomocą ZCR_EL1 nie jest odpowiednio przycinana, co pozwala gościowi L2 na dostęp do niedozwolonych długości wektorów (VL).

W jądrze Linuxa w komponencie KVM dla SEV (Secure Encrypted Virtualization) wykryto podatność polegającą na braku użycia makra READ_ONCE() podczas odczytu wpisów/indeksów z bufora PSC (Page State Change) dostępnego dla gościa. Brak tej ochrony umożliwia atak typu TOCTOU (Time-of-Check Time-of-Use) przez złośliwą maszynę wirtualną.

W sterowniku MT6359 dla układu ADC w jądrze Linuxa wykryto brak sprawdzenia wartości zwracanej przez funkcję regmap_read() w procedurze mt6358_read_imp(). W przypadku niepowodzenia odczytu zmienna val_v pozostaje niezainicjalizowana, a jej losowa zawartość ze stosu jest raportowana jako wynik pomiaru.

W sterowniku NXP SAR ADC w jądrze Linuxa brakuje walidacji wartości częstotliwości próbkowania przed użyciem jej jako dzielnika. Zapisanie zera lub wartości ujemnej do atrybutu sysfs sampling_frequency powoduje dzielenie przez zero. Dodatkowo, gdy obliczona liczba cykli jest mniejsza niż NXP_SAR_ADC_CONV_TIME, dochodzi do niedomiaru liczby całkowitej bez znaku, co zawyża wartość inpsamp.

W sterowniku Linuxa dla żyroskopu ITG3200 wykryto błąd w funkcji itg3200_read_all_channels(), która przez nieprawidłowe użycie operatora & przekazuje do i2c_transfer() adres lokalnego wskaźnika zamiast bufora wywołującego. Powoduje to, że dane z czujnika są zapisywane na stosie funkcji i tracone, a do przestrzeni użytkownika trafiają niezainicjalizowane dane ze stosu.

W sterowniku ADIS16260 dla żyroskopów w jądrze Linux brakuje walidacji wartości częstotliwości próbkowania przed użyciem jej jako dzielnika. Zapisanie zera do atrybutu sysfs sampling_frequency powoduje dzielenie przez zero w jądrze.

W sterowniku Linux kernel dla czujnika MH-Z19B (iio: chemical: mhz19b) wykryto podatność na przepełnienie bufora. Funkcja mhz19b_receive_buf() kopiuje dane z interfejsu szeregowego do stałego bufora bez sprawdzania, czy rozmiar odpowiedzi nie przekracza dostępnego miejsca, co może prowadzić do przepełnienia bufora.

W jądrze Linux w sterowniku SCD30 dla czujników chemicznych IIO wykryto podatność na dzielenie przez zero. Użytkownik może wywołać błąd krytyczny, zapisując zerową część ułamkową do atrybutu sampling_frequency w sysfs.

W sterowniku jądra Linux wykryto podatność use-after-free w ścieżce błędu funkcji iio_hw_consumer_alloc(). Podczas czyszczenia listy buforów używano list_for_each_entry(), która po zwolnieniu bufora przez iio_buffer_put() próbuje odczytać już zwolnioną pamięć.

W jądrze Linux wykryto wyciek pamięci w podsystemie IIO (Industrial I/O) podczas kolejkowania buforów DMA. Funkcja iio_buffer_enqueue_dmabuf() nie zwalniała referencji do obiektu struct iio_dma_fence, co prowadziło do trwałego wycieku alokacji pamięci (104 bajty na każde kolejkowanie).

W jądrze Linux wykryto podatność w sterowniku USB serial omninet, która może prowadzić do uszkodzenia pamięci. Problem występuje, gdy złośliwe urządzenie zgłasza mniejszy niż oczekiwano maksymalny rozmiar pakietu dla punktu końcowego, co może skutkować kontrolowanym uszkodzeniem pamięci (slab corruption).

W jądrze Linux w sterowniku USB dwc2 wykryto podatność polegającą na użyciu pamięci po jej zwolnieniu (use-after-free) w kodzie debugowania. Problem występuje, ponieważ po wywołaniu usb_hcd_giveback_urb() nie można już bezpiecznie odwoływać się do struktury urb.

W jądrze Linux w mechanizmie BPF sockmap wykryto błąd w funkcji bpf_msg_push_data(). Podczas wstawiania danych do wpisu scatterlist offset prawego fragmentu był błędnie przesuwany o globalną pozycję wstawiania zamiast o lokalne przesunięcie względem początku wpisu, co prowadziło do niespójności podziału.

W jądrze Linux w module macsec wykryto podatność na obejście ochrony przed replayem w przypadku zawinięcia się niższego numeru pakietu (PN) w trybie XPN. Gdy PN osiąga wartość 0xFFFFFFFF, inkrementacja powoduje przepełnienie do 0, co uniemożliwia prawidłowe zaktualizowanie licznika next_pn_halves, pozwalając atakującemu na nieskończone odtwarzanie przechwyconej ramki.

W jądrze Linuxa w sterowniku octeontx2-af stwierdzono podatność na zapis poza zakresem pamięci. Funkcja rvu_mbox_handler_rep_event_notify nie sprawdza poprawności pola pcifunc w żądaniu, co pozwala atakującemu na zapis poza alokowaną tablicą struktur PF/VF.

W jądrze Linuxa w sterowniku VTI (Virtual Tunnel Interface) dla IPv6 wykryto podatność umożliwiającą nieuprawnionemu użytkownikowi w przestrzeni nazw sieciowych przejęcie tunelu VTI z innej przestrzeni nazw. Problem wynika z użycia dev_net(dev) zamiast t->net przy wyszukiwaniu tunelu w funkcji vti6_siocdevprivate(), co po migracji tunelu do nowej przestrzeni nazw pozwala na podmianę wpisu w tablicy mieszającej i przekierowanie ruchu.

W jądrze Linux wykryto podatność w IPv6, gdzie długość nagłówka rozszerzenia nie była ponownie weryfikowana przed skopiowaniem do komunikatu sterującego (cmsg). Atakujący z nieuprzywilejowanego przestrzeni nazw użytkownika może przez nftables zmodyfikować pole hdrlen po parsowaniu, powodując odczyt poza zakresem bufora (slab-out-of-bounds).

W jądrze Linux wykryto podatność w module xfrm dotyczącą przetwarzania pakietów w trybie transportowym. Podczas opóźnionego ponownego wstrzykiwania pakietów wskaźnik do struktury sieciowej (netns) przechowywany w skb->cb może stać się nieprawidłowy, jeśli przestrzeń nazw sieciowych zostanie usunięta przed wykonaniem funkcji zwrotnej.

W jądrze Linuxa w module L2TP wykryto podatność polegającą na użyciu zwykłego refcount_inc() zamiast refcount_inc_not_zero() w funkcji l2tp_session_get_by_ifname(). Może to prowadzić do wyścigu (race condition), w którym zwracany jest wskaźnik do sesji o zerowym liczniku referencji, co skutkuje użyciem po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w sterowniku VTI6 (Virtual Tunnel Interface dla IPv6). Po przeniesieniu interfejsu VTI6 między przestrzeniami nazw sieciowych (netns) funkcje vti6_changelink() i vti6_update() używają nieaktualnej referencji do sieci (dev_net zamiast t->net), co prowadzi do pozostawienia nieaktualnego wpisu w tablicy mieszającej oryginalnej przestrzeni nazw. Skutkuje to błędem jądra (kernel BUG) podczas czyszczenia tej przestrzeni nazw, umożliwiając atakującemu w nieuprzywilejowanym kontenerze wywołanie awarii systemu.

W jądrze Linux wykryto podatność w sterowniku HID dla tabletów Wacom. Funkcja wacom_hid_set_device_mode() zakłada, że atrybut HID_DG_INPUTMODE znajduje się zawsze w pierwszym polu raportu, co może prowadzić do zapisu poza dozwolonym obszarem pamięci (OOB write) w przypadku, gdy atrybut ten jest umieszczony w innym polu.

W jądrze Linux wykryto podatność w stosie NFC HCI, polegającą na odczycie poza zakresem w funkcjach nfc_hci_recv_from_llc() i nci_hci_data_received_cb(). Złośliwe urządzenie NFC może wysłać ramkę HCP o zerowej długości, co prowadzi do odczytu poza przydzielonym buforem (out-of-bounds read) oraz potencjalnie do przepełnienia stosu (skb_over_panic) podczas składania fragmentów.

W jądrze Linuxa wykryto podatność w mechanizmie migracji XFRM (IPsec). Funkcje wysyłające powiadomienia o migracji (xfrm_send_migrate i pfkey_send_migrate) błędnie kierowały je do domyślnej przestrzeni nazw sieciowych (init_net), zamiast do przestrzeni nazw wywołującego. Powodowało to, że demony IKE w innych przestrzeniach nazw nie otrzymywały powiadomień o własnych migracjach, a demony w init_net otrzymywały powiadomienia z wszystkich przestrzeni.

W jądrze Linux wykryto podatność w module netfilter conntrack dla TCP. Nieprawidłowe sprawdzanie kierunku pakietu RST z niepoprawnym numerem sekwencyjnym pozwala na przedwczesne zamknięcie połączenia (stan CLOSE), nawet jeśli RST nie jest odpowiedzią na wcześniej wysłany SYN.

W jądrze Linuxa w module xfrm iptfs wykryto podatność polegającą na nieprawidłowym klonowaniu stanu runtime podczas kopiowania asocjacji bezpieczeństwa (SA). Funkcja iptfs_clone_state() kopiuje obiekty runtime, takie jak kolejki skb, timery i spinlocki, które nie powinny być współdzielone z oryginalnym SA, co może prowadzić do użycia po zwolnieniu (use-after-free) i podwójnego zwolnienia pamięci.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji dma_buf_fd() związanej z punktem kontrolnym (tracepoint). Po zwróceniu przez FD_ADD() deskryptor pliku staje się aktywny w tablicy deskryptorów, co umożliwia innemu wątkowi zamknięcie go przed wykonaniem DMA_BUF_TRACE(), prowadząc do użycia po zwolnieniu pamięci struktury dma_buf.

W jądrze Linux w systemie plików ksmbd wykryto regresję powodującą odczyt poza zakresem (OOB) w pętli przetwarzania ACE w funkcji smb_check_perm_dacl(). Błąd wynika z nieprawidłowego sprawdzenia granic, które uniemożliwia przerwanie pętli, co prowadzi do odczytu 2 bajtów poza przydzieloną pamięcią podczas operacji SMB2_CREATE.