Greg Kroah-Hartman

توجد مشكلة في نواة Linux حيث تفشل الدالة `xe vm madvise ioctl()` في التحقق من صحة مؤشرات جدول سمات الصفحات (PAT). وعلى وجه التحديد، فإن استخدام وضع التماسك `XE COH NONE` مع المخازن المؤقتة للوحدة المركزية (CPU) يسمح لوحدة معالجة الرسومات (GPU) بتجاوز ذاكرات التخزين المؤقتة للوحدة المركزية وقراءة البيانات الحساسة القديمة مباشرةً من ذاكرة الوصول العشوائي (DRAM). ويحدث ذلك لأن عملية مسح الصفحات التي يقوم بها النواة قبل إعادة تخصيصها قد تبقى في ذاكرة التخزين المؤقتة لوحدة المعالجة المركزية (CPU) كبيانات غير نظيفة، مما قد يؤدي إلى تسرب معلومات من الصفحات التي تم تحريرها سابقًا وتخص عمليات أخرى.

توجد مشكلة في الدالة `memcg reparent list lrus()` حيث يتم مسح إدخال xarray الخاص بمجموعة التحكم في الذاكرة (memcg) التي توشك على الانتهاء باستخدام `xas store(&xas, NULL)` قبل إعادة ربط قوائمها الخاصة بكل عقدة. يؤدي هذا التسلسل إلى حدوث حالة تنافس، حيث قد تفشل عملية `list lru del()` المتزامنة في العثور على الإدخال عبر `xa load()`، وتنتقل إلى مجموعة التحكم في الذاكرة الأم (memcg) في `lock list lru of memcg()`، وتنفذ `list del init()` على عنصر لا يزال مرتبطًا بقائمة مجموعة التحكم في الذاكرة (memcg) التي توشك على التوقف. إذا كان خيط آخر يحتفظ في الوقت نفسه بقفل كل عقدة في memcg الذي في طور التوقف — مثل أثناء عملية `list lru del()` أخرى أو استدعاء رد فعل معزول لـ `list lru walk one()` — فقد يقوم كلا الخيطين بتعديل المؤشرين `->next` و`->prev` لنفس القائمة المادية باستخدام أقفال مختلفة، مما يؤدي إلى تلف روابط العناصر المجاورة.

يوجد تجاوز سعة الـ«هيوب» في الدالة `get manuf info()`. تحدث المشكلة لأن الدالة تقرأ عددًا من البايتات المحددة بواسطة الحقل `Size` من ذاكرة EEPROM I2C الخاصة بجهاز ما إلى مخزن مؤقت تم تخصيصه باستخدام `kmalloc obj()`، والذي له حجم ثابت يبلغ 10 بايت. وعلى الرغم من أن الحقل `Size` يتم التحقق من صحته في الدالة `check i2c image()` للتأكد من أنه لا يتجاوز 16384 بايت، إلا أنه لا يتم مقارنته بحجم المخزن المؤقت الفعلي. يمكن لجهاز USB ضار تعيين حقل `Size` إلى قيمة تصل إلى 16377، مما يؤدي إلى تجاوز سعة الذاكرة المؤقتة (heap overflow) بما يصل إلى 16367 بايت. بالإضافة إلى ذلك، تقوم الدالة `valid csum()` بالتكرار عبر المخزن المؤقت استنادًا إلى حقل `Size`، مما يزيد من تفاقم مشكلة الوصول خارج النطاق.

توجد مشكلة في مكون `accel/ivpu` حيث تفشل الدالة `get info ioctl()` في التحقق من صحة حجم المعلومات التي يتم إرجاعها من استعلام معلومات دفق المقاييس مقارنةً بحجم المخزن المؤقت المخصص. قد يؤدي هذا النقص في التحقق من الصحة إلى تجاوز سعة المخزن المؤقت إذا أرجعت البرامج الثابتة حجمًا أكبر من المخزن المؤقت المتاح.

توجد مشكلة «استخدام بعد التحرير» (use-after-free) في نواة لينكس بسبب عدم وجود مرجع zerocopy في الدالتين `pskb carve inside header()` و`pskb carve inside nonlinear()`. تقوم كلتا الدالتين بنسخ رأس `skb shared info` إلى مخزن مؤقت جديد باستخدام `memcpy()`، والذي يتضمن مؤشر `destructor arg` (`uarg`) لـ skbs من نوع MSG ZEROCOPY. ونظرًا لأن هاتين الدالتين تفشلان في استدعاء `net zcopy get()` لـ `shinfo` الجديد، فإن عدد المراجع `uarg->refcnt` يمكن أن ينخفض إلى الصفر قبل الأوان. ويؤدي ذلك إلى تحرير `ubuf info msgzc` قبل الأوان بينما لا تزال حزم skb المرسلة (TX) تحتفظ بمؤشرات `destructor arg` نشطة. وقد تم التحقق من أن هذا الخلل يسمح لمستخدم محلي غير متمتع بامتيازات بالحصول على تصعيد كامل لامتيازات الجذر في تكوين النواة الافتراضي.

توجد مشكلة في مكون Thunderbolt حيث تستمد الدالة `tb xdp properties request()` طول النسخ لكل حزمة من رأس الاستجابة دون التحقق مما إذا كان يتناسب مع حجم مخزن البيانات المؤقت المخصص مسبقًا. يمكن لطرف ضار التلاعب بحقل الطول ليكون أكبر من `data length` المعلن، مما يؤدي إلى تلف في الذاكرة حيث تقوم `memcpy` بالكتابة خارج نطاق التخصيص المحدد بواسطة `kcalloc`.

يوجد عيب في وحدة التشفير `af alg` في نواة Linux. يحدث تجاوز حسابي عند معالجة أطوال البيانات المرتبطة أثناء فحص حجم مخزن الإرسال المؤقت. يمكن لمهاجم عن بُعد استغلال هذا العيب عن طريق توفير طول بيانات مرتبطة مصمم خصيصًا لهذا الغرض، مما قد يؤدي إلى حدوث هجوم رفض الخدمة (DoS) بسبب عدم استقرار النظام.

يوجد تجاوز سعة عدد صحيح في الدالة `kvm reset dirty gfn()` ضمن مكون الآلة الافتراضية القائمة على النواة (KVM). يمكن لمهاجم محلي لديه حق الوصول إلى `/dev/kvm` التلاعب بمدخلات حلقة dirty لتسبب تجاوز u64 أثناء عملية جمع غير خاضعة للتدقيق. وهذا يسمح للمهاجم بتجاوز فحص الحدود، مما يؤدي إلى تحميل خارج الحدود لـ `kvm rmap head` ومسح مشروط لاحق لـ `PT WRITABLE MASK` في موقع الذاكرة الذي يشير إليه المؤشر المحمّل. يمكن أن تؤدي هذه الثغرة إلى كشف المعلومات أو رفض الخدمة.

توجد مشكلة في عدم التزامن في الدالة `nft inner parse l2l3()` عند معالجة حزم IPv6 الداخلية. في حين أن الدالة `ipv6 find hdr()` تحسب إزاحة رأس النقل بشكل صحيح من خلال اجتياز رؤوس الامتداد، يتم استبدال هذه القيمة بشكل غير صحيح بحساب يأخذ في الاعتبار رأس IPv6 الأساسي فقط. ينتج عن ذلك عدم تطابق بين `inner thoff`، التي تشير بشكل غير صحيح إلى بداية رأس التمديد، و`l4proto`، التي تحدد البروتوكول بشكل صحيح (على سبيل المثال، IPPROTO TCP). ويسمح هذا التباين بتزوير رأس النقل واحتمال تجاوز جدار الحماية.

يوجد عيب في النظام الفرعي drm/xe/dma-buf يتعلق بحالات التنافس عند التعامل مع ربط `invalidate mappings` أثناء تهيئة كائن المخزن المؤقت وإرفاقه. تحدث حالات التنافس هذه لأن كائن المخزن المؤقت قد يظهر في قائمة المرفقات قبل تهيئته بالكامل أو بعد تحريره عقب فشل التهيئة. يمكن للمهاجم استغلال هذه الظروف لإحداث هجوم «الاستخدام بعد التحرير» (UAF) أو إزالة مرجعية مؤشر NULL في `evict flags`، مما قد يؤدي إلى عدم استقرار النظام، وتعطل النظام، و«رفض الخدمة» (DoS).

توجد حالة تنافس في النظام الفرعي لوحدة إدارة ذاكرة الإدخال/الإخراج (IOMMU)، الذي يدير كيفية وصول الأجهزة إلى ذاكرة النظام. ويحدث هذا أثناء استعادة الجهاز عندما يتم توصيل عدة مجالات ذاكرة في وقت واحد. وعلى وجه التحديد، ترفض الدالة ` iommu group set domain internal()` عمليات ربط المجالات المتزامنة إذا كان أي جهاز في المجموعة قيد الاستعادة، مما يؤدي إلى تشغيل WARN ON في ` iommu group set domain nofail()`. قد يؤدي هذا إلى حالة «الاستخدام بعد التحرير» (UAF) — حيث يحاول النظام استخدام ذاكرة تم تحريرها بالفعل — مما قد يسمح لمهاجم محلي بتنفيذ تعليمات برمجية غير مصرح بها أو التسبب في تعطل النظام (رفض الخدمة).

يوجد عيب من نوع «الاستخدام بعد التحرير» (use-after-free) في الدالة `ipc idr alloc()` ضمن مسار «نقطة الفحص/الاستعادة» (checkpoint/restore) لتخصيص معرّفات SysV للتواصل بين العمليات (IPC). تقوم الدالة بإعادة توجيه الطلبات إلى `idr alloc()` بحد أقصى مفتوح. وعندما تمتلئ مساحة معرّفات SysV IPC الصالحة، قد تتجاوز عمليات التخصيص قيمة `ipc mni`، مما يؤدي إلى ظهور معرّفات تستخدم ترميز الفهرس العادي ولكنها تستهدف فتحات غير صحيحة أثناء البحث والإزالة. يؤدي هذا إلى تعطيل حالة IDR وقد يترك مؤشرًا معلقًا في إدخال IDR. وعلى وجه التحديد، بالنسبة للذاكرة المشتركة، قد تقوم الدالة `shm destroy()` بتحرير كائن مع ترك إدخال قديم يؤدي، عند الوصول إليه عبر `/proc/sysvipc/shm`، إلى إزالة مرجعية الذاكرة المحررة. يمكن للمهاجمين المحليين استغلال هذه المشكلة لتحقيق تصعيد امتيازات محلية إلى مستوى الجذر. تشمل التفاصيل الفنية ما يلي: - **الدالة المعرضة للخطر**: `ipc idr alloc()` - **المتغير المعرض للخطر**: `ids->next id` الذي يتم تمريره إلى `idr alloc()` بحد أعلى يساوي صفرًا.

توجد مشكلة تتعلق بـ«الاستخدام بعد التحرير» أو «الخلط بين الأنواع» في تطبيق بروتوكول SCTP في نواة لينكس. في الدالة `sctp sendmsg()`، يقوم المسار `SCTP SENDALL` بالتكرار عبر الارتباطات باستخدام `list for each entry safe()`، التي تقوم بتخزين الإدخال التالي مؤقتًا في المتغير `tmp`. تستدعي الدالة `sctp sendmsg to asoc()`، والتي قد تفرج عن قفل المأخذ داخل `sctp wait for sndbuf()`. وأثناء تحرير القفل، يمكن لخيط آخر ترحيل الارتباط المخزّن مؤقتًا إلى نقطة نهاية جديدة عبر `sctp sock migrate()` أو تحريره بسبب انقطاع الشبكة (ABORT). ونظرًا لعدم إعادة التحقق من صحة المتغير `tmp` بعد إعادة الحصول على القفل، فقد يتقدم المكرر إلى مؤشر قديم، مما يؤدي إلى استخدام بعد التحرير (use-after-free) إذا تم إغلاق المقبس، أو إلى خلط الأنواع (type confusion) إذا تم ترحيل الارتباط. يمكن أن يسمح مسار الخلط بين الأنواع بإجراء استدعاء غير مباشر خاضع للسيطرة عبر المؤشر `outqueue.sched->init sid`.

توجد حالة «استخدام بعد التحرير» (use-after-free) أو «التحرير المزدوج» (double-free) في النظام الفرعي اللاسلكي mac80211 عند تمكين debugfs. يحدث هذا أثناء اتصالات MLO (Multi-Link Operation) إذا فشل إعداد الاتصال، مما يتسبب في إعادة تعيين الواجهة إلى وضع غير MLD (Multi-Link Device). في هذه الحالة، يفشل النظام في إزالة المحطة المرتبطة، مما يؤدي إلى تلف الذاكرة لأن الواجهة الافتراضية (vif) تعيد إنشاء بنية debugfs بالكامل.

توجد مشكلتان في معالجة الأخطاء داخل برنامج تشغيل الرسومات `drm/xe` في الدالة `xe exec queue create ioctl()`. تحدث المشكلة الأولى عند فشل الدالة `xe hw engine group add exec queue()`؛ حيث يتخطى مسار الخطأ الدالة `xe exec queue kill()`، مما يترك قائمة الانتظار في قائمة قوائم التنفيذ الحاسوبية للآلة الافتراضية (VM) إذا كانت الآلة الافتراضية في وضع الحاجز الاستباقي (preempt fence mode)، مما يؤدي إلى وجود مؤشر معلق. تحدث المشكلة الثانية عندما تفشل الدالة `xa alloc()` بعد نجاح الدالة `xe hw engine group add exec queue()`؛ حيث يفشل مسار الخطأ في استدعاء الدالة `xe hw engine group del exec queue()`، مما يترك قائمة الانتظار مرتبطة بمجموعة محركات الأجهزة (hw engine group) أثناء تحريرها، مما يتسبب في حدوث استغلال بعد التحرير (use-after-free). يمكن لمهاجم محلي استغلال هذه الثغرات لتسبب تعطل النظام أو الحصول على امتيازات عالية.

توجد مشكلة ”الاستخدام بعد التحرير“ (Use-After-Free) في مكون xfrm في نواة Linux. بعد اكتمال التشفير غير المتزامن، تستدعي الدالة `xfrm input resume()` الدالة `dev put()` فورًا عند إعادة الدخول قبل أن يصل مخزن المأخذ (skb) إلى transport finish. ونظرًا لأن المؤشر `skb->dev` يُستخدم لاحقًا داخل NF HOOK و okfn الخاص به، فقد تحدث حالة تنافس مع إيقاف تشغيل الجهاز.

يوجد عيب يتعلق بالتحرير المزدوج للذاكرة في وحدة «التواصل الشفاف بين العمليات» (TIPC). تحدث المشكلة داخل الدالة `tipc buf append()` عندما تتعامل بشكل غير صحيح مع الذاكرة بعد إعادة تخصيص مخزن مؤقت المأخذ (skb). وعلى وجه التحديد، قد تقوم الدالة `tipc msg validate()` بإعادة تخصيص skb الذي تقوم بالتحقق من صحته وتحرير المؤشر القديم؛ وإذا فشل التحقق لاحقًا، فإن مسار معالجة الأخطاء يحرر مؤشر skb الأصلي مرة أخرى. يمكن أن يؤدي هذا التلف في الذاكرة إلى عدم استقرار النظام، أو رفض الخدمة، أو احتمال تنفيذ تعليمات برمجية عشوائية.

توجد مشكلة في مكون `authencesn` التابع للنظام الفرعي للتشفير، حيث تفشل الدالة `crypto authenc esn create()` في التحقق من صحة قيمة `auth->digestsize` قبل نسخها إلى `inst->alg.maxauthsize`. وهذا يسمح بإنشاء مثيلات ذات قيمة `authsize` افتراضية غير صالحة تتراوح بين 1 و3 بايت عند استخدام خوارزمية التجزئة (ahash) ذات حجم التجزئة المقابل، مثل `cbcmac(cipher null)`. ونتيجة لذلك، يمكن أن تؤدي واجهة `AF ALG` إلى تشغيل معالجة ذيل ESN بطول علامة غير كافٍ، مما يؤدي إلى وصول خارج النطاق.

يحدث عيب في وحدة netfilter conntrack نتيجة لاستخدام الدالة `sprintf()` وعدم كفاية حجم المخزن المؤقت داخل الدالة `mangle content len()`. قد يؤدي ذلك إلى كتابة خارج حدود المكدس (stack-out-of-bounds write)، وهو نوع من تلف الذاكرة حيث تُكتب البيانات خارج حدود مخزن مؤقت ذي طول ثابت في المكدس. يمكن استغلال هذه المشكلة لإحداث هجوم رفض الخدمة.

يحدث عيب في برنامج تشغيل شبكة ice أثناء إرسال حزم الشبكة. عندما تفشل الدالتان `ice tso()` أو `ice tx csum()`، يقوم مسار الخطأ في `ice xmit frame ring()` بتحرير مخزن الشبكة المؤقت (skb)، لكن مخزن الإرسال المؤقت (`tx buf`) يستمر في الإشارة إليه ويظل مُعلمًا على أنه صالح. إذا تم إيقاف واجهة الشبكة قبل إرسال حزمة أخرى للكتابة فوق المخزن المؤقت، فإن الدالة `ice clean tx ring()` تستدعي الدالة `ice unmap and free tx buf()`، والتي تقوم بتحرير skb للمرة الثانية. قد يؤدي هذا التحرير المزدوج إلى تعطل النظام أو رفض الخدمة (DoS).