В ядре Linux устранена следующая уязвимость:
Accel/amdxdna: отклонить отправку команды пользователя без команды BO
amdxdna_drm_submit_execbuf() передает предоставленный пользователем дескриптор BO команды
прямо в amdxdna_cmd_submit() с drv_cmd == NULL. Когда ручка
AMDXDNA_INVALID_BO_HANDLE (0), блок, который извлекает job->cmd_bo,
пропускается, оставляя его NULL, и никакая проверка не отклоняет его на пути пользователя (теперь
!job->cmd_bo Guard находится внутри ветки != INVALID). Затем задание активируется и передается планировщику DRM.
aie2_sched_job_run() принимает путь drv_cmd == NULL и вызывает
amdxdna_cmd_set_state(job->cmd_bo) -> amdxdna_gem_vmap(NULL) ->
to_gobj(NULL)->dev, разыменование NULL-указателя в рабочем потоке drm_sched.
Процесс с доступом к узлу ускорения в системе с проверенным AMD NPU
может вызвать ошибку ядра с помощью одного AMDXDNA_EXEC_CMD ioctl
(cmd_handles = 0). Только внутренние команды драйвера (SYNC_DEBUG_BO/ATTACH_DEBUG_BO)
законно передают AMDXDNA_INVALID_BO_HANDLE, и они всегда устанавливают drv_cmd. Отклонить недопустимый дескриптор для пользовательских материалов (drv_cmd == NULL) на
отправьте узкую точку, чтобы охватить каждый путь пользователя.
Обнаружен с помощью автоматизированного инструмента исследования безопасности 0sec (https://0sec.ai).
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: accel/amdxdna: reject user command submission without a command BO amdxdna_drm_submit_execbuf() passes the user-supplied command BO handle straight into amdxdna_cmd_submit() with drv_cmd == NULL. When the handle is AMDXDNA_INVALID_BO_HANDLE (0), the block that fetches job->cmd_bo is skipped, leaving it NULL, and no check rejects it on the user path (the !job->cmd_bo guard lives inside the != INVALID branch). The job is then armed and pushed to the DRM scheduler. aie2_sched_job_run() takes the drv_cmd == NULL path and calls amdxdna_cmd_set_state(job->cmd_bo) -> amdxdna_gem_vmap(NULL) -> to_gobj(NULL)->dev, a NULL pointer dereference in the drm_sched worker. A process with access to the accel node on a system with a probed AMD NPU can trigger a kernel oops with a single AMDXDNA_EXEC_CMD ioctl (cmd_handles = 0). Only internal driver commands (SYNC_DEBUG_BO / ATTACH_DEBUG_BO) legitimately pass AMDXDNA_INVALID_BO_HANDLE, and they always set drv_cmd. Reject the invalid handle for user submissions (drv_cmd == NULL) at the submit choke point so every user path is covered. Found by 0sec automated security-research tooling (https://0sec.ai).