Katalog podatności CVE

W sterowniku rtl8723bs w jądrze Linux występuje zapis poza zakresem (OOB write) w funkcji HT_caps_handler(). Funkcja iteruje po pIE->length bajtach i zapisuje do 26-bajtowej tablicy HT_caps.u.HT_cap[]. Ponieważ pIE->length pochodzi z ramki AssocResponse i nie jest walidowany, złośliwy punkt dostępowy może ustawić go na 255, powodując zapis do 229 bajtów poza zakresem.

W jądrze Linuxa w sterowniku Intel QAT wykryto podatność use-after-free podczas wyłączania SR-IOV. Funkcja adf_disable_sriov() niszczy struktury per-VF bez zatrzymywania lub synchronizacji z pracownikami VF2PF, co prowadzi do dereferencji zwolnionej pamięci. Problem został rozwiązany przez dodanie flagi vf2pf_disabled oraz synchronizację przerwań i kolejki prac.

W jądrze Linux wykryto podatność use-after-free w module ksmbd. Problem występuje, gdy po zamknięciu uchwytu blokady (SMB2_CLOSE) wysłane zostanie żądanie anulowania (SMB2_CANCEL) dla tego samego identyfikatora AsyncId. W wyniku tego zwolniona struktura file_lock jest ponownie używana, co prowadzi do naruszenia pamięci.

W jądrze Linux w funkcji pfkey_msg2xfrm_state() podczas obsługi stanów IPComp (SADB_X_SATYPE_IPCOMP) nie inicjalizowano pola alg_key_len w strukturze x->calg. Powoduje to pozostawienie niezainicjalizowanych danych z pamięci podręcznej, które są później używane przez xfrm_algo_clone() podczas migracji stanu (XFRM_MSG_MIGRATE), co prowadzi do odczytu poza zakresem alokacji (slab-out-of-bounds) i potencjalnego błędu KASAN.

W jądrze Linuxa wykryto wyścigi danych (data races) przy odczycie długości kolejki audit_queue przez funkcję skb_queue_len(). Wiele wątków czyta to pole bez blokady, podczas gdy zapis jest chroniony spinlockiem, co prowadzi do niespójnych odczytów.

W jądrze Linuxa w stosie Bluetooth L2CAP wykryto podatność use-after-free (UAF) w funkcji l2cap_chan_timeout(). Gdy kanał L2CAP ma ustawiony limit czasu, a połączenie zostanie zerwane przed wygaśnięciem timera, funkcja timeoutu próbuje uzyskać dostęp do już zwolnionej struktury połączenia (l2cap_conn), co prowadzi do naruszenia pamięci. Problem został rozwiązany przez dodanie mechanizmu utrzymywania referencji do połączenia przez cały czas życia kanału.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji add_device_complete w stosie Bluetooth (MGMT). Funkcja ta odwołuje się do obiektu hci_conn_params bez odpowiedniego blokowania, co pozwala równoczesnej operacji remove_device na zwolnienie pamięci przed jej odczytaniem.

W jądrze Linux w sterowniku NTFS3 wykryto podatność na zapis poza zakresem bufora (slab out-of-bounds) podczas odtwarzania dziennika $LogFile. Atakujący może spreparować obraz NTFS, w którym pole lcns_follow w rekordzie dziennika jest większe niż pojemność tablicy DPT, co prowadzi do zapisu poza przydzieloną pamięcią.

W jądrze Linuxa w sterowniku NTFS wykryto podatność polegającą na wywołaniu funkcji post_write_mst_fixup() dla nieprawidłowego bloku indeksu. Atakujący może spreparować złośliwy obraz NTFS, co prowadzi do odczytu lub zapisu poza dozwolonym obszarem pamięci (out-of-bounds).

W sterowniku NTB (Non-Transparent Bridge) dla urządzeń PCIe EPF wykryto problem polegający na wywoływaniu funkcji pci_irq_vector() w kontekście przerwania sprzętowego (hardirq). Funkcja ta używa mutexa, co prowadzi do błędu planowania (scheduling while atomic) i może spowodować zawieszenie systemu.

W jądrze Linux wykryto błąd use-after-free w mechanizmie netpoll podczas zamykania. Problem występuje, gdy oczekujący proces roboczy TX działa równolegle z procedurą czyszczenia, co prowadzi do odwołania do już zwolnionej pamięci.

W jądrze Linux wykryto podatność w implementacji protokołu IGMP dla IPv4. Podczas niszczenia interfejsu sieciowego grupy multicast nie są usuwane z tablicy mieszającej (mc_hash), co przy współbieżnym dostępie RCU może prowadzić do użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux w stosie TCP/IP wykryto podatność związaną z brakiem walidacji wartości sysctl net.ipv4.tcp_reordering. Ujemne wartości zapisywane do tego sysctl są kopiowane do pola tp->reordering jako u32, co powoduje zawinięcie do dużych wartości. Może to prowadzić do przepełnienia w obliczeniach rozmiaru MTU i odczytu poza zakresem. Poprawka dodaje walidację przez proc_dointvec_minmax() oraz zabezpiecza obliczenia przez użycie u64.

W jądrze Linux w sterowniku multimediów NXP i.MX8 ISI wykryto błąd use-after-free podczas usuwania modułu. Funkcja mxc_isi_remove() wywołuje mxc_isi_crossbar_cleanup() przed mxc_isi_v4l2_cleanup(), co powoduje zwolnienie padów encji medialnych, a następnie próbę usunięcia linków odnoszących się do już zwolnionych padów. Poprawka odwraca kolejność wywołań.

W jądrze Linux w sterowniku MFD ChromeOS Embedded Controller wykryto błąd use-after-free spowodowany przedwczesnym ustawieniem drvdata. Funkcja ec_device_probe() ustawiała drvdata przed zakończeniem inicjalizacji, co pozwalało podsterownikom na dostęp do zwolnionej pamięci po nieudanym probe. Poprawka opóźnia ustawienie drvdata do momentu sukcesu inicjalizacji.

W jądrze Linux wykryto błąd w mechanizmie skalowania shrinker_info, który prowadzi do wyścigu podczas rozszerzania i usuwania tej struktury. Problem występuje, gdy expand_shrinker_info() iteruje po memcg, które nie zakończyły jeszcze procesu online, a jednocześnie alloc_shrinker_info() zwalnia pamięć poza sekcją chronioną mutexem. Może to skutkować podwójnym zwolnieniem pamięci (double-free) lub użyciem po zwolnieniu (use-after-free).

W jądrze Linux w podsystemie netfilter występuje problem z nieczytelnymi fragmentami pakietów (np. z devmem TCP). Funkcja skb_copy_bits() zwraca błąd, ale moduł xt_u32 nie obsługuje tego poprawnie. Ponadto gather_frags, nfnetlink_queue i nfnetlink_log nie radzą sobie z takimi fragmentami.

W jądrze Linux w podsystemie ebtables tablica chainstack nie jest zerowana przed użyciem. Jeśli cpu_possible_mask jest rzadki (np. CPU 0 i 2 są możliwe, ale CPU 1 nie), a alokacja dla CPU 2 się nie powiedzie, pętla czyszcząca może wywołać vfree() na niezainicjalizowanym wskaźniku, co prowadzi do potencjalnego błędu.

W jądrze Linux w podsystemie ebtables nazwy modułów nie są odpowiednio zakończone znakiem null. Funkcja request_module() może otrzymać niezakończony null łańcuch, co prowadzi do potencjalnego przepełnienia bufora lub błędnego ładowania modułu.

W jądrze Linux w podsystemie ebtables funkcje update_counters() i compat_update_counters() przekazują 32-bajtową nazwę tabeli do find_table_lock() bez zakończenia znakiem null. Przy braku dopasowania, funkcja try_then_request_module() próbuje załadować moduł, a vsnprintf() odczytuje poza granicami nazwy, co prowadzi do odczytu poza stosem (KASAN: stack-out-of-bounds).