Katalog podatności CVE

W jądrze Linux naprawiono zapętlenie w io_cqring_wait_schedule(), gdy ustawiony jest bit IO_CHECK_CQ_OVERFLOW_BIT, a lista przepełnienia nie może zostać opróżniona. Zadanie wiruje w jądrze i nie można go zabić, m.in. przy IORING_SETUP_CQE_MIXED lub manipulacji wskaźnikiem CQ head przez aplikację.

W jądrze Linux naprawiono błąd w io_uring/io-wq, w którym sygnał kończący pracę mógł zostać utracony. Gdy wątek kończy działanie, jego io-wq jest zamykane, a pracownicy są budzeni sygnałem, ale pracownik, który nie rozpoczął jeszcze pracy, mógł ten sygnał utracić. Prowadziło to do zawieszenia wątku w do_exit() np. przy IORING_OP_OPENAT na FIFO bez pisarza z IOSQE_ASYNC.

W jądrze Linux w mechanizmie io_uring/waitid występuje błąd licznika referencji, w którym powtarzane nieudane próby anulowania żądania mogą spowodować przepełnienie 31-bitowego pola referencji do zera. Późniejsze anulowanie może wtedy przejąć własność i zakończyć żądanie po raz drugi.

W jądrze Linux naprawiono błąd use-after-free w funkcji find_keyring_by_name() podczas wyszukiwania nazwanego keyringu. Funkcja czytała keyring->user->uid pod keyring_name_lock, który nie chroni obiektu key_user, więc równoległy KEYCTL_CHOWN mógł zwolnić stary obiekt key_user między odczytem wskaźnika a odczytem UID. Poprawka polega na użyciu inline pola keyring->uid zamiast dereferencji konta właściciela.

W jądrze Linux występuje luka w funkcji search_process_keyrings_rcu(), która sprawdza ładunek autoryzacji (authorization payload) i zapisane poświadczenia. W wyniku wyścigu (race condition) między wątkiem potomnym helpera request-key a wątkiem żądającym, wskaźnik ładunku może zostać wyzerowany przez request_key_auth_revoke(), co prowadzi do dereferencji NULL i oops jądra.

W jądrze Linux naprawiono błąd w keyctl_describe_key(), gdzie nazwa typu klucza mogła zostać zwolniona przez wyładowanie modułu (np. AF_RXRPC) w trakcie formatowania opisu klucza. Prowadziło to do użycia zwolnionej pamięci (use-after-free) i błędu page fault w funkcji string(). Poprawka polega na utrzymaniu blokady key->sem przez cały czas wykonywania kasprintf().

W jądrze Linux indeksy keyringów zawierały adresy jądra (hash wskaźników typu i domeny), co pozwalało nieuprzywilejowanemu użytkownikowi przewidzieć kolejność kluczy i odzyskać adres obrazu jądra, obchodząc KASLR. Poprawka usuwa adresy z całego indeksu, zastępując je leniwie przydzielanymi 64-bitowymi ID hashowanymi kluczem SipHash.

W jądrze Linux występuje luka use-after-free w obsłudze kluczy. Funkcja keyctl_read_key() sprawdza metodę read typu klucza bez trzymania semafora key->sem, przez co klucz RxRPC może zostać odczytany w trakcie wyładowywania modułu AF_RXRPC, gdy pamięć modułu została już zwolniona.

W jądrze Linux funkcja trusted_tpm_unseal() kontynuowała działanie po niepowodzeniu odpieczętowania TPM i wywoływała pcrlock(); jeśli pcrlock() się powiodło, jego wynik nadpisywał błąd, przez co instancjonowanie klucza kończyło się sukcesem mimo błędu.

W jądrze Linux parser PKCS#8 pozostawia pusty slot asym_key_ids, a key_or_keyring_common() bezwarunkowo go dereferencjonuje przy restrykcji key_or_keyring. Nieuprzywilejowany wywołujący może wywołać NULL pointer dereference przez KEYCTL_RESTRICT_KEYRING i add_key(), powodując panikę jądra.

W jądrze Linux funkcja print_rec() pozostawia zmienne 'modname' i 'offset' niezainicjalizowane, a kallsyms_lookup() ustawia je tylko przy sukcesie. Gdy wyszukiwanie zawiedzie (np. podczas ładowania lub wyładowywania modułu), 'modname' zawiera śmieciową wartość, przechodzi sprawdzenie 'if (modname)' i jest dereferencjonowana przez seq_printf(), powodując błąd general protection fault.

W jądrze Linux funkcja coredump_finish() zwalnia zaparkowane wątki bez trzymania referencji na zadaniu i poza sekcją RCU. Jeśli klient coredump zostanie wywłaszczony między zapisem a wake_up_process(), wątek może zostać zwolniony, a try_to_wake_up() odwoła się do zwolnionej pamięci.

W jądrze Linux kolejność sprzątania w copy_process() powodowała zakleszczenie: fork kończący się niepowodzeniem, gdy inny wątek zamknął fd linku bpf, blokował się na własnej stronie odczytu scx_fork_rwsem, blokując wszystkie forki w systemie. Poprawka zwalnia pliki dziecka po sched_cancel_fork() i czyści p->files z góry.

Kontroler SUSE Rancher Fleet nie ograniczał wystarczająco, które sekrety kubeconfig może przywoływać obiekt Fleet Cluster. W efekcie zwykły użytkownik mógł zdefiniować klaster w swojej przestrzeni nazw i powiązać go z poświadczeniami administracyjnymi klastra zarządzającego, co pozwalało kontrolerowi zarządzać klastrem zarządzającym w imieniu tego użytkownika z podwyższonymi uprawnieniami. Podatność dotyczy wersji 0.16.0–0.16.3, 0.15.0–0.15.8, 0.14.0–0.14.12, 0.13.0–0.13.17 i prawdopodobnie starszych.

W punkcie końcowym meta proxy (/meta/proxy) SUSE Rancher Manager decyzja o dozwolonej liście była oceniana w miejscu, w którym nie mogła zatrzymać przekazania żądania. Odrzucony cel był logowany, ale żądanie nadal trafiało do transportu proxy.

Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na ślepą iniekcję SQL w nieuwierzytelnionej trasie API loopback, która łączy się z MySQL jako root. Parametr 'user' jest wstawiany bezpośrednio do zapytania przeciw tabeli oauth_clients, co umożliwia czasową ślepą iniekcję SQL i wyodrębnienie dowolnych danych z bazy.

Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie zmiany hasła API loopback /newpass/, działającej jako root. Atakujący może wstrzyknąć dowolne polecenia systemowe poprzez manipulację parametrem POST 'user', przekazywanym bez escapowania do polecenia powłoki.

Control Web Panel (CWP) przed wersją webpanel_version 1.16 zawiera podatność na wstrzyknięcie SQL w bramie uwierzytelniania API loopback access_token(), która łączy się z MySQL jako root i wstawia wartości kontrolowane przez atakującego bezpośrednio do zapytania. Atakujący mogą wstrzyknąć SQL poprzez parametry authorization_code i client_id.

Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w trasie przywracania bazy danych API loopback /v1/restoredatabase/. Handler restoreDBBackup() przekazuje ścieżkę pliku kontrolowaną przez atakującego z ciała POST do polecenia powłoki bez odpowiedniego escapowania.

Control Web Panel (CWP) przed wersją webpanel_version 1.30 zawiera podatność polegającą na braku uwierzytelniania, która pozwala atakującym mogącym dotrzeć do usługi API loopback wywoływać trasy API z uprawnieniami roota bez przedstawiania tokenu dostępu. Atakujący mogą uzyskać dostęp do punktów końcowych takich jak /v1/restoredatabase/, /generaluser/, /last_access/, /valid_user/, /valid_token/ i /user_panel_dashboard/.