Katalog podatności CVE

W jądrze Linux w module drm/nouveau/dmem funkcja nouveau_dmem_chunk_alloc() rejestruje region DMEM_CHUNK_SIZE * NR_CHUNKS, ale powiązany bufor VRAM pozostaje rozmiaru DMEM_CHUNK_SIZE. W efekcie strony poza pierwszym chunkiem wskazują na VRAM poza buforem, co prowadzi do nieprawidłowego dostępu do pamięci.

W jądrze Linux w module drm/nouveau/uvmm występuje podatność use-after-free. Funkcja nouveau_uvmm_sm() wywołuje op_map(), która przekazuje bo->resource przez nouveau_mem() do nouveau_uvma_map(), a następnie nouveau_uvmm_vmm_map() odczytuje mem->mem.type. Gdy bufor BO pozostaje w TTM_PL_SYSTEM, bo->resource wskazuje jedynie na struct ttm_resource, więc odczyt mem->mem.type wykracza poza koniec zasobu, co powoduje błąd KASAN: slab-use-after-free.

W sterowniku nouveau jądra Linux występuje podwójne zwolnienie pamięci (double-free) w funkcji nvif_vmm_dtor. Gdy inicjalizacja klienta nouveau_cli_init() zakończy się niepowodzeniem, funkcja nouveau_cli_fini() jest wywoływana dwukrotnie, a pole vmm->page nie jest zerowane po zwolnieniu, co prowadzi do ponownego zwolnienia tego samego obszaru pamięci.

W jądrze Linux struktura nouveau_sched zawiera drm_gpu_scheduler, a nouveau_sched_destroy() zwalnia ją przez kfree() po drm_sched_fini(). Ponieważ fence'y wyeksportowane do przestrzeni użytkownika przez drm_syncobj/sync_file nadal wskazują na zwolnioną pamięć, późniejsze wywołanie get_timeline_name() powoduje use-after-free (KASAN slab-use-after-free read).

W jądrze Linux w funkcji xe_vm_close_and_put() niszczono strukturę vm->pt_root (poprzez xe_vm_pt_destroy()) zanim jeszcze przetworzono VMAs znajdujące się na liście contested, które wciąż były powiązane z buforami. Jeśli równoległy wątek wyewakuuje jeden z tych współdzielonych buforów, xe_bo_trigger_rebind() przechodzi po VMAs BO i wywołuje xe_pt_zap_ptes(), gdzie dereferencja pt->level powoduje NULL pointer dereference, ponieważ vm->pt_root[tile->id] jest już NULL.

W jądrze Linux występuje błąd braku bariery pamięciowej między inicjalizacją anon_vma a opublikowaniem wskaźnika vma->anon_vma. W wyniku tego dwa wątki obsługujące sąsiadujące VMA mogą jednocześnie wywołać __anon_vma_prepare(), co prowadzi do użycia zwolnionej pamięci (UAF) i zakleszczenia na blokadzie anon_vma->root->rwsem. Objawia się to zawieszeniem zadania (hungtask) na platformach arm64.

W jądrze Linux w funkcji alps_input_configured() sterownika HID alps wskaźnik data->input2 jest zapisywany przed rejestracją urządzenia wejściowego. Jeśli rejestracja się nie powiedzie, input_free_device() zwalnia pamięć, ale data->input2 nadal wskazuje na zwolniony obszar, co przy aktywnych URB może prowadzić do use-after-free.

W jądrze Linux funkcja wacom_wac_pen_serial_enforce() sterownika HID wacom może obliczyć nieprawidłowy offset przekazywany do hid_field_extract(), powodując odczyt pamięci poza końcem raportu. Wartość trafia do wacom_wac->serial[0] i może zostać ujawniona użytkownikowi jako zdarzenie MSC_SERIAL.

W jądrze Linux funkcja mlx5e_ipsec_policy_mask() sterownika net/mlx5e buduje maski dla polityk IPv6 XFRM, ale setup_fte_addr6() instaluje każdą maskę w przeciwnym polu adresu. Gdy długości prefiksów źródła i celu różnią się, reguła sprzętowa może pomijać ruch objęty polityką i dopasowywać ruch spoza niej.

W jądrze Linux w module openvswitch (conntrack) występuje problem polegający na możliwości modyfikacji współdzielonego, niepotwierdzonego wpisu conntrack. Gdy sklonowany skb z niepotwierdzonym wpisem ct jest zatwierdzany, dochodzi do rozbieżności w zestawie rozszerzeń, co prowadzi do use-after-free na ścieżce niszczenia wpisu.

W jądrze Linux w module bridge (mdb) występuje use-after-free spowodowany nieaktualnym kursorem po usunięciu grupy portów. Funkcja br_mdb_flush_pgs() może wskazywać na zwolnioną pamięć, co ujawnia się przy kolejnym RTM_GETMDB.

W jądrze Linux w module netfilter ip6t_rt występuje odczyt poza zakresem przy dopasowaniu nieścisłym z zerowym adresem. Gdy reguła ma rtinfo->addrnr == 0, spreparowany pakiet IPv6 może spowodować wyjście indeksu poza strukturę ip6t_rt.

W jądrze Linux w libiscsi_tcp gałąź obsługi PDU Data-In funkcji iscsi_tcp_hdr_dissect() kopiuje dane do scatterlisty polecenia bez sprawdzenia, czy polecenie było operacją odczytu. Złośliwy cel iSCSI może odpowiedzieć na polecenie WRITE ramką Data-In i nadpisać strony pamięci, które inicjator miał wysłać.

W jądrze Linux w module KVM SEV nie wykonywano ręcznej obsługi pamięci podręcznej na źródłowej maszynie wirtualnej podczas migracji wewnątrz hosta. Po zniszczeniu źródłowej maszyny wirtualnej w pamięciach podręcznych procesora mogły pozostać nieaktualne dane, ponieważ przepływy odzyskiwania pamięci KVM nie wyzwalały takiej obsługi.

W jądrze Linux w module KVM dla architektury arm64 konsolidacja akcesorów rejestrów punktów przerwania i obserwacji przełączyła DBGBXVR<n> z trap_bvr() na trap_dbg_wb_reg(). Ponieważ DBGBXVR<n> używa Op2 równego 1, dostęp gościa AArch32 trafiał w KVM_BUG_ON() i oznaczał maszynę wirtualną jako martwą.

W jądrze Linux w module KVM dla architektury arm64 funkcja fix_host_ownership() przechodziła tylko przez alias liniowego mapowania każdego regionu memblock. Stos hiperwizora na CPU, mapowany w prywatnym zakresie adresów ze względu na stronę ochronną, nie posiadał takiego aliasu i nie był obejmowany tym przejściem.

W jądrze Linux wirtualizacja RISC-V KVM nie serializuje operacji na atrybutach IMSIC względem migracji vCPU. Funkcja kvm_riscv_aia_imsic_rw_attr() może zapisać nieaktualne dane (fizyczny CPU i HGEI) przed migracją vCPU, przez co operacja GET lub SET może uzyskać dostęp do pliku przerwań nowego właściciela.

W jądrze Linux w Bluetooth mgmt funkcja read_unconf_index_list() zlicza nieskonfigurowane kontrolery przed alokacją odpowiedzi, a następnie ponownie sprawdza flagi urządzeń podczas wypełniania. Podczas asynchronicznej konfiguracji kontrolera worker może ustawić HCI_UNCONFIGURED i wyczyścić HCI_SETUP między przebiegami, przez co kontroler pominięty w zliczaniu staje się kwalifikowalny w przebiegu wypełniania, powodując zapis poza zakresem tablicy rp->index[].

W kliencie SMB w jądrze Linux funkcja smb2_parse_contexts() waliduje cały obszar kontekstów tworzenia, ale nie ogranicza każdego rekordu do wartości pola Next przed przekazaniem go do handlera. Złośliwie spreparowany łańcuch kontekstów może ujawnić bajty spoza bieżącego kontekstu, a parsery lease odczytują pola pod stałymi offsetami zamiast pod DataOffset.

W kliencie SMB w jądrze Linux otwarcie z flagą O_CREAT może natrafić na istniejący dowiązanie symboliczne lub inny inode niebędący plikiem regularnym. cifs_atomic_open() wywołuje na nim finish_open() i dołącza cifsFileInfo, ale inode dowiązania nie ma operacji zwolnienia CIFS, więc referencja dentry trzymana przez cifsFileInfo wycieka, a FMODE_OPENED uniemożliwia VFS podążenie za dowiązaniem.