Katalog podatności CVE

W jądrze Linux w sterowniku drm/vc4 dla HDMI występuje problem z kolejnością włączania Packet RAM. Gdy dźwięk jest wyzwalany przez obsługę HPD przed przywróceniem obrazu, funkcja vc4_hdmi_write_infoframe() może próbować zapisać infoframe przy wyłączonym Packet RAM, co powoduje ostrzeżenie jądra (splat). Poprawka przenosi włączanie/wyłączanie Packet RAM do hooków Runtime PM.

W podsystemie vsock jądra Linux przejście ze stanu TCP_ESTABLISHED do TCP_CLOSING przy odebraniu OP_RST może wyścignąć się z pętlą connect. Reset gniazda wciąż obecnego w connected_table może prowadzić do uszkodzenia pamięci, w tym podwójnego dodania do listy i błędu jądra.

W module net/rds jądra Linux funkcja rds_rdma_cm_event_handler_cmn() zwraca wynik rdma_resolve_route() bezpośrednio do rdma_cm przy zdarzeniu RDMA_CM_EVENT_ADDR_RESOLVED. Synchroniczny błąd powoduje zniszczenie identyfikatora ic->i_cm_id, który nadal jest używany przez RDS, co prowadzi do użycia zwolnionego identyfikatora przy zamykaniu połączenia.

W podsystemie netlink jądra Linux filtry gniazd mogą używać SKF_NET_OFF i SKF_LL_OFF do odczytu względem nagłówków sieciowych i MAC skb. Producenci netlink mogą rezerwować headroom bez resetowania tych nagłówków, co pozwala filtrowi odbierającego gniazda odczytać dane sprzed zainicjowanej wiadomości i ujawnić zawartość pamięci.

W sterowniku accel/rocket jądra Linux funkcja rocket_probe() zapisuje wynik rocket_device_init() w globalnym wskaźniku rdev przed sprawdzeniem, czy jest to wskaźnik błędu. Przy niepowodzeniu rdev pozostaje jako ERR_PTR, a późniejsza próba może pominąć inicjalizację i wyłuskać wskaźnik błędu przy odczycie rdev->num_cores.

W sterowniku drm/xe jądra Linux funkcja xe_evict_flags() odczytuje tbo->resource->mem_type, ale bufor BO może trafić do eksmisji bez ttm.resource, np. importowany dma-buf, którego zasób zwolniono podczas rozbierania. Prowadzi to do wyłuskania wskaźnika NULL i błędu jądra.

W sterowniku drm/xe/oa jądra Linux bufory BO typu ttm_bo_type_kernel nie są gwarantowanie zerowane przy alokacji i mogą zawierać dane z wcześniej zwolnionych stron. Ponieważ bufor OA jest mapowalny przez przestrzeń użytkownika, może to ujawnić nieaktualną zawartość pamięci jądra.

W jądrze Linux w podsystemie scsi: target funkcja target_do_delayed_work() pobierała blokadę delayed_cmd_lock za pomocą zwykłego spin_lock(), nie wyłączając przerwań, podczas gdy wszystkie inne miejsca używają spin_lock_irqsave(). Odkąd komendy mogą być kończone w kontekście przerwania (complete_type=1 z direct_compl_supp), może to prowadzić do zakleszczenia, gdy ukończenie komendy trafi na ten sam CPU, na którym work item trzyma blokadę.

W jądrze Linux w podsystemie scsi target iscsi występuje wyścig przy aktualizacji parametru uwierzytelniania discovery. Równoczesne otwarcia configfs mogą zwolnić tę samą wartość w iscsi_update_param_value(), powodując podwójne zwolnienie pamięci (double-free).

W jądrze Linux w funkcji sched_change_end() występuje wyścig z __sched_setscheduler() dla zadań zakolejkowanych, ale nieuruchomionych. Po zmianie klasy zadania (np. z SCHED_OTHER na SCHED_RR) wskaźnik rq->next_class nie jest aktualizowany, a wskaźnik potrzeby przeplanowania nie jest ustawiany, co prowadzi do bezczynności CPU mimo obecności gotowego do uruchomienia zadania.

W module ocfs2/dlm jądra Linux funkcja debug_state_print() odczytuje listę uczestników odzyskiwania bez odpowiedniej ochrony synchronizacji. Lista jest chroniona przez dlm_reco_state_lock, a nie przez dlm->spinlock, więc równoległe wywołanie dlm_destroy_recovery_area() może zwolnić rekordy w trakcie ich odczytu przez debugfs, prowadząc do use-after-free.

W jądrze Linux w obsłudze pipe występuje błąd w fasync_helper() przy równoczesnym włączaniu F_SETFL/FIOASYNC na jednym FIFO O_RDWR. Ścieżka błędu usuwa wcześniej zarejestrowany wpis czytelnika, co prowadzi do use-after-free w send_sigio() i może być wywołane przez nieuprzywilejowanego użytkownika pod presją pamięci.

W jądrze Linux w podsystemie libsas (SCSI) występuje zakleszczenie podczas wznawiania kontrolera HBA (HA resume). Funkcja smp_execute_task_sg() wywołuje pm_runtime_get_sync(), które czeka na zakończenie trwającego wznawiania, podczas gdy ścieżka wznawiania czeka w sas_drain_work() na zakończenie tego samego polecenia SMP — do zakleszczenia dochodzi, gdy do expandera podłączony jest dysk SATA. Problem naprawiono, zastępując parę get_sync()/put_sync() wywołaniami pm_runtime_get_noresume()/pm_runtime_put() oraz dodając pm_runtime_resume_and_get() w ścieżce BSG.

W jądrze Linux naprawiono podatność w podsystemie netlink, gdzie klucz tablicy rhashtable zawierał surowy wskaźnik struct net oraz kontrolowany przez użytkownika port ID. Poprzez wielokrotne wiązanie i odwiązywanie wybranych portów NETLINK_USERSOCK nieuprzywilejowany czytelnik mógł odzyskać dolne bity hasha Jenkinsa, a następnie wyszukać offline adres init_net. Rozwiązaniem jest użycie unikalnego, niebędącego adresem net_cookie przestrzeni nazw w kluczu porównania.

W jądrze Linux sterownik sieciowy hisi_femac (net: hisilicon) przypisuje netdev_ops dopiero po podłączeniu PHY. Gdy włączone jest CONFIG_NET_SHAPER, phy_attach_direct() odczytuje niezainicjowane netdev_ops, co powoduje panikę jądra z powodu dereferencji NULL.

W jądrze Linux sterownik hip04_eth (net: hisilicon) wywołuje of_phy_connect() przed przypisaniem ndev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik owl_emac (net: ethernet: actions) wywołuje owl_emac_phy_init(), która podłącza PHY, przed przypisaniem netdev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik mv643xx_eth podłącza PHY przed przypisaniem dev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik sieciowy au1000 wywołuje au1000_mii_probe() i podłącza PHY przed przypisaniem dev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik ethoc wywołuje ethoc_mdio_probe() i podłącza PHY przed przypisaniem netdev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje netdev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.