Katalog podatności CVE

W jądrze Linux sterownik aeroflex greth wywołuje greth_mdio_init() i podłącza PHY przed przypisaniem dev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik ti icssm-prueth wywołuje of_phy_get_and_connect() przed przypisaniem ndev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik bcmgenet zapisuje first_cb, last_cb i bytes_sent w bloku kontrolnym skb i odczytuje je przy zakończeniu transmisji. Ponieważ ether_setup() pozostawia flagę IFF_TX_SKB_SHARING, stos może ponownie przesłać współdzielony skb wciąż obecny w pierścieniu, nadpisując last_cb i powodując, że wcześniejsze sloty kończą się bez rozliczenia bajtów, co blokuje kolejkę BQL do czasu resetu przez watchdog.

W jądrze Linux naprawiono błąd w funkcji calipso_skbuff_setattr(), która nieprawidłowo modyfikowała pole payload_len w nagłówku IPv6 dla pakietów BIG TCP (o rozmiarze większym niż IPV6_MAXPLEN). Powodowało to utratę mechanizmu fallback do skb->len w ipv6_payload_len(), co zaburzało działanie nf_tables, conntrack i sch_cake. Poprawka ustawia payload_len za pomocą ipv6_set_payload_len(), zgodnie z zachowaniem ipv6_gro_complete().

W jądrze Linux funkcja gpiod_set_array_value_complex() po nieudanym wywołaniu gpiochip_set_multiple() zwraca wynik natychmiast, pomijając zwolnienie ewentualnie zaalokowanych bitmap. Prowadzi to do wycieku pamięci na mało prawdopodobnej, ale możliwej ścieżce błędu.

W jądrze Linux sterownik GPIO mxc instaluje dołączony handler IRQ (mxc_update_irq_chained_handler()) przed skonfigurowaniem domeny IRQ, układu IRQ i wpisu listy portów. Przerwanie w tym oknie powoduje dereferencję NULL lub dostęp do niekompletnej listy, a błędy późniejszych kroków probe pozostawiają wiszący handler wskazujący na zwolnioną pamięć.

W jądrze Linux sterownik stmmac dwmac1000 od czasu usunięcia obsługi przerwań SGMII/RGMII/SMII nie odczytuje rejestru GMAC_RGSMIIIS, przez co status RGMII pozostaje oczekujący za GMAC_INT_MASK. Podczas stmmac_resume() reset MAC zeruje maskę i oczekujący status zalewa linię przerwań, powodując soft lockup, reset watchdoga lub zawieszenie.

W jądrze Linux funkcja __perf_pmu_remove() usuwa liderów grup podczas iteracji po perf_event_groups_for_cpu_pmu(), a perf_remove_from_context() wyjmuje lidera z drzewa rbtree, przez co rb_next() zwraca NULL i iteracja kończy się przedwcześnie. Pozostałe grupy zostają w źródłowym kontekście i są niszczone dopiero przy wyłączaniu CPU, działając mimo przeniesienia przerwań i zdarzeń PMU na nowy CPU.

W jądrze Linux w funkcji get_seg_reg_override_idx() doszło do przesłonięcia zmiennej indeksu pętli przez zmienną lokalną o tej samej nazwie. W efekcie nadpisania prefiksów segmentów FS/GS są ignorowane, a prefiks CS powoduje nieskończoną pętlę w jądrze podczas emulacji UMIP, co pozwala dowolnemu użytkownikowi zawiesić CPU aż do restartu systemu.

W podsystemie firewire jądra Linux występuje warunek wyścigu w obsłudze transakcji dzielonych (split transaction). Zarówno procedura obsługi odpowiedzi, jak i callback timeoutu mogą przetwarzać ten sam wpis transakcji, co prowadzi do use-after-free po stronie inicjatora transakcji.

W jądrze Linux w sterowniku accel/rocket funkcja rocket_remove() zmniejsza liczbę rdzeni (num_cores) przed wyszukaniem slotu, przez co ostatni rdzeń nie jest odnajdywany i nie jest usuwany. Prowadzi to do wycieku stanu i w konsekwencji do zapisu poza tablicą rdev->cores przy ponownym bindowaniu rdzeni na RK3588.

W jądrze Linux w sterowniku accel/rocket funkcja sched_to_core() przeszukuje tylko zakres rdev->num_cores, który jest zmniejszany przy odłączaniu rdzenia. Odłączenie rdzenia innego niż ostatni powoduje, że rdzenie za nim wypadają z wyszukiwania, a sched_to_core() zwraca NULL mimo że rdzeń nadal działa. Brak sprawdzenia wyniku w rocket_job_run() i rocket_job_timedout() prowadzi do dereferencji NULL (KASAN: null-ptr-deref).

W komponencie ASoC SOF (ipc4-topology) jądra Linux występuje przesunięcie poza zakres przy agregowanym przechwytywaniu ALH. Gdy liczba kanałów jest mniejsza niż liczba urządzeń, obliczenie step = ch_count / device_count daje zero, a GENMASK(step - 1, 0) powoduje niedomknięcie i przesunięcie poza zakres, co wywołuje błąd UBSAN.

W jądrze Linux w podsystemie autofs naprawiono błąd, w którym opóźniony zapis do zastąpionej rury powiadomień zwracał -EPIPE i ponownie wprowadzał usługę w tryb katatoniczny. Powodowało to zamknięcie nowej rury i zwolnienie kolejek oczekiwania nowej generacji demona, co prowadziło do błędów ENOENT przy wyszukiwaniach. Poprawka sprawia, że tryb katatoniczny jest uruchamiany tylko wtedy, gdy nieudana rura jest nadal aktualną rurą.

W jądrze Linux naprawiono błąd use-after-free w obsłudze Unicode (mapa UTF-8). Funkcje generic_ci_d_hash() i generic_ci_d_compare() odczytują mapę Unicode podczas pathwalk w trybie RCU, a systemy plików ext4, f2fs i tmpfs zwalniają tę mapę w ->put_super(), gdy znika ostatnie odwołanie do montowania. W rezultacie wyszukiwanie ścieżki może odczytać zwolnioną pamięć.

W jądrze Linux występuje wyścig między funkcjami watch_queue_set_size() a post_one_notification(). Nieuprzywilejowany użytkownik może wywołać dereferencję NULL w post_one_notification(), co prowadzi do paniki jądra (kernel panic).

W jądrze Linux występuje wyścig w obsłudze asynchronicznych błędów braku strony (#PF) KVM. Jeśli NMI przerwie obsługę #PF, a sam spowoduje #PF w trybie jądra, dochodzi do odczytu i wyczyszczenia flag należących do przerwanego zdarzenia, co kończy się paniką jądra z komunikatem o wstrzykniętym asynchronicznym #PF w regionie z wyłączonymi przerwaniami.

W module KVM SEV jądra Linux funkcja sev_gmem_post_populate() wywołuje set_page_dirty() bez wymaganej blokady, co może prowadzić do wyścigu z zanikaniem mapowania strony. Poprawka zastępuje wywołanie funkcją set_page_dirty_lock().

W jądrze Linux naprawiono błąd w KVM (nVMX), gdzie niepowodzenie ładowania stanu L2 w przypadku innym niż VM-Entry (emulacja RSM lub KVM_SET_NESTED_STATE) pozostawiało wskaźnik MMU vCPU wskazujący na zagnieżdżony MMU. Prowadziło to do próby uruchomienia L1 z zagnieżdżonym MMU i w konsekwencji do dereferencji NULL, gdy zagnieżdżony stan został zwolniony, a KVM próbował pobrać EPTP dla L1=>L2.

W jądrze Linux naprawiono wyścig w fsnotify podczas niszczenia connectora. Nowa marka mogła zostać wstawiona przed aktualnie przetwarzaną, co powodowało pominięcie jej przez algorytm i odłączenie całego connectora od obiektu. Prowadziło to do wywołania igrab(NULL) i błędu null-ptr-deref przy odczycie fdinfo przez nieuprzywilejowanego użytkownika.