Katalog podatności CVE

W sterowniku accel/rocket jądra Linux funkcja rocket_probe() zapisuje wynik rocket_device_init() w globalnym wskaźniku rdev przed sprawdzeniem, czy jest to wskaźnik błędu. Przy niepowodzeniu rdev pozostaje jako ERR_PTR, a późniejsza próba może pominąć inicjalizację i wyłuskać wskaźnik błędu przy odczycie rdev->num_cores.

W sterowniku drm/xe jądra Linux funkcja xe_evict_flags() odczytuje tbo->resource->mem_type, ale bufor BO może trafić do eksmisji bez ttm.resource, np. importowany dma-buf, którego zasób zwolniono podczas rozbierania. Prowadzi to do wyłuskania wskaźnika NULL i błędu jądra.

W sterowniku drm/xe/oa jądra Linux bufory BO typu ttm_bo_type_kernel nie są gwarantowanie zerowane przy alokacji i mogą zawierać dane z wcześniej zwolnionych stron. Ponieważ bufor OA jest mapowalny przez przestrzeń użytkownika, może to ujawnić nieaktualną zawartość pamięci jądra.

W jądrze Linux w podsystemie scsi: target funkcja target_do_delayed_work() pobierała blokadę delayed_cmd_lock za pomocą zwykłego spin_lock(), nie wyłączając przerwań, podczas gdy wszystkie inne miejsca używają spin_lock_irqsave(). Odkąd komendy mogą być kończone w kontekście przerwania (complete_type=1 z direct_compl_supp), może to prowadzić do zakleszczenia, gdy ukończenie komendy trafi na ten sam CPU, na którym work item trzyma blokadę.

W jądrze Linux w podsystemie scsi target iscsi występuje wyścig przy aktualizacji parametru uwierzytelniania discovery. Równoczesne otwarcia configfs mogą zwolnić tę samą wartość w iscsi_update_param_value(), powodując podwójne zwolnienie pamięci (double-free).

W jądrze Linux w funkcji sched_change_end() występuje wyścig z __sched_setscheduler() dla zadań zakolejkowanych, ale nieuruchomionych. Po zmianie klasy zadania (np. z SCHED_OTHER na SCHED_RR) wskaźnik rq->next_class nie jest aktualizowany, a wskaźnik potrzeby przeplanowania nie jest ustawiany, co prowadzi do bezczynności CPU mimo obecności gotowego do uruchomienia zadania.

W module ocfs2/dlm jądra Linux funkcja debug_state_print() odczytuje listę uczestników odzyskiwania bez odpowiedniej ochrony synchronizacji. Lista jest chroniona przez dlm_reco_state_lock, a nie przez dlm->spinlock, więc równoległe wywołanie dlm_destroy_recovery_area() może zwolnić rekordy w trakcie ich odczytu przez debugfs, prowadząc do use-after-free.

W jądrze Linux w obsłudze pipe występuje błąd w fasync_helper() przy równoczesnym włączaniu F_SETFL/FIOASYNC na jednym FIFO O_RDWR. Ścieżka błędu usuwa wcześniej zarejestrowany wpis czytelnika, co prowadzi do use-after-free w send_sigio() i może być wywołane przez nieuprzywilejowanego użytkownika pod presją pamięci.

W jądrze Linux w podsystemie libsas (SCSI) występuje zakleszczenie podczas wznawiania kontrolera HBA (HA resume). Funkcja smp_execute_task_sg() wywołuje pm_runtime_get_sync(), które czeka na zakończenie trwającego wznawiania, podczas gdy ścieżka wznawiania czeka w sas_drain_work() na zakończenie tego samego polecenia SMP — do zakleszczenia dochodzi, gdy do expandera podłączony jest dysk SATA. Problem naprawiono, zastępując parę get_sync()/put_sync() wywołaniami pm_runtime_get_noresume()/pm_runtime_put() oraz dodając pm_runtime_resume_and_get() w ścieżce BSG.

W jądrze Linux naprawiono podatność w podsystemie netlink, gdzie klucz tablicy rhashtable zawierał surowy wskaźnik struct net oraz kontrolowany przez użytkownika port ID. Poprzez wielokrotne wiązanie i odwiązywanie wybranych portów NETLINK_USERSOCK nieuprzywilejowany czytelnik mógł odzyskać dolne bity hasha Jenkinsa, a następnie wyszukać offline adres init_net. Rozwiązaniem jest użycie unikalnego, niebędącego adresem net_cookie przestrzeni nazw w kluczu porównania.

W jądrze Linux sterownik sieciowy hisi_femac (net: hisilicon) przypisuje netdev_ops dopiero po podłączeniu PHY. Gdy włączone jest CONFIG_NET_SHAPER, phy_attach_direct() odczytuje niezainicjowane netdev_ops, co powoduje panikę jądra z powodu dereferencji NULL.

W jądrze Linux sterownik hip04_eth (net: hisilicon) wywołuje of_phy_connect() przed przypisaniem ndev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik owl_emac (net: ethernet: actions) wywołuje owl_emac_phy_init(), która podłącza PHY, przed przypisaniem netdev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik mv643xx_eth podłącza PHY przed przypisaniem dev->netdev_ops. Przy włączonym CONFIG_NET_SHAPER phy_attach_direct() odczytuje niezainicjowane netdev_ops, powodując panikę jądra z dereferencją NULL.

W jądrze Linux sterownik sieciowy au1000 wywołuje au1000_mii_probe() i podłącza PHY przed przypisaniem dev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik ethoc wywołuje ethoc_mdio_probe() i podłącza PHY przed przypisaniem netdev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje netdev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik aeroflex greth wywołuje greth_mdio_init() i podłącza PHY przed przypisaniem dev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik ti icssm-prueth wywołuje of_phy_get_and_connect() przed przypisaniem ndev->netdev_ops. Od czasu wprowadzenia netdev_need_ops_lock() funkcja phy_attach_direct() odczytuje dev->netdev_ops, co przy włączonym CONFIG_NET_SHAPER powoduje dereferencję NULL i awarię podczas probe.

W jądrze Linux sterownik bcmgenet zapisuje first_cb, last_cb i bytes_sent w bloku kontrolnym skb i odczytuje je przy zakończeniu transmisji. Ponieważ ether_setup() pozostawia flagę IFF_TX_SKB_SHARING, stos może ponownie przesłać współdzielony skb wciąż obecny w pierścieniu, nadpisując last_cb i powodując, że wcześniejsze sloty kończą się bez rozliczenia bajtów, co blokuje kolejkę BQL do czasu resetu przez watchdog.

W jądrze Linux naprawiono błąd w funkcji calipso_skbuff_setattr(), która nieprawidłowo modyfikowała pole payload_len w nagłówku IPv6 dla pakietów BIG TCP (o rozmiarze większym niż IPV6_MAXPLEN). Powodowało to utratę mechanizmu fallback do skb->len w ipv6_payload_len(), co zaburzało działanie nf_tables, conntrack i sch_cake. Poprawka ustawia payload_len za pomocą ipv6_set_payload_len(), zgodnie z zachowaniem ipv6_gro_complete().