Katalog podatności CVE

W jądrze Linux funkcja gpiod_set_array_value_complex() po nieudanym wywołaniu gpiochip_set_multiple() zwraca wynik natychmiast, pomijając zwolnienie ewentualnie zaalokowanych bitmap. Prowadzi to do wycieku pamięci na mało prawdopodobnej, ale możliwej ścieżce błędu.

W jądrze Linux sterownik GPIO mxc instaluje dołączony handler IRQ (mxc_update_irq_chained_handler()) przed skonfigurowaniem domeny IRQ, układu IRQ i wpisu listy portów. Przerwanie w tym oknie powoduje dereferencję NULL lub dostęp do niekompletnej listy, a błędy późniejszych kroków probe pozostawiają wiszący handler wskazujący na zwolnioną pamięć.

W jądrze Linux sterownik stmmac dwmac1000 od czasu usunięcia obsługi przerwań SGMII/RGMII/SMII nie odczytuje rejestru GMAC_RGSMIIIS, przez co status RGMII pozostaje oczekujący za GMAC_INT_MASK. Podczas stmmac_resume() reset MAC zeruje maskę i oczekujący status zalewa linię przerwań, powodując soft lockup, reset watchdoga lub zawieszenie.

W jądrze Linux funkcja __perf_pmu_remove() usuwa liderów grup podczas iteracji po perf_event_groups_for_cpu_pmu(), a perf_remove_from_context() wyjmuje lidera z drzewa rbtree, przez co rb_next() zwraca NULL i iteracja kończy się przedwcześnie. Pozostałe grupy zostają w źródłowym kontekście i są niszczone dopiero przy wyłączaniu CPU, działając mimo przeniesienia przerwań i zdarzeń PMU na nowy CPU.

W jądrze Linux w funkcji get_seg_reg_override_idx() doszło do przesłonięcia zmiennej indeksu pętli przez zmienną lokalną o tej samej nazwie. W efekcie nadpisania prefiksów segmentów FS/GS są ignorowane, a prefiks CS powoduje nieskończoną pętlę w jądrze podczas emulacji UMIP, co pozwala dowolnemu użytkownikowi zawiesić CPU aż do restartu systemu.

W podsystemie firewire jądra Linux występuje warunek wyścigu w obsłudze transakcji dzielonych (split transaction). Zarówno procedura obsługi odpowiedzi, jak i callback timeoutu mogą przetwarzać ten sam wpis transakcji, co prowadzi do use-after-free po stronie inicjatora transakcji.

W jądrze Linux w sterowniku accel/rocket funkcja rocket_remove() zmniejsza liczbę rdzeni (num_cores) przed wyszukaniem slotu, przez co ostatni rdzeń nie jest odnajdywany i nie jest usuwany. Prowadzi to do wycieku stanu i w konsekwencji do zapisu poza tablicą rdev->cores przy ponownym bindowaniu rdzeni na RK3588.

W jądrze Linux w sterowniku accel/rocket funkcja sched_to_core() przeszukuje tylko zakres rdev->num_cores, który jest zmniejszany przy odłączaniu rdzenia. Odłączenie rdzenia innego niż ostatni powoduje, że rdzenie za nim wypadają z wyszukiwania, a sched_to_core() zwraca NULL mimo że rdzeń nadal działa. Brak sprawdzenia wyniku w rocket_job_run() i rocket_job_timedout() prowadzi do dereferencji NULL (KASAN: null-ptr-deref).

W komponencie ASoC SOF (ipc4-topology) jądra Linux występuje przesunięcie poza zakres przy agregowanym przechwytywaniu ALH. Gdy liczba kanałów jest mniejsza niż liczba urządzeń, obliczenie step = ch_count / device_count daje zero, a GENMASK(step - 1, 0) powoduje niedomknięcie i przesunięcie poza zakres, co wywołuje błąd UBSAN.

W jądrze Linux w podsystemie autofs naprawiono błąd, w którym opóźniony zapis do zastąpionej rury powiadomień zwracał -EPIPE i ponownie wprowadzał usługę w tryb katatoniczny. Powodowało to zamknięcie nowej rury i zwolnienie kolejek oczekiwania nowej generacji demona, co prowadziło do błędów ENOENT przy wyszukiwaniach. Poprawka sprawia, że tryb katatoniczny jest uruchamiany tylko wtedy, gdy nieudana rura jest nadal aktualną rurą.

W jądrze Linux naprawiono błąd use-after-free w obsłudze Unicode (mapa UTF-8). Funkcje generic_ci_d_hash() i generic_ci_d_compare() odczytują mapę Unicode podczas pathwalk w trybie RCU, a systemy plików ext4, f2fs i tmpfs zwalniają tę mapę w ->put_super(), gdy znika ostatnie odwołanie do montowania. W rezultacie wyszukiwanie ścieżki może odczytać zwolnioną pamięć.

W jądrze Linux występuje wyścig między funkcjami watch_queue_set_size() a post_one_notification(). Nieuprzywilejowany użytkownik może wywołać dereferencję NULL w post_one_notification(), co prowadzi do paniki jądra (kernel panic).

W jądrze Linux występuje wyścig w obsłudze asynchronicznych błędów braku strony (#PF) KVM. Jeśli NMI przerwie obsługę #PF, a sam spowoduje #PF w trybie jądra, dochodzi do odczytu i wyczyszczenia flag należących do przerwanego zdarzenia, co kończy się paniką jądra z komunikatem o wstrzykniętym asynchronicznym #PF w regionie z wyłączonymi przerwaniami.

W module KVM SEV jądra Linux funkcja sev_gmem_post_populate() wywołuje set_page_dirty() bez wymaganej blokady, co może prowadzić do wyścigu z zanikaniem mapowania strony. Poprawka zastępuje wywołanie funkcją set_page_dirty_lock().

W jądrze Linux naprawiono błąd w KVM (nVMX), gdzie niepowodzenie ładowania stanu L2 w przypadku innym niż VM-Entry (emulacja RSM lub KVM_SET_NESTED_STATE) pozostawiało wskaźnik MMU vCPU wskazujący na zagnieżdżony MMU. Prowadziło to do próby uruchomienia L1 z zagnieżdżonym MMU i w konsekwencji do dereferencji NULL, gdy zagnieżdżony stan został zwolniony, a KVM próbował pobrać EPTP dla L1=>L2.

W jądrze Linux naprawiono wyścig w fsnotify podczas niszczenia connectora. Nowa marka mogła zostać wstawiona przed aktualnie przetwarzaną, co powodowało pominięcie jej przez algorytm i odłączenie całego connectora od obiektu. Prowadziło to do wywołania igrab(NULL) i błędu null-ptr-deref przy odczycie fdinfo przez nieuprzywilejowanego użytkownika.

W jądrze Linux w podsystemie ext4 występuje use-after-free związany z funkcją ext4_get_link(), która w trybie pathwalk RCU odczytuje dane przez sb->s_fs_info. Funkcja ext4_put_super() zwalnia sbi i niszczy liczniki extent status bez oczekiwania na okres karencji, co może prowadzić do dereferencji NULL lub użycia zwolnionej pamięci, gdy ostatnia referencja do montowania zniknie w trakcie pathwalk.

W jądrze Linux występuje podatność use-after-free w mechanizmie eventfs. Funkcja tracefs_d_revalidate() odczytuje pole ->is_freed obiektu eventfs_inode w trybie pathwalk z jedynie rcu_read_lock(), podczas gdy zwolnienie tego obiektu następuje po okresie karencji SRCU, który nie czeka na sekcje rcu_read_lock(). W rezultacie wątek może odczytać już zwolnioną pamięć.

W jądrze Linux w funkcji create_ipc_ns() występuje wyciek zasobów: przy niepowodzeniu konfiguracji sysctl mqueue/ipc lub msg_init_ns() montowanie mqueue jest zwalniane zwykłym mntput() zamiast kern_unmount(). Ponieważ montowanie jest długoterminowe (MNT_NS_INTERNAL), licznik spada do zera, ale montowanie i superblok mqueue nigdy nie zostają zwolnione.

W jądrze Linux w module ntfs3 występuje podatność use-after-free (UAF). Gdy opcja montowania "nocase" jest aktywna, funkcje porównywania dentry i hashowania odwołują się do prywatnych danych superbloku w ścieżce RCU, a ntfs_put_super() i ntfs3_kill_sb() zwalniają te dane bez opóźnienia RCU. Wyszukiwanie wciąż przebywające w systemie plików w momencie zwolnienia ostatniej referencji do montowania powoduje dostęp do zwolnionej pamięci.