Katalog podatności CVE

W jądrze Linux występuje luka w obsłudze przestrzeni nazw montowań: copy_tree() pomija montowania plików przestrzeni nazw (np. /proc/<pid>/ns/mnt) bez sprawdzania flagi MNT_LOCKED. Pozwala to zadaniu z uprawnieniami roota we własnej przestrzeni nazw użytkownika obejść zablokowaną zasłonę montowania i odsłonić ukryty plik bez wyścigu i bez modyfikacji systemu plików. Poprawka nakazuje odrzucać takie kopiowanie z EPERM oraz blokuje przenoszenie montowania pliku przestrzeni nazw pod zablokowane montowanie.

W jądrze Linux mechanizm futex dla FUT_OFF_MMSHARED nieprawidłowo obsługuje ponowne użycie MM: proces może czekać na współdzielony futex z innym MM, ponieważ oczekujący FUT_OFF_INODE może zostać przepięty na futex FUT_OFF_MMSHARED przez inny proces. Powoduje to, że oczekujący na zwolnionym MM konsumują wybudzenia przeznaczone dla nowo przydzielonego MM pod tym samym adresem.

W jądrze Linux moduł mshv_vtl sprawdza globalną flagę mshv_has_reg_page przed wyborem strony rejestrów żądanego CPU. Przy mieszanych wynikach konfiguracji na poszczególnych CPU sprawdzenie przechodzi nawet dla CPU bez strony rejestrów, co prowadzi do wywołania get_page(NULL) podczas błędu odwzorowania z przestrzeni użytkownika.

W jądrze Linux w funkcji __tcf_action_put() (net/sched) występuje use-after-free: licznik referencji jest zmniejszany przed licznikiem powiązań, więc inny wątek może zwolnić akcję pomiędzy tymi operacjami, powodując dostęp do zwolnionej pamięci przy aktualizacji licznika powiązań.

W jądrze Linux w obsłudze RDS (net: rds) występuje błąd niezainicjalizowanego wskaźnika trans w rds_rdma_cm_event_handler_cmn(). Wskaźnik trans jest ustawiany tylko dla urządzeń InfiniBand CA, a dla innych typów (np. iWARP RNIC) pozostaje niezainicjalizowany i jest wykorzyskiwany w obsłudze zdarzeń, co prowadzi do awarii jądra (oops) przy próbie połączenia.

W jądrze Linux naprawiono błąd w obsłudze SCTP, który występuje przy włączonym przeplotzie komunikatów (message interleaving). Pierwsze wysłanie czeka na ustanowienie asocjacji, zwalniając blokadę gniazda, a w tym czasie uzgadnianie może zmniejszyć liczbę strumieni wyjściowych i zwolnić ich rozszerzenia. Wysyłający wznawia pracę ze strumieniem sprawdzonym przed czekaniem, co prowadzi do dereferencji NULL i paniki jądra.

W jądrze Linux w sterowniku SPI imx występuje błąd polegający na alokacji buforów DMA o zbyt małym rozmiarze (kzalloc(dma_len) zamiast DMA_CACHE_ALIGNED_LEN(dma_len)), podczas gdy API DMA operuje na pamięci wykraczającej poza koniec alokacji. Prowadzi to do uszkodzenia pamięci (slab corruption), objawiającego się ostrzeżeniami refcount_t i oopsem jądra. Problem został naprawiony przez użycie właściwego rozmiaru przy alokacji i synchronizacji.

W jądrze Linux w funkcji check_synth_field() nieprawidłowo walidowano pola syntetycznych zdarzeń śledzenia typu stacktrace. Pole 8-bajtowe typu całkowitego mogło przejść walidację i zostać następnie zinterpretowane jako wskaźnik stosu jądra, co prowadzi do nieprawidłowego odczytu pamięci.

W podsystemie GPIO shared występuje błąd use-after-free podczas dodawania współdzielonych proxy. Nazwa urządzenia (dev_id) wskazuje na ciąg znaków obiektu kobject, który może zostać zwolniony wcześniej niż tablica wyszukiwania GPIO.

W sterowniku i2c viai2c-wmt funkcja wmt_i2c_probe() pozyskuje zegar przez of_clk_get(), ale nie zwalnia referencji w przypadku błędu ani przy wyładowaniu modułu. Prowadzi to do wycieku zasobu zegara.

W ring-buffer pliki per_cpu/cpuN/buffer_meta są tworzone dla każdego możliwego CPU, ale bufor jest alokowany dopiero po włączeniu CPU. Odczyt pliku dla CPU, który nigdy nie został włączony, powoduje dereferencję NULL w rbm_start().

W ring-buffer funkcja rb_meta_subbuf_idx() może zwrócić indeks podbufora o jeden za wysoki, przez co subbuf_ids[0] pozostaje NULL i jest dereferencjonowany w __rb_map_vma() przy mapowaniu trace_pipe_raw. Błędne indeksy trafiają też do metadanych, powodując odrzucenie poprzedniego śladu przy następnym rozruchu.

W ring-buffer funkcja ring_buffer_map_get_reader() traktuje wynik NULL z rb_get_reader_page() jako błąd i emituje fałszywe ostrzeżenie, gdy czytnik mmap dogania pisarza w trakcie zatwierdzania zdarzeń. Stan ten jest normalny i nie powinien być zgłaszany jako błąd.

W podsystemie scsi bsg biblioteka bsg-lib alokuje 96-bajtowy bufor odpowiedzi, podczas gdy struct ufs_rpmb_reply ma 104 bajty. Gdy polecenie Advanced RPMB zwraca EHS, ufshcd_advanced_rpmb_req_handler() zapisuje 8 bajtów poza końcem bufora.

W jądrze Linux w sterowniku scsi: st występuje wyścig use-after-free między st_remove() a st_open(). st_remove() usuwa wpis z idr dopiero po zwolnieniu referencji, więc równoległe st_open() może znaleźć zwolnioną strukturę i wykonać na niej kref_get().

W jądrze Linux w sterowniku xen/scsifront funkcja scsifront_do_response() sprawdza rqid tylko górnym zakresem, ale nie weryfikuje, czy slot shadow[] jest wypełniony. Złośliwy lub błędny backend może zwrócić odpowiedź z rqid w zakresie, ale nieaktywnym, powodując dereferencję NULL.

W jądrze Linux w libiscsi indeks zadania z parse_pdu_itt jest sprawdzany tylko górnym zakresem, więc ujemny indeks przechodzi i powoduje odczyt przed tablicą session->cmds[]. Sterownik be2iscsi może dostarczyć taki indeks z nieoczekiwanego NOP-In.

W jądrze Linux w module libiscsi występuje luka polegająca na braku walidacji pola ITT w odbieranym pakiecie Reject PDU. Zdalny cel iSCSI może podać dowolną wartość ITT, co pozwala wskazać dowolne zadanie w puli i doprowadzić do błędu NULL pointer dereference, przepełnienia licznika referencji lub fałszywego zakończenia polecenia SCSI jako udanego.

W jądrze Linux w module libiscsi funkcja __iscsi_complete_pdu() pobiera zadanie na podstawie indeksu ITT z odpowiedzi zarządzającej (Logout, Login, Text, TMFunc, NOP-In), sprawdzając jedynie poprawność indeksu. Złośliwy lub błędnie działający target może wskazać nieużywany slot w puli, w którym task->conn jest NULL, co prowadzi do dereferencji NULL i awarii jądra (oops) po odebraniu jednej nieoczekiwanej odpowiedzi NOP-In lub Text Response.

W jądrze Linux w drm/amd/display funkcje allocate_usb4_bandwidth_for_stream() i allocate_usb4_bandwidth() używają ASSERT(stream->sink) przed dereferencją stream->sink->link. Ponieważ ASSERT jest usuwany w buildach produkcyjnych, NULL stream->sink powoduje dereferencję NULL.