Katalog podatności CVE

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_debugfs_gpr_read() zwalnia referencję runtime PM zaraz po odczycie rejestrów fali. Gdy kopiowanie danych do przestrzeni użytkownika się nie powiedzie, kod przechodzi do etykiety err i zwalnia referencję po raz drugi, co powoduje niedomiar licznika (Runtime PM usage count underflow) lub kradzież referencji należącej do kogoś innego.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_gem_userptr_ioctl() przy niepowodzeniu amdgpu_hmm_range_alloc() zwraca -ENOMEM i pomija ścieżkę sprzątania. W efekcie wycieka obiekt GEM, referencja bo->parent na korzeniu VM oraz rejestracja notifiera MMU.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_gem_object_close() odłącza ogrodzenie eviction kolejki użytkownika od BO przed sprawdzeniem bo_va->ref_count. Zamknięcie dowolnego uchwytu BO usuwa ogrodzenie, mimo że plik nadal ma inny uchwyt i mapowania GPU, co pozwala na eviction BO bez zawieszenia kolejek użytkownika.

W jądrze Linux w module drm/exec wykrycie kontencji powoduje pobranie referencji do spornego obiektu i jego wstępne zablokowanie. Jeśli obiekt był w trakcie niszczenia, drm_exec trzyma ostatnią referencję, ale obiekt nigdy nie trafia do tablicy zablokowanych obiektów, więc nie rezerwuje się dla niego slotu dma_fence, co może wywołać ostrzeżenie lub BUG_ON().

W jądrze Linux w sterowniku drm/i915/dmc dla nagłówka firmware DMC w wersji 3 adres ładowania firmware jest przechowywany w dmc_info->start_mmioaddr i używany przez dmc_load_program(). W przeciwieństwie do tablicy adresów MMIO adres ładowania nie jest walidowany, co może prowadzić do użycia nieprawidłowego adresu.

W jądrze Linux w sterowniku drm/xe funkcja xe_bo_set_purgeable_shrinker() bezwarunkowo przenosi strony między licznikami shrinkable i purgeable. Gdy stan purgeable przypiętego BO zmienia się (np. przez madvise DONTNEED na VMA BO przypiętego jako bufor scanout), jeden licznik ulega niedomiarowi, a drugi pozostaje trwale zawyżony po unpin.

W jądrze Linux w module sched_ext odroczone ponowne wstawienie do kolejki może odczytać zwolniony user DSQ. Żądanie pozostaje na liście odroczonej CPU do czasu przejęcia przez run_deferred(), a callback RCU zwalniający DSQ zakłada, że okres karencji go opróżnił, jednak run_deferred() rozpoczęty po rozpoczęciu karencji może odłączyć żądanie tuż przed sprawdzeniem i odczytać identyfikator zwolnionego DSQ.

W jądrze Linux w module tracing funkcja predicate_parse() dodaje dwa do nr_preds, rezerwując terminalne wpisy TRUE i FALSE, i używa tej zwiększonej wartości jako limitu parsowanych predykatów. Jeśli początkowa liczba jest mniejsza niż faktycznie sparsowana, program może wypełnić alokację i kolejne dostępy wychodzą poza jej koniec.

W jądrze Linux w module tracing funkcja predicate_parse() używa pierwszego wpisu stosu operatorów przed przetworzeniem nawiasów otwierających. Operacja push zwiększa top przed zapisem, a istniejąca kontrola nadal pozwala na zapis, gdy top wskazuje ostatni przydzielony wpis, co może spowodować dostęp poza stosem operatorów.

W jądrze Linux występuje błąd w podsystemie ftrace, gdzie przełączanie na tracer bez zdefiniowanych flag (np. hwlat, irqsoff, wakeup) powoduje ustawienie wskaźnika current_trace_flags na NULL. Jeśli bufor pierścieniowy nadal zawiera wpisy function_graph z poprzedniego tracera, ich wyświetlenie (np. przez cat trace) prowadzi do dereferencji NULL i paniki jądra.

W jądrze Linux naprawiono błąd w podsystemie tracing, dotyczący znaczników czasu w triggerach hist dla zdarzeń buforowanych. Gdy plik zdarzenia ma filtr, a trigger hist nie jest jeszcze podłączony, zdarzenie trafia do bufora tymczasowego bez inkrementacji licznika committing, co powoduje ostrzeżenie WARN_ON_ONCE w ring_buffer_event_time_stamp. Poprawka używa funkcji tracing_event_time_stamp() w hist_field_timestamp(), aby zamiast ostrzeżenia zapisać bieżący znacznik czasu.

W jądrze Linux w funkcji do_tcp_getsockopt() dla opcji TCP_CONGESTION występuje use-after-free. Wskaźnik icsk_ca_ops jest odczytywany bez blokady RCU, a przy BPF struct_ops może wskazywać na pamięć zwolnioną równolegle przez setsockopt(TCP_CONGESTION).

W jądrze Linux w do_tcp_getsockopt() dla opcji TCP_CC_INFO występuje use-after-free. Wskaźnik icsk_ca_ops i wskaźnik funkcji get_info są używane bez rcu_read_lock(), a przy BPF struct_ops mogą wskazywać na zwolnioną pamięć.

W jądrze Linux w podsystemie cifs funkcja cifs_do_truncate aktualizuje i_size bez ważnego uchwytu pliku. Gdy find_writable_file() zwróci null, rozmiar inode jest ustawiany na 0 mimo braku faktycznego obcięcia pliku na serwerze, co prowadzi do niespójności.

W jądrze Linux w dm-crypt funkcja crypt_dec_pending odczytuje io->error przed atomic_dec_and_test, co tworzy warunek wyścigu. W rezultacie nieudany odczyt lub zapis może zostać błędnie zaraportowany jako zakończony sukcesem.

W jądrze Linux w dm-integrity funkcja integrity_metadata przy obsłudze discard może wejść w nieskończoną pętlę, gdy rozmiar tagu przekracza HASH_MAX_DIGESTSIZE, a alokacja kmalloc zawiedzie. Wtedy max_blocks wynosi zero i bi_size nigdy nie jest zmniejszany.

W jądrze Linux w module mac802154 występował wyścig danych oraz możliwość dereferencji NULL wskaźnika local->assoc_dev. Wskaźnik współdzielony między ścieżką asocjacji a wątkiem obsługi odpowiedzi nie był synchronizowany, co mogło prowadzić do użycia zwolnionego obiektu lub odwołania się do NULL. Poprawka zastępuje wskaźnik buforowanym adresem i chroni go dedykowanym spinlockiem.

W jądrze Linux w net/iucv funkcja iucv_sock_recvmsg() wysyła flagę AF_IUCV_FLAG_WIN bez sprawdzenia transportu, co przy klasycznym gnieździe z/VM powoduje dereferencję NULL i fałszywe rozłączenie. Dodatkowo wysyłka pod spin_lock_bh prowadzi do wyścigu i podwójnego wykorzystania kredytu okna.

W jądrze Linux w XFS funkcja xfs_sync_sb_buf() trzyma blokady buforów sb/rtsb podczas synchronicznego xfs_trans_commit(), co przy shutdownie podczas CIL push prowadzi do zakleszczenia. Poprawka usuwa wywołania xfs_trans_bhold() i ponownie pozyskuje bufory po commicie.

W jądrze Linux w XFS kontrola uprawnień używa has_capability_noaudit(), które sprawdza rzeczywiste poświadczenia zamiast efektywnych. Umożliwia to obejście limitów quota grupowych przez zmianę gid pliku na inną grupę użytkownika, np. przez klienta NFS.