Katalog podatności CVE

W ring-buffer funkcja rb_meta_subbuf_idx() może zwrócić indeks podbufora o jeden za wysoki, przez co subbuf_ids[0] pozostaje NULL i jest dereferencjonowany w __rb_map_vma() przy mapowaniu trace_pipe_raw. Błędne indeksy trafiają też do metadanych, powodując odrzucenie poprzedniego śladu przy następnym rozruchu.

W ring-buffer funkcja ring_buffer_map_get_reader() traktuje wynik NULL z rb_get_reader_page() jako błąd i emituje fałszywe ostrzeżenie, gdy czytnik mmap dogania pisarza w trakcie zatwierdzania zdarzeń. Stan ten jest normalny i nie powinien być zgłaszany jako błąd.

W podsystemie scsi bsg biblioteka bsg-lib alokuje 96-bajtowy bufor odpowiedzi, podczas gdy struct ufs_rpmb_reply ma 104 bajty. Gdy polecenie Advanced RPMB zwraca EHS, ufshcd_advanced_rpmb_req_handler() zapisuje 8 bajtów poza końcem bufora.

W jądrze Linux w sterowniku scsi: st występuje wyścig use-after-free między st_remove() a st_open(). st_remove() usuwa wpis z idr dopiero po zwolnieniu referencji, więc równoległe st_open() może znaleźć zwolnioną strukturę i wykonać na niej kref_get().

W jądrze Linux w sterowniku xen/scsifront funkcja scsifront_do_response() sprawdza rqid tylko górnym zakresem, ale nie weryfikuje, czy slot shadow[] jest wypełniony. Złośliwy lub błędny backend może zwrócić odpowiedź z rqid w zakresie, ale nieaktywnym, powodując dereferencję NULL.

W jądrze Linux w libiscsi indeks zadania z parse_pdu_itt jest sprawdzany tylko górnym zakresem, więc ujemny indeks przechodzi i powoduje odczyt przed tablicą session->cmds[]. Sterownik be2iscsi może dostarczyć taki indeks z nieoczekiwanego NOP-In.

W jądrze Linux w module libiscsi występuje luka polegająca na braku walidacji pola ITT w odbieranym pakiecie Reject PDU. Zdalny cel iSCSI może podać dowolną wartość ITT, co pozwala wskazać dowolne zadanie w puli i doprowadzić do błędu NULL pointer dereference, przepełnienia licznika referencji lub fałszywego zakończenia polecenia SCSI jako udanego.

W jądrze Linux w module libiscsi funkcja __iscsi_complete_pdu() pobiera zadanie na podstawie indeksu ITT z odpowiedzi zarządzającej (Logout, Login, Text, TMFunc, NOP-In), sprawdzając jedynie poprawność indeksu. Złośliwy lub błędnie działający target może wskazać nieużywany slot w puli, w którym task->conn jest NULL, co prowadzi do dereferencji NULL i awarii jądra (oops) po odebraniu jednej nieoczekiwanej odpowiedzi NOP-In lub Text Response.

W jądrze Linux w drm/amd/display funkcje allocate_usb4_bandwidth_for_stream() i allocate_usb4_bandwidth() używają ASSERT(stream->sink) przed dereferencją stream->sink->link. Ponieważ ASSERT jest usuwany w buildach produkcyjnych, NULL stream->sink powoduje dereferencję NULL.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_debugfs_gpr_read() zwalnia referencję runtime PM zaraz po odczycie rejestrów fali. Gdy kopiowanie danych do przestrzeni użytkownika się nie powiedzie, kod przechodzi do etykiety err i zwalnia referencję po raz drugi, co powoduje niedomiar licznika (Runtime PM usage count underflow) lub kradzież referencji należącej do kogoś innego.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_gem_userptr_ioctl() przy niepowodzeniu amdgpu_hmm_range_alloc() zwraca -ENOMEM i pomija ścieżkę sprzątania. W efekcie wycieka obiekt GEM, referencja bo->parent na korzeniu VM oraz rejestracja notifiera MMU.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_gem_object_close() odłącza ogrodzenie eviction kolejki użytkownika od BO przed sprawdzeniem bo_va->ref_count. Zamknięcie dowolnego uchwytu BO usuwa ogrodzenie, mimo że plik nadal ma inny uchwyt i mapowania GPU, co pozwala na eviction BO bez zawieszenia kolejek użytkownika.

W jądrze Linux w module drm/exec wykrycie kontencji powoduje pobranie referencji do spornego obiektu i jego wstępne zablokowanie. Jeśli obiekt był w trakcie niszczenia, drm_exec trzyma ostatnią referencję, ale obiekt nigdy nie trafia do tablicy zablokowanych obiektów, więc nie rezerwuje się dla niego slotu dma_fence, co może wywołać ostrzeżenie lub BUG_ON().

W jądrze Linux w sterowniku drm/i915/dmc dla nagłówka firmware DMC w wersji 3 adres ładowania firmware jest przechowywany w dmc_info->start_mmioaddr i używany przez dmc_load_program(). W przeciwieństwie do tablicy adresów MMIO adres ładowania nie jest walidowany, co może prowadzić do użycia nieprawidłowego adresu.

W jądrze Linux w sterowniku drm/xe funkcja xe_bo_set_purgeable_shrinker() bezwarunkowo przenosi strony między licznikami shrinkable i purgeable. Gdy stan purgeable przypiętego BO zmienia się (np. przez madvise DONTNEED na VMA BO przypiętego jako bufor scanout), jeden licznik ulega niedomiarowi, a drugi pozostaje trwale zawyżony po unpin.

W jądrze Linux w module sched_ext odroczone ponowne wstawienie do kolejki może odczytać zwolniony user DSQ. Żądanie pozostaje na liście odroczonej CPU do czasu przejęcia przez run_deferred(), a callback RCU zwalniający DSQ zakłada, że okres karencji go opróżnił, jednak run_deferred() rozpoczęty po rozpoczęciu karencji może odłączyć żądanie tuż przed sprawdzeniem i odczytać identyfikator zwolnionego DSQ.

W jądrze Linux w module tracing funkcja predicate_parse() dodaje dwa do nr_preds, rezerwując terminalne wpisy TRUE i FALSE, i używa tej zwiększonej wartości jako limitu parsowanych predykatów. Jeśli początkowa liczba jest mniejsza niż faktycznie sparsowana, program może wypełnić alokację i kolejne dostępy wychodzą poza jej koniec.

W jądrze Linux w module tracing funkcja predicate_parse() używa pierwszego wpisu stosu operatorów przed przetworzeniem nawiasów otwierających. Operacja push zwiększa top przed zapisem, a istniejąca kontrola nadal pozwala na zapis, gdy top wskazuje ostatni przydzielony wpis, co może spowodować dostęp poza stosem operatorów.

W jądrze Linux występuje błąd w podsystemie ftrace, gdzie przełączanie na tracer bez zdefiniowanych flag (np. hwlat, irqsoff, wakeup) powoduje ustawienie wskaźnika current_trace_flags na NULL. Jeśli bufor pierścieniowy nadal zawiera wpisy function_graph z poprzedniego tracera, ich wyświetlenie (np. przez cat trace) prowadzi do dereferencji NULL i paniki jądra.

W jądrze Linux naprawiono błąd w podsystemie tracing, dotyczący znaczników czasu w triggerach hist dla zdarzeń buforowanych. Gdy plik zdarzenia ma filtr, a trigger hist nie jest jeszcze podłączony, zdarzenie trafia do bufora tymczasowego bez inkrementacji licznika committing, co powoduje ostrzeżenie WARN_ON_ONCE w ring_buffer_event_time_stamp. Poprawka używa funkcji tracing_event_time_stamp() w hist_field_timestamp(), aby zamiast ostrzeżenia zapisać bieżący znacznik czasu.