Katalog podatności CVE

W jądrze Linux w sterowniku drm/amdgpu/userq poprawiono walidację buforów BO (buffer objects) dla userq. Wcześniej pętla nie iterowała po indywidualnej liście wywłaszczonych buforów, przez co bufory utworzone i wywłaszczone przed utworzeniem userq nigdy nie trafiały do ponownego uzbrojenia ogrodzenia ewakuacji. Dodano także brakujące referencje do BO przed operacjami drm_exec.

W jądrze Linux w sterowniku drm/i915/dmc wzmocniono parsowanie zawartości firmware'u DMC. Dodano walidację konwersji rozmiaru firmware'u z dwords na bajty za pomocą check_mul_overflow() przed obliczeniem rozmiaru ładunku, odrzucanie ładunków o zerowej długości i zerowych liczników MMIO w nagłówku oraz ustawianie dmc_fw_size dopiero po udanej alokacji.

W jądrze Linux w podsystemie mostu sieciowego (net: bridge) podczas usuwania portu wielokrotnego rozgłaszania (multicast) dochodzi do przedwczesnego przerwania iteracji po liście grup portu. Funkcja hlist_del_init() czyści wskaźnik ->next usuwanego węzła, co kończy pętlę i pozostawia grupy portu z wiszącym wskaźnikiem ->key.port po zwolnieniu portu, prowadząc do użycia po zwolnieniu (use-after-free) wykrywanego przez KASAN w __mdb_fill_info.

W jądrze Linux w podsystemie net/psp naprawiono błąd polegający na dziedziczeniu asocjacji Rx przy klonowaniu gniazda. Ponieważ sk->psp_assoc znajduje się poza sk_dontcopy_end, sock_copy() kopiowało je do każdego zaakceptowanego gniazda bez zwiększania referencji, co prowadziło do use-after-free w psp_twsk_assoc_free. Poprawka czyści asocjację przy klonowaniu.

W jądrze Linux w serwerze ksmbd uzupełniono pole FileSysIdentifier w odpowiedzi FS_POSIX_INFORMATION. Funkcja smb2_get_info_filesystem() raportowała 56 bajtów, ale nie przypisywała tego pola, przez co osiem bajtów z bufora odpowiedzi trafiało do klienta. W żądaniach złożonych (compound) mogło to prowadzić do wycieku danych z wcześniejszych odpowiedzi.

W jądrze Linux w serwerze ksmbd zainicjalizowano pole FileSystemControlFlags w odpowiedzi FS_CONTROL_INFORMATION. Funkcja smb2_get_info_filesystem() raportowała 48 bajtów, ale nie przypisywała tego pola, przez co cztery bajty z bufora odpowiedzi trafiały do klienta. W żądaniach złożonych mogło to prowadzić do wycieku danych z wcześniejszych odpowiedzi.

W jądrze Linux w serwerze ksmbd wyzerowano bufor FS_OBJECT_ID_INFORMATION przed wypełnieniem. Funkcja smb2_get_info_filesystem() raportowała 64 bajty, ale zapisywała tylko 46, pozostawiając 31 bajtów niezainicjalizowanych. W żądaniach złożonych mogło to prowadzić do wycieku danych z wcześniejszych odpowiedzi, w tym z odpowiedzi zakończonych błędem odmowy dostępu.

W jądrze Linux w module net/sched: cls_flower występuje błąd walidacji wskaźnika maski po wywołaniu nla_next(). Funkcja fl_set_enc_opt() iteruje po atrybutach opcji tunelu klucza, przesuwając pojedynczy wskaźnik maski na podstawie liczby atrybutów klucza, a nie własnych atrybutów maski; wskaźnik utworzony przez nla_next() nie jest walidowany przed użyciem w kolejnej iteracji, co prowadzi do odczytu poza granicami bufora (slab-out-of-bounds) w __nla_validate_parse wywoływanej z fl_change().

W jądrze Linux w kliencie SMB (cifs) naprawiono błąd powodujący uszkodzenie danych przy równoczesnych zapisach i operacji O_TRUNC. Funkcja cifs_do_truncate() opróżniała brudne strony i obcinała plik na serwerze bez blokady i_rwsem lub invalidate_lock, przez co równoczesny zapis mógł utworzyć nowe brudne strony, które następnie były po cichu odrzucane. Poprawka wprowadza blokady zapewniające atomowość sekwencji opróżniania, obcinania i zmiany rozmiaru.

W kliencie SMB jądra Linux funkcja cifs_set_acl() waliduje rozmiar ACL według formatu xattr (4 + count*8), ale cifs_do_set_acl() zapisuje do tego samego bufora większy format CIFS (6 + count*10), co może spowodować przepełnienie sterty. Dodatkowo rozmiar nie jest sprawdzany względem USHRT_MAX, co przy zbyt dużym ACL powoduje obcięcie długości pakietu i częściowe zastosowanie ACL przez serwer.

W kliencie SMB jądra Linux funkcja CIFSSMBSetEA() kopiuje wartość rozszerzonego atrybutu do bufora żądania SMB bez sprawdzenia, czy się ona zmieści. Nieuprzywilejowany użytkownik może wywołać setxattr(2) na montażu SMB1 z odpowiednio dużym atrybutem, co prowadzi do zapisu poza granicami bufora (slab-out-of-bounds). Poprawka stosuje limit SendReceive() przed kopiowaniem i poszerza liczniki bajtów, aby zapobiec przepełnieniu.

W systemie plików NTFS jądra Linux funkcja ntfs_trim_fs() wyrównuje początek wolnego zakresu w górę do ziarnistości discard, ale długość discard oblicza przez wyrównanie w dół oryginalnej długości zakresu. Gdy początek zakresu nie jest wyrównany, wynikowy zakres discard może wykroczyć poza wolny obszar i objąć przydzielone klastry, które zostaną wyzerowane.

W systemie plików NTFS jądra Linux funkcja ntfs_new_attr_flags() przekazuje niewłaściwy wskaźnik rekordu MFT do ntfs_attr_record_resize(). Gdy atrybut znajduje się w rekordzie extent, przekazywany jest wskaźnik rekordu bazowego zamiast rekordu extent, co powoduje błędne obliczenia rozmiaru w memmove.

W sterowniku drm/amdgpu jądra Linux funkcja amdgpu_cs_parser_bos() alokuje zakresy HMM dla wpisów userptr, ale nie zwalnia ich, gdy późniejsze etapy przetwarzania CS (patch_jobs, vm_handling, sync_rings, wczesna część submit) zakończą się błędem. Każdy taki błąd powoduje wyciek zakresu, tablicy hmm_pfns i referencji BO.

W schedulerze sched_ext jądra Linux zadanie zakolejkowane z flagą SCX_ENQ_LAST, które trafia z powrotem do lokalnego DSQ swojego CPU, nie powoduje ponownego planowania. CPU pozostaje bezczynny z zakolejkowanym zadaniem do czasu niepowiązanego wybudzenia lub zadziałania watchdoga, co powoduje zawieszenie zadań wychodzących.

W schedulerze sched_ext jądra Linux funkcja scx_bypass() zgłasza roszczenie bypass dispatch tylko dla schedulera, którego głębokość zmienia się z zera na jeden, ale nie propaguje roszczenia do potomków. Powoduje to wyciek roszczenia przy włączaniu/wyłączaniu pod-schedulera w trakcie PM suspend, prowadząc do WARN_ON_ONCE lub zadań pozostawionych na DSQ bypass bez konsumenta.

W jądrze Linux naprawiono błąd use-after-free w podsystemie workqueue dotyczący czasu życia niepowiązanych (unbound) puli workerów. Anulowanie ostatniej nieaktywnej pracy pomijało pwq_dec_nr_active(), przez co puste pwq mogło pozostać na liście pending_pwqs, a pwq_release_workfn() zwalniało pulę przed usunięciem tego pwq. W efekcie pula mogła zostać zwolniona przez RCU, podczas gdy pwq było nadal osiągalne, co prowadziło do użycia zwolnionej pamięci w node_activate_pending_pwq().

W systemie plików NTFS jądra Linux funkcja ntfs_setattr_size() aktualizuje i_size i zmienia rozmiar atrybutu na dysku bez blokady mapping->invalidate_lock. Wyścig z obsługą page fault może spowodować fałszywy SIGBUS lub przeplot z epilogiem zmiany rozmiaru, prowadząc do niespójności.

W systemie plików NTFS jądra Linux funkcja ntfs_new_attr_flags() zmniejsza rekord atrybutu przed przeniesieniem jego nazwy i par mapowania na krótsze przesunięcia nagłówka. Zmniejszenie rekordu najpierw przenosi następny atrybut na ogon starego rekordu, przez co memmove kopiuje błędne bajty, tworząc uszkodzoną tablicę par mapowania.

Występuje ujawnienie poufnych informacji spowodowane brakiem weryfikacji certyfikatu SSL w jednym z komponentów. Podatność dotyczy Acronis Cyber Protect 17 (Linux, Windows) przed build 42587.