Katalog podatności CVE

W jądrze Linux w systemie plików NTFS funkcja ntfs_non_resident_attr_shrink() wywoływała operacje na runlistach bez wymaganej blokady zapisu, co mogło prowadzić do wyścigu. Dodatkowo ntfs_attr_map_cluster() mogła pozostawić niespójny stan przy nieudanej aktualizacji mapowań. Poprawka serializuje te operacje blokadą runlisty i dodaje mechanizm wycofywania zmian.

W jądrze Linux w sterowniku wifi virt_wifi funkcja virt_wifi_newlink() przenosiła stan operacyjny (operstate) przed rejestracją urządzenia sieciowego. Jeśli rejestracja się nie powiodła (np. z powodu nieprawidłowej nazwy), zwolnienie netdev pozostawiało wpis na liście lweventlist, co prowadziło do use-after-free przy późniejszym linkwatch_fire_event(). Poprawka przenosi transfer po netdev_upper_dev_link().

W jądrze Linux w sterowniku DSA mxl862xx występuje problem z odpytywaniem statystyk podczas zamykania. Ankieta może działać na zwolnionej pamięci portów, a ponowne uruchomienie po anulowaniu może spowodować kolejkowanie pracy po zakończeniu synchronizacji.

W jądrze Linux w podsystemie Bluetooth RFCOMM wykryto możliwą inwersję blokad podczas czyszczenia gniazda nasłuchującego, co może prowadzić do zakleszczenia (deadlock).

W jądrze Linux w KVM dla architektury PowerPC (Book3S HV) występuje podatność use-after-free w funkcji kvmhv_emulate_tlbie_all_lpid(). Funkcja iteruje po identyfikatorach zagnieżdżonych gości, ale nie utrzymuje referencji na wskaźnik kvm_nested_guest, co pozwala na wyścig z równoległym vCPU i zwolnienie pamięci. Poprawka polega na zwiększeniu licznika referencji przed zwolnieniem blokady i zwolnieniu referencji po zakończeniu pracy.

W jądrze Linux w module powerpc/iommu występuje błąd w walidacji przepełnienia w funkcji iommu_tce_check_ioba. Podczas unifikacji sprawdzania parametrów IOBA zignorowano argument npages, używając stałej wartości 1, co może prowadzić do przepełnienia przy wywołaniach z npages > 1. Poprawka uwzględnia npages, sprawdza przepełnienie arytmetyczne i weryfikuje, czy cały zakres nie przekracza pojemności tabeli.

W jądrze Linux w mechanizmie futex występuje brak alokacji prywatnego hasha podczas wywołania vfork(). Ponieważ dostęp do mm jest możliwy przez vfork(), konieczne jest alokowanie prywatnego hasha również dla vfork() i innych użytkowników CLONE_VM. Poprawka zapewnia, że prywatny hash jest alokowany przed pojawieniem się oczekujących na futex.

W jądrze Linux wykryto podatność w funkcji sock_gettstamp(), która zmienia flagi sk_flags gniazda bez trzymania zamka gniazda. Prowadzi to do wyścigu (race condition) między operacją bind() a ioctl SIOCGSTAMPNS_NEW, co może skutkować użyciem po zwolnieniu (use-after-free) gniazda UDP. Problem został naprawiony przez zablokowanie gniazda tylko w przypadku konieczności ustawienia flagi SOCK_TIMESTAMP.

W jądrze Linux w systemie plików CIFS, funkcja cifs_chan_skip_or_disable() używa wskaźnika do serwera po zwolnieniu referencji do kanału, co prowadzi do use-after-free. Poprawka sygnalizuje kanał i serwer główny oraz przechwytuje wskaźnik serwera głównego przed zwolnieniem referencji.

W jądrze Linux wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w mechanizmie czyszczenia timerów POSIX podczas wykonywania exec() przez wątek niebędący liderem. Błąd występuje, gdy operacje po de_thread() (takie jak exec_mmap()) kończą się niepowodzeniem, co prowadzi do zwolnienia timera, który wciąż znajduje się w kolejce, a następnie do ponownego usunięcia go z drzewa rbtree.

W jądrze Linuxa w kodzie POSIX CPU timerów występuje wyścig, który może prowadzić do użycia po zwolnieniu (UAF). Problem wynika z utraty rozróżnienia między stanem 'timer na liście wygaśnięć' a 'dostarczanie anulowane' po zmianie flagi 'firing' na boolean. Poprawka sprawdza, czy timer jest na liście wygaśnięć, zamiast polegać na fladze.

W jądrze Linuxa w kodzie RDS IB, funkcja rds_ib_cm_connect_complete() wywołuje rds_conn_destroy() przy niezgodności wersji protokołu, co prowadzi do zakleszczenia (deadlock) w workqueue. Poprawka zmienia to na rds_conn_drop(), które asynchronicznie planuje zamknięcie połączenia.

W jądrze Linux występuje luka use-after-free w mechanizmie sygnałów, związana z wyścigiem podczas wywołania exec() przez wątek niebędący liderem grupy wątków. Timer typu SIGEV_THREAD_ID utworzony dla tid lidera może po wymianie tidów wskazywać na wątek wywołujący execve(), co prowadzi do nieprawidłowego kolejkowania sygnałów i użycia zwolnionej pamięci. Problem został rozwiązany przez opróżnianie kolejki sygnałów zadania wcześniej, w exit_signals(), oraz blokowanie kolejkowania sygnałów dla zadań z ustawioną flagą PF_EXITING.

W jądrze Linuxa w kodzie swiotlb, funkcja swiotlb_bounce() używa nieprawidłowego adresu do wyszukiwania strony highmem, co może prowadzić do zapisu/odczytu z niewłaściwej strony pamięci. Poprawka używa skorygowanego adresu orig_addr do obu operacji.

W jądrze Linuxa w kodzie RDMA/ucma, występuje wyścig między operacjami join i leave multicast, który może prowadzić do użycia po zwolnieniu (UAF). Poprawka utrzymuje mutex przez cały czas od join do copy_to_user, aby zapobiec pominięciu leave.

W jądrze Linuxa w kodzie RDMA/core, funkcja iwpm_get_nlmsg_request() inicjalizuje licznik referencji po dodaniu do listy globalnej, co może prowadzić do błędu refcount. Poprawka inicjalizuje kref przed list_add_tail() oraz inicjalizuje wszystkie pola przed dodaniem do listy.

W jądrze Linuxa w kodzie openvswitch, funkcja ovs_ct_get_conn_labels() może dodać rozszerzenie etykiet do potwierdzonego wpisu conntrack, co może prowadzić do realokacji i zwolnienia bloku rozszerzeń podczas równoczesnego dostępu. Poprawka dodaje rozszerzenie tylko dla niepotwierdzonych conntracków.

W jądrze Linux w module dma-buf/dma-fence, wcześniejsza poprawka zmieniła sprawdzanie sygnału na sprawdzanie wskaźnika ops, co powoduje utratę ochrony RCU po zasygnalizowaniu dla wielu implementacji dma_fence, prowadząc do użycia po zwolnieniu. Poprawka dodaje dodatkowe sprawdzenie sygnału do sprawdzenia wskaźnika ops.

W jądrze Linux w IPv6 XFRM, funkcje xfrm6_local_rxpmtu() i xfrm6_local_error() zakładają, że skb->sk zawsze wskazuje na pełny gniazdo IPv6, ale może to być request_sock, co prowadzi do odczytu poza przydziałem. Poprawka używa skb_to_full_sk() i wychodzi, gdy nie ma pełnego gniazda.

W sterowniku lan743x jądra Linux funkcja lan743x_rx_process_buffer() dodaje kolejne bufory odbiorcze do frag_list skb nagłówka, a następnie lan743x_rx_trim_skb() linearyzuje nagłówek i zwalnia metadane skb fragmentu. Ścieżka sukcesu sumy kontrolnej zapisuje jednak ip_summed przez lokalny wskaźnik skb, który nadal wskazuje na zwolniony fragment, powodując use-after-free przy pakietach zajmujących więcej niż jeden bufor odbiorczy.