Katalog podatności CVE

W jądrze Linux w module rust_binder występuje błąd związany z aktualizacją licznika referencji węzła przy zakończeniu wątku. Gdy wątek kończy się przez BINDER_THREAD_EXIT, oczekująca aktualizacja licznika referencji mogła zostać utracona, ponieważ funkcje Node::cancel() i NodeWrapper::cancel() były puste. Prowadzi to do desynchronizacji stanu dostarczania węzła i braku powiadomienia przestrzeni użytkownika, przez co węzeł może nigdy nie zostać zwolniony.

W jądrze Linux w podsystemie IPv4 występuje błąd use-after-free/null-ptr-deref podczas aktualizacji PMTU, gdy grupa nexthop ulega zmniejszeniu. Funkcja __ip_rt_update_pmtu() iteruje po ścieżkach, a równoległa zamiana grupy nexthop może spowodować, że fib_info_nhc() zwróci NULL, co jest następnie dereferencjonowane w update_or_create_fnhe(). Wymaga to uprawnień CAP_NET_ADMIN w przestrzeni nazw sieci, ale w środowiskach z nieuprzywilejowanymi przestrzeniami nazw użytkownika lokalny użytkownik może je uzyskać.

W jądrze Linux w podsystemie IPv4 występuje błąd null-ptr-deref podczas zrzutu wyjątków FIB, gdy grupa nexthop ulega zmniejszeniu. Funkcja fib_dump_info_fnhe() używa fib_info_num_path() jako granicy pętli, a następnie fib_info_nhc() niezależnie przeładowuje nh->nh_grp; jeśli RTM_NEWNEXTHOP zamieni grupę na mniejszą, fib_info_nhc() zwróci NULL i zrzut go zdereferencjonuje. Poprawka zatrzymuje iterację, gdy indeksowana ścieżka jest nieobecna.

W jądrze Linux w podsystemie IPv4 występuje błąd null-ptr-deref podczas obliczania rozmiaru powiadomienia o trasie, gdy grupa nexthop ulega zmniejszeniu. Funkcja fib_nlmsg_size() sprawdza fib_info_num_path() przed każdą iteracją, a następnie fib_info_nhc() niezależnie przeładowuje nh->nh_grp; jeśli RTM_NEWNEXTHOP zamieni grupę na mniejszą, fib_info_nhc() zwróci NULL i fib_nexthop_nlmsg_size() go zdereferencjonuje. Poprawka zatrzymuje obliczanie, gdy indeksowana ścieżka jest nieobecna.

W jądrze Linux w podsystemie IPv4 występuje fałszywe ostrzeżenie o wyścigu rozmiaru powiadomienia o trasie. Funkcja fib_alias_hw_flags_set() oblicza rozmiar skb za pomocą fib_nlmsg_size(), a następnie wypełnia go przez fib_dump_info() trzymając tylko RCU; równoległa zamiana może powiększyć grupę nexthop, powodując legalne zwrócenie -EMSGSIZE przez fib_dump_info(). Poprawka usuwa ostrzeżenie, ponieważ nie dowodzi ono błędu w obliczaniu rozmiaru.

W jądrze Linux w podsystemie IPv6 występuje fałszywe ostrzeżenie o wyścigu rozmiaru powiadomienia o trasie. Funkcja fib6_info_hw_flags_set() oblicza rozmiar skb za pomocą rt6_nlmsg_size(), a następnie wypełnia go przez rt6_fill_node(); równoległa zamiana może powiększyć grupę nexthop, powodując legalne zwrócenie -EMSGSIZE przez rt6_fill_node(). Poprawka usuwa ostrzeżenie, ponieważ nie dowodzi ono błędu w obliczaniu rozmiaru.

W jądrze Linux w sterowniku Input: ati_remote2 występuje błąd typu confusion w procedurach obsługi atrybutów urządzenia. Atrybuty channel_mask i mode_mask zostały przeniesione do urządzeń usb_interface, ale funkcje show i store nadal wywołują to_usb_device() na wskaźniku do struct usb_interface, tworząc nieprawidłowy wskaźnik usb_device. Poprawka używa to_usb_interface() bezpośrednio w procedurach obsługi atrybutów.

W jądrze Linux w sterowniku ALSA: ctxfi występuje wyciek pamięci podczas czyszczenia mapowania wejść DAO. Funkcja dao_clear_input() usuwa wpisy mapowania z listy i ustawia ich wskaźniki na NULL, ale nie zwalnia zaalokowanej tablicy, co powoduje wyciek pamięci przy każdym wywołaniu. Poprawka przechowuje wskaźnik bazowy alokacji i zwalnia tablicę po usunięciu wpisów z listy.

W jądrze Linux w funkcji scrub_print_warning_inode() podsystemu btrfs występuje wyciek referencji do root, gdy wywołanie paths_from_inode() zakończy się niepowodzeniem. Ścieżka błędu nie zwalnia referencji pobranej przez btrfs_get_fs_root(), co powoduje wyciek przy każdym nieudanym rozwiązaniu ścieżki podczas drukowania ostrzeżeń scrub.

W jądrze Linux funkcja init_can_skb() nie inicjalizuje nagłówków skb (mac_header pozostaje 0xFFFF) po usunięciu wywołań skb_reset_*_header(). Gdy taki skb trafi do packet_rcv_spkt() (SOCK_PACKET), obliczenie długości push powoduje przepełnienie i wywołuje skb_under_panic, prowadząc do pełnej paniki jądra.

W jądrze Linux w podsystemie cgroup/cpuset występuje wyścig podczas wyłączania CPU: cpu_active_mask jest aktualizowana przed cpuset_handle_hotplug(), przez co guarantee_active_cpus() może wywołać dereferencję NULL dla top cpuset. Poprawka przywraca sprawdzenie NULL dla cs.

W jądrze Linux funkcja cipso_v4_skbuff_delattr() usuwa bajty CIPSO, ale nie koryguje buforowanych przesunięć opcji następujących po nich (srr, rr, ts, router_alert). Konsumenci tacy jak ip_forward_options() i __ip_options_echo() odczytują wtedy niewłaściwe bajty, a ten drugi może potraktować dane pakietu jako długość opcji i skopiować je do bufora o stałym rozmiarze.

W jądrze Linux funkcja get_result_buffer() ustawia data_start na sizeof(struct dm_ioctl) bez sprawdzenia rozmiaru bufora, przez co przy minimalnym buforze data_start wykracza poza jego koniec. Powoduje to odczyt poza zakresem (slab-out-of-bounds) w ctl_ioctl() i wyciek siedmiu bajtów sąsiadujących z alokacją.

W jądrze Linux w virtio_transport_read_skb() podsystemu vsock/virtio licznik rx_bytes jest zmniejszany o pełną długość pakietu zamiast tylko o nieprzeczytane bajty, co powoduje niedomiar licznika. Prowadzi to do błędnych raportów SIOCINQ (np. -40), błędnego zachowania recv/poll oraz ukrywania zakolejkowanych danych.

W jądrze Linux w module brcmfmac występuje wyścig przy usuwaniu interfejsu P2P podczas odłączania sterownika. Gdy sterownik jest usuwany, a proces przestrzeni użytkownika (np. wpa_supplicant) nadal kończy działanie, interfejs P2P jest usuwany dwukrotnie, co prowadzi do błędu jądra (oops) i zawieszenia systemu.

W jądrze Linux sterownik wifi mt76 dla mt7603 publikuje prywatny globalny WCID stacji bez wcześniejszego wywołania mt76_wcid_init(). Pierwsza ramka wstrzyknięta przez interfejs monitora trafia do __skb_queue_tail() z niezainicjalizowaną strukturą sk_buff_head i dereferencjonuje NULL prev, powodując oops.

W jądrze Linux w module WireGuard (podsystem noise) występuje błąd wyścigu podczas przetwarzania tej samej wiadomości odpowiedzi handshake przez wiele wątków. Może to doprowadzić do ponownego użycia stanu sesji i utworzenia nowej sesji na podstawie nieaktualnego stanu handshake. Podatność jest trudna do wykorzystania w praktyce, ale została załatana przez porównanie efemerycznego klucza prywatnego ze stanem handshake peera.

W jądrze Linux funkcja is_chained_work() może zostać wywołana przez kworker, który nie wykonuje aktualnie elementu pracy, przez co worker->current_pwq jest NULL i test pracy łańcuchowej powoduje błąd przed wygenerowaniem ostrzeżenia. Poprawka dodaje sprawdzenie worker->current_pwq.

W jądrze Linux w sterowniku xen/netfront funkcja xennet_fill_frags() zwraca błąd, gdy łańcuch odpowiedzi ma więcej slotów niż mieści się w fragach skb. Ścieżka błędu w xennet_poll() przenosi pozostałe elementy z tmpq do errq, ale sam skb został już zdjęty z tmpq i nigdy nie jest zwalniany, co powoduje wyciek skb i dołączonych do niego stron.

W jądrze Linux mechanizm strparser nie gwarantował, że wywołania __strp_recv zakończą się przed zniszczeniem parsera w strp_done(). Dodano parę lock_sock/release_sock, aby zapewnić zakończenie trwających wywołań strp_recv, oraz zmieniono bity stanu na u8, aby uniknąć wyścigów między strp_stop() a strp_pause/unpause().