Katalog podatności CVE

W jądrze Linux stos TCP w trybie zerocopy receive mógł wywołać dereferencję NULL w can_map_frag(), gdy następny skb zawierał fragment net_iov (DMABUF lub IOURING). Funkcja skb_frag_page() zwraca NULL dla net_iov, a can_map_frag() używa tej wartości w PageCompound(). Poprawka odrzuca wszystkie fragmenty net_iov przed wywołaniem skb_frag_page().

W jądrze Linux funkcja tipc_topsrv_stop() zamykała połączenia subskrybentów, podczas gdy kolejki robocze serwera topologii nadal działały. Powodowało to wyścigi prowadzące do błędów refcount, use-after-free w tipc_conn_close(), queue_work() na zniszczonej kolejce oraz RCU stall w tipc_topsrv_exit_net(). Poprawka czyści flagę pod idr_lock, niszczy kolejki robocze przed zamknięciem połączeń i odmawia tipc_conn_lookup() po wyczyszczeniu flagi.

W jądrze Linux w module TIPC funkcja tipc_node_find_by_name() zwracała wskaźnik do węzła po zwolnieniu blokady RCU, nie pobierając referencji. Obsługiwacze LINK_SET, LINK_GET i LINK_RESET_STATS mogły następnie używać zwolnionego węzła, co prowadziło do use-after-free (wykryte przez KASAN).

W jądrze Linux moduł SELinux przy ponownym montowaniu systemu NFSv4 wyeksportowanego z security_label nie ustawiał SECURITY_LSM_NATIVE_LABELS w *set_kern_flags, ponieważ superblok był już SB_INITIALIZED i selinux_set_mnt_opts() kończyło działanie wcześnie. W efekcie nfs_get_root() czyścił NFS_CAP_SECURITY_LABEL na współdzielonym nfs_server, wyłączając etykietowanie per plik dla obu montowań.

W jądrze Linux funkcja __fsverity_get_info() używa rhashtable_lookup_fast() z rcu_read_lock(), co nie synchronizuje się bezpośrednio z fsverity_remove_info(). Dla różnych inode'ów równoległe wywołania mogą powodować use-after-free, ponieważ polegają na fsverity_info::rhash_head i fsverity_info::inode po zwolnieniu. Poprawka opóźnia zwolnienie struct fsverity_info przez RCU po usunięciu z rhashtable.

W jądrze Linux sterownik gpio-mpsse w gpio_mpsse_irq_enable() uruchamiał worker poll przed dodaniem go do listy priv->workers. Jeśli gpio_mpsse_disconnect() przechodził listę w tym oknie, pomijał worker, a po zwolnieniu mpsse_priv osierocony gpio_mpsse_poll() nadal uzyskiwał do niego dostęp, powodując use-after-free. Poprawka publikuje i uzbraja worker w jednej sekcji krytycznej irq_spin oraz dodaje flagę priv->dying.

W jądrze Linux sterownik gpio-xilinx w xgpio_request() wywoływał pm_runtime_get_sync(), które przy błędzie pozostawiało zwiększony licznik użycia. Ponieważ gpiolib nie wywołuje ->free() po nieudanym ->request(), xgpio_free() z pasującym pm_runtime_put() nigdy się nie uruchamiał, powodując wyciek referencji i uniemożliwiając runtime-suspend kontrolera. Poprawka przełącza na pm_runtime_resume_and_get().

W jądrze Linux sterownik gve przy wyłączaniu pul XSK wywoływał niezablokowane wersje napi_disable i napi_enable, mimo że blokada netdev była już pozyskana przed ndo_bpf. Prowadziło to do zakleszczenia, ponieważ wątek próbował ponownie pozyskać blokadę, którą już posiadał. Poprawka przełącza wywołania NAPI na wersje zablokowane.

W jądrze Linux w sterowniku gve występuje wyciek buforów XSK podczas zatrzymywania kolejek. GVE nie zwalnia buforów XSK przypisanych do buf_state przy resetowaniu stanu pierścienia, co powoduje wyciek wszystkich buforów wysłanych do karty sieciowej.

W jądrze Linux w sterowniku gve występuje wyciek bufora XSK przy deskryptorze błędu. Gdy w deskryptorze ukończenia RX ustawiony jest bit błędu, buf_state i przypisany bufor powinny zostać zwolnione, ale w przypadku AF_XDP ZC bufor XSK nie jest zwalniany.

W jądrze Linux w sterowniku ibmveth występuje błąd zwalniania logicznej sieci LAN przy niepowodzeniu otwarcia po rejestracji. Gdy alokacja puli buforów RX zawiedzie, kod pomija h_free_logical_lan(), przez co PHYP nadal posiada stronę listy buforów w momencie jej odmapowania.

W jądrze Linux w sterowniku ice występuje użycie po zwolnieniu (use-after-free) przy czyszczeniu portu dynamicznego. Funkcja ice_dealloc_dynamic_port() zwalnia VSI przed odczytaniem indeksu potrzebnego do usunięcia wpisu z xarray, co prowadzi do użycia po zwolnieniu.

W jądrze Linux w sterowniku ice występuje błąd zarządzania licznikiem referencji metadata_dst przy demontażu reprezentanta. Funkcja ice_eswitch_release_repr() używa metadata_dst_free(), która zwalnia pamięć bez sprawdzenia licznika referencji, podczas gdy pakiety w kolejce nadal trzymają referencje.

W jądrze Linux w io_uring/net występuje obejście filtra CONNECT dla 24-bajtowego sockaddr_in6. Funkcja io_connect_bpf_populate() wypełnia pola filtra tylko gdy addr_len >= 28 bajtów, podczas gdy ścieżki połączenia IPv6 akceptują 24 bajty, przez co filtr widzi port i adres zerowe i może zostać obejśty.

W jądrze Linux w ip6_gre występuje dereferencja NULL przy przestarzałej aktualizacji PMTU ERSPAN. Funkcja ip6erspan_tunnel_xmit() traktuje metadanych dst jako trasę, a ponieważ nie ma urządzenia wyjściowego, dst_dev(dst)->mtu powoduje dereferencję NULL.

W jądrze Linux w podsystemie KEYS występuje wyścig w add_key() z ograniczeniem keyringu. Funkcja __key_create_or_update() odczytuje restrict_link przed zajęciem semafora, co pozwala pisarzowi zaobserwować brak ograniczenia, poczekać na instalację ograniczenia i połączyć klucz mimo ograniczenia.

W jądrze Linux w podsystemie memstick funkcje memstick_alloc_card() i memstick_set_rw_addr() używały wait_for_completion_timeout(), co przy przekroczeniu limitu czasu powodowało zwolnienie struktury memstick_dev, mimo że kontroler hosta nadal asynchronicznie przetwarzał żądanie. Późniejszy zapis do zwolnionej pamięci prowadził do błędu use-after-free (KASAN slab-use-after-free write). Problem naprawiono, zastępując wait_for_completion_timeout() bezwarunkowym wait_for_completion().

W jądrze Linux w module memstick rtsx_usb_ms występuje sytuacja wyścigu podczas usuwania urządzenia: żądanie może zostać po cichu porzucone, przez co nikt nie kończy card->mrq_complete. Po wprowadzeniu oczekiwania na zakończenie żądań bez limitu czasu powoduje to zawieszenie usuwania — memstick_check() nigdy nie wraca, a memstick_remove_host() blokuje się w flush_workqueue(). Poprawka zapewnia, że żądania nie są porzucane, lecz kończone błędem -ENOMEDIUM po ustawieniu eject.

W jądrze Linux w dm-crypt zaakceptowano nieprawidłową konfigurację łączącą szyfr AEAD z trybem IV lmk (np. "capi:gcm(aes)-lmk"). Tryb lmk ustawia tfms_count na 64, ale crypt_alloc_tfms_aead alokuje tylko jeden transform, co powoduje odczyt poza tablicą tfms_aead i wywołanie crypto_aead_setkey na nieprawidłowych danych, prowadząc do oops przy ładowaniu tabeli.

W jądrze Linux w podsystemie dm (device-mapper) funkcja do_resume wywołuje dm_table_get_mode(new_map) bez blokad, co w przypadku równoległego ioctl na tym samym urządzeniu może spowodować odczyt zwolnionej pamięci (use-after-free). Wyścig został wykryty przez syzbot; poprawka polega na odczycie trybu nowej tabeli przed dm_swap_table.