Katalog podatności CVE

W jądrze Linux podsystem Bluetooth hci_sock: ponowne powiązanie gniazda HCI po wyrejestrowaniu kontrolera może wyścignąć się z odtwarzaniem monitora. hci_sock_bind() czyści wskaźnik hdev i zwalnia referencję tylko pod blokadą gniazda, podczas gdy send_monitor_control_replay() czyta pod hci_sk_list.lock, co prowadzi do dereferencji NULL lub use-after-free. Poprawka pobiera hci_sk_list.lock do zapisu przy czyszczeniu wskaźnika i resetowaniu stanu gniazda.

W jądrze Linux w funkcji hci_le_set_ext_scan_param_sync() podczas konfiguracji skanowania PA występuje użycie po zwolnieniu pamięci (use-after-free). Wskaźnik do adresu jest pobierany z hci_sent_cmd_data() bez utrzymywania referencji do skb, a równoległy wątek hci_cmd_work() może zwolnić i zastąpić ten skb, zanim adres zostanie odczytany. Problem został naprawiony przez synchronizację dostępu do sent_cmd i req_skb za pomocą hdev->lock oraz skopiowanie adresu przed zwolnieniem blokady.

W jądrze Linux naprawiono błąd w obsłudze Bluetooth ISO, gdzie równoczesne wywołania listen() na tym samym gnieździe broadcastowym mogły doprowadzić do nadpisania wskaźnika połączenia i wycieku referencji. W rezultacie późniejsze zdarzenia mogły powodować dostęp do zwolnionego gniazda (use-after-free), co potwierdzono raportem KASAN.

W jądrze Linux w obsłudze Bluetooth ISO funkcja iso_sock_connect() sprawdza stan gniazda przed założeniem blokady i zwalnia ją przed nawiązaniem połączenia, co pozwala dwóm równoczesnym wywołaniom przejść kontrolę dopuszczenia. Prowadzi to do nadpisania miejsca docelowego gniazda, wycieku referencji i użycia zwolnionego gniazda (use-after-free), co potwierdził KASAN w iso_sock_hold().

W jądrze Linux w obsłudze Bluetooth SCO występował wyścig między ścieżką odbioru danych (sco_recv_scodata) a zwalnianiem struktury sco_conn, co prowadziło do użycia zwolnionej pamięci (use-after-free). Wskaźnik hcon->sco_data był czyszczony bez trzymania hdev->lock, więc ścieżka RX mogła wykonać kref_get_unless_zero() na już zwolnionym obiekcie. Poprawka nadaje wskaźnikowi rzeczywiste odwołanie i serializuje jego czyszczenie pod hdev->lock.

W jądrze Linux w implementacji Bluetooth RFCOMM występuje wyciek pamięci (skb) w funkcji rfcomm_recv_data(), gdy DLC nie ma właściciela. Implementacja gniazda zwraca skb bez zwolnienia, podczas gdy implementacja tty zwalnia go poprawnie. Wyciek narasta w sposób ciągły, ponieważ zdalna strona wciąż otrzymuje kredyty i wysyła kolejne ramki danych.

W jądrze Linux w podsystemie Bluetooth RFCOMM występuje problem zakleszczenia (AB/BA) między muteksem rfcomm_mutex a blokadą hdev->lock. Podczas uwierzytelniania łącza BR/EDR wywołanie connect() na gnieździe RFCOMM może prowadzić do wykrycia cyklicznej zależności blokad, co grozi zakleszczeniem. Poprawka polega na połączeniu gniazda sesji bez trzymania rfcomm_mutex i późniejszym dodaniu sesji do listy.

W jądrze Linux w sterowniku Bluetooth RFCOMM występuje dereferencja NULL w rfcomm_dev_shutdown() podczas zamykania tty RFCOMM. Gdy rejestracja urządzenia tty w rfcomm_dev_add() nie powiedzie się, dev->tty_dev pozostaje nieustawione, a funkcja shutdown używa go bez sprawdzenia.

W jądrze Linux w drm/fb-helper występuje problem, gdy drm_fb_helper_single_fb_probe() zawiedzie z błędem innym niż -EAGAIN. Wówczas fb_helper->deferred_setup nie jest ustawiane, a późniejsze wywołanie .restore() zatwierdza nieaktualny mode_set z fb == NULL, co wywołuje WARN_ON(!set->fb).

W jądrze Linux w drm/i915/gem funkcja eb_relocate_parse_slow() może wywołać kvfree() na wpisach poza oryginalną tablicą exec. Dzieje się tak, ponieważ eb_parse() zwiększa eb->buffer_count po dodaniu VMA, a sprzątanie używa zwiększonego licznika do zwalniania wskaźników relokacji.

W jądrze Linux w komponencie drm/i915/gt występuje wyścig między odczytem stanu ACTIVE w intel_rps_boost() a zakolejkowaniem rps->work. Może to spowodować wywołanie rps_work() po zaparkowaniu GT i odmaskowanie przerwań RPS PM bez trzymania wakelocka PM, co kończy się komunikatem „RPM wakelock ref not held during HW access” i oznaczeniem jądra jako tainted.

W jądrze Linux w drm/imagination preallokacja tablicy stron jest błędnie obliczana na podstawie device_addr + sgt_offset z wyłącznym końcem zakresu. Powoduje to alokację o jedną tablicę za dużo oraz możliwe niedomiarowanie różnicy indeksów przy przekraczaniu granicy tablicy stron, co prowadzi do ogromnej preallokacji i wyczerpania pamięci.

W jądrze Linux w drm/panthor funkcja panthor_ioctl_group_create() waliduje liczbę kolejek względem stałej MAX_CS_PER_CSG, a nie względem liczby slotów zgłoszonych przez firmware. Jeśli firmware zgłasza mniej slotów, nieuprzywilejowany użytkownik może zażądać większej liczby kolejek, co prowadzi do użycia niezainicjalizowanego interfejsu strumienia i potencjalnej awarii.

W jądrze Linux w drm/vmwgfx brakuje walidacji pitch (skoku) pochodzącego z przestrzeni użytkownika przed kopiowaniem danych z powierzchni. Może to prowadzić do odczytów poza granicami pamięci podczas cursor snooping.

W jądrze Linux w komponencie drm/xe/i2c funkcja xe_i2c_remove() nie anulowała ani nie opróżniała zaplanowanej pracy i2c->work przed wyrejestrowaniem adaptera i urządzeń klienckich. Praca wciąż będąca w kolejce lub uruchomiona mogła odwołać się do zwolnionego adaptera lub zwolnionej pamięci struktury xe_i2c, powodując błąd use-after-free. Poprawka przenosi wyrejestrowanie notyfikatora szyny przed demontaż klientów i anuluje pracę zaraz po nim.

W jądrze Linux w sterowniku drm/xe występuje błąd w rozliczaniu shrinkera przy zagnieżdżonych przypięciach zewnętrznych buforów (dma-buf). Funkcje xe_bo_pin_external() i xe_bo_unpin_external() obsługują zagnieżdżone przypięcia, ale wywołania xe_ttm_tt_account_subtract() i xe_ttm_tt_account_add() są wykonywane bezwarunkowo przy każdym wywołaniu, zamiast tylko przy przejściu do i ze stanu przypięcia. Powoduje to wielokrotne odejmowanie stron bufora od licznika shrinkera, co prowadzi do niedomiaru (underflow) i zawyżenia liczby stron możliwych do odzyskania, a w konsekwencji do nadmiernego wywoływania shrinkera pod presją pamięci.

W jądrze Linux w module drm/xe wykryto błąd polegający na pozostawieniu nieaktualnego wpisu pinned_link, gdy odpięcie bufora ramki (fb-pin) wykonuje ostatnie odpięcie. Prowadzi to do wpisu listy wskazującego na zwolnioną pamięć i potencjalnego use-after-free przy kolejnym przejściu lub modyfikacji listy.

W jądrze Linux w sterowniku drm/bridge th1520-dw-hdmi funkcja th1520_dw_hdmi_remove() odczytywała wskaźnik z platform drvdata jako struct dw_hdmi * zamiast struct th1520_hdmi *, przez co przekazywała do dw_hdmi_remove() niewłaściwy wskaźnik. W efekcie proces zwalniania zasobów (teardown) działał na błędnym obiekcie.

W jądrze Linux w module drm/amdgpu/userq funkcja amdgpu_userq_get_doorbell_index() przypinała dowolny BO przekazany jako doorbell_handle do domeny doorbell. Dla zwykłego BO mechanizm TTM przenosił go przez ttm_bo_move_null() i tracił jego zawartość, co pozwalało klientowi uszkodzić bufor współdzielony przez innego klienta na tym samym urządzeniu.

W jądrze Linux naprawiono błąd w funkcji propagate_mount_busy(), która nie sprawdzała poprawnie kopii montowań z wieloma dziećmi lub pojedynczym dzieckiem niebędącym nakładką. W wyniku tego synchroniczne odmontowanie mogło zakończyć się sukcesem mimo że montowanie było nadal używane, co prowadziło do odłączenia aktywnego montowania. Problem dotyczył przestrzeni nazw montowań i mógł być wywołany przez kontener.