Katalog podatności CVE

W jądrze Linux w systemie plików XFS wymiana zakresów (exchange range) błędnie przenosiła flagę reflink między plikami, mimo że plik może nadal posiadać współdzielone bloki poza i_disk_size. Prowadziło to do zapisu w miejscu (in-place) zamiast CoW i uszkodzenia drugiego pliku współdzielącego bloki. Poprawka zaprzestaje przenoszenia flag i ustawia je na obu inodach, w tym dla XFS_IOC_SWAPEXT.

W jądrze Linux naprawiono błąd w XFS dotyczący operacji XFS_IOC_EXCHANGE_RANGE z flagą TO_EOF. Nieprawidłowe zamienianie rozmiarów plików przy niezerowym offsecie powodowało, że plik miał współdzielone bloki poza końcem pliku (EOF), a następnie błędne czyszczenie flagi reflink, co umożliwiało nadpisanie współdzielonego bloku.

W jądrze Linux w podsystemie drm/bridge funkcja drm_bridge_add() przy ponownym dodawaniu wcześniej usuniętego mostka usuwa go z bridge_lingering_list bez trzymania bridge_lock. Listy bridge_list i bridge_lingering_list są chronione przez bridge_lock i modyfikowane współbieżnie przez drm_bridge_remove() oraz __drm_bridge_free(), a także odczytywane przez plik debugfs 'bridges'. Wykonywanie testu list_empty() i list_del_init() poza blokadą może uszkodzić którąś z list.

W jądrze Linux w podsystemie cgroup/cpuset funkcja is_in_v2_mode() może być wywołana w kontekście ponownego wiązania nowego systemu plików cgroup z nieaktualnym wskaźnikiem cpuset_cgrp_subsys.root. Aby uniknąć potencjalnego use-after-free, wprowadzono nową flagę cpuset_v2_mode ustawianą przy użyciu opcji montowania cpuset_v2_mode, zapisywaną tylko gdy cpuset_bind() działa na stabilnej wartości cpuset_cgrp_subsys.root. Funkcja is_in_v2_mode() odczytuje teraz tę flagę zamiast bezpośrednio odwoływać się do cpuset_cgrp_subsys.root.

W jądrze Linux w sterowniku GPIO exar występuje błąd kolejności inicjalizacji: identyfikator ID jest zapisywany w strukturze exar_gpio dopiero po zarejestrowaniu akcji sprzątającej devm_add_action_or_reset(). Jeśli rejestracja się nie powiedzie, akcja sprzątająca zwalnia ID 0 zamiast przydzielonego ID, co powoduje wyciek zasobu lub zwolnienie ID należącego do innego urządzenia.

W jądrze Linux w sterowniku drm/vc4 funkcja vc4_bo_cache_destroy() usuwa buforowane obiekty BO, ale nigdy nie zwalnia listy rozmiarów pamięci podręcznej, co powoduje wyciek pamięci przy każdym odłączeniu urządzenia (unbind).

W jądrze Linux w net/sched em_text funkcja em_text_change() przekazuje do textsearch_prepare() tablicę algo bez wymuszonego terminatora NUL. Przy ponowieniu TS_AUTOLOAD wywołanie request_module() z %s odczytuje dane poza tablicą, ujawniając pamięć jądra w wierszu poleceń modprobe. Wymaga to uprawnień CAP_NET_ADMIN w docelowej przestrzeni nazw sieci.

W jądrze Linux naprawiono błąd use-after-free w sterowniku AMT. Zapytanie IGMP/MLD było kolejkowane przez qdisc, a wskaźnik do tunelu przechowywany w skb->cb mógł wskazywać na zwolniony tunel, co prowadziło do użycia po zwolnieniu w amt_dev_xmit(). Poprawka wysyła zapytanie bezpośrednio ze ścieżki odbioru, z pominięciem qdisc.

W jądrze Linux w cxgb4/ch_ktls tablica tid_list jest wstawiana przez xa_insert_bh() z wyłączonymi softirq, ale ścieżki chcr_ktls_dev_del() i błąd w chcr_ktls_dev_add() używają xa_erase() bez wyłączania softirq. Może to spowodować zakleszczenie, gdy softirq odbioru przerwie operację kasowania i będzie czekać na trzymaną blokadę.

W jądrze Linux w module bonding przy wymianie programu XDP nie jest zwalniane odwołanie do starego programu BPF, zarówno przy przejściu do braku programu, jak i przy zamianie na inny program. Powoduje to wyciek programów BPF.

W jądrze Linux naprawiono błąd w sterowniku ice, gdzie użycie writel_relaxed() do aktualizacji rejestru doorbell transmisji nie zapewniało odpowiedniego uporządkowania zapisów na architekturze arm64. Prowadziło to do wyścigu, w którym karta sieciowa rozpoczynała transmisję przed aktualizacją licznika dql->num_queued, co wywoływało BUG_ON w dql_completed() i awarię jądra.

W jądrze Linux w nvmet funkcja nvmet_req_alloc_p2pmem_sgls() przypisuje req->p2p_dev dopiero po udanej alokacji danych i metadanych SGL. Jeśli alokacja danych się powiedzie, a metadanych nie, ścieżka out_free_sg przekazuje niezainicjalizowany req->p2p_dev do pci_p2pmem_free_sgl().

W jądrze Linux w btrfs funkcja btrfs_encoded_read_regular_fill_pages() może wywołać btrfs_uring_read_extent_endio() i zwrócić status I/O, jeśli wszystkie bio zakończą się przed powrotem. Ujemny errno powoduje podwójne odblokowanie i zwolnienie zasobów przez btrfs_uring_read_extent() oraz btrfs_uring_read_finished().

W jądrze Linux w btrfs po wywołaniu btrfs_uring_read_extent() wywołujący zawsze przechodzi do out_acct, pomijając kfree(data->iov). Jest to poprawne tylko dla -EIOCBQUEUED, gdzie ścieżka odroczona zarządza iov; w przypadku błędu powoduje to wyciek pamięci.

W jądrze Linux w funkcji btrfs_uring_read_extent() występował błąd zwalniania blokad. W przypadku niepowodzenia alokacji tablicy stron zwracano -ENOMEM bez zwolnienia blokady inode i extent, co prowadziło do zakleszczenia.

W jądrze Linux funkcja btrfs obsługująca io_uring pozostawiała zaalokowane dane w PDU cmd przy zwracaniu -EAGAIN, co powodowało wyciek pamięci przy anulowaniu żądania lub zamknięciu pierścienia. Poprawka zwalnia dane przy każdym wyjściu.

W jądrze Linux w module btrfs występuje błąd podczas zastępowania wartości atrybutu rozszerzonego (xattr), gdy wiele xattrów jest spakowanych w tym samym elemencie btrfs_dir_item. Nowy btrfs_dir_item nie jest w pełni inicjalizowany, co prowadzi do uszkodzenia drzewa i wykrycia go przez mechanizm sprawdzania podczas zapisu bufora extentu.

W jądrze Linux sterownik wifi mt76 inkrementował licznik non_aql_packets na wcid linku, na którym ramka została zakolejkowana, a dekrementował na linku zgłoszonym w ukończeniu. Dla peera MLO linki mogły się różnić, powodując dryf licznika i blokadę stacji.

W jądrze Linux sterownik mt7915 nie wyłączał rx napi przed zniszczeniem go podczas usuwania urządzenia, co powodowało ostrzeżenia i niestabilność systemu na MT7916. Poprawka wyłącza napi w mt7915_stop_hardware().

W jądrze Linux sterownik ASoC adau1372 używał gpiod_set_value() dla GPIO powerdown, co powodowało ostrzeżenie gdy dostawca GPIO może spać (np. ekspandery I2C). Poprawka używa wariantu _cansleep.