Katalog podatności CVE

W jądrze Linux w obsłudze drm/amd/ras wykryto błąd polegający na tym, że przy przepełnieniu pierścienia CPER rozmiar wpisu jest odczytywany z uszkodzonych danych. Może to spowodować brak postępu wskaźnika odczytu i zawieszenie wątku roboczego zapisującego kolejny rekord CPER. Poprawka wykrywa brak postępu i resetuje pierścień CPER do stanu pustego.

W jądrze Linux w sterowniku firmware arm_scmi parser powiadomień SENSOR_UPDATE nie weryfikował, czy odebrany ładunek zawiera wszystkie odczyty czujników wynikające z opisu czujnika. Odczyty były parsowane mimo obcięcia danych. Poprawka odrzuca obcięte powiadomienia przed odczytem tablicy zmiennej długości.

W jądrze Linux w arm_scmi parser powiadomień BASE_ERROR_EVENT używał liczby raportów z pola error_status bez sprawdzenia, czy odebrany ładunek zawiera wszystkie zgłoszone wpisy. Obcięte ładunki mogły powodować kopiowanie poza granice bufora. Poprawka odrzuca obcięte ładunki przed kopiowaniem tablicy raportów.

W jądrze Linux w module wifi mac80211 funkcja ieee80211_rx_mgmt_deauth() odczytywała kod przyczyny deautoryzacji przed sprawdzeniem, czy pole stałe faktycznie występuje w odebranej ramce. Poprawka najpierw waliduje długość ramki deautoryzacji, a dopiero potem odczytuje kod przyczyny.

W jądrze Linux w sterowniku wifi libertas funkcja lbs_hard_start_xmit() w trybie monitorowania rzutowała dane skb na nagłówek radiotap TX i kopiowała adres docelowy 802.11 z przesunięcia 4, bez sprawdzenia minimalnej długości ramki. Ogólne sprawdzenie długości odrzucało tylko puste i zbyt duże skb, więc krótka ramka monitorowania mogła spowodować odczyt poza końcem danych skb. Poprawka wymaga wystarczającej liczby bajtów na nagłówek radiotap TX i pole adresu docelowego.

W jądrze Linux w sterowniku wifi iwlwifi mvm skanowanie zaplanowane budowało probe request przed sprawdzeniem iwl_mvm_scan_fits(), więc zbyt duże IE mogły zostać skopiowane do stałego bufora preq przed walidacją długości. Poprawka przenosi iwl_mvm_build_scan_probe() po sprawdzeniu fits oraz zgłasza max_sched_scan_ie_len za pomocą iwl_mvm_max_scan_ie_len(), aby limity przestrzeni użytkownika uwzględniały bajty DS/TPC wstawiane przez sterownik.

W jądrze Linux na architekturze arm64 podatność dotyczy obsługi kprobes podczas single-steppingu. Trafienie kprobe w stanie KPROBE_HIT_SS było błędnie uznawane za nieodwracalne, co mogło prowadzić do utraty stanu przerwań i trwałego wyłączenia przerwań. Poprawka umożliwia bezpieczne ponowne wejście w kprobe w tym stanie oraz zapisuje i przywraca saved_irqflag w struct prev_kprobe.

W jądrze Linux w module wifi mac80211_hwsim funkcja hwsim_tx_info_frame_received_nl() rzutowała ładunek HWSIM_ATTR_TX_INFO na strukturę hwsim_tx_rate * i bezwarunkowo odczytywała IEEE80211_TX_MAX_RATES wpisów (8 bajtów). Polityka ograniczała atrybut tylko od góry, a operacja ustawiała GENL_DONT_VALIDATE_STRICT, więc krótki lub pusty atrybut był akceptowany i pętla czytała poza ładunkiem. Poprawka wymaga dokładnej długości w polityce, aby nieprawidłowy atrybut był odrzucany przed uruchomieniem handlera.

W jądrze Linux w sterowniku drm/gma500 funkcja xfer_read() czekała na zakończenie transakcji HDMI I2C, ale ignorowała zarówno przekroczenie limitu czasu, jak i przerwanie sygnału z wait_for_completion_interruptible_timeout(). Jeśli przerwanie nigdy nie zmieniło stanu transakcji, pętla mogła czekać w nieskończoność. Poprawka zwraca -ETIMEDOUT przy wygaśnięciu oczekiwania, propaguje przerwane oczekiwania i sprawia, że callback master_xfer zwraca pierwszy błąd transferu zamiast zgłaszać sukces.

W jądrze Linux naprawiono błąd w podsystemie IMA (Integrity Measurement Architecture), który podczas wczesnego rozruchu próbował zmieniać rozszerzone atrybuty (xattr) plików na systemie plików tylko do odczytu. W przypadku ext4 powodowało to uruchomienie transakcji journaling i ostrzeżenie jądra. Poprawka wcześnie wykrywa stan pliku i zwraca błąd zamiast podejmować niedozwoloną operację.

W jądrze Linux w podsystemie MMC (mmc: core) brakowało walidacji pola max_segs dostarczanego przez sterownik hosta. Jeśli sterownik ustawi zbyt dużą wartość, pole typu unsigned short może zostać obcięte do zera, co powoduje wywołanie kmalloc(0) i zwrócenie wskaźnika ZERO_SIZE_PTR, a następnie dostęp do nieprawidłowej pamięci w sg_init_table() i awarię jądra (Oops).

W jądrze Linux sterownik portu szeregowego 8250 nie rozpoznawał typu UPIO_AU (typ 4), co powodowało ostrzeżenie i nieobsługiwany typ UART podczas próbkowania na systemach MIPS Alchemy. Poprawka dodaje rozpoznanie UPIO_AU w set_io_from_upio() bez wykonywania dodatkowych działań, ponieważ parametry są już ustawione w au_platform_setup().

W jądrze Linux sterownik media chips-media wave5 nie sprawdzał zakresu danych w dec_output_info, co mogło prowadzić do zapisu poza dozwolonym obszarem pamięci (przepełnienie bufora inst->frame_buf). Poprawka dodaje kontrolę zakresu dla tych danych.

W jądrze Linux usunięto zbędne wywołanie rcu_barrier() w funkcji br_multicast_dev_del() modułu mostu sieciowego. Wywołanie to pochodziło z czasów, gdy w br_multicast.c używano call_rcu(), a obecnie stosowane jest kfree_rcu(), więc bariera RCU jest niepotrzebna i powoduje nadmierne obciążenie blokady RTNL. W efekcie dochodziło do blokad zadań oczekujących na mutex, co widać w raportach syzbot.

W jądrze Linux system plików ntfs3 nie obsługiwał błędów set_blocksize, a ponieważ używa buffer_heads, które nie radzą sobie dobrze z rozmiarem bloku większym niż PAGE_SIZE, montowanie mogło wywołać BUG_ON w folio_set_bh. Poprawka obsługuje te błędy.

W jądrze Linux system plików isofs nie obsługiwał błędów set_blocksize, a ponieważ używa buffer_heads, które nie radzą sobie dobrze z rozmiarem bloku większym niż PAGE_SIZE, montowanie mogło wywołać BUG_ON w folio_set_bh. Poprawka obsługuje te błędy.

W jądrze Linux sterownik irqchip/gic-v5 wykonywał opuszczenie priorytetu (priority drop) dopiero w irq_eoi(), czyli razem z dezaktywacją przerwania. Ponieważ wszystkie przerwania mają ten sam priorytet, długotrwałe przetwarzanie mogło blokować sygnalizację nowych przerwań. Poprawka przenosi priority drop bezpośrednio po potwierdzeniu przerwania w głównym handlerze GICv5.

W jądrze Linux sterownik irqchip/gic-v4 reklamował obsługę VLPIs nawet gdy nie wykryto kontrolera ITS. Przy włączonej opcji kvm-arm.vgic_v4_enable=1 na systemie bez węzła MSI w device tree i bez GICv4 dochodziło do paniki z powodu dereferencji NULL (gic_domain). Poprawka ustawia brak obsługi vLPI przy inicjalizacji, jeśli host nie ma ITS.

W jądrze Linux funkcja host1x_device_init() w ścieżkach obsługi błędów nie sprawdzała client->ops przed dereferencją, w przeciwieństwie do ścieżek inicjalizacji. Mogło to prowadzić do dereferencji NULL, jeśli client->ops było NULL. Poprawka dodaje brakujące sprawdzenie w etykietach teardown i teardown_late.

W jądrze Linux sterownik drm/nouveau/gsp nie zawierał wpisu SEC2 w tabeli układów GA100. Podczas tu102_gsp_oneinit() konstruktor bootera potrzebuje device->sec2 do dostępu do falcona SEC2; bez tego wpisu device->sec2 jest NULL, co powoduje awarię podczas rozruchu GSP-RM.