Katalog podatności CVE

W jądrze Linux sterownik drm/virtio (virtio-gpu) na domenach Xen PV błędnie decyduje o użyciu DMA API, patrząc tylko na bit VIRTIO_F_ACCESS_PLATFORM. Ponieważ QEMU domyślnie nie ustawia iommu_platform dla virtio-vga, funkcja virtio_gpu_object_shmem_init() opisuje strony bufora ramki hostowi za pomocą sg_phys() używając adresów fizycznych gościa, które w domenie PV wskazują na strony należące do innej domeny.

W jądrze Linux w sterowniku accel/qaic funkcja resp_worker() pomija sprawdzanie granic obecne w decode_message(), co może prowadzić do odczytu poza końcem alokacji slab, nieskończonych pętli lub paniki jądra. Do wystąpienia problemu konieczne jest wysłanie zniekształconej wiadomości z urządzenia.

W jądrze Linux w sterowniku nvme-rdma ścieżka queue_rq przy błędzie -EIO zgłasza błąd ścieżki hosta, a następnie nadal wykonuje czyszczenie polecenia i odmapowuje DMA SQE. Ponieważ pomocnik błędu ścieżki kończy żądanie, dochodzi do podwójnego czyszczenia i odmapowania DMA po zakończeniu żądania.

W jądrze Linux w podsystemie BPF funkcja bpf_map_check_op_flags() porównuje identyfikator CPU z num_possible_cpus() zamiast z nr_cpu_ids i cpu_possible(). Przy rzadkich identyfikatorach CPU (np. maska 0,2-3) nieprawidłowy CPU 1 jest akceptowany, a prawidłowy CPU 3 odrzucany, co prowadzi do błędu strony jądra i paniki.

W jądrze Linux w sterowniku accel/ethosu bity 15:14 rejestru NPU_SET_{IFM,OFM}_PRECISION wybierają tryb przechowywania aktywacji tylko na U85; na U65 to samo pole zawiera tryb zaokrąglania. Parser strumienia poleceń odczytuje je jako tryb przechowywania, co powoduje odrzucanie prawidłowych strumieni U65 z -EINVAL oraz błędne obliczenia rozmiaru mapy cech.

W jądrze Linux funkcja ntfs_attr_find_in_attrdef() sterownika ntfs przechodzi przez tablicę $AttrDef w pamięci, ale warunek pętli ogranicza tylko początek każdego wpisu, nie cały wpis. Wolumen którego rozmiar danych $AttrDef jest mniejszy niż jeden wpis (np. 120 bajtów) powoduje odczyt poza alokacją podczas tworzenia pliku.

W jądrze Linux w obsłudze SCTP_CMD_TIMER_START występuje wyścig TOCTOU: sprawdzenie timer_pending() przed timer_reduce() może spowodować, że timer wygaśnie i zostanie odłączony pomiędzy tymi operacjami. Wtedy timer_reduce() uzbroi timer bez pobrania referencji do asocjacji, co prowadzi do niezrównoważenia licznika referencji i use-after-free podczas niszczenia asocjacji. Poprawka używa wartości zwracanej przez timer_reduce() do ustalenia, czy timer został faktycznie uzbrojony.

W jądrze Linux występuje podatność use-after-free w funkcji vxlan_mdb_remote_src_del() związanej z obsługą wpisów MDB dla VXLAN. Funkcja vxlan_mdb_is_valid_source() akceptuje adres źródłowy składający się z samych zer, co pozwala na aliasowanie kluczy wpisów (*, G) i (S, G), a w konsekwencji na zwolnienie, a następnie ponowne użycie tego samego wpisu pamięci.

W jądrze Linux wykryto podatność w podsystemie netfs związaną z synchronizacją odczytu z wyprzedzeniem (readahead). Problem wynika z dodawania stron (folio) do bufora przez wątek aplikacji w trakcie, gdy wątek zbierający je przetwarza, co może prowadzić do błędów w określaniu kolejności stron. Poprawka polega na wczytywaniu wszystkich stron wybranych przez VM do bufora z góry, a następnie zwalnianiu referencji po rozpoczęciu operacji I/O.

W podsystemie cachefiles jądra Linux funkcja trace_cachefiles_coherency() otrzymuje wskaźnik do __be64 nakładany na dane koherencji o zmiennej długości (mogącej wynosić nawet 0 bajtów), co może prowadzić do UAF lub ostrzeżenia KASAN. Poprawka zapewnia co najmniej 8 bajtów miejsca w buforze, wstępnie je zeruje i pobiera dane jako cztery 2-bajtowe słowa.

W jądrze Linux w podsystemie ALSA występuje wyścig (race condition) między funkcją snd_pcm_mmap_data() a realokacją bufora PCM w snd_pcm_hw_params()/snd_pcm_hw_free(). Funkcja mmap nie pobiera blokady, więc może zmapować strony starego bufora, które następnie zostają zwolnione do alokatora stron, pozostawiając aktywne, zapisywalne mapowanie zwolnionej pamięci (use-after-free na poziomie stron).

W jądrze Linux w ksmbd podczas wylogowania sesji SMB3 multichannel nie czekano na wszystkie kanały przed zwolnieniem współdzielonych obiektów sesji. Dodano bezpieczne opróżnianie, które budzi zablokowane blokady zakresu bajtów, wywołuje callbacki anulowania dla żądań CANCEL i serializuje zamykanie sesji z rejestracją kanałów.

W jądrze Linux w ksmbd wątek nasłuchujący kończy działanie, gdy gniazdo nasłuchujące jest zamykane. Notyfikator netdevice zamyka gniazdo przed wywołaniem kthread_stop(), co może prowadzić do zwolnienia task_struct przed uzyskaniem referencji. Poprawka tworzy wątek w stanie zatrzymanym i utrzymuje dodatkową referencję do czasu zakończenia kthread_stop_put().

W jądrze Linux w sterowniku Bluetooth btintel funkcja btintel_parse_version_tlv() nie sprawdza, czy wartość TLV jest wystarczająco długa dla danego typu, co może prowadzić do odczytu poza zakresem przez get_unaligned_le16(), get_unaligned_le32() lub memcpy(). Poprawka odrzuca wartości krótsze niż minimalne wymagane dla każdego znanego typu TLV oraz odpowiedzi bez pola Command Complete Status.

W jądrze Linux w sterowniku Bluetooth btintel identyfikator firmware traktowany jest jako string zakończony NUL, mimo że jedyną granicą jest długość TLV. Jeśli wartość nie zawiera terminatora NUL, snprintf() może czytać poza odebraną odpowiedzią. Poprawka ogranicza konwersję do zadeklarowanej długości wartości TLV.

W jądrze Linux w Bluetooth L2CAP funkcja l2cap_le_connect_req() nie ustawiała poprawnie trybu kanału, co powodowało, że kanały z FLAG_DEFER_SETUP odpowiadały na L2CAP_LE_CONN_REQ z L2CAP_ECRED_CONN_RSP, co jest nieprawidłowe. Może to prowadzić do zapisu poza zakresem w l2cap_ecred_rsp_defer(). Poprawka ustawia chan->mode poprawnie i dodaje sprawdzenie trybu kanału oraz WARN_ON_ONCE zamiast zapisu poza zakresem.

W jądrze Linuxa w protokole IPv6 Segment Routing naprawiono problem z przywracaniem nagłówka sieciowego przed routingiem i forwardingiem. Poprzednio, gdy nagłówek SRH nie następował bezpośrednio po nagłówku IPv6, offset sieciowy mógł być ujemny, co mogło prowadzić do przepełnień bufora podczas forwardowania.

W jądrze Linux w sterowniku ASoC fsl_micfil funkcje hw_params() i hw_free() włączały i wyłączały zegar mclk bez zachowania równowagi. Rdzeń PCM nie gwarantuje parowania 1:1, więc hw_free() może wykonać się bez hw_params(), a hw_params() może być wywołane wielokrotnie, co powoduje ostrzeżenie "already disabled" lub wyciek referencji włączenia zegara.

W jądrze Linuxa w systemie plików btrfs występuje podatność use-after-free podczas wstawiania pasków RAID. Jeśli alokacja rozszerzenia paska RAID nie powiedzie się, funkcja btrfs_insert_one_raid_extent() przerywa i kończy transakcję przed zwróceniem -ENOMEM. Wywołujący nadal posiada uchwyt transakcji i przy obsłudze błędu ponownie kończy transakcję, co może prowadzić do użycia po zwolnieniu.

W jądrze Linux występuje problem w funkcji __dev_change_net_namespace(), gdzie konfliktujące alternatywne nazwy (altnames) urządzeń sieciowych nie są usuwane przy zmianie przestrzeni nazw sieci. Prowadzi to do ostrzeżenia w cfg80211_pernet_exit() podczas usuwania nie-rootowej przestrzeni nazw, gdy dwa urządzenia mają przypisaną tę samą altname. Podatność dotyczy sytuacji, w której urządzenie w init_net ma konfliktującą altname z urządzeniem w usuwanej przestrzeni nazw.