Katalog podatności CVE

W jądrze Linux w podsystemie EDAC/device_sysfs plik sysfs poll_msec używa simple_strtoul(), która przyjmuje unsigned long, podczas gdy docelowe pole poll_msec jest typu unsigned int. W systemach 64-bitowych wartość większa niż UINT_MAX jest po cichu obcinana przy zapisie.

W jądrze Linux w module nvmet-rdma występuje wyciek zasobów. Gdy liczba oczekujących kolejek do rozłączenia przekracza limit backlogu, ścieżka połączenia zwalnia jedynie referencję do urządzenia, ale nie zwalnia nowo przydzielonej kolejki ani jej zasobów IB.

W jądrze Linux w sterowniku drm/gud nie jest weryfikowane, czy flaga GUD_ROTATION_0 znajduje się w maskach obsługiwanych rotacji urządzenia. Urządzenie, które pomija ten bit w GUD_PROPERTY_ROTATION, wywołuje WARN_ON w drm_plane_create_rotation_property().

W jądrze Linux w podsystemie printk użycie WARN_ON() do wykrywania niepowodzenia kthread_run() jest nieprawidłowe, ponieważ __kthread_create_on_node() zwraca -EINTR po otrzymaniu SIGKILL. Powoduje to fałszywe ostrzeżenia jądra w normalnych warunkach.

W jądrze Linux w sterowniku accel/amdxdna struktura amdxdna_cmd_chain zawiera elastyczną tablicę z adnotacją __counted_by(command_count). Ponieważ struktura jest przechowywana w pamięci współdzielonej AMDXDNA_BO_SHARE, przestrzeń użytkownika może równolegle zmienić command_count na zero, co powoduje niepowodzenie sprawdzania zakresu i panikę jądra.

W jądrze Linux w sterowniku accel/amdxdna łańcuch poleceń z command_count równym zero przechodzi sprawdzanie długości ładunku, a pętla wypełniania się nie wykonuje. Na firmware bez AIE2_NPU_COMMAND żądanie jest odrzucane, ale na firmware z aie2_get_npu_chain_msg_op() trafia do drm_clflush_virt_range(cmd_buf, 0), co powoduje odczyt bajtu przed buforem i błąd na stronie ochronnej vmap.

W jądrze Linux w sterowniku accel/amdxdna funkcja amdxdna_cmd_set_error() pobiera referencję do pierwszego BO łańcucha poleceń, ale w ścieżce błędu mapowania nie zwalnia jej, powodując wyciek referencji. Ścieżka jest osiągalna, gdy uchwyt BO zostanie poddany recyklingowi przez przestrzeń użytkownika po przesłaniu, a następnie zaimportowany zostanie dma-buf bez implementacji vmap.

W jądrze Linux sterownik drm/cirrus-qemu nie sprawdzał rozmiaru BAR0 podczas wykrywania urządzenia PCI. Jeśli urządzenie miało BAR0 mniejsze niż 4 MB (CIRRUS_VRAM_SIZE), sterownik mapował mniejszy obszar VRAM, a następnie mógł tworzyć większe bufor ramki i kopiować je poza zmapowaną pamięć, powodując błąd zapisu strony (page fault) w jądrze.

W jądrze Linux w funkcji update_reparse_data() sterownika ntfs ignorowana jest wartość zwracana przez set_reparse_index(). Gdy wstawienie indeksu się nie powiedzie, kod usuwa zapisane dane reparse jako sprzątanie, ale nadal zwraca 0, więc symlink(2) zgłasza sukces mimo braku danych reparse na dysku.

W jądrze Linux funkcja write_mft_record_nolock() sterownika ntfs mapuje folio rekordu MFT za pomocą kmap_local_folio(), ale ścieżki błędów pre_write_mst_fixup() i bio_add_folio() skaczą do etykiety błędu bez odmapowania. Ponieważ mapowania kmap_local są uporządkowane stosowo per zadanie, wyciek jednego psuje zagnieżdżenie dla zewnętrznych mapowań.

W jądrze Linux funkcja ntfs_cluster_free_from_rl_nolock() sterownika ntfs dodaje długość zakresu do nr_freed zawsze gdy warunek księgowania błędów jest fałszywy, co obejmuje przypadki, w których ntfs_bitmap_clear_run() faktycznie zawiodło. Ponieważ nieudane ntfs_bitmap_clear_run() wycofuje częściowe modyfikacje, żadne bity nie zostały wyczyszczone, a mimo to długość zakresu zawyża vol->free_clusters.

W jądrze Linux funkcja ntfs_sync_fs() sterownika ntfs bezwarunkowo czyści bit dirty, podczas gdy ntfs_put_super() i ścieżka ponownego montowania tylko do odczytu robią to tylko gdy NVolErrors(vol) jest fałszywe. W efekcie każde sync() na wolumenie z zapisanym błędem oznacza wolumen jako czysty, przez co nie jest przeprowadzane odzyskiwanie.

W jądrze Linux funkcja ntfs_dio_zero_range() sterownika ntfs zwraca 0 lub ujemny errno z blkdev_issue_zeroout(), nigdy wartości dodatniej. Sprawdzenie błędu zerowania w ntfs_attr_fallocate() nigdy się więc nie uruchamiało, przez co nieudana operacja zerowania była po cichu ignorowana, a nowo przydzielone klastry były wliczane do initialized_size.

W jądrze Linux funkcja is_boot_sector_ntfs() sterownika ntfs sprawdza pole sectors_per_cluster sektora rozruchowego testem zakresowym, który odrzuca 0x81..0xf3, ale akceptuje 0 i inne wartości niebędące potęgami dwójki. Wartość zero trafia do parse_ntfs_boot_sector(), gdzie ffs(0) daje 0, przez co przesunięcie staje się niezdefiniowane.

W jądrze Linux występuje luka w weryfikatorze BPF, która pozwala błędnie wywnioskować, że wskaźnik nie może być NULL. Błąd występuje przy porównywaniu dwóch wskaźników, gdy jeden z nich ma typ bez flagi PTR_MAYBE_NULL, ale w czasie działania może przyjąć wartość NULL. W efekcie weryfikator nie wykrywa dereferencji wskaźnika NULL, co może prowadzić do awarii lub wykonania nieautoryzowanego kodu.

W jądrze Linux funkcja ntfs_set_ea() sterownika ntfs w ścieżce wyjścia bezwarunkowo aktualizuje flagę HasEA na podstawie ea_info_qsize. Gdy błąd wystąpi przed aktualizacją ea_info_qsize, NInoClearHasEA() ukrywa istniejące na dysku rozszerzone atrybuty (EA) aż do zwolnienia i-węzła.

W jądrze Linux weryfikator BPF mógł niepoprawnie przekształcać zapisy zerowe na stosie (scalar zero spill) w STACK_ZERO, gdy część zapisanych bajtów była już martwa. Takie przekształcenie łamało łańcuchy propagacji precyzji, co mogło prowadzić do błędnej weryfikacji programów BPF. Poprawka najprościej rezygnuje z konwersji zapisów zerowych na STACK_ZERO.

W sterowniku sieciowym stmmac w jądrze Linux funkcja stmmac_tso_xmit() nie zwalniała mapowań DMA utworzonych dla części liniowej i wcześniejszych fragmentów skb, gdy mapowanie DMA kolejnego fragmentu się nie powiodło. Prowadziło to do wycieku mapowań DMA. Poprawka zwalnia deskryptory i mapowania DMA przy użyciu stmmac_free_tx_buffer() i stmmac_release_tx_desc().

W jądrze Linux w sterowniku scsi mpi3mr funkcja mpi3mr_sas_port_add() nie sprawdza wartości NULL zwracanej przez sas_port_alloc_num() przy niepowodzeniu alokacji pamięci, co prowadzi do dereferencji NULL. Dodatkowo, gdy sas_port_add() zawiedzie, zaalokowany port nie jest zwalniany, co powoduje wyciek struktury sas_port. Poprawka dodaje sprawdzenie NULL i wywołanie sas_port_free().

W jądrze Linux w sterowniku scsi mpi3mr funkcja mpi3mr_sas_port_add() nie zwalnia referencji do urządzenia docelowego (tgtdev) w ścieżce błędu out_fail, jeśli referencja została wcześniej pobrana przez mpi3mr_get_tgtdev_by_addr(). Prowadzi to do wycieku licznika referencji i uniemożliwia zwolnienie struktury urządzenia docelowego. Poprawka dodaje zwolnienie referencji w out_fail z zabezpieczeniem NULL.