Katalog podatności CVE

W jądrze Linuxa w podsystemie nvme-fc występuje podwójne zwolnienie pamięci opcji fabrics, gdy funkcja nvme_add_ctrl() zakończy się niepowodzeniem. Błąd został wprowadzony przez commit 1a9e218195a5 i może być wywołany przy braku pamięci lub wstrzykiwaniu błędów, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcji nvme_tcp_handle_c2h_data() brakowało sprawdzenia kierunku danych dla PDU typu C2HData. Złośliwy lub błędnie działający kontroler NVMe/TCP mógł odpowiedzieć na polecenie zapisu ramką C2HData, co prowadziło do ostrzeżenia jądra (WARN_ON_ONCE) i zresetowania kontrolera. Nie dochodzi do uszkodzenia pamięci, ponieważ żadne dane nie są kopiowane.

W jądrze Linux występuje luka w obsłudze błędów w sterowniku NVMe. Funkcja nvme_update_ns_info_block() sprawdza tylko ujemne kody błędów, pomijając dodatnie kody statusu NVMe zwracane przez nvme_query_zone_info(). Gdy urządzenie, firmware lub cel NVMe-oF nie wykona polecenia Identify, konfiguracja jest kontynuowana z wyzerowanymi informacjami o strefach, co prowadzi do przesunięcia o ujemny wykładnik (shift-out-of-bounds) i dalszego przesyłania I/O do kolejki strefowej z zerowym rozmiarem strefy.

W jądrze Linuxa wykryto podatność w podsystemie nvmet-tcp. Serwer NVMe-over-TCP akceptuje niechciane pakiety H2CData bez sprawdzenia, czy wysłano żądanie R2T dla danego polecenia. Zdalny atakujący może to wykorzystać, powodując podwójne dodanie polecenia do listy odpowiedzi, co prowadzi do zawieszenia systemu (soft-lockup) lub paniki jądra (kernel BUG).

W jądrze Linux funkcje migrate_device_range() i migrate_device_pfns() czyszczą wpisy po złożonym folio bez ograniczenia ich liczby do rozmiaru tablicy npages. Jeśli złożone folio wykracza poza koniec zakresu podanego przez wywołującego, pętle powodują zapis poza granicami tablicy.

W jądrze Linux pole nfree w bloku informacyjnym BTT jest odczytywane z nośnika bez walidacji. Funkcje btt_freelist_init() i btt_rtt_init() rozmiarują tablice freelist[] i rtt[] na podstawie nfree, ale ścieżka I/O indeksuje je numerem lane ograniczonym przez num_lanes, a nie przez nfree. Arena z nfree mniejszym niż liczba lane powoduje zapis poza granicami alokacji.

W jądrze Linux w funkcji vmemmap_populate_compound_pages() (architektura powerpc) zmienna addr_pfn była zwiększana ręcznie w sposób niezgodny z postępem pętli po adresach vmemmap. Powodowało to błędne wyliczenie pfn_offset i podejmowanie decyzji o mapowaniu head/tail dla niewłaściwej pozycji strony złożonej.

W jądrze Linux w funkcji vfio_ap_mdev_set_kvm() wskaźnik kvm->arch.crypto.pqap_hook jest ustawiany przed sprawdzeniem, czy inne urządzenie mdev nie jest już przypisane do tej samej instancji KVM. W przypadku błędu funkcja zwraca -EPERM bez przywrócenia wskaźnika, co prowadzi do pozostawienia nieaktualnego wskaźnika i potencjalnego use-after-free przy wykonaniu instrukcji PQAP przez gościa.

W jądrze Linux funkcja vfio_ap_config_remove używała bitmap_andnot do czyszczenia bitów w bitmapie matrix_mdev->matrix.adm, co uniemożliwiało usunięcie jawnie odłączonych domen kontrolnych z gościa KVM. Poprawka zastępuje bitmap_andnot funkcją bitmap_and.

W jądrze Linux funkcja vfio_ap_mdev_hot_unplug_cfg() używała wartości zwracanej bitmap_andnot() do decyzji o aktualizacji APCB gościa. Gdy wynikowa bitmapa była pusta, funkcja zwracała false i aktualizacja nie następowała, pozostawiając gościowi KVM dostęp do odłączonych urządzeń AP.

W jądrze Linux parser AFS v2 używa footer[8] do zlokalizowania bloku informacji obrazu w bloku wymazywania, a następnie region_count do przejścia po wpisach lokalnej tablicy. Przesunięcie i liczba regionów pochodzą z zawartości flash i nie były sprawdzane przed użyciem.

W module batman-adv jądra Linux ponowne składanie fragmentów używa skb z fragmentu o najwyższym numerze, a gdy interfejs, na którym go odebrano, zostanie usunięty przed zakończeniem łańcucha, scalony pakiet może ponownie wejść do ścieżki odbioru ze starym skb->dev i skb_iif. Może to prowadzić do użycia zwolnionego obiektu net_device. Poprawka odświeża metadane urządzenia odbiorczego przed uruchomieniem procedur obsługi pakietu.

W jądrze Linux wykryto podatność polegającą na odczycie poza zakresem pamięci (out-of-bounds read) w sterowniku zegarów dla platform Amlogic GXBB. Problem wynika z nieaktualnej, zakodowanej na stałe liczby rodziców zegara gxbb_32k_clk_sel, co prowadzi do błędu KASAN podczas rejestracji zegara. Poprawka polega na użyciu makra ARRAY_SIZE zamiast twardo wpisanej wartości.

W jądrze Linux w sterowniku ASoC loongson funkcja loongson_card_parse_acpi() ignoruje wartość zwracaną przez device_property_read_string() dla właściwości `codec-dai-name`. Jeśli właściwość jest brakująca lub nieprawidłowa, używany jest później niezainicjalizowany wskaźnik, co może prowadzić do niezdefiniowanego zachowania.

W jądrze Linux w podsystemie IIO buffer uchwyt anonimowego bufora przechowuje referencję do urządzenia IIO, która jest zwalniana w funkcji zwalniającej uchwyt bufora. Jeśli urządzenie zostało usunięte (unbind lub hot-unplug), uchwyt bufora może posiadać ostatnią referencję. Funkcja zwalniająca używa strażnika mutexa, co powoduje odblokowanie po iio_device_put(), co może zwolnić zarówno urządzenie IIO, jak i bufor zawierający mutex, prowadząc do use-after-free przy odblokowywaniu mutexa.

W jądrze Linux w podsystemie IIO buffer implementacja iio_dma_fence używa kfree() do zwolnienia obiektu dma_fence, co jest niezgodne z dokumentacją dma_fence wymagającą zwalniania w sposób bezpieczny dla RCU. Może to prowadzić do use-after-free.

W jądrze Linux w podsystemie IIO buffer implementacja iio_dma_fence używa blokady osadzonej w iio_dmabuf_priv, ale iio_dma_fence może przeżyć iio_dmabuf_priv, co może powodować use-after-free. Poprawka wiąże czas życia blokady z czasem życia fence poprzez osadzenie ich w tej samej strukturze.

W jądrze Linux w sterowniku IIO chemical atlas-sensor sterownik rejestruje przerwanie IRQ danych przez devm_request_threaded_irq(), którego wątkowy handler kolejkuje irq_work wywołujący iio_trigger_poll(data->trig). Ponieważ IRQ jest zarządzane przez devm, free_irq() jest wywoływane po atlas_remove() bez opróżnienia irq_work, co może prowadzić do use-after-free, gdy atlas_work_handler() używa wskaźnika atlas_data po zwolnieniu.

W jądrze Linux moduł KVM nVMX nie opróżnia vpid02 przy pierwszym użyciu, ponieważ last_vpid nie jest resetowane przy zwalnianiu vpid02 podczas VMXOFF. Może to prowadzić do użycia nieaktualnych wpisów TLB z poprzedniego okresu życia VPID, powiązanych z innym vCPU lub maszyną wirtualną.

W jądrze Linux moduł KVM nVMX może wykonać INVVPID na innym fizycznym CPU niż ten, na którym działa L2. Może to prowadzić do nieunieważnienia wpisów TLB na właściwym CPU, jeśli L1 migruje między CPU.