Katalog podatności CVE

W jądrze Linux w podsystemie CEC stwierdzono problem z serializacją dostarczania wiadomości do wyłącznego obserwatora (exclusive follower). Funkcja cec_receive_notify() odczytuje wskaźnik obserwatora bez blokady, co może prowadzić do wyścigu z trybami zmian lub zwolnieniem. Poprawka serializuje sprawdzanie braku obserwatora i dostarczanie wiadomości.

W jądrze Linux w sterowniku cx231xx (media) wykryto lukę polegającą na tym, że zmiana formatu lub standardu wideo (vidioc_s_fmt_vid_cap, vidioc_s_std) była blokowana tylko gdy zajęta była kolejka wideo, a nie kolejka VBI. Ponieważ kolejka VBI korzysta z tej samej geometrii (dev->width, dev->norm), aplikacja mogła powiększyć szerokość lub zmienić standard na PAL w trakcie działania strumienia VBI, co prowadziło do zapisu poza zaalokowanym buforem (heap out-of-bounds write) w funkcji cx231xx_do_vbi_copy().

W sterowniku media cx23885 jądra Linux funkcja netup_ci_exit() zwalnia netup_ci_state, podczas gdy jego element roboczy netup_read_ci_status() może być wciąż oczekujący lub uruchomiony w systemowej kolejce roboczej. Worker uzyskuje stan przez container_of() i go dereferencjonuje, więc nie może przetrwać zwolnienia stanu.

W sterowniku media go7007 jądra Linux funkcja go7007_snd_init() pobiera referencję v4l2_device dla strony ALSA, ale go7007_snd_remove() zwalnia ją natychmiast po wywołaniu snd_card_free_when_closed(). Jest to zbyt wcześnie, gdy proces użytkownika wciąż ma otwarty PCM przechwytywania, co może prowadzić do use-after-free.

W sterowniku media i2c ov02a10 jądra Linux funkcja ov02a10_check_hwcfg() wywołuje fwnode_handle_put(ep) natychmiast po alokacji i parsowaniu endpointu, ale następnie używa tego samego uchwytu 'ep' w fwnode_property_read_u32(), co prowadzi do use-after-free. Dodatkowo odczyt opcjonalnej właściwości 'ovti,mipi-clock-voltage' nadpisywał zmienną 'ret', powodując niepowodzenie sondowania.

W sterowniku media i2c ov7740 jądra Linux funkcja ov7740_remove() miała poważny błąd kolejności niszczenia: niszczyła mutex sterownika przed zwolnieniem handlera kontrolek V4L2, który zależy od tego mutexa, co prowadziło do paniki jądra (use-after-destroy). Dodatkowo sterownik wywoływał v4l2_ctrl_handler_free() i mutex_destroy() sekwencyjnie, a następnie ov7740_free_controls(), który wywołuje je ponownie, powodując podwójne zwolnienie.

W jądrze Linux w sterowniku media platform mtk-mdp3 funkcja mdp_probe() nieprawidłowo zarządza licznikiem referencji urządzenia SCP. Ścieżka awaryjna zwalnia referencję uzyskaną przez __get_pdev_by_id() zbyt wcześnie, a następnie scp_put() zwalnia ją ponownie, co prowadzi do podwójnego zwolnienia referencji.

W jądrze Linux w sterowniku media rc sunxi-cir po udanej rejestracji urządzenia rc_register_device() ścieżki błędów próbkowania nie wyrejestrowują urządzenia. Wywoływane jest jedynie rc_free_device(), co pozostawia zarejestrowane urządzenie rc i powiązane zasoby.

W jądrze Linux w dekoderze media rkvdec HEVC funkcja st_ref_pic_set_prediction() oblicza indeks RPS jako st_rps_idx - (delta_idx_minus1 + 1) na typach u8. Gdy delta_idx_minus1 + 1 przekracza bieżący indeks, odejmowanie się zawija i dostęp do tablicy calculated_rps_st_sets[ref_rps_idx] następuje daleko poza granicami.

W jądrze Linux w sterowniku rtl2832_sdr funkcja rtl2832_sdr_start_streaming() przy błędzie alokacji lub wysyłania URB-ów nie zwalniała wcześniej przydzielonych buforów DMA ani struktur URB. Prowadziło to do wycieku pamięci DMA oraz do odczytu poza tablicą urb_list[] przy kolejnej próbie uruchomienia strumieniowania, co mogło skutkować użyciem nieprawidłowych wskaźników.

W jądrze Linux w sterowniku media saa7164 funkcja saa7164_dev_setup() dodaje urządzenie do globalnej listy saa7164_devlist przed żądaniem regionów pamięci PCI BAR. Gdy get_resources() zawiedzie, urządzenie pozostaje na liście, a ścieżka błędu próbkowania zwalnia je, pozostawiając wiszący wpis.

W jądrze Linuxa w sterowniku VPE (Video Processing Engine) dla platform TI wykryto podatność polegającą na braku synchronizacji pracy wątku odzyskiwania po przepełnieniu FIFO oraz obsługi przerwań z procesem zatrzymywania strumienia. Może to prowadzić do użycia po zwolnieniu (use-after-free) zasobów strumienia, gdy przerwanie lub praca wątku zostanie wykonana po zakończeniu jego życia.

W jądrze Linux w module media v4l2-ctrls brakuje walidacji liczników RPS w HEVC EXT SPS. Sterowniki dekoderów mogą indeksować poza tablice dynamiczne, jeśli wartości SPS przekraczają limity HEVC (64 zestawy krótkoterminowe, 32 referencje długoterminowe) lub przekraczają maksimum DPB.

W jądrze Linux w sterowniku media zoran występuje podwójne zwolnienie zarejestrowanego video_device. Funkcja zoran_exit_video_devices() wywołuje video_unregister_device(), a następnie kfree() na tym samym obiekcie, który jest już zwalniany przez callback zoran_vdev_release().

W jądrze Linux sterownik scsi qla2xxx w funkcji qla_chk_edif_rx_sa_delete_pending() występuje dereferencja wskaźnika NULL, gdy polecenie SCSI jest już zwrócone lub przerwane. Może to prowadzić do awarii jądra w kontekście przerwania.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla24xx_report_id_acquisition() występuje use-after-free, ponieważ wirtualny port jest używany po zwolnieniu blokady vport_slock bez pobrania referencji. Współbieżne qla24xx_deallocate_vp_id() może zwolnić port, prowadząc do uszkodzenia pamięci.

W jądrze Linux sterownik scsi qla2xxx w funkcjach qla_nvme_fcp_abort() i qla_nvme_ls_abort() wywołuje INIT_WORK() przed schedule_work(), co przy wielokrotnym przerwaniu tego samego polecenia może spowodować korupcję listy workqueue i awarię lub zapętlenie workera.

W sterowniku scsi: qla2xxx jądra Linux liczba kolejek wyliczana z liczby wektorów MSI-X (msix_count - 1) jest zapisywana do pola typu u8, co powoduje obcięcie wartości. Przy 257 wektorach MSI-X wynik 256 obcina się do 0, a w trybie target kolejna dekrementacja powoduje niedomknięcie do 255. Gdy liczba kolejek wynosi 0, alokacja zwraca ZERO_SIZE_PTR, który nie jest NULL-em, więc sprawdzenie przechodzi i dochodzi do wyłuskania tego wskaźnika, co psuje pamięć lub powoduje awarię jądra.

W sterowniku scsi: qla2xxx jądra Linux funkcja qla84xx_put_chip() zwalnia ostatnie odwołanie do ha->cs84xx i uwalnia je przez __qla84xx_chip_release() bez wyczyszczenia ha->cs84xx. Podczas rozbierania urządzenia działała ona przed scsi_remove_host(), która usuwa atrybut sysfs 84xx_fw_version. Równoległy odczyt tego atrybutu w oknie między tymi wywołaniami wywołuje qla24xx_84xx_fw_version_show(), która wyłuskuje zwolniony ha->cs84xx, powodując use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() przepuszczała nie-SCSI wpisy SRB do szybkiej ścieżki SCSI, gdzie odczytywany był wskaźnik sp->u.scmd.cmd. Nieoczekiwany STATUS_TYPE IOCB dla uchwytu innego niż SCSI mógł spowodować odczyt wskaźnika śmieciowego i dereferencję dzikiego wskaźnika.