Katalog podatności CVE

W jądrze Linux sterownik scsi qla2xxx w funkcji qla24xx_report_id_acquisition() występuje use-after-free, ponieważ wirtualny port jest używany po zwolnieniu blokady vport_slock bez pobrania referencji. Współbieżne qla24xx_deallocate_vp_id() może zwolnić port, prowadząc do uszkodzenia pamięci.

W jądrze Linux sterownik scsi qla2xxx w funkcjach qla_nvme_fcp_abort() i qla_nvme_ls_abort() wywołuje INIT_WORK() przed schedule_work(), co przy wielokrotnym przerwaniu tego samego polecenia może spowodować korupcję listy workqueue i awarię lub zapętlenie workera.

W sterowniku scsi: qla2xxx jądra Linux liczba kolejek wyliczana z liczby wektorów MSI-X (msix_count - 1) jest zapisywana do pola typu u8, co powoduje obcięcie wartości. Przy 257 wektorach MSI-X wynik 256 obcina się do 0, a w trybie target kolejna dekrementacja powoduje niedomknięcie do 255. Gdy liczba kolejek wynosi 0, alokacja zwraca ZERO_SIZE_PTR, który nie jest NULL-em, więc sprawdzenie przechodzi i dochodzi do wyłuskania tego wskaźnika, co psuje pamięć lub powoduje awarię jądra.

W sterowniku scsi: qla2xxx jądra Linux funkcja qla84xx_put_chip() zwalnia ostatnie odwołanie do ha->cs84xx i uwalnia je przez __qla84xx_chip_release() bez wyczyszczenia ha->cs84xx. Podczas rozbierania urządzenia działała ona przed scsi_remove_host(), która usuwa atrybut sysfs 84xx_fw_version. Równoległy odczyt tego atrybutu w oknie między tymi wywołaniami wywołuje qla24xx_84xx_fw_version_show(), która wyłuskuje zwolniony ha->cs84xx, powodując use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() przepuszczała nie-SCSI wpisy SRB do szybkiej ścieżki SCSI, gdzie odczytywany był wskaźnik sp->u.scmd.cmd. Nieoczekiwany STATUS_TYPE IOCB dla uchwytu innego niż SCSI mógł spowodować odczyt wskaźnika śmieciowego i dereferencję dzikiego wskaźnika.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2xxx_delete_qpair() usuwała kolejkę żądań przed kolejką odpowiedzi, pozostawiając okno, w którym przerwanie MSI-X odpowiedzi mogło odwołać się do zwolnionej pamięci rsp->req. Prowadzi to do use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla24xx_report_id_acquisition() w ścieżce format-1 wywoływała qla_update_host_map() bez blokady vport_slock, co mogło powodować wyścig z równoległymi aktualizacjami host_map i uszkodzenie drzewa btree.

W jądrze Linux w systemie plików f2fs funkcja redirty_blocks() mogła wykonać dodatkową iterację pętli czyszczącej, gdy read_cache_folio() zawiodło przed przypięciem jakichkolwiek folio, powodując zbyt wczesne zwolnienie referencji (folio_put_refs z 2). Prowadziło to do błędu "BUG: Bad page state" przy późniejszym drop_caches lub reclaim.

W jądrze Linux w f2fs funkcja F2FS_IOC_MOVE_RANGE sprawdza zakres źródłowy, ale nie sprawdza końca zakresu docelowego przed aktualizacją i_size. Dziura w źródle może to ujawnić, ponieważ __clone_blkaddrs() pomija wpisy NULL_ADDR i zwraca sukces, pozwalając na rozszerzenie i-węzła docelowego bez sprawdzenia pos_out + len.

W jądrze Linux w f2fs nazwy plików odzyskiwania są przechowywane jako długość plus bufor i_name o stałym rozmiarze, który nie jest zakończony NUL. Funkcje recover_inode() i recover_dentry() wypisują go przez %s, co dla nazwy 255-bajtowej może odczytać dane poza buforem i_name.

W jądrze Linux w systemie plików f2fs występuje wyścig (race condition) w funkcji f2fs_get_read_data_folio(), która wywołuje f2fs_folio_put() przed folio_nr_pages() podczas unieważniania dużego folio z pamięci podręcznej stron. Powoduje to, że równoległy truncate lub podział folio może zmniejszyć lub zwolnić folio, zanim zostanie obliczony zakres unieważniania, co prowadzi do pozostawienia nieaktualnych wpisów w xarray i błędnego stanu stron.

W jądrze Linux w f2fs gdy blok węzła jest uszkodzony z powodu niezgodności sumy kontrolnej lub niespójnych informacji stopki, należy wyczyścić flagę dirty folio węzła, aby utrwalić niespójne dane węzła w pamięci masowej. Brak tej operacji w ścieżce błędu.

W jądrze Linux funkcja f2fs_sanity_check_node_footer() nie otrzymuje poprawnej wartości folio->index, przez co sprawdza ten sam nid w nieprawidłowy sposób. Może to prowadzić do błędnej weryfikacji spójności węzłów w systemie plików f2fs.

W jądrze Linux funkcja panthor_fw_read_build_info() sterownika drm/panthor sprawdza zakres metadanych za pomocą dodawania dwóch pól u32 (hdr.meta_start + hdr.meta_size), co może się przekręcić i przepuścić zakres poza granicami. Dodatkowo odczyt prefiksu "git_sha: " następuje bez sprawdzenia długości metadanych, a meta_size == 0 może spowodować niedomiar indeksu terminatora NULL.

W jądrze Linux funkcje panthor_init_cs_iface() i panthor_init_csg_iface() sterownika drm/panthor walidują przesunięcia interfejsu sterowania firmware za pomocą arytmetyki 32-bitowej i rozmiaru struktur opakowujących hosta, co może się przekręcić przed sprawdzeniem granic. Sprawdzany rozmiar nie odpowiada rzeczywistemu rozmiarowi mapowanego interfejsu sterowania firmware.

W jądrze Linux występuje wyścig między częściowym niepowodzeniem drm_dev_register() a wywołaniem ioctl. Jeśli rejestracja minoru się nie powiedzie po zarejestrowaniu wcześniejszego minoru, przestrzeń użytkownika może wejść w sekcję krytyczną drm_dev_enter(), a ponieważ flaga unplugged nie została ustawiona, ioctl kontynuuje działanie podczas demontażu zasobów urządzenia.

W jądrze Linux w podsystemie DRM/AMD Display brakuje walidacji rozmiaru tablicy LUT dla per-plane degamma, co może prowadzić do dzielenia przez zero lub odczytu poza zakresem pamięci. Problem dotyczy właściwości AMD_PLANE_DEGAMMA_LUT, dostępnej tylko przy kompilacji z AMD_PRIVATE_COLOR.

W jądrze Linux w podsystemie DRM/AMDGPU VCN wykryto przepełnienie liczby całkowitej podczas sprawdzania liczby buforów w komunikacie dec_msg. Specjalnie spreparowana wartość może ominąć kontrolę granic i spowodować odczyt poza przydzielonym obszarem pamięci.

W jądrze Linux występuje błąd w module drm/ttm, gdzie po pomyślnym zakończeniu procesu przywracania (restore) w funkcji ttm_pool_restore_and_alloc() nie zwalniany jest wskaźnik tt->restore. Prowadzi to do tego, że kolejne operacje backup/restore widzą stan, jakby przywracanie już się zakończyło, podczas gdy uchwyty shmem pozostają zainstalowane w tt->pages, co powoduje ślad stosu i potencjalne uszkodzenie pamięci.

W jądrze Linux w podsystemie DRM/AMDGPU wykryto odczyt poza zakresem tablicy adev->isolation[] dla pierścieni nieprzypisanych do partycji. Indeks AMDGPU_XCP_NO_PARTITION (wartość ~0) powoduje dostęp poza tablicę, co wyzwala ostrzeżenia UBSAN.