Katalog podatności CVE

Axel Download Accelerator w wersji 2.17.14 i wcześniejszych wykonuje dekodowanie procentowe URL (http_decode()) na nazwie pliku wyjściowego po przeanalizowaniu URL i wyodrębnieniu komponentu nazwy pliku. Pozwala to atakującemu na osadzenie sekwencji %2e%2e%2f (zakodowane ../) w ścieżce URL, które po zdekodowaniu stają się sekwencjami przejścia katalogowego, umożliwiając zapis pobranej zawartości do dowolnych ścieżek w systemie plików.

Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność Stored XSS poprzez pole niestandardowe typu URL w wydarzeniu. Problem występuje w wersjach od 3.2.1 do 4.0.16.

W jądrze Linux w sterowniku Hyper-V (hv) występuje błąd polegający na wymuszaniu stanu DISCONNECTED przed wywołaniem vmbus_disconnect(). Powoduje to, że vmbus_initiate_unload() nie odłącza połączenia VMBus, ponieważ sprawdza on stan CONNECTED, w wyniku czego host Hyper-V może nadal wysyłać komunikaty lub przerwania VMBus.

W podsystemie vsock jądra Linux przejście ze stanu TCP_ESTABLISHED do TCP_CLOSING przy odebraniu OP_RST może wyścignąć się z pętlą connect. Reset gniazda wciąż obecnego w connected_table może prowadzić do uszkodzenia pamięci, w tym podwójnego dodania do listy i błędu jądra.

W module net/rds jądra Linux funkcja rds_rdma_cm_event_handler_cmn() zwraca wynik rdma_resolve_route() bezpośrednio do rdma_cm przy zdarzeniu RDMA_CM_EVENT_ADDR_RESOLVED. Synchroniczny błąd powoduje zniszczenie identyfikatora ic->i_cm_id, który nadal jest używany przez RDS, co prowadzi do użycia zwolnionego identyfikatora przy zamykaniu połączenia.

W jądrze Linux w obsłudze pipe występuje błąd w fasync_helper() przy równoczesnym włączaniu F_SETFL/FIOASYNC na jednym FIFO O_RDWR. Ścieżka błędu usuwa wcześniej zarejestrowany wpis czytelnika, co prowadzi do use-after-free w send_sigio() i może być wywołane przez nieuprzywilejowanego użytkownika pod presją pamięci.

W podsystemie firewire jądra Linux występuje warunek wyścigu w obsłudze transakcji dzielonych (split transaction). Zarówno procedura obsługi odpowiedzi, jak i callback timeoutu mogą przetwarzać ten sam wpis transakcji, co prowadzi do use-after-free po stronie inicjatora transakcji.

W jądrze Linux naprawiono błąd use-after-free w obsłudze Unicode (mapa UTF-8). Funkcje generic_ci_d_hash() i generic_ci_d_compare() odczytują mapę Unicode podczas pathwalk w trybie RCU, a systemy plików ext4, f2fs i tmpfs zwalniają tę mapę w ->put_super(), gdy znika ostatnie odwołanie do montowania. W rezultacie wyszukiwanie ścieżki może odczytać zwolnioną pamięć.

W module KVM SEV jądra Linux funkcja sev_gmem_post_populate() wywołuje set_page_dirty() bez wymaganej blokady, co może prowadzić do wyścigu z zanikaniem mapowania strony. Poprawka zastępuje wywołanie funkcją set_page_dirty_lock().

W jądrze Linux występuje podatność use-after-free w mechanizmie eventfs. Funkcja tracefs_d_revalidate() odczytuje pole ->is_freed obiektu eventfs_inode w trybie pathwalk z jedynie rcu_read_lock(), podczas gdy zwolnienie tego obiektu następuje po okresie karencji SRCU, który nie czeka na sekcje rcu_read_lock(). W rezultacie wątek może odczytać już zwolnioną pamięć.

W jądrze Linux występuje luka w obsłudze przestrzeni nazw montowań: copy_tree() pomija montowania plików przestrzeni nazw (np. /proc/<pid>/ns/mnt) bez sprawdzania flagi MNT_LOCKED. Pozwala to zadaniu z uprawnieniami roota we własnej przestrzeni nazw użytkownika obejść zablokowaną zasłonę montowania i odsłonić ukryty plik bez wyścigu i bez modyfikacji systemu plików. Poprawka nakazuje odrzucać takie kopiowanie z EPERM oraz blokuje przenoszenie montowania pliku przestrzeni nazw pod zablokowane montowanie.

W jądrze Linux w funkcji __tcf_action_put() (net/sched) występuje use-after-free: licznik referencji jest zmniejszany przed licznikiem powiązań, więc inny wątek może zwolnić akcję pomiędzy tymi operacjami, powodując dostęp do zwolnionej pamięci przy aktualizacji licznika powiązań.

W jądrze Linux w sterowniku SPI imx występuje błąd polegający na alokacji buforów DMA o zbyt małym rozmiarze (kzalloc(dma_len) zamiast DMA_CACHE_ALIGNED_LEN(dma_len)), podczas gdy API DMA operuje na pamięci wykraczającej poza koniec alokacji. Prowadzi to do uszkodzenia pamięci (slab corruption), objawiającego się ostrzeżeniami refcount_t i oopsem jądra. Problem został naprawiony przez użycie właściwego rozmiaru przy alokacji i synchronizacji.

W jądrze Linux w funkcji check_synth_field() nieprawidłowo walidowano pola syntetycznych zdarzeń śledzenia typu stacktrace. Pole 8-bajtowe typu całkowitego mogło przejść walidację i zostać następnie zinterpretowane jako wskaźnik stosu jądra, co prowadzi do nieprawidłowego odczytu pamięci.

W jądrze Linux w sterowniku scsi: st występuje wyścig use-after-free między st_remove() a st_open(). st_remove() usuwa wpis z idr dopiero po zwolnieniu referencji, więc równoległe st_open() może znaleźć zwolnioną strukturę i wykonać na niej kref_get().

W jądrze Linux w module libiscsi funkcja __iscsi_complete_pdu() pobiera zadanie na podstawie indeksu ITT z odpowiedzi zarządzającej (Logout, Login, Text, TMFunc, NOP-In), sprawdzając jedynie poprawność indeksu. Złośliwy lub błędnie działający target może wskazać nieużywany slot w puli, w którym task->conn jest NULL, co prowadzi do dereferencji NULL i awarii jądra (oops) po odebraniu jednej nieoczekiwanej odpowiedzi NOP-In lub Text Response.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_gem_object_close() odłącza ogrodzenie eviction kolejki użytkownika od BO przed sprawdzeniem bo_va->ref_count. Zamknięcie dowolnego uchwytu BO usuwa ogrodzenie, mimo że plik nadal ma inny uchwyt i mapowania GPU, co pozwala na eviction BO bez zawieszenia kolejek użytkownika.

W jądrze Linux w module tracing funkcja predicate_parse() dodaje dwa do nr_preds, rezerwując terminalne wpisy TRUE i FALSE, i używa tej zwiększonej wartości jako limitu parsowanych predykatów. Jeśli początkowa liczba jest mniejsza niż faktycznie sparsowana, program może wypełnić alokację i kolejne dostępy wychodzą poza jej koniec.

W jądrze Linux w module tracing funkcja predicate_parse() używa pierwszego wpisu stosu operatorów przed przetworzeniem nawiasów otwierających. Operacja push zwiększa top przed zapisem, a istniejąca kontrola nadal pozwala na zapis, gdy top wskazuje ostatni przydzielony wpis, co może spowodować dostęp poza stosem operatorów.

W jądrze Linux w dm-crypt funkcja crypt_dec_pending odczytuje io->error przed atomic_dec_and_test, co tworzy warunek wyścigu. W rezultacie nieudany odczyt lub zapis może zostać błędnie zaraportowany jako zakończony sukcesem.