Katalog podatności CVE

W IPVS jądra Linux funkcje ip_vs_lblcr_new() i ip_vs_lblc_new() tworzyły wpisy pamięci podręcznej dla każdego nowego adresu docelowego, a max_size tabeli jedynie informowało okresowy kolektor o odzyskiwaniu wpisów po przekroczeniu limitu. Atakujący mógł nadal używać wpisów, powodując nieograniczony wzrost pamięci. Poprawka odrzuca nowe wpisy, gdy tabela osiągnie max_size * 3 / 2.

W kprobes jądra Linux na architekturze x86 optkprobe w punkcie A zastępuje pięć bajtów skokiem. Jeśli wyłączona sonda B znajduje się w A+2, get_optimized_kprobe() zatrzymuje się na B podczas uzbrajania nowej sondy C w A+4, pozostawiając A zoptymalizowaną. INT3 dla C nadpisuje ostatni bajt przesunięcia skoku A, przez co wykonanie może skoczyć pod zły adres. Poprawka pomija wyłączone i nieprzygotowane sondy podczas sprawdzania nakładania się optkprobe.

W jądrze Linux w funkcji add_changeset_property() (of/overlay) nowa właściwość węzła docelowego jest dopisywana do listy deadprops przed wywołaniem of_changeset_add_property(). Jeśli to wywołanie się nie powiedzie, ścieżka błędu zwalnia właściwość, ale pozostawia wiszący wskaźnik na liście deadprops, co prowadzi do podwójnego zwolnienia pamięci przy zwalnianiu węzła przerwanego overlay.

W jądrze Linux funkcja of_overlay_fdt_apply() zapisuje wartość zwracaną przez idr_alloc() w ovcs->id przed jej sprawdzeniem. Przy niepowodzeniu alokacji zapisany identyfikator jest ujemny, a funkcja free_overlay_changeset() wywołuje idr_remove() z ujemnym id oraz list_del() na nie zainicjalizowanej liście ovcs->ovcs_list, co prowadzi do dereferencji NULL.

W jądrze Linux segmentacja GSO dla tuneli IP-in-IP może wielokrotnie wchodzić w inet_gso_segment() lub ipv6_gso_segment() dla każdego zagnieżdżonego nagłówka IP. Pole encap_level śledzi bajty nagłówka, a nie głębokość wywołań, więc głęboki łańcuch może wyczerpać stos jądra. Poprawka zlicza wejścia do handlerów GSO IPv4 i IPv6 w skb_gso_cb i ogranicza je do IP_TUNNEL_RECURSION_LIMIT.

W jądrze Linux naprawiono błąd w wykrywaniu nagłówków rozszerzeń IPv6 w tunelowanych pakietach. Funkcja skb_gso_has_extension_hdr() nieprawidłowo obsługiwała pakiety GSO z ustawionym skb->encapsulation, co prowadziło do fałszywych alarmów i odrzucania pakietów w tunelach IPv6 (ip6_gre, ip6_tunnel) oraz błędnego obliczania długości nagłówka sieciowego. Poprawka sprawdza ipv6_ext_hdr() na zewnętrznym i wewnętrznym nagłówku IPv6, używając skb_header_pointer() do bezpiecznego odczytu.

W jądrze Linux funkcja nft_flow_offload_init() zwiększa licznik użycia flowtable przez nft_use_inc() przed wywołaniem nf_ct_netns_get(). Gdy to drugie wywołanie się nie powiedzie, błąd jest zwracany bez cofnięcia referencji, a warstwy wyższe również jej nie równoważą, ponieważ nf_tables_newexpr() czyści expr->ops przy niepowodzeniu inicjalizacji wyrażenia. Każde nieudane dodanie reguły wycieka jedną referencję flowtable.

W jądrze Linux funkcja tpacket_snd() opróżnia wszystkie ramki SEND_REQUEST w pierścieniu TX i dodaje każdą długość pakietu do zmiennej len_sum typu signed int. Ponieważ przestrzeń użytkownika może współbieżnie odzyskiwać zakończone ramki, po wystarczającej liczbie transmisji len_sum przechodzi w zakres ujemny, a sock_sendmsg_nosec() traktuje wynik jako niemożliwy i wywołuje BUG. Poprawka zatrzymuje się przed przekroczeniem INT_MAX.

W jądrze Linux funkcja pfcp_newlink() tworzy gniazdo UDP przed rejestracją urządzenia sieciowego. Jeśli rejestracja się nie powiedzie, gniazdo jest zwalniane dwukrotnie, co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku RTC ac100 pole .num jest przypisywane dopiero po zapisaniu wszystkich zegarów do .hws[], co przy włączonym CONFIG_UBSAN_BOUNDS powoduje zgłoszenie przekroczenia zakresu tablicy podczas probe.

W jądrze Linux w sterowniku RTC spear funkcja devm_request_irq() włącza przerwanie przed zakończeniem inicjalizacji urządzenia, co może spowodować wykonanie handlera na nie w pełni zainicjalizowanym sprzęcie.

W jądrze Linux w implementacji SCTP funkcja sctp_wait_for_connect() zwalnia blokadę gniazda podczas snu, co pozwala na przetworzenie ABORT i usunięcie asocjacji. Jeśli równoczesne shutdown(fd, SHUT_RD) ustawi RCV_SHUTDOWN, funkcja kończy się bez sprawdzenia asoc->base.dead, co prowadzi do użycia wiszącego wskaźnika.

W jądrze Linux wykryto lukę w obsłudze TPM polegającą na tym, że niezgodność nazwy klucza null (null key name mismatch) nie powodowała wyłączenia układu TPM. Funkcja tpm2_load_null() zwracała sukces (rc = 0) mimo niepowodzenia kontroli integralności, przez co układ nadal przyjmował polecenia, a niezerowy uchwyt klucza mógł pochodzić z niezainicjalizowanej pamięci stosu. Poprawka ustawia rc na -ENODEV przy niezgodności, co powoduje wyłączenie układu i zwrócenie właściwego kodu błędu.

W jądrze Linux naprawiono błąd w warstwie netfs dotyczący rozszerzania pliku przez zapis. Jeśli dane zapisane wcześniej przez mmap pozostawiły nieaktualne dane w pagecache poza końcem pliku (EOF), zwykły zapis rozszerzający plik nie czyścił tych starych danych, co mogło prowadzić do ujawnienia nieprawidłowej zawartości. Poprawka zeruje ogon folio obejmującego EOF przed zapisem rozszerzającym, z zachowaniem bezpieczeństwa przy równoległych zapisach i IOCB_NOWAIT.

W jądrze Linux w podsystemie netfs funkcja netfs_read_gaps() pozostawia luki wokół brudnego regionu zapisu nieprzeczytane, co przy krótkiej odpowiedzi lub EOF pozostawia nieaktualną zawartość folio, która później jest zapisywana z powrotem.

W jądrze Linux funkcja codetag_load_module() nie ustawia kodu błędu przy niepowodzeniu, przez co load_module() zwraca 0 mimo zniszczenia modułu. Dodatkowo w przypadku livepatch struktura mod->klp_info wycieka na tej ścieżce błędu.

W jądrze Linux występuje błąd w sterowniku vmgenid, polegający na rejestracji procedury obsługi przerwań/notyfikacji przed przypisaniem wskaźnika driver_data. Jeśli przerwanie lub notyfikacja ACPI nadejdzie w tym wąskim oknie (np. przywracanie maszyny wirtualnej z migawki w Firecrackerze), handler odwołuje się do wciąż pustego wskaźnika i powoduje panikę jądra (NULL pointer dereference). Poprawka przenosi przypisanie driver_data przed rejestracją handlerów.

W jądrze Linux w vc_screen przeładowanie wskaźnika 'vc' w vcs_write() znajduje się po bloku 'if (ret)', więc ścieżka przerwania po błędzie kopiowania nie przeładowuje vc. Jeśli vc zostało zwolnione przez vc_port_destruct podczas odblokowanego copy_from_user(), dochodzi do użycia po zwolnieniu.

W funkcji paste_selection() w jądrze Linux występuje błąd niedomiaru typu unsigned oraz odczytu poza granicami bufora (slab-out-of-bounds). Podczas wklejania zaznaczenia konsoli, gdy bufor dyscypliny linii się zapełni, funkcja zasypia i zwalnia mutex, co pozwala równoległemu wywołaniu ioctl TIOCLINUX (TIOCL_SETSEL) zastąpić bufor krótszym zaznaczeniem. Po wznowieniu działania wartość vc_sel.buf_len - pasted ulega niedomiarowi, co prowadzi do odczytu do 4094 bajtów poza nowym buforem.

W jądrze Linux występuje podatność polegająca na odczycie poza granicami bufora (slab-out-of-bounds) w funkcji fb_pad_aligned_buffer. Problem występuje, gdy na niewidocznej konsoli wirtualnej zmieniony zostanie rozmiar czcionki, a następnie wywołana zostanie sekwencja ESC # 8 (test wyrównania DEC), która pomija sprawdzenie con_should_update() przed aktualizacją ekranu.