Katalog podatności CVE

W jądrze Linux sterownik ALSA caiaq rejestruje urządzenie wejściowe w setup_card(), ale gdy snd_card_register() lub snd_usb_caiaq_control_init() zawiedzie, snd_card_free() zwalnia stan urządzenia bez wyrejestrowania urządzenia wejściowego. Późniejszy odczyt atrybutu "uevent" powoduje użycie zwolnionej pamięci (use-after-free).

W jądrze Linux w sterowniku ALSA line6 (sound/usb/line6/playback.c) nie sprawdzano, czy liczba bajtów zapisywanych do bufora URB nie przekracza rozmiaru przydzielonego fragmentu. Gdy urządzenie USB deklaruje duży wMaxPacketSize dla endpointu IN i mały dla OUT, funkcja submit_audio_out_urb() wykonuje memcpy()/memset() poza przydzielonym obszarem pamięci, co prowadzi do zapisu poza granicami bufora (slab-out-of-bounds).

W jądrze Linux sterownik IIO kionix-kx022a wykonuje błędne sprawdzenie granic tablicy przy konwersji wartości rejestru na indeks tablicy. Sprawdzenie akceptuje sizeof(array) jako ostatni indeks, podczas gdy prawidłowy ostatni indeks to sizeof(array) - 1.

W jądrze Linux w podsystemie MTD funkcja mtd_otp_nvmem_add() przy błędzie konfiguracji fabrycznego OTP wyrejestrowuje urządzenie NVMEM użytkownika, ale pozostawia wskaźnik mtd->otp_user_nvmem ustawiony. Prowadzi to do podwójnego zwolnienia (double-free) przy kolejnej próbie wyrejestrowania.

W jądrze Linux w podsystemie MTD funkcja __get_mtd_device() wywołuje callback _get_device() z mtd, który może być partycją, podczas gdy __put_mtd_device() przekazuje master. Powoduje to błędy w partycjach gluebi, które wymagają master MTD w kontenerze container_of().

W jądrze Linux w blk-cgroup funkcja blkg_tryget_closest() używa spin_lock_irq() i spin_unlock_irq(), co bezwarunkowo włącza przerwania lokalne. Gdy wywołujący ma już wyłączone przerwania (np. dm-thin), prowadzi to do zakleszczenia, ponieważ softirq ukończenia I/O może ponownie przejąć blokadę na tym samym CPU.

W jądrze Linux w of/overlay funkcja init_overlay_changeset() zapisuje liczbę zainicjowanych fragmentów w ovcs->count tylko przy pełnym sukcesie. Gdy find_target() lub wyszukiwanie __symbols__ zawiedzie w połowie, referencje do fragmentów nie są zwalniane, co prowadzi do wycieku pamięci.

W jądrze Linux w sterowniku wifi wfx funkcja wfx_hif_read_mib() kopiuje reply->length bajtów z odpowiedzi firmware do bufora wywołującego bez sprawdzenia, czy reply->length nie przekracza val_len. Zbyt duża wartość length powoduje przepełnienie bufora i odczyt poza alokacją odpowiedzi.

W jądrze Linux w funkcji ieee80211_rx_h_defragment() podatność wynika z przepełnienia pola extra_len typu u16 podczas sumowania długości fragmentów ramek IEEE 802.11. Gdy suma długości fragmentów przekracza 65535 bajtów, wartość zawija się modulo 65536, co prowadzi do zbyt małej alokacji bufora i wywołania skb_over_panic() w kontekście softirq, powodując awarię jądra.

W jądrze Linux w funkcji ath9k_wmi_rsp_callback() brakuje walidacji długości odpowiedzi WMI. Jeśli urządzenie zwróci odpowiedź krótszą niż oczekiwana, dane są odczytywane poza buforem skb, co prowadzi do odczytu poza granicami pamięci.

W jądrze Linux funkcja __hif_usb_tx() w ath9k_htc ogranicza liczbę agregowanych ramek, ale nie ich łączny rozmiar w bajtach. Przy dużych ramkach (MTU 2304) 20 zagregowanych ramek przekracza rozmiar bufora tx_buf, powodując zapis poza jego granicami w memcpy().

W jądrze Linux w sterowniku rtc: ac100 wykryto błąd use-after-free w obsłudze zegara. Gdy funkcja ac100_rtc_probe() zawiedzie po zarejestrowaniu zegara RTC-32k i dostawcy zegara, zasoby te nie są zwalniane, a wskaźnik do zwolnionej pamięci pozostaje na globalnej liście of_clk_providers. Późniejsze odwołanie do tego węzła drzewa urządzeń powoduje odczyt zwolnionej pamięci.

W jądrze Linux sterownik RTC mpfs nie sprawdza wartości zwracanej przez devm_clk_get() pod kątem błędu przed przekazaniem jej do clk_get_rate(). Jeśli zwrócony zostanie wskaźnik błędu (np. -EPROBE_DEFER), clk_get_rate() dereferencjonuje go, powodując awarię zamiast odroczenia sondowania.

W jądrze Linux funkcja minstrel_ht_tx_status() nie waliduje metadanych szybkości (MCS, liczba strumieni przestrzennych, szerokość pasma) raportowanych w statusie TX. Zniekształcone metadane mogą być użyte jako indeks poza granicami tablic szybkości, powodując odczyt poza zakresem.

W jądrze Linux funkcja cfg80211_update_assoc_bss_entry() może skopiować pożyczone wskaźniki beacon_ies z wpisu grupy ukrytej do wpisu powiązanego, dając tej samej alokacji dwóch właścicieli. Zwolnienie wpisu grupy pozostawia wpis powiązany wskazujący na zwolnione dane, które są zwalniane ponownie (use-after-free / double-free).

W jądrze Linux funkcja ieee80211_lookup_ra_sta() używa sta_info_get_bss() dla wszystkich ramek AP i AP VLAN, nie tylko dla ramek portu kontrolnego. Ramka unicast wysłana na jednym interfejsie może dopasować stację z innego VLAN tego samego BSS i zostać do niej przesłana.

W jądrze Linux funkcja iocb_bio_iopoll() oczekuje bio, ale gdy IOCB_HAS_METADATA jest ustawione, iocb->private zawiera uio_meta. Wywołanie bio_poll() na uio_meta powoduje dereferencję nieprawidłowego wskaźnika i awarię (KASAN: null-ptr-deref).

W jądrze Linux w blk-mq buforowane żądania są alokowane dla jednej operacji, ale mogą być użyte dla innej. Flaga RQF_USE_SCHED jest ustawiana na podstawie pierwszej operacji, co prowadzi do wstawienia żądania do schedulera bez wywołania ->prepare_request() i zwolnienia bez ->finish_request(), powodując wyciek tokenu domeny w kyber i zablokowanie kolejki.

W jądrze Linux w module Bluetooth (btintel) występuje błąd walidacji długości rekordów DDC. Rekordy o długości 0xFF mogą powodować przepełnienie przy parsowaniu, a rekordy krótsze niż trzybajtowy nagłówek lub przekraczające dostępne dane firmware nie są odrzucane przed wywołaniem Intel_Write_DDC.

W jądrze Linux występuje zakleszczenie (deadlock) w funkcji __kfree_rcu_sheaf() w podsystemie mm/slab. Funkcja kfree_rcu() może być wywoływana pod pi_lock (surowym spinlockiem w schedulerze), a próba wybudzenia kswapd powoduje ponowne pozyskanie pi_lock, co prowadzi do zakleszczenia. Problem został potwierdzony przez mechanizm lockdep wykrywający cykliczną zależność blokad.