Katalog podatności CVE

W jądrze Linux w podsystemie ASoC (SDCA) funkcja probe nieprawidłowo obsługuje błędy pm_runtime. Brak wspólnej ścieżki błędów powoduje niezbalansowanie referencji runtime PM.

W jądrze Linux w podsystemie BPF funkcja bpf_jit_blind_insn() przy przepisywaniu instrukcji skoków może spowodować przepełnienie przesunięcia skoku (off typu s16). Wartości -32767 i -32768 zawijają się, powodując skok poza koniec programu i awarię jądra przy bpf_jit_harden=2.

W jądrze Linux występuje podatność use-after-free w sterowniku NVMe związana z cyklem życia urządzenia znakowego (cdev). Gdy w trybie multipath następuje usunięcie NS head, otwarte wcześniej deskryptory plików pozostają aktywne, co pozwala na odwołanie się do zwolnionej pamięci po spadku licznika referencji nvme_ns_head do zera.

W jądrze Linux w sterowniku NVMe występuje błąd use-after-free w dzienniku efektów poleceń dla nagłówków multipath. Wysłanie polecenia I/O passthrough przez nagłówek przestrzeni nazw multipath po usunięciu ścieżki kontrolera powoduje odczyt zwolnionej pamięci (KASAN slab-use-after-free).

W jądrze Linux występuje podatność use-after-free w mechanizmie BPF. Funkcja bpf_ma_set_dtor() duplikuje rekord mapy, ale nie utrzymuje referencji do BTF mapy, przez co BTF może zostać zwolniony, gdy program, który go załadował, zakończy działanie, a worker nadal używa zduplikowanego rekordu. Prowadzi to do odczytu zwolnionej pamięci (KASAN: slab-use-after-free) w funkcjach btf_is_kernel() i btf_find_struct_meta().

W jądrze Linux w podsystemie MCTP (net/mctp) funkcja mctp_add_dev() publikuje nowy obiekt mctp_dev w dev->mctp_ptr zanim zostanie przypisane pole mdev->dev. W rezultacie czytelnik, który pobierze urządzenie w tym oknie czasowym, dereferencjonuje wskaźnik net_device o wartości NULL, co prowadzi do błędu null-ptr-deref (wykrytego przez KASAN). Problem został naprawiony poprzez publikację obiektu dopiero po jego pełnej inicjalizacji.

W jądrze Linux w module net/sched (cls_api) występuje wyciek zasobów, gdy dwa równoległe żądania dodania filtra tc na tej samej łańcuchu/priorytecie zawodzą. Przegrany w wyścigu nie odzyskuje pustego obiektu proto, który pozostaje podłączony do łańcucha i utrzymuje referencje do łańcucha, bloku oraz modułu klasyfikatora. Poprawka odzyskuje proto na ścieżce błędu, ale tylko gdy jest puste.

W jądrze Linux w podsystemie mac80211 funkcja ieee80211_monitor_select_queue() waliduje długość skb za pomocą skb->len, który obejmuje również fragmenty nieliniowe. Gdy AF_PACKET wysyła duży pakiet, nagłówek 802.11 może wykraczać poza liniowy bufor, powodując odczyt poza granicami (slab-out-of-bounds).

W jądrze Linux w funkcji hci_unregister_dev() wyłączane są cmd_work i cmd_timer, a następnie wywoływane jest hci_cmd_sync_clear(), które czeka na zakończenie workera przetwarzającego kolejkę cmd_sync_work_list. Ponieważ cmd_work jest wyłączone, żadne polecenie HCI nie dociera do kontrolera, więc każde oczekujące polecenie czeka pełny HCI_CMD_TIMEOUT (2 s), a kolejka nie ma ograniczenia rozmiaru. Zamknięcie /dev/vhci może zablokować się na czas backlog * 2 s (w reprodukcji ponad 5000 wpisów = godziny zawieszenia).

W jądrze Linux w funkcji bcm_sysport_get_stats() na urządzeniach SYSTEMPORT Lite niektóre statystyki są pomijane, a indeks 'j' śledzi skompaktowaną pozycję w buforze docelowym, podczas gdy 'i' iteruje po wszystkich elementach. Ponieważ bufor ethtool jest rozmiarowany według bcm_sysport_get_sset_count(), zapis do data[i] zamiast data[j] wykracza poza zaalokowany zakres i powoduje uszkodzenie pamięci.

W jądrze Linux funkcje mlx5_handle_changeupper_event() i mlx5_handle_changeinfodata_event() sprawdzają urządzenia LAG (bonding i team), ale wywołują wyłącznie API specyficzne dla bonding. Przy zdarzeniach urządzenia team wywołanie bond_slave_get_rcu() i bond_is_slave_inactive() na strukturach team_port powoduje wykryty przez KASAN dostęp poza zakresem pamięci, ponieważ team_port jest mniejszy niż bond slave.

W jądrze Linux w sterowniku octeontx2-pf przypisanie BPID przy włączonym CONFIG_DCB zakładało, że queue_to_pfc_map jest zawsze zainicjalizowane. Dla SDP VF prowadzi to do nieprawidłowego dostępu do pamięci, ponieważ mapa nie była zainicjalizowana. Poprawka dodaje sprawdzenie NULL dla queue_to_pfc_map przed jej użyciem.

W jądrze Linux w module TIPC wykryto podatność polegającą na ponownym użyciu nonce w szyfrowaniu AES-GCM. Gdy peer zgłasza zmianę klucza odbiorczego, licznik nonce jest resetowany, mimo że nadawca może nadal używać tego samego klucza TX i soli, co prowadzi do powtórzenia nonce. Ponowne użycie nonce łamie poufność i ujawnia klucz uwierzytelniający GCM, umożliwiając łatwe fałszowanie pakietów.

W jądrze Linux przy CONFIG_PAGE_POOL_STATS=y funkcja page_pool_recycle_ring_bulk() aktualizuje statystyki recyklingu po zwolnieniu blokady producenta. Jeśli właśnie zrecyklingowano ostatnie netmemy puli będącej w trakcie niszczenia, page_pool_release() może przejść barierę blokady producenta i zwolnić pulę, zanim wykona się recycle_stat_add(), co prowadzi do use-after-free.

W jądrze Linux naprawiono błąd w sterowniku sieciowym stmmac dotyczący obsługi rozproszenia-zbierania (Scatter-Gather) przy odbiorze ramek. Gdy odbierana ramka była większa niż dma_buf_sz, DMA zapisywał nadmiar danych pod niezamapowany adres bufora pomocniczego (sec_page), co powodowało błąd translacji SMMU na platformach z IOMMU. Poprawka włącza obsługę SG dla ramek nie-SPH na rdzeniach GMAC4/XGMAC oraz poprawia obliczanie długości bufora i usuwanie FCS.

W jądrze Linux wykryto podatność w obsłudze segmentowego routingu IPv6 (seg6). Funkcje advance_nextseg() oraz seg6_next_csid_advance_arg() modyfikują pole Segments Left w nagłówku SRH oraz adres docelowy IPv6 bez uprzedniego sprawdzenia, czy dane pakietu są zapisywalne. Gdy bufor skb jest klonowany (np. przez gniazdo AF_PACKET), zapis następuje do danych współdzielonych z klonem, co może prowadzić do zwrócenia zmodyfikowanego pakietu zamiast odebranego.

W jądrze Linux naprawiono podatność w obsłudze opcji gniazda SO_RESERVE_MEM. Opcja ta była dostępna zarówno dla gniazd TCP, jak i UDP, mimo że mechanizm rezerwacji pamięci jest obsługiwany tylko przez TCP, co mogło prowadzić do korupcji liczników pamięci (sk_forward_alloc) i rozliczania memcg na gniazdach UDP. Dodatkowo brak górnego limitu wartości pozwalał na przepełnienie 32-bitowych liczników przy wartościach bliskich INT_MAX.

W jądrze Linux występuje luka use-after-free w mechanizmie BPF trampoline. Gdy program BPF jest odłączany od trampoliny, może zostać zwolniony, podczas gdy zadanie przerwane (preempted) w trampolinie tuż przed wywołaniem programu nadal może go wywołać, co prowadzi do dostępu do zwolnionej pamięci. Problem dotyczy jąder z wywłaszczaniem (preemptible).

W jądrze Linux naprawiono podatność w mechanizmie BPF trampoline, gdzie odłączony program BPF (prog) mógł zostać zwolniony, podczas gdy zadanie wciąż się w nim wykonywało. Prowadziło to do użycia zwolnionej pamięci i awarii jądra (oops) na x86, objawiającej się jako int3 w zatrutej pamięci bpf_prog_pack. Problem występował, gdy programy podpięte przez trampoliny były odłączane w trakcie aktywności ich hooków.

W jądrze Linux sterownik bcmgenet ustawia prywatne dane pierścienia Rx i indeks dopiero przy otwarciu interfejsu. Ustawienie parametrów koalescencji Rx na interfejsie, który nigdy nie został otwarty (np. ethtool -C eth0 rx-usecs 50), powoduje dereferencję NULL i panikę jądra z utrzymywanym RTNL, co blokuje sieć do restartu.