Katalog podatności CVE

W jądrze Linux występuje błąd w obsłudze mapowania kolejki transmisji (skb->queue_mapping) przy przekierowaniu pakietu między urządzeniami o różnej liczbie kolejek TX. Flaga skip_txqueue ustawiana przez akcję skbedit nie była ograniczona do bieżącej transmisji, więc zagnieżdżony xmit mógł pozostawić nieaktualne mapowanie, powodując indeksowanie poza tablicą qdiscs[] w taprio_enqueue(). Lokalny użytkownik z CAP_NET_ADMIN w przestrzeni nazw sieci może wywołać błąd i pod KASAN uzyskać slab-out-of-bounds.

W jądrze Linux w sterowniku mtk_eth_soc występuje problem kolejności inicjalizacji: urządzenia sieciowe MAC są rejestrowane przed utworzeniem wewnętrznego urządzenia dummy i wspólnego NAPI. Jeśli interfejs zostanie podniesiony w tym oknie (np. przez netifd natychmiast po rejestracji), ścieżka pierwszego otwarcia odwołuje się do NULL (eth->dummy_dev lub napi->dev), co powoduje ostrzeżenie w net/core/xdp.c i błąd -ENODEV. Poprawka alokuje dummy netdev i dodaje NAPI przed pętlą register_netdev() oraz porządkuje ścieżki błędów.

W jądrze Linux sterownik sparx5 kończy inicjalizację PTP wcześnie na wariantach lan969x bez flagi SPX5_FEATURE_PTP oraz gdy brak przerwania "ptp". Odłączenie sterownika powoduje dereferencję NULL podczas czyszczenia niezainicjalizowanych kolejek tx_skbs.

W jądrze Linux moduł IPVS filtruje teraz niektóre flagi połączeń otrzymywane przez serwer zapasowy w protokole SYNC. Odrzucane są kombinacje NO_CPORT+TEMPLATE oraz flaga ONE_PACKET, a maska IP_VS_CONN_F_BACKUP_MASK jest stosowana również do flag z komunikatów protokołu v0.

W jądrze Linux funkcja bpf_ct_set_nat_info() nie waliduje typu manipulacji NAT, więc błędna wartość trafia do nf_nat_setup_info(), wywołując WARN_ON(). Jeśli panic_on_warn nie jest ustawione, flaga IPS_SRC_NAT_DONE jest ustawiana bez dodania nat_bysource, a sprzątanie conntrack próbuje odłączyć niezainicjalizowany węzeł hlist.

W jądrze Linux zmieniono nazwę bitu NF_FLOW_HW_PENDING na NF_FLOW_PENDING i użyto go do wstrzymania workera GC flowtable do czasu zakończenia oczekującej pracy offloadu sprzętowego. Przywrócono kolejność z commita d644b23afe1e, aby zapobiec wyścigowi między GC a obsługą offloadu sprzętowego.

W jądrze Linux sterownik mlx5e podczas rozbierania kolejki XSK TX kończy zaległe deskryptory bez CQE. Jeśli deskryptor zażądał znacznika czasu TX, ścieżka ukończenia przekazuje NULL CQE do mlx5e_xsk_fill_timestamp(), co powoduje dereferencję NULL.

W jądrze Linux istnieje wyścig między perf_event_exit_task() a perf_pending_task() podczas begin_new_exec(). Gdy perf_event_exit_task() jest wywoływane, a flaga PF_EXITING nie jest ustawiona, perf_sigtrap() kontynuuje działanie i wywołuje WARN_ON_ONCE(event->ctx->task != current).

W jądrze Linux w podsystemie BPF występuje błąd w mechanizmie zwalniania pamięci przez RCU tasks trace. Obiekty dodane do free_by_rcu_ttrace w trakcie trwania okresu karencji RCU mogą pozostać tam na stałe, ponieważ flaga call_rcu_ttrace_in_progress jest czyszczona zbyt wcześnie, a liczba takich obiektów nie jest ograniczona.

W jądrze Linux w podsystemie futex występuje błąd use-after-free związany ze zmianą rozmiaru prywatnej tablicy haszy. Funkcja __futex_pivot_hash() ustawia mmph->batches przed przypisaniem mmph->hash, co pozwala futex_ref_drop() przesunąć się do przodu, gdy czytelnik wciąż używa wskaźnika do starej tablicy haszy.

W jądrze Linux w podsystemie BPF brakuje ochrony przed migracją w funkcji __rhtab_map_lookup_and_delete_batch(). Wywołanie bpf_mem_cache_free_rcu() używa this_cpu_ptr() bez wyłączonej migracji, co przy CONFIG_PREEMPT_RCU może wywołać błąd "using smp_processor_id() in preemptible code".

W jądrze Linux w sterowniku drm/amd/display brakuje sprawdzenia NULL przy dereferencji dc_sink w funkcjach dm_dp_mst_is_port_support_mode() i get_conv_frl_bw(). Wskaźnik dc_sink jest asynchronicznie czyszczony przy odłączeniu MST, co może prowadzić do dereferencji NULL podczas wyścigu z teardownem.

W jądrze Linux w sterowniku drm/amd/display funkcja dm_suspend() nie sprawdza, czy dc_state_create_copy() zwróciło NULL przy błędzie alokacji. W rezultacie dm_resume() dereferencjonuje NULL cached_dc_state, powodując awarię podczas odzyskiwania po resecie GPU.

W jądrze Linux w sterowniku drm/amdgpu/gfx6 firmware załadowany w gfx_v6_0_init_microcode() nie jest zwalniany przy demontażu bloku GFX, co powoduje wyciek zasobów firmware (PFP, ME, CE, RLC).

W jądrze Linux w sterowniku drm/mediatek brakuje sprawdzenia IS_ERR() dla urządzenia platformowego ovl_adaptor zwracanego przez platform_device_register_data(). Nieprawidłowy wskaźnik trafia do ddp_comp[].dev i jest przekazywany dalej, co może spowodować awarię jądra.

W jądrze Linux w sterowniku drm/mediatek urządzenie platformowe OVL adaptor utworzone przez platform_device_register_data() nie jest wyrejestrowywane w przypadku niepowodzenia późniejszej inicjalizacji ani przy normalnym usuwaniu sterownika, co powoduje wyciek urządzenia.

W jądrze Linux w sterowniku drm/mediatek funkcja mtk_drm_bind() pobiera referencję do urządzenia disp-mutex przez of_find_device_by_node(), ale w ścieżce gdy urządzenie nie jest mmsys master, zwraca wcześnie bez zwolnienia tej referencji. mtk_drm_unbind() zwalnia mutex_dev tylko dla mastera.

W jądrze Linux w sterowniku drm/amdgpu funkcja amdgpu_discovery_sysfs_ips() alokuje ip_hw_instance i inicjalizuje wbudowany kobject przed kobject_add(). Gdy kobject_add() zawiedzie, zwracana wartość jest ignorowana, referencja nie jest zwalniana, a ip_hw_instance_release() nigdy nie jest wywoływane, co powoduje wyciek pamięci.

W jądrze Linux w funkcji acp_hw_init() sterownika drm/amdgpu rejestrowane są urządzenia potomne ACP przez mfd_add_devices() przed przypisaniem ich do domeny zasilania i inicjalizacją sprzętu. Jeśli przypisanie do domeny zasilania lub reset/clock ACP zakończy się niepowodzeniem, ścieżka błędu zwalnia tylko część alokacji, pozostawiając zarejestrowane urządzenia potomne MFD, które nigdy nie są zwalniane.

W jądrze Linux w mechanizmie binder, gdy transakcja TF_UPDATE_TXN zastępuje oczekującą transakcję asynchroniczną, wywoływane jest binder_release_entire_buffer() z is_failure=false. Ponieważ zastąpiona transakcja nigdy nie została dostarczona, nie zainstalowano żadnych deskryptorów plików, a program obsługi BINDER_TYPE_FDA interpretuje nieaktualną zawartość bufora jako numery fd i przekazuje je do binder_deferred_fd_close(), zamykając niezwiązane deskryptory plików.