Katalog podatności CVE

W jądrze Linux funkcja cdns3_gadget_start() uruchamia dwa zadania robocze (pending_status_wq i aligned_buf_wq) na system_freezable_wq, których handlery używają struktury cdns3_device. Funkcja cdns3_gadget_exit() nie czeka na zakończenie tych zadań, zwalniając endpointy, bufory i prywatne dane urządzenia, co może prowadzić do use-after-free, gdy zakolejkowane zadanie wykona się po zwolnieniu pamięci.

W jądrze Linux kontroler Cadence USBSS jest urządzeniem PCI z dwiema funkcjami. Gdy druga funkcja jest probowana, podczas gdy pierwsza została włączona, ale nie ustawiła jeszcze swoich danych sterownika, pci_get_drvdata() zwraca NULL, a następujące przypisanie wrap->devfn powoduje dereferencję NULL i awarię jądra.

W jądrze Linux struktura vio_vcc pkt alokowana na stosie w funkcji vcc_send_ctl() była częściowo zainicjalizowana, pozostawiając pole tag.stype_env niezainicjalizowane przed wysłaniem przez ldc_write(). Może to prowadzić do wycieku danych ze stosu jądra do peera LDC.

W jądrze Linux funkcja vcc_cleanup() ustawia port->tty na NULL bez trzymania port->lock, co powoduje wyścig z callbackami LDC w vcc_event(), które czytają port->tty pod port->lock i używają tty->port. Może to prowadzić do use-after-free, gdy callback dereferencjonuje tty->port po tym, jak cleanup już go zniszczył i zwolnił.

W jądrze Linux występuje luka w warstwie tty_port polegająca na tym, że flaga TTY_IO_ERROR nie jest przywracana, gdy aktywacja portu się nie powiedzie. Może to prowadzić do prób wejścia/wyjścia na porcie, który został usunięty lub wyłączony, powodując panikę jądra z powodu dostępu do niezegarowanego sprzętu lub dereferencji wskaźnika NULL, gdy ioctl TTY ściga się z hangup i open.

W jądrze Linux funkcja tty_port_tty_vhangup() może powrócić przed faktycznym zamknięciem portu, jeśli ściga się z innym wywołaniem hangup. Brak serializacji między tty_port_tty_vhangup() a tty_port_hangup() prowadzi do use-after-free i dereferencji wskaźnika NULL w ścigających się ioctl-ach oraz przy przetwarzaniu asynchronicznych hangupów (utrata nośnej).

W jądrze Linux ioctl-e break (TCSBRK i TCSBRKP) mogą ścigać się z hangup i wywoływać sterownik tty dla urządzenia, które zostało już usunięte lub wyłączone. Po kontrolowanym przez użytkownika timeoucie może dojść do wywołania sterownika nawet po ponownym otwarciu tty.

W jądrze Linux resetowanie zapisanego stanu termios przy rejestracji urządzenia może powodować use-after-free, gdy zamknięcie TTY (i zapisanie termios) ściga się z ponowną rejestracją. Problem dotyczy sterowników, które nie gwarantują, że numer minor nie jest już używany.

W jądrze Linux w sterowniku max3100 (tty: serial) funkcja max3100_shutdown() zatrzymuje timer, ale kończy działanie wcześnie podczas zawieszenia systemu. Jeśli urządzenie SPI zostanie odłączone przed wznowieniem, max3100_remove() zwalnia port, podczas gdy timer pozostaje uzbrojony, co może prowadzić do użycia zwolnionej pamięci (use-after-free) przez max3100_timeout(). Poprawka dodaje końcowe zniszczenie timera w max3100_remove() z użyciem timer_shutdown_sync() oraz zwalnia IRQ i niszczy kolejkę roboczą przed zwolnieniem portu.

W jądrze Linux sterownik serial: 8250_bcm7271 ma use-after-free w brcmuart_remove(). Funkcja brcmuart_remove() anuluje hrtimer przed wyrejestrowaniem portu, więc przerwanie receive-timeout, które nadejdzie w międzyczasie, ponownie uzbroi timer. Po zwolnieniu pamięci priv przez devm callback wykonuje się na zwolnionej pamięci.

W jądrze Linux funkcja serial_core_unregister_port() przekazuje port->port_dev do serial_core_get_ctrl_dev(), która dereferencjonuje wskaźnik. Gdy port->port_dev jest NULL (brak urządzenia portu lub nieudana rejestracja przed serial_core_port_device_add()), dochodzi do dereferencji NULL.

W jądrze Linux sterownik serial: ma35d1 ma wyciek referencji zegara w ma35d1serial_probe(). Funkcja of_clk_get() zwraca zegar z referencją, która musi być zwolniona przez clk_put(), ale ma35d1serial_probe() nigdy tego nie robi, przez co referencja wycieka na ścieżkach błędów probe i przy usuwaniu portu.

W jądrze Linux na architekturze arm64 funkcja restore_sve_fpsimd_context() nie odrzuca sygnałowego kontekstu SVE, w którym flaga SVE_SIG_FLAG_SM jest wyczyszczona, a ładunek SVE jest obecny, na systemach obsługujących wyłącznie SME (bez SVE). Pozwala to na wprowadzenie zadania w stan nieprzetwarzania strumieniowego SVE, mimo że sprzęt tego nie obsługuje, co może prowadzić do błędów EL1 UNDEF i paniki jądra.

W jądrze Linux w komponencie ASoC codec max98363 struktura stream_config nie jest inicjalizowana przed przekazaniem do sdw_stream_add_slave(). Pole type może zawierać śmieci i jest później kopiowane do stream->type przez sdw_config_stream().

W jądrze Linux w sterowniku ASoC rt1017-sdca-sdw struktura stream_config nie była inicjalizowana przed przekazaniem do sdw_stream_add_slave(). Pole type mogło zawierać przypadkowe dane, które następnie były kopiowane do stream->type przez sdw_config_stream().

W jądrze Linux w podsystemie ALSA seq ścieżka compat dla ioctl port-info nie używała muteksa client->ioctl_mutex, w przeciwieństwie do natywnej ścieżki ioctl. Umożliwiało to równoległym żądaniom CREATE_PORT ominięcie sprawdzenia liczby portów, co mogło prowadzić do zawinięcia indeksu portu i dostępu do zwolnionego subskrybenta.

W jądrze Linux w sterowniku ALSA ua101 wykryto lukę polegającą na braku weryfikacji spójności rozmiarów pakietów między interfejsem przechwytywania i odtwarzania. Złośliwe lub wadliwe urządzenie USB może zadeklarować niespójne parametry (duży wMaxPacketSize przechwytywania przy małej liczbie kanałów i mały wMaxPacketSize odtwarzania przy dużej liczbie kanałów), co prowadzi do zapisu poza buforem (slab-out-of-bounds) podczas otwierania węzła PCM.

W jądrze Linux w sterowniku EDAC/altera funkcje konfiguracji ECC (a10 .setup oraz ich helpery) były oznaczone jako __init, mimo że są wywoływane ze ścieżki probe, która może wykonać się po zwolnieniu pamięci __init. Prowadziło to do odwołań do zwolnionej pamięci przy odroczonym probe (-EPROBE_DEFER) lub ręcznym unbind/rebind.

W jądrze Linux występuje wyścig (race condition) w implementacji Bluetooth RFCOMM dotyczący początkowego odwołania do portu TTY. Zarówno ścieżka instalacji, jak i zwalniania urządzenia mogą zwolnić to samo odwołanie, co prowadzi do użycia po zwolnieniu pamięci (use-after-free). Problem dotyczy urządzeń RFCOMM_RELEASE_ONHUP i został potwierdzony przez KASAN.

W jądrze Linux występuje podatność use-after-free w funkcji build_pairing_cmd() obsługującej Bluetooth SMP. Funkcja odczytuje zdalne dane OOB bez blokady hdev->lock, przez co równoległe polecenie usunięcia danych OOB może zwolnić wpis, zanim SMP zdąży go odczytać. Problem został rozwiązany przez wprowadzenie dedykowanej blokady remote_oob_lock.