Katalog podatności CVE

W jądrze Linux sterownik iio: pressure: bmp280 ma błąd dostępu poza zakresem w wyszukiwaniu częstotliwości próbkowania. Funkcja bmp280_write_sampling_frequency() indeksuje spłaszczoną tablicę jako dwuwymiarową i używa num_sampling_freq_avail jako liczby wierszy, co prowadzi do błędnego indeksowania.

W jądrze Linux sterownik iio: pressure: rohm-bm1390 ignoruje zapisany kod błędu i bezwarunkowo zwraca 0. Po zatrzymaniu pomiaru należy zwrócić zapisany kod 'ret', aby użytkownik wiedział, że odczyt się nie powiódł, a dane są nieprawidłowe.

W jądrze Linux sterownik iio: proximity: aw96103 parser firmware odczytuje długość z nagłówka binarnego i używa jej do przechodzenia przez sześciobajtowe wpisy rejestr/wartość. Obcięty obraz firmware może spowodować odczyt poza skopiowanym buforem, a wartość mniejsza niż czterobajtowe pole licznika powoduje niedomiar i bardzo dużą długość.

W jądrze Linux w sterowniku iio: proximity: pulsedlight, gdy pm_runtime_set_active() zawiedzie w probe(), następuje skok do etykiety error_unreg_buffer, która wywołuje tylko iio_triggered_buffer_cleanup() i nie wyrejestrowuje wcześniej zarejestrowanego urządzenia iio. W efekcie devm zwalnia indio_dev, ale rdzeń iio nadal ma je zarejestrowane, a węzły sysfs/chardev wskazują na zwolnioną pamięć.

W jądrze Linux funkcja iio_trigger_notify_done_atomic() odkłada wywołanie ->reenable() do trig->reenable_work w kolejce systemowej, a worker odwołuje się do triggera przez container_of(). Ponieważ nic nie anuluje tej pracy przed iio_trig_release(), która zwalnia trigger, worker może przeżyć zwolnienie i odwołać się do zwolnionej pamięci.

W jądrze Linux zdarzenia perf z exclude_kernel=1 mogą być otwierane bez dostępu do perf jądra, ale exclude_kernel nie tłumi rekordów text-poke. Każdy PERF_RECORD_TEXT_POKE jest oznaczony jako PERF_RECORD_MISC_KERNEL i zawiera surowy adres instrukcji jądra, co pozwala nieuprzywilejowanemu zadaniu ujawnić bazę tekstu jądra w czasie działania mimo KASLR.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację numerującą CVE; nie zawiera opisu podatności.

W jądrze Linux w KVM: s390, w pewnych okolicznościach strona pamięci zagnieżdżonego gościa, która jest shadowowana, może nie być obecna w gmap gościa nadrzędnego. dat_entry_walk() nie znajdzie wtedy żadnego wpisu liścia i zwróci -ENOENT, który błędnie zostanie przekazany do przestrzeni użytkownika.

W jądrze Linux w KVM: s390 funkcja kvm_s390_set_irq_state() wykonuje operację Store status bez wymaganego kvm->srcu lub blokady slotów, w przeciwieństwie do kvm_s390_inject_vcpu(). Brak tej synchronizacji może prowadzić do problemów ze współbieżnością.

W jądrze Linux w KVM: s390 funkcja dat_cond_set_storage_key() może otrzymać NULL jako oldkey od niektórych wywołujących. Wywołanie page_cond_set_storage_key() spowoduje wtedy dereferencję wskaźnika NULL.

W jądrze Linux w KVM: s390 istnieje okno wyścigu między dat_entry_walk() a large_crste_to_phys() w funkcjach dat_cond_set_storage_key() i dat_set_storage_key(): duża strona może zostać równolegle rozdzielona, a large_crste_to_phys() może zostać wywołane z crste, które nie wskazuje dużej strony, prowadząc do awarii. Podobne problemy występowały w dat_get_storage_key() i dat_reset_reference_bit().

W jądrze Linux w KVM: s390 funkcja _destroy_pages_crste() odczytuje crste bez zabezpieczenia przed wielokrotnym dereferencjonowaniem wskaźnika, co może prowadzić do wyścigu.

W jądrze Linux w s390/uv, gdy system ma więcej niż 85 sekretów, tablica struktur uv_secret_list przechowuje tylko do 85 elementów na stronę, co powoduje odczyt poza granicami w find_secret_in_page, jeśli docelowy sekret znajduje się na następnej stronie lub nie jest przechowywany.

W jądrze Linux w funkcji btf_struct_walk() występuje błąd dzielenia przez zero. Gdy dostęp wykracza poza strukturę, której ostatnim elementem jest tablica elastyczna, a typ elementu ma rozmiar zero (np. pusta struktura), dochodzi do dzielenia przez zero podczas ładowania programu BPF. Wymaga to wskaźnika PTR_TO_BTF_ID, który nie jest MEM_ALLOC, np. odczytu lokalnego kptr przechowanego w mapie z programu uśpionego.

W jądrze Linux występuje błąd w funkcji inet_csk_listen_stop(), która wywołuje cond_resched() w kontekście BPF (pod rcu_read_lock). Gdy bpf_sock_destroy() niszczy gniazdo nasłuchujące z dziećmi w kolejce akceptacji, dochodzi do nieprawidłowego uśpienia i ostrzeżenia jądra. Problem dotyczy ścieżki obsługi gniazd nasłuchujących, która nie została objęta wcześniejszym zabezpieczeniem has_current_bpf_ctx().

W jądrze Linux w sterowniku HID winwing występuje błąd use-after-free podczas niszczenia force feedback. Funkcja winwing_init_ff() przekazuje prywatne dane sterownika zaalokowane przez devm_kzalloc() jako kontekst efektu do input_ff_create_memless(), a rdzeń force feedback zwalnia ten wskaźnik przez kfree(), co jest nieprawidłowym zwolnieniem i prowadzi do podwójnego zwolnienia oraz uszkodzenia pamięci slab. Problem występuje przy odłączaniu, rmmod, hot-unplug oraz zawieszeniu systemu.

W jądrze Linux naprawiono podatność w funkcji __htab_map_lookup_and_delete_batch() dotyczącej map BPF typu hash. Funkcja nie zawierała punktu przeplanowania, więc pojedyncze wywołanie BPF_MAP_LOOKUP_BATCH mogło przeglądać całą mapę bez oddania procesora, co na dużych mapach (np. 16 mln kubełków) prowadziło do soft lockup i zatrzymania CPU na ponad 77 sekund.

W jądrze Linux naprawiono podatność w programach BPF typu sock_ops, które odczytują pole rtt_min. Na ścieżce tcp_conn_request() wskaźnik sock_ops->sk wskazuje na request_sock (niepełny socket), a kod rzutuje go na tcp_sock i odczytuje rtt_min poza granicami struktury, ujawniając sąsiednie dane z pamięci jądra.

W jądrze Linux występuje podatność use-after-free (UAF) w mechanizmie alokacji pamięci BPF (alloc_bulk). Problem wynika z braku synchronizacji między równoległym przetwarzaniem list ttrace (waiting_for_gp_ttrace oraz free_by_rcu_ttrace) a wywołaniami zwalniającymi pamięć po zakończeniu okresu RCU Tasks Trace. Naprawa polega na wprowadzeniu surowego spinlocka synchronizującego dostęp do tych list.

W jądrze Linux w architekturze arm64 wykryto błąd w obsłudze BPF, dotyczący programów pełniących rolę granicy wyjątków (exception callback). Prolog takiego callbacku nie ustawiał wskaźnika ramki (BPF_REG_FP), przez co rejestr x25 zachowywał wartość z podprogramu, który wywołał bpf_throw(). W efekcie helper mógł otrzymać adres zmiennej lokalnej wskazujący na martwą ramkę stosu i nadpisać własny adres powrotu, co prowadzi do paniki jądra.