Katalog podatności CVE

W jądrze Linux sterownik amd_sfh mapuje PCI BAR 2 i uzyskuje dostęp do rejestrów MMIO pod offsetami do 0x10958, nie sprawdzając wcześniej, czy rozmiar BAR jest wystarczający. Jeśli sterownik zostanie powiązany z urządzeniem o mniejszym BAR 2, dochodzi do dostępu poza zakresem pamięci i błędu strony (page fault) podczas funkcji probe.

W jądrze Linux w KVM dla architektury RISC-V występuje błąd kolejności aktualizacji wpisu NACL hfence. Funkcja __kvm_riscv_nacl_hfence() zapisuje słowo Config przed słowami Page_Number i Page_Count, co jest niezgodne z wymogami specyfikacji SBI v3.0 i może prowadzić do obserwacji wpisu oczekującego ze starymi wartościami pnum/pcount, skutkując nieprawidłowymi zakresami opróżniania TLB.

W jądrze Linux w KVM dla architektury arm64 funkcja pkvm_vcpu_init_sve() ogranicza tylko górną granicę sve_max_vl dostarczonego przez hosta, przez co nieprawidłowa długość wektora trafia do sve_state_size_from_vl() i wywołuje WARN_ON(), co jest fatalne na poziomie EL2. Istniejący test !sve_state_size odrzuca taką długość, ale dopiero po wykonaniu makra.

W jądrze Linux w funkcji pkvm_vcpu_init_sve() występuje błąd, który przy niepowodzeniu inicjalizacji SVE dla vCPU czyści flagę KVM_ARM_VCPU_SVE, ale pozostawia ustawioną flagę KVM_ARCH_FLAG_GUEST_HAS_SVE. Kolejne vCPU w tej samej maszynie wirtualnej pomijają wtedy konfigurację SVE i rejestrują się z pustym stanem sve_state, co prowadzi do błędu przy pierwszym dostępie gościa do rejestrów FP.

W systemie plików squashfs w jądrze Linux brakuje sprawdzenia zakresu rozmiaru słownika, co przy nietypowym obrazie (flaga COMP_OPTS ustawiona, ale rozmiar słownika równy 0) powoduje przesunięcie poza zakres (shift-out-of-bounds). Błąd występuje w funkcji squashfs_xz_comp_opts(), gdzie wykładnik przesunięcia wynosi -1.

W podsystemie blokowym jądra Linux funkcja blk_revalidate_disk_zones() oblicza rozmiar tablicy zones_cond na podstawie pojemności dysku i rozmiaru strefy, ale indeks używany przez blk_revalidate_zone_cond() pochodzi z urządzenia i nie jest sprawdzany względem rozmiaru tablicy. Urządzenie zgłaszające więcej stref niż mieści się w tablicy powoduje zapis poza zakresem w blk_zone_set_cond().

W podsystemie SCSI jądra Linux funkcja sd_zbc_read_zones() oblicza liczbę stref w arytmetyce 64-bitowej i zapisuje wynik w polu unsigned int nr_zones struktury zoned_disk_info, co po cichu obcina wartości przekraczające 32 bity. Ponadto sd_zbc_report_zones() zlicza strefy za pomocą signed int zone_idx, co powoduje przepełnienie powyżej INT_MAX.

W sterowniku Bluetooth btnxpuart jądra Linux, gdy CONFIG_DEV_COREDUMP=n, funkcja hci_devcd_append() zwraca -EOPNOTSUPP bez zwalniania przekazanego skb, co powoduje wyciek sklonowanego skb i uniemożliwia wywołanie nxp_set_ind_reset() w celu odzyskania.

W podsystemie Bluetooth mgmt jądra Linux funkcja send_cancel() usuwa oczekujące obiekty mesh_tx z listy hdev->mesh_pending i zwalnia je przez mesh_send_complete(), ale jeśli transmisja mesh została już zakolejkowana przez mesh_next(), wpis zachowuje surowy wskaźnik do mesh_tx. Późniejsze przetwarzanie przez hci_cmd_sync_work powoduje użycie zwolnionego wskaźnika (use-after-free).

W podsystemie XDP socket jądra Linux funkcja xsk_map_gen_lookup() ładuje 32-bitowy klucz i porównuje go z max_entries za pomocą BPF_JMP_IMM. Immediate w BPF są rozszerzane znakowo do 64 bitów, więc wartość max_entries równa 0x80000000 lub większa staje się progiem większym niż każdy zerowo rozszerzony 32-bitowy klucz, co pozwala na pominięcie sprawdzenia zakresu i odczyt poza tablicą xsk_map[].

W sterowniku Ethernet fbnic jądra Linux wskaźnik puli stron ładunku zawiera wskaźnik błędu, gdy alokacja się nie powiedzie. Ścieżka czyszczenia przekazuje ten wskaźnik błędu do page_pool_destroy() zamiast niszczyć pulę stron nagłówka, co może spowodować dereferencję wskaźnika błędu i pozostawienie puli stron nagłówka zaalokowanej.

W jądrze Linux w module net/sched: cls_u32 naprawiono błąd aliasowania identyfikatorów w tablicy haszującej. Ręcznie utworzona tablica u32 z jawnym uchwytem (handle) w zakresie 0x800..0xFFF była kluczowana surowym uchwytem, podczas gdy ścieżki usuwania używały funkcji handle2id(), co prowadziło do trwałego wycieku wpisu IDR oraz możliwości usunięcia wpisu należącego do innej, aktywnej tablicy. W efekcie późniejsze automatyczne przydzielenie mogło zwrócić uchwyt kolidujący z istniejącą tablicą manualną, kierując zapytania i TCA_U32_LINK do niewłaściwej tablicy.

W weryfikatorze BPF jądra Linux po zakończeniu do_check() uruchamiane są passy przepisywania instrukcji, które modyfikują lub usuwają po jednej instrukcji, co powoduje kwadratowy koszt obliczeniowy. Uprzywilejowany program ładujący może przesłać 131072 bezwarunkowych skoków przez zero, co zajmuje dużo czasu w bpf_opt_remove_nops(), a brak sprawdzania sygnałów uniemożliwia przerwanie zadania przez SIGKILL.

W jądrze Linux w funkcji regsafe() w podsystemie BPF nie zachowywano przesunięcia (displacement) między rejestrami współdzielącymi ten sam identyfikator wskaźnika pakietu. Ponieważ zakres pakietu jest współdzielony przez ID, sprawdzenie granic na jednym elemencie klasy aktualizuje wszystkie elementy, co może pozwolić na dostęp poza zakresem pakietu na ścieżce po przycięciu (pruned path).

W jądrze Linux funkcja bpf_core_patch_insn() zatruwała (poison) cel relokacji CO-RE przed sprawdzeniem, czy instrukcja jest prawidłowym celem relokacji. Złośliwe metadane mogły zastąpić skoki, wywołania, wyjścia, arytmetykę źródła rejestru lub ładowania nie-natychmiastowe zamiast zgłosić błąd na etapie relokacji.

W jądrze Linux w podsystemie netfilter flowtable funkcja flow_offload_work_del() ustawiała flagę NF_FLOW_HW_DEAD przed wyczyszczeniem NF_FLOW_HW_PENDING przez procedurę roboczą. Równoległe odśmiecanie (garbage collection) mogło zwolnić przepływ przez RCU, zanim worker zakończył pracę, powodując use-after-free.

W jądrze Linux w module nfnetlink_queue brakowało serializacji między notyfikatorem zwolnienia (release notifier) a funkcją konfiguracji netlink. Równoległe wywołanie close() mogło wywołać funkcję release podczas gdy inny wątek przetwarzał żądanie UNBIND dla tego samego portid, powodując błąd general protection fault w __instance_destroy.

W jądrze Linux w sterowniku drm/nouveau/clk funkcja nvkm_clk_ustate_update() używała wskaźnika pstate po zakończeniu pętli list_for_each_entry() bez trafienia break, co czyniło go nieprawidłowym. Luka jest osiągalna z przestrzeni użytkownika przez plik debugfs 'pstate' i powoduje odczyt poza zakresem.

W jądrze Linux w module net/sched act_ct funkcja flow_offload_alloc() zwraca NULL gdy wpis conntrack jest w trakcie usuwania lub gdy alokacja GFP_ATOMIC zawiedzie, co jest oczekiwane pod obciążeniem. Ścieżka ta wywoływała WARN, więc przy panic_on_warn=1 nieuprzywilejowany użytkownik mógł wywołać panikę jądra, ścigając flush conntrack z klasyfikatorem 'tc ... action ct commit'.

W jądrze Linux w obsłudze GUE funkcja gue_remcsum() przekazywała absolutne offsety start i pole sumy kontrolnej do skb_remcsum_process(), gdzie przy offset < start dochodziło do niedomiaru w zmiennej u16 skb->csum_offset. Przekazany pakiet mógł zachować CHECKSUM_PARTIAL i trafić do sterownika NETIF_F_HW_CSUM, powodując zapis dwóch bajtów około 64 KiB poza buforem docelowym.