Katalog podatności CVE

W jądrze Linux funkcja rfcomm_recv_frame() akceptuje zbyt krótkie ramki RFCOMM z rozszerzonym polem długości (EA=0). Sprawdzenie długości przepuszcza 4-bajtową ramkę, a po przycięciu FCS skb_pull() kończy się niepowodzeniem, którego wynik jest ignorowany, przez co nieusunięty 3-bajtowy nagłówek jest przetwarzany jako dane aplikacji lub polecenie multipleksera.

W jądrze Linux funkcja stack_slot_obj_get_spi() nie odrzuca nieujemnych przesunięć. Dla off == 0 obliczany indeks spi jest taki sam jak dla prawidłowego slotu stosu pod fp-8, przez co rejestr PTR_TO_STACK wskazujący fp+0 może zostać zatwierdzony względem iteratora zapisanego pod fp-8, a efektowna funkcja kfunc iteratora może interpretować pamięć poza stosem BPF jako stan iteratora.

W jądrze Linux występuje luka w obsłudze wyjątków routingu IPv6. Podczas usuwania trasy (fib6_info) funkcja rt6_insert_exception() może utworzyć nowy wyjątek, ponieważ flaga FIB6_EXCEPTION_BUCKET_FLUSHED nie jest już ustawiana w odpowiednim momencie. Prowadzi to do cyklu referencji, wycieku pamięci i zablokowania wyrejestrowania interfejsu sieciowego.

W jądrze Linux sterownik USB sr9700 sprawdzał długość ładunku pakietu względem całego bufora odbiorczego, nie uwzględniając narzutu nagłówka i CRC. Może to prowadzić do błędu w obliczeniach długości i nieprawidłowego kopiowania danych.

W jądrze Linux występuje wyścig w obsłudze tras IPv6, gdzie równoczesne wywołanie list_del_init() powoduje, że list_empty() zwraca prawdę i prowadzi do wycieku struktur dst oraz powiązanych urządzeń. Problem dotyczy tras niebuforowanych (uncached).

W jądrze Linux naprawiono błąd w obsłudze gniazd UDP, polegający na pozostawaniu wpisu rozłączonego gniazda w tablicy haszującej 4-tuple. Powoduje to utrzymywanie licznika hash4_cnt i kierowanie pakietów dla danego adresu i portu najpierw przez wyszukiwanie 4-tuple, a w przypadku IPv6 umożliwia dopasowanie datagramów od byłego peera z zerowym portem źródłowym. Poprawka usuwa gniazdo z tablicy przed wykonaniem __udp_disconnect().

W jądrze Linux sterownik tg3 nie zwalnia zasobów PHYLIB (magistrala MDIO i PHY) w przypadku niepowodzenia funkcji tg3_init_one(). Prowadzi to do wycieku zasobów przy błędzie inicjalizacji.

W jądrze Linux funkcja debug_info_copy() w podsystemie s390/debug może wywołać dereferencję wskaźnika NULL, gdy debug_register_static() zawiedzie i pozostawi niezmienione granice obszaru przy wyczyszczonych wskaźnikach. Problem występuje przy kopiowaniu takiego obszaru.

W jądrze Linux sterownik sieciowy spacemit nie czyści deskryptora TX w przypadku niepowodzenia mapowania fragmentu, pozostawiając flagę TX_DESC_0_OWN i nieaktualne adresy DMA. Może to prowadzić do użycia zwolnionej pamięci przez silnik DMA.

W jądrze Linux funkcja skb_pointer_if_linear() używa odejmowania na liczbach bez znaku, co może spowodować niedomiar i błędne przejście sprawdzenia granic. Prowadzi to do wygenerowania nieprawidłowego wskaźnika w dynptr BPF opartych na skb.

W jądrze Linux kod dostępu do kontekstu bpf_sock generuje nieprawidłowe wartości rejestru przy odczycie pola rx_queue_mapping, ponieważ używa instrukcji MOV64 z rozszerzeniem znaku zamiast MOV32. Prowadzi to do rozbieżności między wartością w czasie wykonania a założeniami weryfikatora.

W jądrze Linux weryfikator BPF nie odrzuca przekazywania wskaźników PTR_TO_PACKET do podprogramów, które mogą modyfikować pakiet. Ponieważ wskaźniki te są przekazywane jako PTR_TO_MEM, może dojść do użycia nieprawidłowej pamięci.

W jądrze Linux w funkcji sock_map_alloc() nie sprawdzano górnego limitu parametru max_entries, akceptując wartości do UINT_MAX. Przy tworzeniu mapy SOCKMAP z max_entries = 0xffffffff licznik w sock_map_free() przechodzi w wartość ujemną (przepełnienie int), co prowadzi do zapisu poza zakresem przydzielonej pamięci i może spowodować awarię jądra lub uszkodzenie pamięci.

W jądrze Linux w sterowniku firewire cdev występuje błąd przejścia wstecznego stanu zasobu klienta iso_resource_auto. Równoczesny dostęp z elementu roboczego i funkcji zwalniania deskryptora pliku może spowodować przejście stanu z ISO_RES_AUTO_DEALLOC z powrotem do ISO_RES_AUTO_REALLOC. Poprawka sprawdza bieżący stan przed jego aktualizacją w elemencie roboczym.

W jądrze Linux w stosie SCTP występuje wyścig w obsłudze timerów. Kod wywołuje mod_timer() przed pobraniem referencji potrzebnej przez ponownie uzbrojony timer, bez trzymania blokady sock, co może prowadzić do użycia zwolnionego obiektu i niedomiaru licznika referencji. Poprawka pobiera referencję przed mod_timer() i zwalnia ją, jeśli timer był już uzbrojony.

W jądrze Linux w sterowniku eth fbnic występuje problem z zaokrąglaniem zerowego rozmiaru pierścienia. Funkcja roundup_pow_of_two() jest niezdefiniowana dla zera, a ethtool pozwala na przekazanie zerowego rozmiaru pierścienia do sterownika. Poprawka pozostawia zero bez zmian, dzięki czemu kontrola minimalnego rozmiaru odrzuca je deterministycznie.

W jądrze Linux w module net/sched funkcja em_text_dump() alokuje strukturę tcf_em_text na stosie bez jej wyzerowania. strscpy() zapisuje nazwę algorytmu i terminator NUL, pozostawiając pozostałe bajty niezainicjalizowane, które następnie są kopiowane do odpowiedzi netlink. Poprawka zeruje strukturę, zamykając wyciek.

W jądrze Linux w sterowniku NFC nfcmrvl ścieżka odbioru pobierania firmware usuwa nagłówek NCI i odczytuje polecenie pomocnicze przed walidacją długości pakietu. Krótka ramka może dotrzeć do dostępu do danych przed odrzuceniem zniekształconego pakietu. Poprawka waliduje pełną długość polecenia pomocniczego przed usunięciem nagłówka NCI.

W jądrze Linux w sterowniku NFC st21nfca funkcja st21nfca_hci_i2c_repack() przycina ramkę na znaczniku EOF przed usunięciem bajtowego upychania, zakładając obecność nagłówka LLC i dwóch bajtów CRC. Zniekształcona ramka może spowodować zbyt mało bajtów dla check_crc() lub odczyt poza długością skb. Poprawka wymaga minimalnej liczby bajtów ramkowania przed i po usunięciu upychania oraz odrzuca znacznik escape bez kodowanego bajtu.

W jądrze Linux występuje błąd w funkcji nfc_llcp_recv_dm() obsługującej gniazda NFC LLCP. Funkcja nie zdejmuje blokady gniazda ani nie usuwa go z listy connecting_sockets przed zmianą stanu na LLCP_CLOSED, co prowadzi do uszkodzenia listy i niezgodności licznika referencji. Nieuprzywilejowany proces lokalny może wywołać wyciek pamięci jądra i odmowę usługi (DoS).