Katalog podatności CVE

W jądrze Linux w module NFC LLCP występuje wyścig (race condition) w cyklu życia kolejek akceptacji gniazd. Funkcja nfc_llcp_socket_release() używa bh_lock_sock(), które nie synchronizuje się z lock_sock() w procesie accept(), co może prowadzić do use-after-free lub dereferencji NULL w nfc_llcp_accept_unlink(). Poprawka zmienia synchronizację i przenosi zwalnianie struktur do workqueue.

W jądrze Linux w module NFC llcp funkcja nfc_genl_llc_sdreq() buduje listę węzłów TLV, ale trzy ścieżki błędów (błąd parsowania zagnieżdżonego atrybutu, brak pamięci przy alokacji TLV, błąd nfc_llcp_send_snl_sdreq()) pomijają zwolnienie już zakolejkowanych elementów. Poprawka kieruje je przez nową etykietę free_list, wzorując się na ścieżce SDRES.

W jądrze Linux w sterowniku NFC st21nfca funkcja pomocnicza ISO15693 inventory usuwa dwubajtowy prefiks bez sprawdzenia jego obecności, a następnie akceptuje jednobajtową resztę przed odczytem data[1] jako DSFID. Poprawka wymaga prefiksu i co najmniej dwóch pozostałych bajtów przed skopiowaniem danych UID i odczytem DSFID.

W jądrze Linux funkcja nfc_llcp_wks_sap() porównywała tylko długość service_name_len bajtów, przez co krótka nazwa usługi, np. "u", pasowała do dłuższych ciągów WKS, takich jak "urn:nfc:sn:snep". Poprawka wymaga dokładnego dopasowania długości przed wywołaniem strncmp().

W jądrze Linux funkcje nfc_llcp_wks_sap() i nfc_llcp_build_sdreq_tlv() przekazywały do pr_debug() ciągi niezakończone znakiem null przy użyciu specyfikatora %s. Bufory pochodzące z kmemdup() lub atrybutów netlink nie są gwarantowanie zakończone nullem, co powodowało odczyt poza przydzielonym obszarem (slab-out-of-bounds).

W jądrze Linux sterownik nfc pn533 w funkcji pn533_acr122_is_rx_frame_valid() odczytywał pole frame->ccid.datalen bezpośrednio z ramki odpowiedzi USB i używał go bez sprawdzenia jako indeksu do frame->data[]. Złośliwe lub wadliwe urządzenie może ustawić dowolną wartość tego pola, powodując odczyt daleko poza odebranym buforem.

W jądrze Linux funkcje bcmgenet_netif_stop() oraz gałąź Wake-on-LAN w bcmgenet_suspend() wyłączały kolejki Tx przed zatrzymaniem Tx NAPI. Zakończenie transmisji w locie wywoływało netif_tx_wake_queue(), przez co transmisja mogła dotrzeć do pierścieni po ich zwolnieniu, powodując use-after-free.

W jądrze Linux funkcja skb_maybe_pull_tail() odejmowała skb_headlen(skb) od argumentu max typu unsigned i przekazywała wynik do __pskb_pull_tail() jako signed int. Gdy skb miał obszar liniowy większy niż MAX_IPV6_HDR_LEN, różnica zawijała się do wartości ujemnej, co mogło prowadzić do bardzo dużego rozmiaru kopiowania w skb_copy_bits().

W jądrze Linux w kompilatorze BPF dla MIPS32 emitowano instrukcję addu zamiast addiu, przez co wartość natychmiastowa 1 była interpretowana jako rejestr $at. Powodowało to nieprawidłowy wynik porównania, gdy operand natychmiastowy był ujemny.

W jądrze Linux w funkcji stmmac_rx(), gdy napi_build_skb() kończy się niepowodzeniem, strona deskryptora jest zwracana do page pool przez page_pool_recycle_direct(), ale buf->page pozostaje wskazywać na zwróconą stronę. W efekcie stmmac_rx_refill() pomija alokację zastępczą i programuje już zwróconą stronę z powrotem do deskryptora RX.

W jądrze Linux tunele lwtunnel seg6, ioam6 i rpl obliczały rozmiar żądania skb_cow_head() jako długość nowych nagłówków plus dst_dev_overhead(), a następnie odbudowywały nagłówek MAC przez skb_mac_header_rebuild(). Gdy nagłówek MAC był dłuższy niż pozostawione miejsce (np. przy wejściu przez urządzenie VLAN z wyłączonym reorder_hdr), odbudowa obliczała ujemny offset i zapisywała dane około 64 KB poza skb->head.

W jądrze Linux funkcja ipgre_netlink_parms() może włączyć collect_md na istniejącym urządzeniu GRE, GRETAP lub ERSPAN. W przeciwieństwie do newlink, changelink nie wymusza unikalności tunelu metadanych, więc konwersja urządzenia niemetanego może zastąpić wpis odbioru metadanych innego urządzenia w tej samej netns, a usunięcie któregokolwiek urządzenia czyści współdzielony wpis.

W jądrze Linux funkcja vxlan_na_create() próbkowała LL_RESERVED_SPACE() do ustalenia rozmiaru ramki odpowiedzi, a następnie próbkowała ponownie do rezerwacji headroom. Równoległe vxlan_changelink() mogło zmienić needed_headroom między tymi odczytami, tworząc wyścig TOCTOU, w którym druga wartość mogła przekroczyć alokację i spowodować zapis nagłówka Ethernet poza granicami.

W jądrze Linux wykryto podatność w mechanizmie XPS (Transmit Packet Steering) w warstwie sieciowej. Gdy liczba klas ruchu (num_tc) zostanie zmniejszona, np. przez mqprio, w tablicach tc_to_txq[] i prio_tc_map[] pozostają nieaktualne wpisy. Funkcja __netif_set_xps_queue() nie odrzuca klasy spoza zakresu num_tc, co prowadzi do zapisu poza rozmiarem mapy XPS i uszkodzenia pamięci jądra (slab-out-of-bounds).

W jądrze Linux w sterowniku drm/imagination nie ograniczano liczby żądań rekonstrukcji freelisty do rozmiaru tablic protokołu. Zbyt duża wartość licznika od firmware prowadziła do dostępu poza zakresem tablicy identyfikatorów żądań oraz tablicy odpowiedzi. Poprawka ogranicza licznik do pojemności żądania i używa go spójnie przy rekonstrukcji i publikacji odpowiedzi.

W jądrze Linux w sterowniku net: dsa: mt7530 funkcja mt7530_remove() bezwarunkowo wyłącza regulatory core i io, mimo że są one pobierane tylko dla układu ID_MT7530. Na układach MT7621 i MT7531 wskaźniki te pozostają NULL, więc rmmod lub odłączenie przez sysfs powoduje wywołanie regulator_disable() na wskaźniku NULL.

W jądrze Linux w sterowniku net: dsa: mt7530 funkcja mt7530_remove_common() usuwa mapowania przerwań per-PHY, ale chip regmap-irq będący właścicielem domeny jest rejestrowany przez devm, więc jego przerwanie nadrzędne jest zwalniane dopiero po zakończeniu .remove. Wątek regmap-irq przełącznika może więc wywołać obsługę na już usuniętym mapowaniu, co prowadzi do dereferencji NULL w handle_nested_irq().

W jądrze Linux w funkcji phylink_bringup_phy() wskaźnik do PHY (pl->phydev) był zapisywany przed ostatnim krokiem, który może się nie powieść (phy_eee_rx_clock_stop()). W przypadku błędu MDIO wskaźnik pozostawał ustawiony na PHY, który nie jest już podłączony, co prowadziło do trwałego -EBUSY, użycia zwolnionego obiektu phy_device lub podwójnego zwolnienia referencji.

W jądrze Linux w sterowniku sieciowym libwx (karta sieciowa WangXun) występuje wyścig (race condition) w obsłudze znaczników czasu transmisji (Tx timestamp). Wskaźnik wx->ptp_tx_skb jest współdzielony między ścieżką transmisji, wątkiem pomocniczym PTP i ścieżkami czyszczenia, co może prowadzić do użycia zwolnionego bufora skb (use-after-free) oraz wycieku referencji. Problem rozwiązano dodając dedykowany spinlock chroniący publikację i konsumpcję skb znacznika czasu Tx.

W jądrze Linux sterownik nfp zwalniał blokadę XArray przed pobraniem referencji do stanu IPsec (xfrm_state), co pozwalało ścieżce usuwania usunąć wpis i zwolnić ostatnią referencję. W efekcie RX mógł inkrementować licznik referencji o wartości zero po zakolejkowaniu stanu do zniszczenia. Poprawka polega na pobraniu referencji przed zwolnieniem blokady XArray.