Katalog podatności CVE

W jądrze Linux funkcja __rds_conn_create() obliczała liczbę ścieżek (npaths) na podstawie transportu wywołującego, zanim zdecydowano o użyciu transportu loopback dla połączeń do lokalnych adresów. Powodowało to wyciek siedmiu kolejek roboczych (workqueues) przy każdym zniszczeniu połączenia, odłączeniu netns lub wyładowaniu modułu. Poprawka polega na ponownym obliczeniu npaths po ustaleniu finalnego transportu.

W jądrze Linux funkcja smcr_port_err() przechodziła przez listę smc_lgr_list.list bez trzymania blokady smc_lgr_list.lock, co umożliwiało równoległemu smc_lgr_terminate_sched() zwolnienie struktury lgr w trakcie jej użycia. Poprawka polega na trzymaniu blokady przez cały czas przechodzenia listy oraz wywołaniu smcr_port_err() po zwolnieniu blokady w smc_ib_gid_check().

W jądrze Linux funkcja dev_cpu_dead() opróżniała kolejki softnet przy wyłączaniu CPU, ale nie czyściła net_hotdata.skb_defer_nodes, pozostawiając odłożone skb osierocone do czasu ponownego włączenia CPU. Mogło to powodować zawieszenie page_pool_destroy() oczekującego na zwrot stron oraz blokować przyszłe IPI. Poprawka obejmuje opróżnianie węzłów defer, resetowanie defer_ipi_scheduled oraz ponowne sprawdzanie stanu CPU w skb_attempt_defer_free().

W jądrze Linux funkcja gve_can_send_tso() bezwarunkowo używała skb_tcp_all_headers() do obliczenia długości nagłówków, co dla pakietów SKB_GSO_UDP_L4 (bez nagłówka TCP) dawało błędną wartość. Powodowało to nieprawidłowe oszacowanie liczby buforów na segment, prowadząc do niepotrzebnego wyłączenia GSO lub przekazania urządzeniu pakietu przekraczającego limity buforów. Poprawka używa długości nagłówka UDP dla pakietów SKB_GSO_UDP_L4.

W jądrze Linux funkcja gve_prep_tso() nie egzekwowała wymaganego przez urządzenie limitu MSS <= 9728, zakładając że MTU 9K i limit 64KB dla TSO wystarczą. Pakiety niegenerowane lokalnie (np. przez gościa za tap lub użytkownika packet socket) mogą zawierać dowolne gso_size, a pole MSS w deskryptorze TSO ma tylko 14 bitów, więc gso_size 16384 staje się MSS równym zero. Poprawka odrzuca takie pakiety i pozostawia ich bity GSO bez zmian.

W jądrze Linux w funkcji llc_conn_ac_resend_i_xxx_x_set_0_or_send_rr() przy błędzie llc_mac_hdr_init() zwalniano skb zamiast nskb, co powodowało wyciek nowo przydzielonego nskb, odczyt ze zwolnionego skb oraz podwójne zwolnienie skb. Podobne wycieki nskb występowały w llc_sap_action_send_xid_r() i llc_sap_action_send_test_r(). Poprawka zwalnia nskb we wszystkich trzech ścieżkach błędów.

W jądrze Linux funkcja vlan_dev_hard_header() mogła być wywołana z niewystarczającym zapasem miejsca (headroom) przez wywołujących rezerwujących tylko ETH_HLEN lub mniej, albo przez skb przydzielone przed dynamicznymi zmianami urządzenia, co prowadziło do skb_under_panic(). Poprawka używa skb_cow_head() gdy VLAN_FLAG_REORDER_HDR nie jest ustawione oraz READ_ONCE() do odczytu dev->hard_header_len i dev->needed_headroom.

W jądrze Linux gdy autofs_fill_super() zawodziło przed wyczyszczeniem AUTOFS_SBI_CATATONIC, deactivate_locked_super() wywoływało autofs_kill_sb() -> autofs_catatonic_mode(sbi), która zwracała się wcześnie bez wywołania fput(sbi->pipe), trwale wyciekając referencję do pliku pipe. Poprawka jawnie zwalnia sbi->pipe w autofs_kill_sb() jeśli jest nadal nie-NULL po autofs_catatonic_mode().

W jądrze Linux funkcja attach_perf_ctx_data() może wyścignąć się między przypadkami global i !global, pomijając ustawienie pola global i powodując wyciek licznika referencji. W efekcie późniejsze detach_global_ctx_data() widzi dane, ale nie oznacza ich jako globalne, więc nie wywołuje detach_task_ctx_data(). Poprawka eliminuje wyścig i wyciek referencji.

W jądrze Linux funkcja perf_clear_branch_entry_bitfields() czyściła pola struktury perf_branch_entry pojedynczo i nie obejmowała pól new_type oraz priv, które zostały dodane później. W rezultacie na architekturze arm64 rekordy gałęzi perf mogą trafiać do przestrzeni użytkownika z niezainicjalizowanymi danymi z kmalloc() lub wartościami z poprzedniego rekordu.

W jądrze Linux naprawiono podatność w module TIPC, gdzie nieprawidłowe lub nieoczekiwane komunikaty GRP_ACK_MSG mogły powodować niedomiar licznika bc_ackers. Ze względu na typ u16 licznika, jego wartość mogła spaść poniżej zera i zawinąć się do 65535, co trwale blokowało rozgłaszanie grupowe na gnieździe.

W jądrze Linux naprawiono podatność w stosie TCP dotyczącą łączenia (collapse) skb w kolejce retransmisji. Funkcja tcp_write_collapse_fence() nie działała, gdy kolejka zapisu była pusta, co pozwalało na scalenie skb wysłanych po włączeniu szyfrowania urządzenia z wcześniejszymi skb. W efekcie dane mogły być retransmitowane w postaci jawnej (psp) lub połączenie mogło się zawieszać (tls device offload).

W jądrze Linux występuje podatność use-after-free w implementacji SCTP. Gdy asocjacja jest w stanie COOKIE-ECHOED, a zdalny peer wyśle pakiet zawierający jednocześnie chunk ERROR(Stale Cookie) i DATA z adresu niebędącego adresem podstawowym, przetwarzanie usuwa transport, na którym pakiet przyszedł, a kolejny chunk DATA ponownie rejestruje wskaźnik do tego zwolnionego transportu. Późniejsze użycie tego wiszącego wskaźnika (np. przez FWD-TSN lub opóźniony timer SACK) prowadzi do zapisu do zwolnionej pamięci.

W jądrze Linux występuje przepełnienie liczb całkowitych w funkcji prb_calc_retire_blk_tmo() w podsystemie af_packet (TPACKET_V3). Użytkownik z uprawnieniami CAP_NET_RAW może ustawić tp_block_size na wartość rzędu 256 MiB, co powoduje przepełnienie 32-bitowej arytmetyki i zwrócenie wartości ujemnej. W wyniku tego timer hrtimer jest uruchamiany z ujemnym interwałem, co prowadzi do jego natychmiastowego i ciągłego restartu, blokując CPU w softirq.

W jądrze Linux funkcja __init_el2_fgt2() zapisywała tę samą maskę do HDFGRTR2_EL2 i HDFGWTR2_EL2, przez co bit pułapki nPMZR_EL0 dla zapisu PMZR_EL0 nigdy nie był ustawiany. Gdy kernel.perf_user_access=1, zapis PMZR_EL0 z EL0 powoduje pułapkę do EL2, gdzie hipervisor nVHE nie ma handlera i wywołuje BUG(), co prowadzi do awarii hosta bez komunikatu paniki.

W podsystemie libata funkcja ata_scsi_set_passthru_sense_fields() ufała bajtowi długości dodatkowej sb[7] z odpowiedzi REQUEST SENSE wadliwego lub złośliwego urządzenia ATAPI. Prowadzi to do odczytu i zapisu poza 96-bajtowym buforem sense na trzy sposoby, co potwierdzono błędami KASAN slab-out-of-bounds.

W sterowniku bna funkcje bnad_pci_remove() i ścieżka disable_ioceth wywoływały timer_delete_sync() dla ioc_timer, sem_timer i hb_timer, ale nie dla iocpf_timer. Po zwolnieniu struktury bnad przez free_netdev() funkcja bnad_iocpf_timeout() odwołuje się do zwolnionej pamięci, ponieważ timery sem_timer i iocpf_timer wzajemnie się uzbrajają.

W jądrze Linux funkcja bpf_lsm_has_d_inode_locked() powodowała, że weryfikator przepisywał bpf_[set|remove]_dentry_xattr() na warianty _locked zakładające trzymanie i_rwsem i-węzła. Jednak hooki path_unlink i path_rmdir działają przed pobraniem tej blokady przez vfs_unlink()/vfs_rmdir(), więc program BPF LSM podpięty do tych hooków modyfikuje atrybuty xattr bez trzymania blokady.

W jądrze Linux w funkcji remote_partition_enable() podatność polega na tym, że sprawdzenie konfliktu przydziału procesorów (cpumask_intersects) zostało zastąpione przez WARN_ON_ONCE(). W efekcie możliwe jest utworzenie zdalnej partycji cpuset na procesorach już zajętych przez nadrzędną partycję lokalną, co prowadzi do ostrzeżenia jądra i niespójnego stanu, w którym dwie partycje roszczą sobie wyłączność na ten sam CPU.

W jądrze Linux wykryto lukę w mechanizmie FOU (Foo-over-UDP). Gdy użytkownik tworzy tunel typu FOU_ENCAP_DIRECT przez netlink, pomijając opcjonalny atrybut FOU_ATTR_IPPROTO, pole protokołu pozostaje zerowe, co powoduje wyciek buforów sk_buff przy każdym odebranym pakiecie. Luka została naprawiona poprzez odrzucanie takich żądań z błędem -EINVAL.