Katalog podatności CVE

W kliencie CIFS jądra Linux funkcja cifs_remap_file_range() przy wywołaniu z len == 0 (klonowanie do końca pliku) oblicza efektywną długość jako różnicę i_size - off. Gdy off jest większe niż rozmiar pliku, wynik jest ujemny, co psuje pole ByteCount w żądaniu FSCTL_DUPLICATE_EXTENTS_TO_FILE i odwraca zakres w filemap_write_and_wait_range(). Istniejąca kontrola off >= i_size wykonywana jest dopiero po wysłaniu ioctl.

W kliencie CIFS jądra Linux funkcja cifs_do_truncate() wywoływana z cifs_open() przy O_TRUNC nie może użyć cifs_resize_file_locked() z powodu braku blokady i_rwsem, więc nie wykonuje prawidłowej zmiany rozmiaru cookie fscache. Poprawka dodaje wywołanie cifs_invalidate_cache() po cifs_setsize(), które unieważnia pamięć podręczną bez potrzeby trzymania i_rwsem.

W kliencie SMB (cifs.ko) jądra Linux występuje luka, w której zapis do pliku z ustawionym bitem setuid/setgid nie usuwał tego bitu na serwerze przy montowaniu z opcjami cifsacl, modefromsid lub rozszerzeniami POSIX/Unix. VFS zgłaszał żądanie wyczyszczenia bitu, ale sterownik cifs bezwarunkowo pomijał zmianę trybu (ATTR_MODE), przez co wyczyszczony tryb nie był przesyłany do serwera.

W kliencie SMB jądra Linux funkcja reparse_buf_ptr() odczytuje pole ReparseDataLength z bufora przed sprawdzeniem, czy odebrane dane obejmują pełny nagłówek struktury. Gdy serwer zwróci OutputCount < 6, odczyt pod offsetem 4-5 wykracza poza koniec odebranych danych.

W sterowniku HID sensor custom funkcja hid_sensor_custom_add_attributes() nie usuwała wcześniej utworzonych grup sysfs, gdy kolejne wywołanie sysfs_create_group() zakończyło się błędem. Prowadziło to do pozostawienia nieprawidłowych struktur i potencjalnego dostępu do zwolnionej pamięci.

W jądrze Linux w funkcji universal_pidff_probe() sterownika HID universal-pidff urządzenie jest uruchamiane przez hid_hw_start(), ale w przypadku niepowodzenia inicjalizacji force-feedback błąd jest zwracany bez zatrzymania urządzenia. Powoduje to, że zarejestrowane urządzenie hidraw pozostaje aktywne mimo zwolnienia sterownika, co prowadzi do zapisu do zwolnionej pamięci (use-after-free) przy próbie otwarcia /dev/hidrawX.

W sterowniku HID mcp2221 funkcja mcp_i2c_smbus_read() przechowywała wskaźnik bufora w mcp->rxbuf, ale nie czyściła go po zakończeniu transferu. Opóźniony lub fałszywy raport MCP2221_I2C_GET_DATA mógł zapisywać dane do zwolnionej pamięci.

W jądrze Linux sterownik HID intel-quickspi nie sprawdza rozmiaru raportu przed skopiowaniem go do bufora report_buf. Bufor jest alokowany na podstawie deskryptora urządzenia (max_report_len), ale długość raportu pochodzącego z ioctl hidraw nie jest ograniczana, co pozwala na przepełnienie bufora sterownika danymi kontrolowanymi przez atakującego.

W jądrze Linux funkcja quickspi_get_report() w sterowniku HID intel-quickspi kopiuje całą odpowiedź urządzenia do bufora wywołującego bez sprawdzenia jego długości. Odpowiedź większa niż rozmiar bufora wywołującego powoduje przepełnienie danymi kontrolowanymi przez urządzenie.

W jądrze Linux sterownik fs/ntfs3 nie waliduje tablicy dirty page table podczas odtwarzania dziennika. Podrobiony wpis DIR_PAGE_ENTRY z nieprawidłowym polem lcns_follow pozwala na wyjście poza wpis podczas konwersji v0->v1 i późniejszego odtwarzania.

W jądrze Linux funkcja ni_read_frame() w fs/ntfs3 ufa wartości zwracanej przez decompress_lznt(), która może być mniejsza niż rozmiar ramki. Niezapisane bajty pozostają w stronach vmapped i są zwracane do użytkownika, ujawniając niezainicjalizowaną pamięć jądra.

W jądrze Linux pętle copy_lcns i redo shorten w fs/ntfs3 indeksują page_lcns[] na podstawie liczby lcns_follow z rekordu dziennika, która nie jest sprawdzana względem docelowego wpisu. Spreparowany rekord może przepełnić page_lcns[] prawidłowego wpisu.

W jądrze Linux funkcja ecryptfs_exorcise_daemon() usuwała zakolejkowane wiadomości z kończącego się demona bez trzymania blokady ecryptfs_msg_ctx_lists_mux, której wymaga ecryptfs_msg_ctx_alloc_to_free(). Powodowało to wyścig z innymi użytkownikami globalnej listy kontekstów wiadomości.

W jądrze Linux funkcja ecryptfs_parse_packet_set() obliczała rozmiar bufora pozostałych pakietów jako PAGE_SIZE - 8, mimo że dla nagłówków w wersji 1 zestaw pakietów zaczyna się później w nagłówku. Mogło to zawyżać dostępny bufor i prowadzić do błędów w parsowaniu.

W jądrze Linux w funkcji parse_tag_3_packet() podatność polega na braku ograniczenia wartości encrypted_key_size do rozmiaru ECRYPTFS_MAX_KEY_BYTES (64 bajtów). Gdy encrypted_key_size przekracza 64, funkcja decrypt_passphrase_encrypted_session_key() wykonuje dwa zapisy poza granicami bufora, co prowadzi do uszkodzenia pamięci struktur ecryptfs_auth_tok i ecryptfs_crypt_stat. Problem dotyczy wyłącznie szyfru AES-192 (kod 0x08), który ustawia crypt_stat->key_size = 24 niezależnie od encrypted_key_size.

W jądrze Linux funkcja ecryptfs_parse_tag_70_packet() odejmowała stałe pola metadanych od rozmiaru ciała pakietu, aby wyznaczyć rozmiar zaszyfrowanej nazwy pliku. Złośliwy pakiet o zbyt małym ciele mógł spowodować niedomiar w tym obliczeniu.

W jądrze Linux funkcja ecryptfs_send_message_locked() przenosiła kontekst wiadomości z listy wolnych na listę przydzielonych przed wysłaniem żądania do demona w przestrzeni użytkownika. Jeśli ecryptfs_send_miscdev() zawiodło, kontekst pozostawał na liście przydzielonych i nie mógł być ponownie użyty.

W jądrze Linux w systemie plików erofs zmienna z_erofs_gbuf_nrpages jest zwiększana dopiero po powiększeniu wszystkich buforów globalnych. Jeśli zmiana rozmiaru nie powiedzie się po powiększeniu niektórych buforów, ponowna próba odwiedza już powiększone bufory, co może prowadzić do błędów alokacji lub przepełnienia tablicy wskaźników.

W jądrze Linux funkcje ext2_setsize() i ext2_xattr_set2() zawierały konstrukcję, która dla i-węzłów IS_SYNC wywoływała sync_inode_metadata() zamiast oznaczenia i-węzła jako brudny. Ponieważ sync_inode_metadata() działa tylko jeśli i-węzeł jest już brudny, aktualizacje i-węzła mogły zostać utracone.

W jądrze Linux występuje błąd use-after-free w podsystemie fanotify dotyczący informacji o zakresie pliku. Wskaźnik do pozycji zakresu przechowywanej na stosie zadania wywołującego jest zapisywany w zdarzeniu uprawnień na stercie, a gdy sygnał przerwie zadanie wywołujące, ramka stosu jest zwalniana, podczas gdy czytelnik zdarzenia nadal odwołuje się do tego wskaźnika. Prowadzi to do odczytu nieaktualnej wartości ze stosu i skopiowania jej do przestrzeni użytkownika.