Katalog podatności CVE

W jądrze Linux funkcja fprobe_fgraph_entry() rezerwuje miejsce na shadow stack dla każdego fprobe z handlerem wyjścia, ale wypełnia je tylko dla tych, których handler wejścia zwrócił 0. Ponieważ fgraph_reserve_data() nie czyści obszaru, fprobe_return() interpretuje niewykorzystany ogon jako nagłówki z wcześniejszego wywołania, co może spowodować dwukrotne uruchomienie handlera wyjścia lub jego uruchomienie mimo żądania pominięcia.

W jądrze Linux w systemie plików ntfs3 funkcja ntfs_create_inode() wywoływała d_instantiate() przed unlock_new_inode(), co powodowało wyścig między tworzeniem katalogu a montowaniem systemu plików na tej samej ścieżce. Prowadziło to do resetowania stanu blokady i_rwsem (licznika i właściciela) w trakcie gdy inny wątek już ją trzymał, wywołując ostrzeżenia w do_new_mount oraz możliwość trwałego zawieszenia inode_lock(). Problem naprawiono przechodząc na d_instantiate_new() i usuwając końcowe unlock_new_inode().

W jądrze Linux funkcja cleanup_offline_cgwb() przy każdym wywołaniu skanuje listy wb->b_attached i wb->b_dirty_time od tego samego końca, przez co ponownie przetwarza rosnący zbiór i-węzłów, których nie można przełączyć. Przy około 17 milionach i-węzłów przypisanych do jednego gasnącego cgwb prowadzi to do kwadratowego czasu opróżniania i soft lockupów z procesorami zablokowanymi na 21-48 sekund.

W jądrze Linux naprawiono podatność w podsystemie workqueue, gdzie funkcja check_flush_dependency() mogła odwołać się do wskaźnika NULL (worker->current_pwq). Sytuacja występuje, gdy wątek kworker z ustawioną flagą PF_WQ_WORKER nie wykonuje aktualnie elementu pracy, np. podczas ścieżki alokacji pamięci wywołującej notyfikator OOM. Może to prowadzić do awarii jądra (kernel panic).

W jądrze Linux funkcja cleanup_offline_cgwbs_workfn() opróżniająca umierające cgwb używała cond_resched(), które na jądrach z CONFIG_PREEMPTION (tryby full i lazy) nic nie robi. W efekcie pętla opróżniania nie zgłaszała stanu quiescent dla Tasks-RCU, co przy cgroupach z milionami i-węzłów powodowało wielominutowe blokady synchronize_rcu_tasks().

W jądrze Linux funkcja read_dts_node() wywołuje of_clk_get(), która zwraca zegar ze zwiększonym licznikiem referencji, ale używa go tylko do odczytu częstotliwości i nigdy nie wywołuje clk_put(). Zegar nie jest nigdzie przechowywany, więc referencja nie może zostać później zwolniona.

W jądrze Linux funkcja new_policy() przeprowadza audyt polityki po tym, jak ipe_new_policyfs_node() ją opublikuje i zwolni blokadę i-węzła nowego katalogu. Równoległe usunięcie może zwolnić politykę, podczas gdy ipe_audit_policy_load() wciąż jej używa, co prowadzi do use-after-free.

W jądrze Linux funkcja ipe_bdev_setintegrity() zwalnia stary root hash, gdy dm-verity publikuje nowy w ->preresume, podczas gdy ocena polityki może wciąż się do niego odwoływać. Prowadzi to do potencjalnego use-after-free.

W jądrze Linux funkcja ipv6_find_hdr() podczas przechodzenia łańcucha nagłówków rozszerzeń IPv6 nie sprawdzała, czy obliczony offset nie wykracza poza koniec pakietu. W efekcie openvswitch ustawiał ten offset jako nagłówek transportowy, a funkcja update_ipv6_checksum() odczytywała i zapisywała pole sumy kontrolnej poza granicami bufora, co prowadziło do błędu use-after-free wykrytego przez KASAN. Poprawka odrzuca nagłówek, którego zadeklarowana długość nie mieści się w pakiecie.

W jądrze Linux podatność w seg6 (IPv6 Segment Routing) dotyczy atrybutu SEG6_ATTR_DST, który używał NLA_BINARY z limitem tylko maksymalnej długości. Krótszy atrybut (np. 0 bajtów) powodował odczyt 16 bajtów poza buforem skb i wyciek niezainicjalizowanej pamięci sterty jądra do przestrzeni użytkownika przez SEG6_CMD_GET_TUNSRC.

W jądrze Linux występuje błąd w mechanizmie kprobes, który powoduje trwałe zawieszenie systemu podczas wyłączania optymalizacji kprobe. Zapis wartości 0 do /proc/sys/debug/kprobes-optimization, gdy jakikolwiek kprobe jest zoptymalizowany skokowo, powoduje, że proces zapisujący na zawsze pozostaje w stanie D z zajętym muteksem kprobe_sysctl_mutex, blokując kolejne operacje na tym pliku. Problem wynika z nieprawidłowej synchronizacji ukończenia (completion) między wątkami optymalizatora a procedurami flush.

W jądrze Linux w sterowniku gpio: arizona funkcja arizona_gpio_direction_out() przy zmianie linii GPIO z wejścia na wyjście pobiera referencję runtime PM, ale w przypadku niepowodzenia regmap_update_bits() referencja nie jest zwalniana. Prowadzi to do wycieku referencji runtime PM.

W jądrze Linux w podsystemie gpio: cdev funkcja gpio_desc_to_lineinfo() w przypadku niepowodzenia pozyskania blokady GPIO chip wraca przed wyzerowaniem struktury info przekazywanej później do przestrzeni użytkownika. Może to spowodować wyciek zawartości stosu jądra.

W jądrze Linux w sterowniku gpio: zynq funkcja zynq_gpio_request() wywołuje pm_runtime_get_sync(), która nawet przy niepowodzeniu zwiększa licznik użycia, a błąd jest zwracany bez zwolnienia referencji. Ponieważ gpiolib nie wywołuje ->free() przy nieudanym ->request(), referencja runtime PM zostaje wyciekła.

W jądrze Linux w podsystemie llc funkcja llc_alloc_frame() rezerwuje nagłówek link-layer na podstawie typu urządzenia, co jest niewystarczające dla urządzeń Ethernet z warstwami takimi jak VLAN. Odpowiedź LLC na takim urządzeniu może spowodować niedomiar nagłówka skb w eth_header().

W jądrze Linux w podsystemie mctp funkcja mctp_lookup_prealloc_tag() iteruje po globalnej liście &mns->keys zamiast po liście gniazda, nie sprawdzając czy tmp->sk == &msk->sk. Pozwala to dowolnemu gniazdu MCTP w tej samej przestrzeni nazw sieci na użycie i skonsumowanie prealokowanego tagu innego gniazda.

W jądrze Linux w podsystemie rds: ib funkcja rds_ib_map_frmr() zapisuje scatterlist wywołującego w MR przed udanym mapowaniem DMA. Przy niepowodzeniu __rds_rdma_map() odpina strony i zwalnia scatterlist, ale rds_ib_free_frmr() może zwrócić MR do puli ze starym wskaźnikiem, co prowadzi do use-after-free i lokalnej eskalacji uprawnień.

W jądrze Linux występuje błąd w module DRM, który powoduje wyciek wskaźnika NULL (null-ptr-deref) podczas zamykania deskryptora pliku DRM. Problem pojawia się, gdy klient fbdev zostaje zarejestrowany, ale jego inicjalizacja kończy się niepowodzeniem, pozostawiając częściowo zainicjalizowany stan. Funkcja przywracania próbuje wtedy przywrócić nieistniejący framebuffer, co prowadzi do ostrzeżenia i dereferencji NULL.

W jądrze Linux w sterowniku drm/imagination (PowerVR) błąd zwracany przez funkcję pvr_mmu_map_sgl() nie był prawidłowo propagowany do funkcji pvr_mmu_map(). W efekcie pvr_mmu_map() kontynuowała działanie zamiast zwrócić błąd, co prowadziło do dereferencji wskaźnika NULL i awarii jądra (oops) w funkcji pvr_mmu_op_context_unmap_curr_page.

W jądrze Linux w funkcji i915_gem_busy_ioctl sterownika drm/i915 występuje nieprawidłowa kolejność zwalniania zasobów RCU. Jeśli obiekt GEM zostanie zniszczony w trakcie iteracji po fence'ach, pętla nigdy się nie kończy, powodując zawieszenie (endless loop).