Katalog podatności CVE

W jądrze Linux w funkcji kfd_dev_mapping (sterownik drm/amdkfd) występowały dwa błędy: use-after-free prowadzący do zakleszczenia na i_mmap_rwsem oraz luka w obsłudze wielu kontenerów, przez którą mapowania VMA z kolejnych otwarć /dev/kfd nie były usuwane. Oba problemy ujawniają się w środowisku SRIOV z wieloma kontenerami i mogą powodować zawieszenie systemu lub pozostawienie nieaktualnych mapowań doorbell/MMIO. Naprawa polega na utworzeniu prywatnego pseudo-systemu plików i przekierowaniu wszystkich otwarć do jednego anonimowego inode.

W jądrze Linux funkcja amdgpu_debugfs_test_ib_show() sterownika drm/amdgpu wywołuje pm_runtime_get_sync(), a następnie próbuje uzyskać semafor domeny resetu przez down_write_killable(). Jeśli próba uzyskania blokady zostanie przerwana, funkcja zwraca błąd bez zwolnienia referencji runtime PM, co powoduje wyciek i utrzymuje GPU w stanie aktywnym.

W jądrze Linux w module drm/nouveau/dmem funkcja nouveau_dmem_chunk_alloc() rejestruje region DMEM_CHUNK_SIZE * NR_CHUNKS, ale powiązany bufor VRAM pozostaje rozmiaru DMEM_CHUNK_SIZE. W efekcie strony poza pierwszym chunkiem wskazują na VRAM poza buforem, co prowadzi do nieprawidłowego dostępu do pamięci.

W jądrze Linux w module drm/nouveau/uvmm występuje podatność use-after-free. Funkcja nouveau_uvmm_sm() wywołuje op_map(), która przekazuje bo->resource przez nouveau_mem() do nouveau_uvma_map(), a następnie nouveau_uvmm_vmm_map() odczytuje mem->mem.type. Gdy bufor BO pozostaje w TTM_PL_SYSTEM, bo->resource wskazuje jedynie na struct ttm_resource, więc odczyt mem->mem.type wykracza poza koniec zasobu, co powoduje błąd KASAN: slab-use-after-free.

W jądrze Linux funkcja nv1a_ram_new() sterownika drm/nouveau wywołuje pci_get_domain_bus_and_slot(), która pobiera referencję do urządzenia PCI, ale referencja ta nigdy nie jest zwalniana po odczytaniu rozmiaru pamięci z przestrzeni konfiguracyjnej.

W sterowniku nouveau jądra Linux występuje podwójne zwolnienie pamięci (double-free) w funkcji nvif_vmm_dtor. Gdy inicjalizacja klienta nouveau_cli_init() zakończy się niepowodzeniem, funkcja nouveau_cli_fini() jest wywoływana dwukrotnie, a pole vmm->page nie jest zerowane po zwolnieniu, co prowadzi do ponownego zwolnienia tego samego obszaru pamięci.

W jądrze Linux funkcja validate_init() sterownika drm/nouveau w przypadku błędu ttm_bo_reserve() lub błędu "vma not found" przerywa pętlę bez dodania obiektu do listy walidacji, przez co referencja pobrana przez drm_gem_object_lookup() nigdy nie jest zwalniana.

W jądrze Linux funkcja nouveau_connector_detect() sterownika drm/nouveau w przypadku błędu nvif_outp_edid_get() zwraca wynik wcześniej, nie zwalniając referencji runtime PM pobranej na początku funkcji, co utrzymuje urządzenie włączone.

W jądrze Linux struktura nouveau_sched zawiera drm_gpu_scheduler, a nouveau_sched_destroy() zwalnia ją przez kfree() po drm_sched_fini(). Ponieważ fence'y wyeksportowane do przestrzeni użytkownika przez drm_syncobj/sync_file nadal wskazują na zwolnioną pamięć, późniejsze wywołanie get_timeline_name() powoduje use-after-free (KASAN slab-use-after-free read).

W funkcji nouveau_bo_pin_locked() w sterowniku drm/nouveau jądra Linux występuje błąd, który powoduje zwiększenie licznika przypięć (pin count) bufora nawet gdy ponowne przypięcie kończy się niepowodzeniem z błędem -EBUSY. Nadmiarowy licznik nigdy nie jest zmniejszany przez odpowiadające mu odpięcie, co prowadzi do ostrzeżenia WARN_ON_ONCE w ttm_bo_release(). Podatność została wykryta podczas fuzzowania sterownika nouveau zmodyfikowanym narzędziem Syzkaller.

W jądrze Linux w funkcji xe_vm_close_and_put() niszczono strukturę vm->pt_root (poprzez xe_vm_pt_destroy()) zanim jeszcze przetworzono VMAs znajdujące się na liście contested, które wciąż były powiązane z buforami. Jeśli równoległy wątek wyewakuuje jeden z tych współdzielonych buforów, xe_bo_trigger_rebind() przechodzi po VMAs BO i wywołuje xe_pt_zap_ptes(), gdzie dereferencja pt->level powoduje NULL pointer dereference, ponieważ vm->pt_root[tile->id] jest już NULL.

W jądrze Linux w funkcji virtio_gpu_execbuffer_ioctl() sterownika drm/virtio występuje wyciek pamięci. Gdy wywołanie execbuffer zakończy się błędem (np. nieprawidłowy bo_handle lub syncobj bez fence), zarezerwowane zdarzenie DRM nie jest anulowane ani zwolnione, a wskaźnik do niego zostaje utracony. Zamknięcie pliku DRM nie zwalnia tej pamięci, więc alokacja wycieka trwale.

W jądrze Linux w sterowniku drm/virtio funkcja virtio_gpu_fence_alloc() może zwrócić NULL w przypadku braku pamięci, ale jej wywołujący (virtio_gpu_init_submit()) nie sprawdza tego warunku. W rezultacie NULL jest przekazywany do virtio_gpu_fence_event_create(), która bezwarunkowo go dereferencjonuje, powodując NULL pointer dereference i awarię jądra (general protection fault).

W jądrze Linux występuje błąd braku bariery pamięciowej między inicjalizacją anon_vma a opublikowaniem wskaźnika vma->anon_vma. W wyniku tego dwa wątki obsługujące sąsiadujące VMA mogą jednocześnie wywołać __anon_vma_prepare(), co prowadzi do użycia zwolnionej pamięci (UAF) i zakleszczenia na blokadzie anon_vma->root->rwsem. Objawia się to zawieszeniem zadania (hungtask) na platformach arm64.

W jądrze Linux funkcja dissolve_free_hugetlb_folio() nie sprawdza hstate_is_gigantic_no_runtime(h), mimo że remove_hugetlb_folio()/update_and_free_hugetlb_folio() po cichu pomijają takie folio. W efekcie zwalniane jest folio wciąż znajdujące się na liście, a przy niepowodzeniu przywracania vmemmap wycofanie add_hugetlb_folio() uszkadza wolną listę.

W jądrze Linux funkcja damon_hugetlb_mkold() odczytuje wpis tablicy stron do zmiennej lokalnej, usuwa bit dostępu i zapisuje zaktualizowaną wartość z powrotem. Jeśli sprzęt równolegle aktualizuje ten sam wpis, aktualizacje sprzętowe (np. bity dirty) mogą zostać utracone. Poprawka używa huge_ptep_get_and_clear() do atomowego czyszczenia wpisu przy odczycie.

W jądrze Linux funkcje of_pci_prop_bus_range() i of_pci_prop_intr_map() dereferencjonują pdev->subordinate bez sprawdzenia, czy mostek PCI ma przydzieloną magistralę podrzędną. Gdy CONFIG_PCI_DYNAMIC_OF_NODES jest włączone, może to spowodować NULL pointer dereference i zawieszenie systemu podczas wczesnego rozruchu.

W jądrze Linux naprawiono podatność w mechanizmie AF_PACKET dotyczącym transmisji przez TX_RING. Slot pierścienia mógł zostać zwolniony i ponownie użyty, gdy skb był jeszcze do niego podłączony, ponieważ skb_orphan wywoływał destruktor przed zwolnieniem skb. Zmieniono mechanizm na standardowe ukończenie zerocopy (ubuf_info), dzięki czemu slot jest zwalniany dopiero po usunięciu lub skopiowaniu wszystkich odwołań do danych.

W jądrze Linux sterownik HID alps (alps_input_configured()) alokuje i rejestruje drugie urządzenie wejściowe 'DualPoint Stick', ale struktura alps_driver nie ma procedury .remove, a input2 nie jest śledzone w hdev->inputs. Domyślna ścieżka usuwania (hid_hw_stop -> hidinput_disconnect) iteruje tylko po hdev->inputs, więc input2 nigdy nie jest wyrejestrowywane i wycieka przy każdym usunięciu urządzenia.

W jądrze Linux w funkcji alps_input_configured() sterownika HID alps wskaźnik data->input2 jest zapisywany przed rejestracją urządzenia wejściowego. Jeśli rejestracja się nie powiedzie, input_free_device() zwalnia pamięć, ale data->input2 nadal wskazuje na zwolniony obszar, co przy aktywnych URB może prowadzić do use-after-free.