Katalog podatności CVE

W jądrze Linux funkcja ip6_tnl_xmit() używa skb_realloc_headroom(), która zastępuje skb będący własnością wywołującego i zachowuje nowy skb tylko w zmiennej lokalnej. Jeśli po realokacji wystąpi błąd (np. odrzucenie enkapsulacji w tunelach collect_md lub błąd ip6_tnl_encap()), wywołujący nadal posiada wskaźnik do oryginalnego skb, co prowadzi do podwójnego zwolnienia skb.

W jądrze Linux funkcja ip6gre_tnl_link_config_route() nieprawidłowo dodaje długość nagłówka sprzętowego urządzenia niższego warstwy do dev->hard_header_len dla tuneli NBMA ip6gre. Powoduje to błędne obliczenie długości nagłówka sprzętowego tunelu, co może prowadzić do problemów z transmisją pakietów.

W jądrze Linux występuje podatność polegająca na braku sprawdzenia wartości NULL dla wskaźnika idev w funkcji ipv6_rpl_srh_rcv(). Gdy MTU interfejsu spadnie poniżej IPV6_MIN_MTU, addrconf_ifdown() czyści dev->ip6_ptr, a pakiet, który przeszedł wcześniejszą weryfikację, może dotrzeć do ipv6_rpl_srh_rcv() z już wyczyszczonym wskaźnikiem, powodując dereferencję NULL.

W jądrze Linux naprawiono lukę w mechanizmie Landlock dotyczącą tworzenia obiektów whiteout używanych przez OverlayFS. Tworzenie whiteout przez mknod(2) z S_IFCHR i makedev(0,0) oraz przez renameat2(2) z RENAME_WHITEOUT nie było prawidłowo kontrolowane przez uprawnienia Landlock, co pozwalało na obejście ograniczeń. Wprowadzono wymóg posiadania uprawnienia LANDLOCK_ACCESS_FS_MAKE_REG dla obu tych przypadków.

W jądrze Linux funkcja __nd_label_validate() w libnvdimm/labels zawiera przepełnienie liczb całkowitych. Pole nslot (u32) jest mnożone przez rozmiar etykiety w 32-bitach, co może spowodować zawinięcie i ominięcie sprawdzenia granic, prowadząc do zapisu poza buforem w nd_label_data_init().

W jądrze Linux w funkcji super_1_load() modułu md nie sprawdzano zakresu wartości sb->bblog_shift wczytywanej z superbloku na dysku. Wartość ta (0-255) jest używana jako przesunięcie bitowe przy obliczaniu sektora i liczby bloków, co przy nieprawidłowej wartości może doprowadzić do przepełnienia zmiennej 64-bitowej i błędu w funkcji badblocks_set() w block/badblocks.c.

W jądrze Linux funkcja mptcp_token_join_cookie_init_state() nie przywraca pola local_id z zapisanego wpisu cookie podczas odtwarzania gniazda żądania dla MP_JOIN obsługiwanego przez SYN cookies. Niezainicjalizowane pole jest następnie odczytywane przez subflow_ulp_clone() i zapisywane jako address-ID podłączonego podprzepływu, co może być wpływane przez zdalnego atakującego wysyłającego równoległe SYN-y MP_JOIN.

W jądrze Linux w sterowniku nouveau/gem występuje wyścig w ścieżce nie-uvmm między wyszukiwaniem vma w ioctl info a zamknięciem vma w ścieżce zamknięcia gem. Prowadzi to do użycia zwolnionej pamięci (use-after-free).

W jądrze Linux funkcja svc_pool_for_cpu() może wybrać pulę bez wątków, gdy usługa ma mniej wątków niż pul (np. nfsd w trybie pernode/percpu z mniejszą liczbą wątków niż węzłów NUMA). Transport zakolejkowany w takiej puli nigdy nie zostanie obsłużony, co prowadzi do zawieszenia połączenia.

W jądrze Linux funkcja sunrpc_destroy_cache_detail() anuluje globalny cache_cleaner tylko gdy cache_list jest pusty, co nie ma miejsca podczas sprzątania per-netns. Prowadzi to do use-after-free, gdy cache_clean() używa wskaźnika do zwolnionego cache_detail.

W jądrze Linux funkcja __svc_create() ignorowała wartości zwracane przez percpu_counter_init() przy inicjalizacji trzech liczników statystyk puli RPC. Gdy alokacja per-CPU pamięci nie powiedzie się (np. przy presji pamięciowej), usługa RPC (nfsd, lockd, callback NFS) jest uruchamiana z niepoprawnie zainicjalizowanymi licznikami, których wskaźnik per-CPU ma wartość NULL. Powoduje to cichą korupcję danych w obszarze per-CPU bieżącego procesora oraz zwracanie błędnych wartości w /proc/fs/nfsd/pool_stats.

W jądrze Linux funkcja svc_rqst_free() zwalnia rq_argp i rq_resp synchronicznie, podczas gdy struktura rqstp jest zwalniana przez kfree_rcu(). Powoduje to okno, w którym czytelnicy RCU mogą uzyskać dostęp do już zwolnionych pól, prowadząc do use-after-free.

W jądrze Linux naprawiono cztery powiązane błędy w dekoderze tablicy opcji gssx (SUNRPC). Błędy powodowały dereferencję NULL w funkcji wywołującej, wyciek licznika referencji obiektu group_info oraz potencjalne użycie zwolnionej pamięci (use-after-free).

W jądrze Linux występuje wyścig (race condition) w module sunrpc. Wpis /proc/net/rpc/use-gss-proxy jest publikowany przez proc_create_data() zanim mutex sn->gssp_lock zostanie zainicjalizowany przez mutex_init(), co pozwala zapisującemu procesowi użyć niezainicjalizowanego muteksa.

W jądrze Linux w funkcji svc_rdma_free() podsystemu svcrdma występuje use-after-free wynikający z kolejności operacji. Funkcja rpcrdma_rn_unregister() jest wywoływana po rdma_destroy_id(), przez co wpis sc_rn pozostaje w rd_xa urządzenia po zwolnieniu cm_id. Równoległe przejście ib_unregister_device może wywołać svc_rdma_xprt_done() na zwolnionym sc_cm_id. Dodatkowo brak sprawdzenia NULL przy dereferencji sc_cm_id.

W jądrze Linux w module svcrdma, gdy obsługa zdarzenia ADDR_CHANGE tworzy zastępczy identyfikator połączenia (cm_id) i alokacja się nie powiedzie, wskaźnik sc_cm_id nadal wskazuje na stary cm_id, który rdzeń CM ma zniszczyć. Późniejsze użycie sc_cm_id, np. w wywołaniu rdma_disconnect() z svc_rdma_detach(), prowadzi do use-after-free.

W jądrze Linux w module svcrdma pojedyncze długości segmentów Read są walidowane podczas dekodowania, ale nic nie powstrzymuje klienta przed wysłaniem wielu segmentów, których łączna długość przekracza budżet tablicy rq_pages. Gdy jeden segment dokładnie wypełnia tablicę stron, zabezpieczenie w svc_rdma_build_read_segment() jest pomijane, ponieważ len osiąga zero, a kolejny segment sięga do slotu sentinela NULL w rq_pages[rq_maxpages], powodując dereferencję NULL podczas mapowania DMA.

W jądrze Linux w sterowniku wifi ath6kl funkcja ath6kl_cfg80211_connect_event() odejmuje stałe przesunięcia IE od długości assoc_req_len i assoc_resp_len (typu u8) bez sprawdzenia dolnej granicy. Gdy długość jest mniejsza niż przesunięcie, wartość u8 zawija się do około 250, a cfg80211_connect_result()/cfg80211_roamed() traktują ją jako długość IE i kopiują tyle bajtów z małego bufora assoc_info do przestrzeni użytkownika przez nl80211, ujawniając sąsiednią pamięć slab.

W jądrze Linux w sterowniku wifi mt76 (mt7925) oczekująca praca mlo_pm_work nie jest anulowana w ścieżkach resetu, zawieszenia i wyrejestrowania urządzenia. Jeśli urządzenie zostanie zresetowane, zawieszone lub wyrejestrowane w tym oknie, praca może nadal działać i uzyskiwać dostęp do już zwolnionych danych vif/bss lub wysyłać polecenia MCU, gdy firmware jest niedostępny.

W jądrze Linux w sterowniku media staging/ipu7 funkcja isys_register_devices() rejestruje asynchroniczny notifier V4L2, ale ścieżka błędu probe (isys_probe()) wywołuje tylko isys_unregister_devices(), która nie wyrejestrowuje ani nie czyści notifiera. W rezultacie notifier pozostaje na globalnej liście notifier_list, podczas gdy struktura ipu7_isys jest zwalniana przez devres, co prowadzi do uszkodzenia listy i use-after-free przy następnym przejściu po liście.