Katalog podatności CVE

W jądrze Linux funkcja oxp_hid_remove() sterownika HID hid-oxp używa cancel_delayed_work(), które nie czeka na zakończenie aktualnie wykonywanego callbacku. Jeśli callback (np. oxp_rgb_queue_fn) działa w trakcie usuwania, kontynuuje dostęp do urządzenia HID po jego zamknięciu i zatrzymaniu.

W jądrze Linux funkcja wacom_wac_pen_serial_enforce() sterownika HID wacom może obliczyć nieprawidłowy offset przekazywany do hid_field_extract(), powodując odczyt pamięci poza końcem raportu. Wartość trafia do wacom_wac->serial[0] i może zostać ujawniona użytkownikowi jako zdarzenie MSC_SERIAL.

W jądrze Linux w funkcji mlx5_tc_ct_shared_counter_get() sterownika net/mlx5, gdy znaleziony zostanie wpis odwrotny, ale jego licznik jest już zwalniany, refcount_inc_not_zero() zawodzi i referencja pobrana przez mlx5_tc_ct_entry_get() nie jest zwalniana przed przejściem do create_counter.

W jądrze Linux funkcja mlx5e_ipsec_policy_mask() sterownika net/mlx5e buduje maski dla polityk IPv6 XFRM, ale setup_fte_addr6() instaluje każdą maskę w przeciwnym polu adresu. Gdy długości prefiksów źródła i celu różnią się, reguła sprzętowa może pomijać ruch objęty polityką i dopasowywać ruch spoza niej.

W jądrze Linux funkcja airoha_npu_remove() sterownika net: airoha: npu wywołuje cancel_work_sync() na wdt_work, ale przerwanie watchdog, które je kolejkuje, jest zwalniane dopiero po zakończeniu .remove(). Handler może ponownie zakolejkować pracę, która odwołuje się do zwolnionej pamięci struktury airoha_npu.

W jądrze Linux ioctl ARP kopiuje strukturę arpreq od użytkownika do obiektu na stosie, a pole arp_dev może zawierać IFNAMSIZ bajtów bez terminatora NUL. Takie dane trafiają do dev_get_by_name_rcu() lub __dev_get_by_name(), gdzie strcmp() może odczytać pamięć poza końcem obiektu na stosie.

W jądrze Linux sterownik net: atl1 może odczytać wartość cmb_tpd_next_to_clean spoza zakresu (np. 0xffff) podczas resetowania łącza PCIe/MAC. Taka wartość nigdy nie zostanie osiągnięta, więc pętla czyszcząca może kręcić się w nieskończoność, powodując soft lockup.

W jądrze Linux funkcja ic_dhcp_init_options() sterownika net: ipconfig dopisuje opcje hostname, vendor-class i client-ID do bufora bootp_pkt.exten[] o stałym rozmiarze 312 bajtów. Tylko gałąź client-ID sprawdzała wolne miejsce, więc długie wartości hostname i vendor-class mogą zapisać dane poza końcem bufora.

W jądrze Linux funkcja macb_alloc() sterownika net: macb ma wycieki pamięci DMA w ścieżkach błędów: bufor Tx przecinający granicę 4G, niepowodzenie alokacji bufora Rx oraz bufor Rx przecinający granicę 4G powodują wyciek buforów Tx i/lub Rx. Obsługa błędów wywołuje macb_free(bp), ale nic nie zostało zapisane w bp->queues[0].

W jądrze Linux w module openvswitch (conntrack) występuje problem polegający na możliwości modyfikacji współdzielonego, niepotwierdzonego wpisu conntrack. Gdy sklonowany skb z niepotwierdzonym wpisem ct jest zatwierdzany, dochodzi do rozbieżności w zestawie rozszerzeń, co prowadzi do use-after-free na ścieżce niszczenia wpisu.

W jądrze Linux w module openvswitch (conntrack) występuje use-after-free wynikający z realokacji rozszerzeń. Surowy wskaźnik do obszaru rozszerzeń jest podpinany do listy oczekiwań, a późniejsze dodawanie rozszerzeń może go unieważnić, co prowadzi do UAF przy usuwaniu oczekiwania.

W jądrze Linux naprawiono błąd w sterowniku sieciowym atl1c, który powodował soft lockup. Gdy sprzęt zgłasza wartość tpd_cons poza zakresem (np. 0xffff) podczas resetu łącza PCIe/MAC, pętla czyszczenia w funkcji atl1c_clean_tx zapętlała się w nieskończoność. Problem zaobserwowano na kartach Qualcomm Atheros AR8151 v2.0.

W jądrze Linux w sterowniku atl1e występuje problem soft lockup spowodowany odczytem hw_next_to_clean poza zakresem. Gdy sprzęt zgłasza wartość 0xffff podczas resetu łącza PCIe/MAC, pętla oczyszczania może zapętlić się na zawsze.

W jądrze Linux w module bridge (mdb) występuje use-after-free spowodowany nieaktualnym kursorem po usunięciu grupy portów. Funkcja br_mdb_flush_pgs() może wskazywać na zwolnioną pamięć, co ujawnia się przy kolejnym RTM_GETMDB.

W jądrze Linux w sterowniku ena występuje wyciek bufora odczytu MMIO przy niepowodzeniu probe. Gdy ena_probe() zawiedzie po udanej inicjalizacji urządzenia, bufor DMA nie jest zwalniany.

W jądrze Linux w module netfilter ip6t_rt występuje odczyt poza zakresem przy dopasowaniu nieścisłym z zerowym adresem. Gdy reguła ma rtinfo->addrnr == 0, spreparowany pakiet IPv6 może spowodować wyjście indeksu poza strukturę ip6t_rt.

W jądrze Linux w module netfilter nf_tables występuje problem z pomijaniem wygasłych elementów catchall przy wstawianiu i usuwaniu. Rozbieżność predykatów powoduje, że wygasłe elementy są niewidoczne dla użytkownika, ale blokują ponowne wstawienie lub powodują usunięcie niewłaściwego elementu.

W jądrze Linux w module NFC występuje use-after-free w funkcji nfc_get_local_general_bytes. Po zwolnieniu lokalnego obiektu wskaźnik może być nadal używany przez wywołujących, co prowadzi do UAF.

W jądrze Linux w module NFC LLCP występuje odczyt niezainicjalizowanej pamięci przy skróconych PDU I/RR/RNR. Funkcja nfc_llcp_recv_hdlc() czyta bajt sekwencji przed sprawdzeniem długości, co pozwala na odczyt jednego bajtu poza danymi pakietu.

W jądrze Linux sterownik NFC port100 nie sprawdza, czy zadeklarowana przez urządzenie długość ramki (pole datalen) nie przekracza liczby faktycznie odebranych bajtów. Urządzenie może podać zbyt dużą wartość datalen, co powoduje odczyt poza buforem transferu podczas obliczania sumy kontrolnej.