Katalog podatności CVE

W jądrze Linux funkcja trf7970a_startup() włącza zasilanie urządzenia NFC przed zastosowaniem opcjonalnej redukcji wzmocnienia RX. Jeśli odczyt lub zapis rejestru się nie powiedzie, funkcja zwraca błąd bez cofnięcia włączenia zasilania, pozostawiając niespójny stan zasilania (niezbalansowane referencje VIN i GPIO enable).

W jądrze Linux w libiscsi_tcp gałąź obsługi PDU Data-In funkcji iscsi_tcp_hdr_dissect() kopiuje dane do scatterlisty polecenia bez sprawdzenia, czy polecenie było operacją odczytu. Złośliwy cel iSCSI może odpowiedzieć na polecenie WRITE ramką Data-In i nadpisać strony pamięci, które inicjator miał wysłać.

W jądrze Linux w sterowniku UFS podczas odzyskiwania po błędzie funkcja ufshcd_err_handling_prepare() wstrzymuje cały tagset, w tym kolejkę pseudo-urządzenia SCSI używaną przez polecenia wewnętrzne. Powoduje to zakleszczenie, ponieważ wewnętrzne polecenia (np. NOP OUT UPIU) nie mogą zostać wysłane na wstrzymanej kolejce.

W jądrze Linux funkcja perf_pmu_sched_task() przekazuje NULL jako pmu_ctx do pmu->sched_task(), ponieważ zwraca wcześnie, gdy cpuctx->task_ctx jest ustawione. Prowadzi to do dereferencji NULL w armv8pmu_sched_task() i awarii jądra (oops).

W jądrze Linux na platformie s390 funkcja ccw_device_get_util_str() może otrzymać NULL z chpid_to_chp(), gdy wpis rejestru ścieżki kanału zostanie usunięty, a PMCW podkanału nadal odwołuje się do tego CHPID. Brak sprawdzenia NULL prowadzi do dereferencji NULL.

W jądrze Linux na platformie s390 w podsystemie cmf adres bloku pomiarowego jest adresem absolutnym, ale pola schib_config i schib nie są zdefiniowane jako dma64_t, co uniemożliwia automatyczne wykrycie błędnych przypisań. Brakuje również konwersji virt_to_dma64(), co powoduje użycie błędnego adresu przez firmware przy zapisie danych pomiarowych w formacie rozszerzonym.

W jądrze Linux na platformie s390 funkcja zpci_report_status() uzyskuje dostęp do sterownika urządzenia bez trzymania blokady urządzenia, gdy pdev nie jest NULL. Brak blokady może prowadzić do niespójnego stanu względem procesu odzyskiwania.

W jądrze Linux w module s390/vfio-ap występują trzy powiązane błędy związane z obsługą przerwań KVM i zasobów stron, gdy kolejka jest usuwana z konfiguracji AP hosta, a jest przypisana do urządzenia mediated (mdev). Nieobsłużony kod odpowiedzi AP_RESPONSE_Q_NOT_AVAIL w funkcjach vfio_ap_mdev_reset_queue() i apq_status_check() powoduje wyciek rejestracji KVM GISC oraz przypiętej strony gościa zawierającej bajt wskaźnika powiadomień (NIB). Dodatkowo funkcja vfio_ap_free_aqic_resources() nie czyści saved_isc, gdy kvm ma wartość NULL, co może prowadzić do podwójnego zwolnienia.

W jądrze Linux w KVM SEV maska CPU "have run CPUs" nie jest zwalniana podczas niszczenia maszyny wirtualnej, jeśli VM nie jest już w trybie SEV (np. po migracji wewnątrzhostowej). Prowadzi to do wycieku pamięci.

W jądrze Linux w module KVM SEV nie wykonywano ręcznej obsługi pamięci podręcznej na źródłowej maszynie wirtualnej podczas migracji wewnątrz hosta. Po zniszczeniu źródłowej maszyny wirtualnej w pamięciach podręcznych procesora mogły pozostać nieaktualne dane, ponieważ przepływy odzyskiwania pamięci KVM nie wyzwalały takiej obsługi.

W jądrze Linux w module KVM dla architektury arm64 funkcja kvm_pkvm_ioctl_allowed() wywoływała WARN, gdy numer ioctl nie został znaleziony w tablicy vm_ioctl_caps[]. Wywołanie ioctl z nieznanym numerem z przestrzeni użytkownika powodowało oznaczenie hosta pKVM i panikę przy włączonej opcji panic_on_warn.

W jądrze Linux w module KVM dla architektury arm64 konsolidacja akcesorów rejestrów punktów przerwania i obserwacji przełączyła DBGBXVR<n> z trap_bvr() na trap_dbg_wb_reg(). Ponieważ DBGBXVR<n> używa Op2 równego 1, dostęp gościa AArch32 trafiał w KVM_BUG_ON() i oznaczał maszynę wirtualną jako martwą.

W jądrze Linux naprawiono fałszywe ostrzeżenie w KVM na architekturze arm64, pojawiające się podczas łagodnego wyścigu przy niszczeniu tablic stron stage 2. Ostrzeżenie było wywoływane przez równoległe zwolnienie blokady mmu_lock i ustawienie mmu->pgt na NULL, co powodowało zwrócenie -EINVAL i uruchomienie WARN_ON. Poprawka sprawia, że stage2_apply_range() nie traktuje już równoległego niszczenia PGT jako błędu.

W jądrze Linux w module KVM dla architektury arm64 występuje podatność typu null pointer dereference związana z wyścigiem podczas niszczenia zagnieżdżonego gościa. Równoległe operacje unieważniania zakresu MMU i zwalniania tablicy stron stage 2 mogą spowodować, że wskaźnik kvm->arch.mmu.pgt stanie się NULL i zostanie użyty. Problem rozwiązano poprzez sprawdzenie, czy wskaźnik pgt nie jest NULL przed jego użyciem.

W jądrze Linux w module KVM dla architektury arm64 funkcja fix_host_ownership() przechodziła tylko przez alias liniowego mapowania każdego regionu memblock. Stos hiperwizora na CPU, mapowany w prywatnym zakresie adresów ze względu na stronę ochronną, nie posiadał takiego aliasu i nie był obejmowany tym przejściem.

W jądrze Linux wirtualizacja RISC-V KVM nie serializuje operacji na atrybutach IMSIC względem migracji vCPU. Funkcja kvm_riscv_aia_imsic_rw_attr() może zapisać nieaktualne dane (fizyczny CPU i HGEI) przed migracją vCPU, przez co operacja GET lub SET może uzyskać dostęp do pliku przerwań nowego właściciela.

W jądrze Linux w komponencie KVM dla architektury RISC-V występuje wyścig (race condition) podczas niszczenia maszyny wirtualnej. Wywołanie zwrotne hrtimera czyści pole next_set przed końcowym użyciem vCPU, a jeśli teardown odczyta next_set jako false w trakcie działania callbacku, funkcja kvm_riscv_vcpu_timer_cancel() pomija hrtimer_cancel() i vCPU może zostać zwolniony, zanim callback zakończy działanie. Prowadzi to do użycia po zwolnieniu pamięci (use-after-free) wykrytego przez KASAN.

W jądrze Linux w schedulerze sched_ext flaga SCX_RQ_IN_WAKEUP jest ustawiana na podstawie scalonych flag enqueue, co obejmuje flagi zdalnej aktywacji. move_remote_task_to_local_dsq() ustawia tę flagę na docelowym rq mimo braku wywołania task_woken_scx(), przez co żądanie reenqueue pozostaje oczekujące i może wskazywać na zwolniony obszar per-cpu po wyłączeniu schedulera.

W jądrze Linux w Bluetooth hci_conn występuje błąd zarządzania referencjami CIS przy ponownym użyciu. hci_bind_cis() pobiera referencję dopiero po konfiguracji CIS, a ścieżki BT_CONNECTED i BT_BOUND zwracają wynik bez referencji; hci_connect_cis() zakłada, że hci_conn_link() zawsze pobiera nową referencję, co nie ma miejsca przy istniejącym łączu.

W jądrze Linux w Bluetooth hci_sock funkcja is_filtered_packet() odczytuje kod zdarzenia z skb->data[0] bez sprawdzenia, czy bufor nie jest pusty, oraz odczytuje opcode pod offsetami 3 lub 4 bez weryfikacji długości zdarzenia. Złośliwe zdarzenie od kontrolera lub urządzenia vhci może wywołać odczyt poza zakresem bufora.