Katalog podatności CVE

W jądrze Linux w Bluetooth hci_sock filtr bezpieczeństwa surowego gniazda HCI maskuje 10-bitowy OCF wartością 127 przed sprawdzeniem polecenia. Nieuprzywilejowane gniazdo może przesłać zarezerwowany OCF, który aliasuje dozwolone polecenie modulo 128, omijając filtr bezpieczeństwa.

W jądrze Linux w Bluetooth ISO funkcja hci_bind_bis() pobiera wskaźnik nadrzędnego połączenia z hci_conn_hash_lookup_big() bez pobrania referencji. Odłączenie dziecka zwalnia istniejącą referencję rodzica i może zaplanować jego rozłączenie, mimo że gniazdo nadal go używa.

W jądrze Linux w Bluetooth ISO funkcje hci_bind_cis() i hci_connect_cis() zwracają referencję hci_conn dla warstwy ISO, ale iso_chan_add() nie tworzy asocjacji, gdy gniazdo jest już dołączone do tego samego iso_conn lub gdy inne gniazdo jest dołączone (zwraca -EBUSY). Referencja zwrócona dla bieżącego wywołania pozostaje nieużyta i wycieka.

W jądrze Linux w Bluetooth L2CAP funkcja l2cap_data_rcv() rozpakowuje dwu- lub czterobajtowe pole kontrolne bez sprawdzenia jego obecności, co przy krótkiej ramce ERTM lub w trybie strumieniowym powoduje odczyt poza zakresem. Dodatkowo przy włączonym CRC16 l2cap_check_fcs() odejmuje dwa od skb->len bez sprawdzenia, co przy zbyt krótkiej ramce powoduje zawinięcie i odczyt poza końcem ramki.

W jądrze Linux w Bluetooth mgmt funkcja read_unconf_index_list() zlicza nieskonfigurowane kontrolery przed alokacją odpowiedzi, a następnie ponownie sprawdza flagi urządzeń podczas wypełniania. Podczas asynchronicznej konfiguracji kontrolera worker może ustawić HCI_UNCONFIGURED i wyczyścić HCI_SETUP między przebiegami, przez co kontroler pominięty w zliczaniu staje się kwalifikowalny w przebiegu wypełniania, powodując zapis poza zakresem tablicy rp->index[].

W jądrze Linux występuje podatność polegająca na dereferencji NULL w obsłudze getsockopt(SOL_RFCOMM, RFCOMM_CONNINFO). Gdy gniazdo RFCOMM zostało utworzone z włączonym deferred setup, a następnie zdalny peer wyśle ramkę DISC, wskaźnik dlc->session staje się NULL, ale flaga dlc->defer_setup pozostaje ustawiona. Wywołanie getsockopt na takim gnieździe powoduje odwołanie do NULL i awarię jądra (oops).

W kliencie SMB w jądrze Linux funkcja smb2_parse_contexts() waliduje cały obszar kontekstów tworzenia, ale nie ogranicza każdego rekordu do wartości pola Next przed przekazaniem go do handlera. Złośliwie spreparowany łańcuch kontekstów może ujawnić bajty spoza bieżącego kontekstu, a parsery lease odczytują pola pod stałymi offsetami zamiast pod DataOffset.

W kliencie SMB w jądrze Linux funkcja SMB2_open() uznaje udaną odpowiedź CREATE za zdalne otwarcie przed sparsowaniem kontekstów tworzenia. Jeśli smb2_parse_contexts() odrzuci nieprawidłowe dane kontekstu, funkcja zwraca błąd bez zamknięcia uchwytu, pozostawiając uchwyt po stronie serwera otwarty i zawyżony licznik num_remote_opens.

W kliencie SMB w jądrze Linux funkcja open_cached_dir() wysyła CREATE i QUERY_INFO jako żądanie złożone. Jeśli CREATE się powiedzie, ale późniejsze polecenie zwróci błąd, funkcja musi zachować FID z CREATE, aby wspólne sprzątanie mogło wywołać SMB2_close(), oraz nie może traktować błędu odpowiedzi jako prawidłowego CREATE.

W kliencie SMB w jądrze Linux otwarcie z flagą O_CREAT może natrafić na istniejący dowiązanie symboliczne lub inny inode niebędący plikiem regularnym. cifs_atomic_open() wywołuje na nim finish_open() i dołącza cifsFileInfo, ale inode dowiązania nie ma operacji zwolnienia CIFS, więc referencja dentry trzymana przez cifsFileInfo wycieka, a FMODE_OPENED uniemożliwia VFS podążenie za dowiązaniem.

W kliencie SMB w jądrze Linux funkcja compound_send_recv() oczekuje na odpowiedzi w kolejności. Jeśli późniejsze oczekiwanie zostanie przerwane lub synchronizacja MID nie powiedzie się, wcześniejszy CREATE mógł już otworzyć zdalny uchwyt, a wcześniejszy mid jest zwalniany bez wywołania handle_cancelled_mid(), pozostawiając uchwyt otwarty, ponieważ FID nie został skopiowany do wywołującego.

W kliencie SMB w jądrze Linux, gdy wysłanie żądania złożonego się nie powiedzie, smb_send_rqst() inicjuje ponowne połączenie, ale compound_send_recv() nadal ma te midy w pending_mid_q i odblokowuje serwer bez ich usunięcia. Podczas ponownego połączenia cifs_abort_connection() uruchamia callbacki midów, które zwracają kredyty i zmniejszają in_flight, a następnie ścieżka błędu wysyłania zwraca te same kredyty ponownie, powodując podwójne zmniejszenie in_flight i ostrzeżenie w smb2_add_credits().

W systemie plików XFS w jądrze Linux występuje wyciek referencji do inode'a katalogu orphanage pobranej przez igrab, jeśli operacja zmiany właściciela (chown) na tym inode zakończy się niepowodzeniem.

W systemie plików XFS w jądrze Linux metody formatowania korzeni drzewa btree rtrefcount na dysku kopiują zbyt wiele bajtów — w blokach węzłów jest tylko jeden zestaw kluczy, a nie dwa. Powoduje to uszkodzenie pamięci poza buforami.

W systemie plików XFS w jądrze Linux, jeśli ilość bloków fdblocks możliwych do zarezerwowania dla pliku btree metadanych spadnie poniżej przestrzeni już używanej przez ten plik, odejmowanie hidden_space może spowodować niedomiar, przez co xfs_dec_fdblocks odejmie ogromną ilość przestrzeni.

W jądrze Linux w funkcji xrep_newbt_add_blocks (podsystem XFS) awaria alokacji pamięci powoduje wyciek bloków przydzielonych wcześniej na nowe drzewo btree oraz może doprowadzić do awarii mechanizmu naprawy online. Problem rozwiązano stosując alokację typu NOFAIL dla niewielkiego obiektu rezerwacji przestrzeni (ok. 48 bajtów).

W jądrze Linux funkcja xfs_qm_flush_one (podsystem XFS) nie zwalnia blokady dquot flush lock, gdy nie może pobrać bufora powiązanego z dquotem. Ponieważ nikt inny nie zwolni tej blokady, prowadzi to do jej trwałego pozostawienia.

W jądrze Linux funkcja xlog_recover_iunlink_bucket (podsystem XFS) zawiera kilka błędów: nie zeruje wskaźnika prev_ip po zwolnieniu (ryzyko use-after-free), wycieka @ip przy niepowodzeniu flushu inodegc, oraz błędnie ustawia prev_agino i i_prev_unlinked, co wprowadza pętle do listy niepołączonych inode'ów.

W jądrze Linux w net/sched act_ct surowy wskaźnik do obszaru rozszerzeń jest zapisywany w liście oczekiwań, zanim połączenie zostanie potwierdzone. Późniejsze dodanie rozszerzeń przez *_ext_add() realokuje ten obszar, pozostawiając nieprawidłowy wskaźnik, który jest używany przy usuwaniu oczekiwania — prowadzi to do use-after-free.

W jądrze Linux w module net/sched act_ct wykryto podatność use-after-free. Gdy pakiet (skb) z niepotwierdzonym wpisem conntrack zostanie sklonowany, oba klony mogą przetwarzać ten sam współdzielony wpis, modyfikując wskaźniki w liście oczekiwań i powodując UAF przy późniejszym niszczeniu wpisu. Problem dotyczy głównie przypadków NAT bez zatwierdzenia (commit).