Katalog podatności CVE

W jądrze Linux w sterowniku RDMA/efa procedura obsługi przerwania ukończeń uzyskuje dostęp do stanu EQ i bufora DMA. Jej przerwanie było rejestrowane przed zainicjalizowaniem tego stanu, a demontaż zwalniał bufor przed free_irq() synchronizującym procedurę obsługi. Poprawka inicjalizuje EQ bez uzbrajania go, rejestruje przerwanie, a następnie je uzbraja, a przy demontażu zwalnia przerwanie przed zniszczeniem EQ.

W jądrze Linux sterownik USB 6fire używa URB osadzonych w różnych strukturach dla PCM, MIDI i komunikacji, co jest wadliwą implementacją; ponieważ URB jest zarządzany przez licznik referencji, może to prowadzić do użycia zwolnionej pamięci (UAF), gdy URB jest zwalniany asynchronicznie. Poprawka konwertuje te osadzone URB na alokowane przez usb_alloc_urb(), zamieniając każde osadzone struct urb na wskaźnik i aktualizując wywołania; zasoby są zwalniane w wspólnych destruktorach wywoływanych zarówno przy błędzie inicjalizacji, jak i przy odłączeniu.

W jądrze Linux w kodzie algorytmu CoDel (net/sched) pętla odrzucania w codel_dequeue() mogła nie przesuwać się do przodu przy bardzo małych wartościach interwału, co prowadziło do opróżnienia całego backlogu pod blokadą qdisc w jednym wywołaniu. Nieuprzywilejowany użytkownik mógł w ten sposób wywołać soft lockup. Poprawka ogranicza krok pętli do co najmniej 1 ticka oraz maksymalnie 256 odrzuceń na wywołanie codel_dequeue().

W jądrze Linux w sterowniku wifi mwifiex funkcja mwifiex_pcie_request_irq() rejestruje każdy wektor MSI-X z dev_id dla danego indeksu (&card->msix_ctx[i]). Przy błędzie request_irq() pętla czyszcząca "for (j = 0; j < i; j++)" zwalnia msix_entries[j].vector, ale przekazuje &card->msix_ctx[i] z nieudanego indeksu jako dev_id. Ponieważ free_irq() dopasowuje po (irq, dev_id), nie znajduje akcji zarejestrowanej z &card->msix_ctx[j]: już zarejestrowane przerwanie j nie jest zwalniane (wyciek), a free_irq() ostrzega o zwalnianiu nieistniejącego przerwania. Poprawka używa &card->msix_ctx[j].

W jądrze Linux funkcja ieee80211_request_ibss_scan() w module mac80211 wywołuje ostrzeżenie, gdy regdomain nie pozostawia żadnego dozwolonego kanału do skanowania. Sytuacja ta może wystąpić, ponieważ regdomain może się zmienić podczas pracy interfejsu IBSS, który może działać jeszcze przez 60-sekundowy okres karencji przed wyłączeniem. Poprawka usuwa to ostrzeżenie.

W jądrze Linux funkcja cfg80211_switch_netns() w module cfg80211 przenosi interfejsy, a następnie przenosi samo wiphy, ustawiając jego przestrzeń nazw sieci i zmieniając nazwę, co powoduje przeniesienie w sysfs. Zmiana nazwy może się nie powieść (tylko przy błędach alokacji), pozostawiając niespójny stan i wywołując ostrzeżenie. Poprawka cofa przeniesienie i pozwala operacji zakończyć się niepowodzeniem, a jeśli cofnięcie się nie powiedzie, wywołuje WARN.

W jądrze Linux moduł mac80211_hwsim sprawdza pole ->started dla ramek pochodzących z wmediumd, ale radio może zostać zatrzymane po sprawdzeniu, a przed dostarczeniem ramki, co powoduje wywołanie WARN_ON(!local->started) w mac80211. Poprawka rozszerza zakres blokady mutex i synchronizuje się z nią przy zatrzymywaniu radia, a także usuwa zbędny komunikat błędu.

W jądrze Linux moduł mac80211 przy interfejsach AP_VLAN pobiera crypto_tx_tailroom_needed_cnt z interfejsu AP przy ifup, ale nigdy nie zmniejsza tego licznika, chyba że AP również zostanie wyłączony. Ponowne włączenie tego samego AP_VLAN ponownie zwiększa licznik, co ostatecznie wywołuje sprawdzenie WARN_ON_ONCE. Poprawka resetuje licznik przy ifdown.

W jądrze Linux moduł mac80211 wymaga, aby potwierdzenie konfiguracji TDLS (WLAN_TDLS_SETUP_CONFIRM) było kierowane do istniejącej stacji TDLS. W przeciwnym razie podczas budowania ramki wywoływane jest ostrzeżenie WARN_ON_ONCE(!sta || !ap_sta). Poprawka akceptuje WLAN_TDLS_SETUP_CONFIRM tylko wtedy, gdy stacja już istnieje jako stacja TDLS.

W jądrze Linux w module ksmbd (serwer SMB) występuje błąd w obsłudze wygasania sesji SMB2. Funkcja ksmbd_session_register() niszczyła prawidłowe sesje po dziesięciu sekundach bezczynności, gdy klient rozpoczynał kolejną wymianę SessionSetup, myląc Session.IdleTime z Session.ExpirationTime. Powodowało to unieważnienie połączeń drzewa (tree connects) i błędy STATUS_NETWORK_NAME_DELETED na mapowanych dyskach.

W jądrze Linux funkcja reset_per_cpu_data() w module drop_monitor oblicza rozmiar al, który obejmuje sizeof(struct nlattr) (4-bajtowy nagłówek atrybutu). Następnie wywołuje memset(msg, 0, al), gdzie msg wskazuje na nla_data(nla), czyli sizeof(struct nlattr) bajtów za nla, co powoduje zapis poza przydzielonym buforem o 4 bajty i uszkodzenie skb_shared_info. Poprawka sprawia, że al reprezentuje tylko długość ładunku i używa genlmsg_new(nla_total_size(al), ...).

W jądrze Linux harmonogram (sched/core) może przenieść kontekst planowania zablokowanego donora na CPU właściciela blokady, nawet gdy donor ma wyłączoną migrację. Funkcja set_task_cpu() ostrzega bezwarunkowo dla zadań z wyłączoną migracją, co prowadzi do fałszywego ostrzeżenia. Poprawka wyklucza zablokowanych donorów proxy z tego ostrzeżenia.

W jądrze Linux mechanizm ESP-in-TCP może przekazywać pakiety xfrm, których przesunięcie nagłówka transportowego nie mieści się po przycięciu koperty TCP przez parser strumienia. Zwykłe zresetowanie nagłówka transportowego obcina to przesunięcie i wywołuje ścieżkę ostrzeżenia skb. Poprawka używa ostrożnego pomocnika nagłówka transportowego i odrzuca skb przez istniejącą ścieżkę błędu XFRM, gdy przesunięcie nie może być reprezentowane.

W jądrze Linux sterownik dmaengine ti k3-udma-glue ma błąd w funkcji k3_udma_glue_release_rx_chn(). Jeśli devm_kcalloc() dla rx_chn->flows nie powiedzie się w funkcji żądania kanału, ścieżka błędu wywołuje k3_udma_glue_release_rx_chn(), która dereferencjonuje wskaźnik NULL rx_chn->flows w k3_udma_glue_release_rx_flow(). Poprawka pomija pętlę zwalniania przepływów, gdy rx_chn->flows nie jest przydzielone.

W jądrze Linux w sterowniku soc: samsung: exynos-pmu występuje błąd use-after-free węzła drzewa urządzeń odpowiadającego za generator przerwań. Funkcja setup_cpuhp_and_cpuidle() zwalnia referencję do węzła (of_node_put()) zbyt wcześnie, a następnie przekazuje wskaźnik intr_gen_node do of_syscon_register_regmap().

W jądrze Linux występuje błąd w mechanizmie memcg, gdzie funkcja obj_cgroup_charge_pages() nie pomija głównego cgroup (root memcg), co prowadzi do ostrzeżenia w refill_stock() oraz asymetrycznego rozliczania stron. Problem można wywołać poprzez zswap i operacje na cgroup, powodując wyciek licznika stron w root memcg.

W jądrze Linux w podsystemie SELinux funkcja avc_has_perm_noaudit() przy pustym zbiorze żądanych uprawnień zwraca wcześniej, nie wypełniając bufora decyzji dostępu (@avd). Wszyscy wywołujący przekazują niezainicjalizowaną zmienną stosową, która następnie trafia do avc_audit(), a w przypadku hooka inode jest zapisywana w pamięci podręcznej decyzji dla zadania.

W jądrze Linux w podsystemie power: sequencing funkcja pwrseq_unit_new() może wywołać dereferencję wskaźnika NULL. Gdy alokacja pamięci w pwrseq_unit_setup_deps() zawiedzie, wywoływane jest pwrseq_unit_put(), które zwalnia częściowo zainicjalizowaną strukturę, ale pole unit->list nie zostało zainicjalizowane, a pwrseq_unit_release() bezwarunkowo wywołuje na nim list_del().

W jądrze Linux w podsystemie power: sequencing funkcja pwrseq_device_register() może wywołać dereferencję wskaźnika NULL. Gdy dev_set_name() zawiedzie, kod przechodzi do etykiety err_put_pwrseq przed zainicjalizowaniem pwrseq->targets, a pwrseq_release() bezwarunkowo iteruje po targets i dereferencjonuje nieprawidłowy wskaźnik.

W jądrze Linux w sterowniku watchdog: da9063 funkcje da9063_wdt_suspend() i da9063_wdt_resume() sprawdzają tylko watchdog_active(). Gdy sterownik ustawia WDOG_HW_RUNNING w da9063_wdt_probe(), ale przestrzeń użytkownika nigdy nie otwiera urządzenia, WDOG_ACTIVE pozostaje wyczyszczone i wdt_disable() nie jest wywoływane podczas suspend, przez co watchdog nadal zlicza i może zresetować system.