Katalog podatności CVE

W jądrze Linux w sterowniku watchdog: rzv2h funkcja clk_get_rate() może zwrócić 0, co prowadzi do dzielenia przez zero. Podatność powoduje panikę jądra.

W jądrze Linux w sterowniku wifi: rsi funkcja rsi_hal_load_key() przy usuwaniu klucza (data == NULL) wykonuje memset z nieprawidłowym przesunięciem. Ponieważ set_key jest wskaźnikiem na strukturę rsi_set_key, indeks jest skalowany przez sizeof(struct rsi_set_key) (160 bajtów), przez co memset zapisuje 144 bajty zer około 2,4 KB poza końcem bufora danych skb, uszkadzając niespokrewnione obiekty sterty.

W jądrze Linux w funkcji ieee80211_set_bitrate_mask() brakowało sprawdzenia flagi IEEE80211_SDATA_IN_DRIVER przed wywołaniem sterownika. Gdy interfejs był w stanie running, ale nie był jeszcze dodany do sterownika (np. podczas bringup lub teardown), wywołanie przez ioctl SIOCSIWRATE prowadziło do ostrzeżenia WARN w driver-ops.h. Poprawka dodaje sprawdzenie IN_DRIVER i zwraca -ENETDOWN.

W kliencie SMB jądra Linux funkcja parse_posix_sids() oblicza koniec bufora sidsbuf_end na podstawie wartości out_len dostarczonej przez serwer, bez walidacji względem rzeczywistej długości odebranego iov. Złośliwy serwer może podać zawyżoną wartość out_len, co pozwala na odczyty poza granicami bufora w sąsiedniej pamięci jądra.

W sterowniku drm/virtio jądra Linux funkcja virtio_gpu_user_framebuffer_create() zwraca NULL zamiast wskaźnika błędu ERR_PTR(). Prowadzi to do dereferencji wskaźnika NULL w funkcji drm_mode_addfb2().

W kodzie rozruchowym s390 jądra Linux funkcja append_ipl_block_parm() może przekazać zerowy rozmiar do funkcji konwersji parametrów IPL, gdy linia poleceń zajmuje cały bufor COMMAND_LINE_SIZE. Powoduje to zapis poza buforem linii poleceń.

W jądrze Linux naprawiono błąd w punkcie śledzenia icmp_send, gdzie funkcja TP_fast_assign() bezwarunkowo wywoływała udp_hdr(skb) przed sprawdzeniem, czy pakiet jest UDP. Powodowało to ostrzeżenie DEBUG_NET_WARN_ON_ONCE przy dostępie do nieustawionego nagłówka transportowego (transport_header = ~0U), gdy __icmp_send() był wywoływany ze ścieżek takich jak błędy łącza, błędy ARP, forwarding czy AF_PACKET.

W jądrze Linux występuje podatność w obsłudze tuneli sieciowych (iptunnel), gdzie podczas dekapulacji pakietów GSO nagłówek transportowy (transport_header) pozostaje wskazany na usunięty zewnętrzny nagłówek L4. Prowadzi to do ujemnego przesunięcia i w konsekwencji do błędu KASAN lub page fault w funkcji qdisc_pkt_len_segs_init(). Problem występuje, gdy pakiet tunelowany z metadanymi GSO jest przekazywany przez most L2 lub HSR, a nie dostarczany do lokalnego stosu IP.

W obsłudze kdump na platformie s390 jądra Linux funkcja set_os_info_reipl_block() dereferencjonuje wskaźnik reipl_block_actual, który pozostaje NULL dla typów IPL bez bloku parametrów re-IPL (np. HMC FTP boot, QEMU direct kernel boot). Może to prowadzić do dereferencji wskaźnika NULL.

W obsłudze zrzutu stand-alone na platformie s390 jądra Linux funkcja dump_reipl_run() bezwarunkowo dereferencjonuje wskaźnik reipl_block_actual, który pozostaje NULL dla typów IPL bez bloku parametrów re-IPL. Może to prowadzić do dereferencji wskaźnika NULL i wprowadzenia dumpera w stan disabled wait.

W jądrze Linux naprawiono błąd w mechanizmie lockdep, który powodował ostrzeżenie DEBUG_LOCKS_WARN_ON(1) w funkcji hlock_class() z powodu nieprawidłowego class_idx. Problem wynikał z tego, że wpisy class_cache[] w strukturach lockdep_map mogły wskazywać na usunięte (zapped) klasy blokad, co prowadziło do błędnego dopasowania lub ostrzeżenia. Poprawka dodaje walidację wpisów class_cache i bezpieczne ich odświeżanie.

W module platform/x86 x86-android-tablets jądra Linux funkcja gpio_secondary_fwnode_init() zwalnia referencję do urządzenia na końcu każdej iteracji, podczas gdy devm_add_action_or_reset() zapisuje wskaźnik bez zwiększania licznika referencji. Może to prowadzić do use-after-free podczas demontażu sterownika.

W jądrze Linux na architekturze PowerPC funkcja arch_exit_to_user_mode_prepare() przywracała uprawnienia dostępu do pamięci użytkownika (KUAP) zbyt wcześnie, przed zakończeniem procedur wyjścia specyficznych dla platformy. Prowadziło to do tego, że jądro mogło działać z odblokowanym dostępem do pamięci użytkownika, co przy włączonym CONFIG_PPC_KUAP_DEBUG powodowało ostrzeżenie w interrupt_exit_user_prepare(). Problem został rozwiązany poprzez usunięcie przywracania KUAP z tego hooka.

W jądrze Linux na architekturze PowerPC funkcja __replay_soft_interrupts() podczas odtwarzania oczekującego przerwania nadpisywała maskę irq_soft_mask wartością IRQS_DISABLED (0x1), gubiąc bit IRQS_PMI_DISABLED (0x2). Prowadziło to do ostrzeżenia WARN_ON w arch/powerpc/kernel/irq_64.c:75, obserwowanego wcześnie podczas rozruchu na gościu POWER10 pseries. Poprawka zastępuje local_irq_disable() wywołaniem hard_irq_disable().

W jądrze Linux w funkcji unix_stream_read_generic() wywołanie recv(0, MSG_PEEK) w trybie blokującym powodowało aktywne oczekiwanie (busy-wait), gdy ostatni skb w kolejce był typu MSG_OOB. Problem dotyczy gniazd AF_UNIX. Poprawka sprawia, że funkcja zwraca natychmiast wartość 0, tak jak robi to TCP.

W jądrze Linux w obsłudze protokołu IPv4 występuje przepełnienie pola długości UDP przy wykrywaniu PMTU i bardzo dużym MTU interfejsu. Gdy opcja IP_MTU_DISCOVER jest ustawiona na IP_PMTUDISC_PROBE, a pakiet jest wysyłany przez interfejs o MTU większym niż IP_MAX_MTU + 20, długość UDP może przekroczyć 16-bitowe pole i wywołać ostrzeżenie WARN w udp_set_len_short. Problem dotyczy stosu sieciowego IPv4 w jądrze.

W jądrze Linux w sterowniku Bluetooth btintel_pcie występuje błąd off-by-one w sprawdzaniu zakresu indeksu tx_handle. Poprawny zakres indeksów to 0..txq->count-1, ale warunek w btintel_pcie_msix_tx_handle() sprawdzał tylko '> txq->count', co pozwalało na użycie indeksu równego txq->count. Poprawka zmienia warunek na '>= txq->count'.

W jądrze Linux w sterowniku drm/xe występuje problem z wyścigiem podczas niszczenia maszyny wirtualnej (VM), gdy odwołanie runtime PM jest zwalniane asynchronicznie, a zaległe błędy stron (page faults) są wciąż w kolejce. Worker obsługi błędów stron może wywołać guc_ct_send_locked() na już uśpionym urządzeniu, co powoduje naruszenie asercji i ostrzeżenie jądra. Poprawka polega na utrzymywaniu referencji runtime PM przez cały czas działania workera.

W jądrze Linux w kodzie x86/amd_node występuje dzielenie przez zero na systemach wirtualizowanych. Liczba węzłów (nodes) nie ma związku z liczbą korzeni (roots), a w Xen PVH dom0 roots_per_node może wynosić 0, co powoduje awarię przy operacji modulo. Poprawka ustawia roots_per_node na 1 w takim przypadku i wypisuje ostrzeżenie o błędzie firmware dla systemów niewirtualizowanych.

W jądrze Linux w sterowniku drm/amdgpu występuje problem podczas wznawiania po resecie GPU, gdy praca gfx idle może wywołać switch_power_profile przed zakończeniem resetu. Powoduje to dostęp do rejestrów bez zwolnienia semafora resetu GPU, co prowadzi do błędu asercji i śladu stosu. Poprawka pomija switch_power_profile podczas resetu GPU.