Katalog podatności CVE

W jądrze Linuxa wykryto podatność use-after-free w module Open vSwitch (openvswitch). Problem występuje podczas dołączania nowego licznika (meter), gdy funkcja attach_meter() może udostępnić go innym procesorom, a następnie zakończyć się niepowodzeniem. W przypadku błędu, wywołujący ovs_meter_cmd_set() zwalnia pamięć licznika bez oczekiwania na zakończenie operacji odczytu przez mechanizm RCU, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linux w sterowniku i2c: imx wykryto problem polegający na tym, że hrtimer nie był anulowany przed wyczyszczeniem wskaźnika slave. W funkcji i2c_imx_unreg_slave() wskaźnik slave jest ustawiany na NULL po wyłączeniu przerwań, ale oczekujące przerwanie mogło już uruchomić hrtimer. Jeśli hrtimer wyzwoli się po ustawieniu slave na NULL, może dojść do użycia po zwolnieniu (use-after-free) lub dereferencji wskaźnika NULL. Poprawka polega na anulowaniu hrtimera i oczekiwaniu na jego zakończenie przed wyczyszczeniem wskaźnika slave.

W jądrze Linux w sterowniku peak_usb dla magistrali CAN naprawiono podwójne zwolnienie bufora transferu w funkcji peak_usb_start() w przypadku błędu usb_submit_urb(). Bufor jest zwalniany jawnie przez kfree(buf), a następnie przez usb_free_urb() z powodu flagi URB_FREE_BUFFER, co prowadzi do podwójnego zwolnienia.

W jądrze Linux w sterowniku graficznym drm/vc4 naprawiono błąd polegający na zapisywaniu w BPOS rozmiaru całego bufora binnera zamiast rozmiaru slotu przepełnienia. To pozwala PTB na zapis list kafelków poza przeznaczony obszar, co prowadzi do uszkodzenia pamięci przez DMA GPU, zawieszeń GPU i awarii systemu.

W jądrze Linux w sterowniku graficznym drm/vc4 dodano zerowanie tablicy danych stanu kafelków (TSDA) przed każdym zadaniem BIN. Wcześniej sloty binnera były ponownie wykorzystywane bez czyszczenia, co mogło prowadzić do działania PTB na nieaktualnych danych i powodować zawieszenia GPU.

W jądrze Linux w sterowniku graficznym drm/panthor dodano odrzucanie sekcji firmware z nadmiernie dużymi danymi. Wcześniej rozmiar danych do skopiowania nie był weryfikowany względem przydzielonego rozmiaru sekcji, co mogło prowadzić do przepełnienia bufora sterty i masowego zerowania pamięci poza zakresem.

W jądrze Linux w sterowniku graficznym drm/panthor dodano walidację rozmiarów struktur interfejsu firmware. Funkcja iface_fw_to_cpu_addr() sprawdzała tylko, czy adres wirtualny MCU wskazuje wewnątrz współdzielonej sekcji, ale nie sprawdzała, czy cała struktura mieści się w sekcji, co mogło prowadzić do odczytów poza zakresem.

W jądrze Linux w sterowniku amdgpu występuje podatność use-after-free w funkcji amdgpu_dpm_get_pp_table(). Funkcja zwraca wskaźnik do tabeli zasilania po zwolnieniu mutexa, a równoczesny zapis do pp_table może zwolnić pamięć podczas kopiowania, prowadząc do użycia po zwolnieniu. Poprawka polega na kopiowaniu danych do bufora dostarczonego przez wywołującego przy trzymanym mutexie.

W jądrze Linux w sterowniku amdgpu (display) występuje podatność dzielenia przez zero w funkcji calculate_mcache_setting, gdy viewport ma zerowe pole. Prowadzi to do paniki jądra i potencjalnego niedomiaru num_mcaches. Poprawka zmienia funkcję na zwracającą bool i dodaje zabezpieczenia, aby odrzucić tryb w przypadku zerowych wartości.

W jądrze Linux w sterowniku amdkfd występuje podatność przepełnienia liczby uint32_t podczas wyrównywania rozmiaru bufora EOP. Użytkownik może podać rozmiar 0xFFFFF001, który po zawinięciu daje 0, co omija sprawdzenie rozmiaru i pozwala na akceptację dowolnego BO. Może to prowadzić do zapisu poza bufor i awarii GPU.

W jądrze Linux w sterowniku amdkfd występuje podatność wyścigu w funkcji kfd_criu_checkpoint_events(). Liczenie i przeglądanie zdarzeń nie jest chronione mutexem event_mutex, co może prowadzić do zapisu poza tablicę lub użycia po zwolnieniu. Poprawka polega na trzymaniu mutexa podczas liczenia i przeglądania.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku walidacji rozmiaru nagłówka polecenia DRAW_PRIMITIVES przed dzieleniem. Mały rozmiar nagłówka powoduje zawinięcie odejmowania, co prowadzi do odczytu poza buforem. Poprawka odrzuca zbyt małe nagłówki.

W jądrze Linux w sterowniku vmwgfx występuje podatność polegająca na braku sprawdzenia, czy rozmiar nagłówka polecenia DMA jest wystarczający dla sufiksu. Może to prowadzić do niedomiaru wskaźnika sufiksu i nadpisania zweryfikowanych pól wcześniejszego polecenia, co umożliwia atak typu TOCTOU. Poprawka odrzuca polecenie, gdy ciało jest zbyt małe.

W jądrze Linux w sterowniku drm/xe podczas wykonywania operacji exec IOCTL nie czekano na semafory (fences) jądra dla zewnętrznych obiektów BO, co mogło prowadzić do wyścigu i potencjalnego odczytu/zapisu pamięci podczas jej przenoszenia. Poprawka polega na dodaniu zależności od semaforów jądra dla wszystkich obiektów zablokowanych przez exec.

W Apache Struts występuje podatność na niekontrolowane przydzielanie zasobów. Gdy nie skonfigurowano stałego locale, locale używane do wyszukiwania tekstów lokalizowanych jest pobierane z żądania przychodzącego, co pozwala niezalogowanemu klientowi na nieograniczony wzrost wewnętrznych pamięci podręcznych tekstów lokalizowanych, prowadzący do wyczerpania pamięci Java i odmowy usługi. Aplikacje ze skonfigurowanym stałym locale nie są dotknięte.

W Apache Struts występuje podatność na niekontrolowane zużycie zasobów. Aplikacja udostępniająca punkt końcowy do zbierania raportów naruszeń polityki bezpieczeństwa treści (CSP) odczytuje zgłoszone raporty do pamięci bez ograniczenia ich rozmiaru, co pozwala pojedynczemu żądaniu wyczerpać pamięć i spowodować odmowę usługi. Takie punkty końcowe są zwykle dostępne bez uwierzytelnienia. Aplikacje, które nie zbierają raportów naruszeń, nie są dotknięte.

Wtyczka Templately dla WordPressa (do wersji 3.7.1 włącznie) zawiera podatność na zdalne wykonanie kodu (RCE) w funkcji fetch_remote_file. Problem wynika z niezgodności walidacji nazwy pliku — typ pliku jest sprawdzany na podstawie nagłówka Content-Disposition, a rzeczywista ścieżka zapisu pochodzi z adresu URL, co pozwala na zapis pliku z rozszerzeniem .php. Atakujący z dostępem na poziomie contributora może ominąć bramkę unfiltered_upload i wykonać kod na serwerze.

Wtyczka Real Estate Manager Pro dla WordPressa do wersji 12.8.6 włącznie jest podatna na eskalację uprawnień. Funkcja allow_attachment_actions() nieprawidłowo obsługuje uprawnienia, traktując docelowe ID użytkownika jako ID załącznika podczas sprawdzania uprawnień. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym edycję konta administratora i eskalację uprawnień do Administratora, gdy docelowe ID użytkownika odpowiada ID istniejącego załącznika.

Wtyczka Wholesale Market dla WordPressa do wersji 2.2.2 włącznie jest podatna na eskalację uprawnień przez akcję AJAX ced_wholesale_request_send. Funkcja ced_wholesale_request_send_callback() weryfikuje tylko nonce (dostępny dla każdego uwierzytelnionego użytkownika) i dodatni ID użytkownika, a następnie wywołuje WP_User::add_role() z parametrem role_required dostarczonym przez klienta, bez ograniczania wartości do dozwolonych ról hurtowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym podniesienie uprawnień do Administratora, gdy administrator włączył opcję 'Assigning requested role directly'.

W jądrze Linux w sterowniku sun4i-ss usunięto niebezpieczny i nieużywany algorytm RNG (sun4i_ss_rng), który zawierał wiele podatności, w tym brak synchronizacji, przepełnienie bufora i nieprawidłowe generowanie losowych bajtów. Kod nie ma znanych użytkowników, więc usunięto go zamiast naprawiać.