Katalog podatności CVE

W jądrze Linux w module TIPC funkcja tipc_node_find_by_name() zwracała wskaźnik do węzła po zwolnieniu blokady RCU, nie pobierając referencji. Obsługiwacze LINK_SET, LINK_GET i LINK_RESET_STATS mogły następnie używać zwolnionego węzła, co prowadziło do use-after-free (wykryte przez KASAN).

W jądrze Linux funkcja __fsverity_get_info() używa rhashtable_lookup_fast() z rcu_read_lock(), co nie synchronizuje się bezpośrednio z fsverity_remove_info(). Dla różnych inode'ów równoległe wywołania mogą powodować use-after-free, ponieważ polegają na fsverity_info::rhash_head i fsverity_info::inode po zwolnieniu. Poprawka opóźnia zwolnienie struct fsverity_info przez RCU po usunięciu z rhashtable.

W jądrze Linux sterownik gpio-mpsse w gpio_mpsse_irq_enable() uruchamiał worker poll przed dodaniem go do listy priv->workers. Jeśli gpio_mpsse_disconnect() przechodził listę w tym oknie, pomijał worker, a po zwolnieniu mpsse_priv osierocony gpio_mpsse_poll() nadal uzyskiwał do niego dostęp, powodując use-after-free. Poprawka publikuje i uzbraja worker w jednej sekcji krytycznej irq_spin oraz dodaje flagę priv->dying.

W jądrze Linux w sterowniku gve występuje wyciek bufora XSK przy deskryptorze błędu. Gdy w deskryptorze ukończenia RX ustawiony jest bit błędu, buf_state i przypisany bufor powinny zostać zwolnione, ale w przypadku AF_XDP ZC bufor XSK nie jest zwalniany.

W jądrze Linux w io_uring/net występuje obejście filtra CONNECT dla 24-bajtowego sockaddr_in6. Funkcja io_connect_bpf_populate() wypełnia pola filtra tylko gdy addr_len >= 28 bajtów, podczas gdy ścieżki połączenia IPv6 akceptują 24 bajty, przez co filtr widzi port i adres zerowe i może zostać obejśty.

W jądrze Linux w funkcji smc_getname() występuje use-after-free (a w niektórych przypadkach NULL dereference) związany z brakiem synchronizacji przy dostępie do wskaźnika smc->clcsock. Zakończenie link-group może zwolnić gniazdo CLC przez smc_close_active_abort() w trakcie wywołania getsockname(), co prowadzi do odwołania do zwolnionej pamięci.

W jądrze Linux funkcja skb_copy_and_csum_bits() przy napotkaniu nieczytelnych fragmentów zwraca 0 po skopiowaniu tylko części liniowej, pozostawiając resztę bufora wywołującego bez zmian. Ponieważ bufory (np. błędy ICMP lub bufory TX sterownika) nie są zerowane, do sieci mogą zostać wysłane nieoczekiwane dane z pamięci.

W jądrze Linux na architekturze RISC-V, w funkcji handle_exception() przy włączonym CONFIG_SHADOW_CALL_STACK, decyzja o przeładowaniu wskaźnika shadow call stack (gp) opierała się na rejestrze tp, który jest kontrolowany przez użytkownika. Poprzez ustawienie tp na adres własnego task_struct użytkownik mógł wymusić pominięcie przeładowania gp, co prowadzi do dowolnego zapisu w pamięci jądra i przejęcia przepływu sterowania przez nieuprzywilejowanego użytkownika.

W jądrze Linux errata_probe_ghostwrite() oznacza CPU jako podatny tylko na wczesnym etapie rozruchu, który wymaga CONFIG_RISCV_ALTERNATIVE_EARLY. Ta opcja jest obecnie wybierana tylko przez ERRATA_THEAD_MAE, więc przy ERRATA_THEAD_GHOSTWRITE=y i ERRATA_THEAD_MAE=n stan podatności nigdy nie jest ustawiany, a mitygacja nie działa. Poprawka wybiera RISCV_ALTERNATIVE_EARLY z ERRATA_THEAD_GHOSTWRITE.

W jądrze Linux na RISC-V funkcje futex przekazują surowy wskaźnik użytkownika do operacji atomowych bez usunięcia tagu, mimo że access_ok() sprawdza adres po odtagowaniu. Przy włączonym ABI tagowanych adresów (CONFIG_RISCV_ISA_SUPM) proces nieuprzywilejowany może spowodować atomowy odczyt-modyfikację-zapis pod dowolnym adresem jądra przez FUTEX_WAKE_OP. Poprawka usuwa tag przed operacją atomową, tak jak robią to get_user()/put_user().

W jądrze Linux w funkcji hci_le_set_ext_scan_param_sync() podczas konfiguracji skanowania PA występuje użycie po zwolnieniu pamięci (use-after-free). Wskaźnik do adresu jest pobierany z hci_sent_cmd_data() bez utrzymywania referencji do skb, a równoległy wątek hci_cmd_work() może zwolnić i zastąpić ten skb, zanim adres zostanie odczytany. Problem został naprawiony przez synchronizację dostępu do sent_cmd i req_skb za pomocą hdev->lock oraz skopiowanie adresu przed zwolnieniem blokady.

W jądrze Linux naprawiono błąd w obsłudze Bluetooth ISO, gdzie równoczesne wywołania listen() na tym samym gnieździe broadcastowym mogły doprowadzić do nadpisania wskaźnika połączenia i wycieku referencji. W rezultacie późniejsze zdarzenia mogły powodować dostęp do zwolnionego gniazda (use-after-free), co potwierdzono raportem KASAN.

W jądrze Linux w obsłudze Bluetooth ISO funkcja iso_sock_connect() sprawdza stan gniazda przed założeniem blokady i zwalnia ją przed nawiązaniem połączenia, co pozwala dwóm równoczesnym wywołaniom przejść kontrolę dopuszczenia. Prowadzi to do nadpisania miejsca docelowego gniazda, wycieku referencji i użycia zwolnionego gniazda (use-after-free), co potwierdził KASAN w iso_sock_hold().

W jądrze Linux w obsłudze Bluetooth SCO występował wyścig między ścieżką odbioru danych (sco_recv_scodata) a zwalnianiem struktury sco_conn, co prowadziło do użycia zwolnionej pamięci (use-after-free). Wskaźnik hcon->sco_data był czyszczony bez trzymania hdev->lock, więc ścieżka RX mogła wykonać kref_get_unless_zero() na już zwolnionym obiekcie. Poprawka nadaje wskaźnikowi rzeczywiste odwołanie i serializuje jego czyszczenie pod hdev->lock.

W jądrze Linux w drm/i915/gem funkcja eb_relocate_parse_slow() może wywołać kvfree() na wpisach poza oryginalną tablicą exec. Dzieje się tak, ponieważ eb_parse() zwiększa eb->buffer_count po dodaniu VMA, a sprzątanie używa zwiększonego licznika do zwalniania wskaźników relokacji.

W jądrze Linux w drm/vmwgfx brakuje walidacji pitch (skoku) pochodzącego z przestrzeni użytkownika przed kopiowaniem danych z powierzchni. Może to prowadzić do odczytów poza granicami pamięci podczas cursor snooping.

W jądrze Linux w module drm/xe wykryto błąd polegający na pozostawieniu nieaktualnego wpisu pinned_link, gdy odpięcie bufora ramki (fb-pin) wykonuje ostatnie odpięcie. Prowadzi to do wpisu listy wskazującego na zwolnioną pamięć i potencjalnego use-after-free przy kolejnym przejściu lub modyfikacji listy.

W jądrze Linux funkcja mnt_change_mountpoint() nie resetowała pola ->overmount starego rodzica, w przeciwieństwie do __umount_mnt(). W ścieżce reparent()/propagate_umount() prowadziło to do wskaźnika wiszącego i use-after-free, gdy deskryptor pliku utrzymywał przy życiu odmontowany mount, a do_lock_mount() podążał za ->overmount do zwolnionego obiektu.

W jądrze Linux naprawiono błąd w clone_mnt(), gdzie flaga MNT_UMOUNT była dziedziczona przez klonowane punkty montowania. Pozwalało to na tworzenie kopii leniwie odmontowanego montowania (utrzymywanego przez deskryptor pliku nsfs/pidfs), co prowadziło do licznych błędów: wycieków struktur, nieprawidłowego odmontowywania sąsiadów, problemów z propagacją i reparentowaniem. Poprawka dodaje MNT_UMOUNT do MNT_INTERNAL_FLAGS, aby flaga nie była kopiowana.

W jądrze Linux występuje luka use-after-free w mechanizmie powiadomień o montowaniu. Funkcja mnt_notify_add() nie sprawdza, czy dany montaż jest już w kolejce notify_list, co przy wielokrotnym wywołaniu umount_tree() w ramach jednego namespace_sem prowadzi do dodania tego samego montażu dwukrotnie i uszkodzenia listy. Późniejsze operacje montowania na hoście odwołują się do zwolnionej pamięci.