Katalog podatności CVE

W jądrze Linux w funkcji smc_getname() występuje use-after-free (a w niektórych przypadkach NULL dereference) związany z brakiem synchronizacji przy dostępie do wskaźnika smc->clcsock. Zakończenie link-group może zwolnić gniazdo CLC przez smc_close_active_abort() w trakcie wywołania getsockname(), co prowadzi do odwołania do zwolnionej pamięci.

W jądrze Linux funkcja skb_copy_and_csum_bits() przy napotkaniu nieczytelnych fragmentów zwraca 0 po skopiowaniu tylko części liniowej, pozostawiając resztę bufora wywołującego bez zmian. Ponieważ bufory (np. błędy ICMP lub bufory TX sterownika) nie są zerowane, do sieci mogą zostać wysłane nieoczekiwane dane z pamięci.

W jądrze Linux na architekturze RISC-V, w funkcji handle_exception() przy włączonym CONFIG_SHADOW_CALL_STACK, decyzja o przeładowaniu wskaźnika shadow call stack (gp) opierała się na rejestrze tp, który jest kontrolowany przez użytkownika. Poprzez ustawienie tp na adres własnego task_struct użytkownik mógł wymusić pominięcie przeładowania gp, co prowadzi do dowolnego zapisu w pamięci jądra i przejęcia przepływu sterowania przez nieuprzywilejowanego użytkownika.

W jądrze Linux errata_probe_ghostwrite() oznacza CPU jako podatny tylko na wczesnym etapie rozruchu, który wymaga CONFIG_RISCV_ALTERNATIVE_EARLY. Ta opcja jest obecnie wybierana tylko przez ERRATA_THEAD_MAE, więc przy ERRATA_THEAD_GHOSTWRITE=y i ERRATA_THEAD_MAE=n stan podatności nigdy nie jest ustawiany, a mitygacja nie działa. Poprawka wybiera RISCV_ALTERNATIVE_EARLY z ERRATA_THEAD_GHOSTWRITE.

W jądrze Linux na RISC-V funkcje futex przekazują surowy wskaźnik użytkownika do operacji atomowych bez usunięcia tagu, mimo że access_ok() sprawdza adres po odtagowaniu. Przy włączonym ABI tagowanych adresów (CONFIG_RISCV_ISA_SUPM) proces nieuprzywilejowany może spowodować atomowy odczyt-modyfikację-zapis pod dowolnym adresem jądra przez FUTEX_WAKE_OP. Poprawka usuwa tag przed operacją atomową, tak jak robią to get_user()/put_user().

W jądrze Linux w funkcji hci_le_set_ext_scan_param_sync() podczas konfiguracji skanowania PA występuje użycie po zwolnieniu pamięci (use-after-free). Wskaźnik do adresu jest pobierany z hci_sent_cmd_data() bez utrzymywania referencji do skb, a równoległy wątek hci_cmd_work() może zwolnić i zastąpić ten skb, zanim adres zostanie odczytany. Problem został naprawiony przez synchronizację dostępu do sent_cmd i req_skb za pomocą hdev->lock oraz skopiowanie adresu przed zwolnieniem blokady.

W jądrze Linux naprawiono błąd w obsłudze Bluetooth ISO, gdzie równoczesne wywołania listen() na tym samym gnieździe broadcastowym mogły doprowadzić do nadpisania wskaźnika połączenia i wycieku referencji. W rezultacie późniejsze zdarzenia mogły powodować dostęp do zwolnionego gniazda (use-after-free), co potwierdzono raportem KASAN.

W jądrze Linux w obsłudze Bluetooth ISO funkcja iso_sock_connect() sprawdza stan gniazda przed założeniem blokady i zwalnia ją przed nawiązaniem połączenia, co pozwala dwóm równoczesnym wywołaniom przejść kontrolę dopuszczenia. Prowadzi to do nadpisania miejsca docelowego gniazda, wycieku referencji i użycia zwolnionego gniazda (use-after-free), co potwierdził KASAN w iso_sock_hold().

W jądrze Linux w obsłudze Bluetooth SCO występował wyścig między ścieżką odbioru danych (sco_recv_scodata) a zwalnianiem struktury sco_conn, co prowadziło do użycia zwolnionej pamięci (use-after-free). Wskaźnik hcon->sco_data był czyszczony bez trzymania hdev->lock, więc ścieżka RX mogła wykonać kref_get_unless_zero() na już zwolnionym obiekcie. Poprawka nadaje wskaźnikowi rzeczywiste odwołanie i serializuje jego czyszczenie pod hdev->lock.

W jądrze Linux w drm/i915/gem funkcja eb_relocate_parse_slow() może wywołać kvfree() na wpisach poza oryginalną tablicą exec. Dzieje się tak, ponieważ eb_parse() zwiększa eb->buffer_count po dodaniu VMA, a sprzątanie używa zwiększonego licznika do zwalniania wskaźników relokacji.

W jądrze Linux w drm/vmwgfx brakuje walidacji pitch (skoku) pochodzącego z przestrzeni użytkownika przed kopiowaniem danych z powierzchni. Może to prowadzić do odczytów poza granicami pamięci podczas cursor snooping.

W jądrze Linux w module drm/xe wykryto błąd polegający na pozostawieniu nieaktualnego wpisu pinned_link, gdy odpięcie bufora ramki (fb-pin) wykonuje ostatnie odpięcie. Prowadzi to do wpisu listy wskazującego na zwolnioną pamięć i potencjalnego use-after-free przy kolejnym przejściu lub modyfikacji listy.

W jądrze Linux funkcja mnt_change_mountpoint() nie resetowała pola ->overmount starego rodzica, w przeciwieństwie do __umount_mnt(). W ścieżce reparent()/propagate_umount() prowadziło to do wskaźnika wiszącego i use-after-free, gdy deskryptor pliku utrzymywał przy życiu odmontowany mount, a do_lock_mount() podążał za ->overmount do zwolnionego obiektu.

W jądrze Linux naprawiono błąd w clone_mnt(), gdzie flaga MNT_UMOUNT była dziedziczona przez klonowane punkty montowania. Pozwalało to na tworzenie kopii leniwie odmontowanego montowania (utrzymywanego przez deskryptor pliku nsfs/pidfs), co prowadziło do licznych błędów: wycieków struktur, nieprawidłowego odmontowywania sąsiadów, problemów z propagacją i reparentowaniem. Poprawka dodaje MNT_UMOUNT do MNT_INTERNAL_FLAGS, aby flaga nie była kopiowana.

W jądrze Linux występuje luka use-after-free w mechanizmie powiadomień o montowaniu. Funkcja mnt_notify_add() nie sprawdza, czy dany montaż jest już w kolejce notify_list, co przy wielokrotnym wywołaniu umount_tree() w ramach jednego namespace_sem prowadzi do dodania tego samego montażu dwukrotnie i uszkodzenia listy. Późniejsze operacje montowania na hoście odwołują się do zwolnionej pamięci.

W jądrze Linux naprawiono podatność w mechanizmie open_tree(OPEN_TREE_NAMESPACE), który tworzy nową przestrzeń nazw montowań z kopii drzewa pod podaną ścieżką. Nieuprzywilejowany użytkownik mógł najpierw utworzyć przestrzeń nazw użytkownika, a następnie uzyskać dostęp do zawartości ukrytej przez zamontowane punkty montowania (np. maskowanie /proc i /sys w kontenerach).

W jądrze Linux d_alloc_pseudo() zwraca dentry z flagą DCACHE_NORCU, które są natychmiast zwalniane, o ile nie stanowią korzenia montowania. Bind mounting /proc/self/fd/<fd> takiego pliku (np. tokenu BPF na bpffs) czyni taki dentry korzeniem montowania, co prowadzi do use-after-free podczas ścieżki __follow_mount_rcu(). Może to spowodować dostęp do zwolnionej pamięci.

W jądrze Linux występuje luka wyścigu w funkcji __detach_mounts() podczas odłączania punktów montowania od wpisu katalogowego. Między detach_mounts() a d_delete() wpis pozostaje w dcache jako dodatni, mimo że nic go już nie przykrywa, co pozwala współbieżnym wyszukiwaniom odsłonić ukrytą zawartość. Problem dotyczy usuwania plików lub katalogów będących punktami montowania w innych przestrzeniach nazw montowania.

W jądrze Linux naprawiono podatność w mechanizmie namei (refwalk), która pozwalała ujawnić wpisy przesłonięte przez punkt montowania. W wąskim oknie czasowym między odłączeniem montowań a usunięciem nazwy (unlink/rmdir/rename) refwalk mógł zwrócić podstawowy wpis zamiast zamontowanej zawartości. Poprawka dodaje sprawdzenie flagi DCACHE_CANT_MOUNT po step_into(), aby wykryć taki przypadek.

W jądrze Linux występuje błąd w obsłudze zamontowań zablokowanych (locked mounts), które mają chronić ukryte pliki i katalogi przed ujawnieniem. Gdy właściciel przestrzeni nazw użytkownika umieści montowanie pod zablokowanym montowaniem za pomocą MOVE_MOUNT_BENEATH, właściwość blokady przenosi się na dolne montowanie, umożliwiając odmontowanie górnego montowania i ujawnienie ukrytego katalogu. Poprawka powoduje, że zwykłe umount() zwraca EBUSY, a zablokowane montowanie jest usuwane razem z rodzicem.