Katalog podatności CVE

W jądrze Linux w module cls_u32 (net/sched) występuje błąd, w którym funkcja gen_new_kid() przy wyczerpaniu puli identyfikatorów zwraca wartość max (htid | 0xFFF) zamiast zgłosić błąd. Powoduje to utworzenie nowego węzła knode z uchwytem, który już istnieje w tablicy haszującej, łamiąc unikalność uchwytów. Podobny problem dotyczy gen_new_htid(), która zwraca 0 przy pełnej puli tp_c, co prowadzi do aliasowania tabel głównych o uchwycie 0.

W jądrze Linuxa przekonwertowano strukturę ip_sf_list w protokole IGMP do mechanizmu RCU. Poprawka eliminuje potencjalny deadlock (zakleszczenie) i ostrzeżenia lockdep, które występowały, gdy funkcja ip_check_mc_rcu() próbowała uzyskać blokadę, która była już trzymana w tej samej ścieżce kodu.

W jądrze Linuxa w protokole IPv6 multicast naprawiono błąd w funkcji ip6_mc_del1_src() dotyczący list RCU. Poprzednio, gdy filtr źródłowy był usuwany, wskaźnik był modyfikowany przed upływem okresu przejściowego, co mogło powodować, że równoległe odczyty trafiały na listę tombstone zamiast na właściwą listę źródeł.

W jądrze Linuxa w protokole IPv6 multicast zmieniono funkcję ip6_mc_source() tak, aby używała mechanizmu copy-on-write z RCU. Poprzednio modyfikacje listy filtrów źródłowych były wykonywane w miejscu, co mogło prowadzić do odczytania rozerwanych adresów IPv6 lub zduplikowanych/pominiętych wpisów przez równoległych czytelników.

W jądrze Linuxa w protokole IPv6 multicast naprawiono kilka miejsc, w których listy chronione przez RCU były aktualizowane bez użycia rcu_assign_pointer(). Poprawka zapewnia spójne użycie rcu_assign_pointer() wraz z odpowiednimi funkcjami pomocniczymi do dereferencji.

W jądrze Linux naprawiono podatność w module TIPC, gdzie przy przekroczeniu limitu TIPC_MAX_PUBL (65535) publikacji usług lokalnych, typy usług protokołu (stan węzła, stan łącza) nie były już wstawiane do tablicy nazw. Prowadziło to do braku powiadomień o zdarzeniach oraz do dereferencji NULL w funkcji tipc_named_node_up() przy pustej liście publikacji.

W jądrze Linuxa w protokole TIPC naprawiono problem wysyłania losowych bajtów dopełnienia w komunikatach RESET/ACTIVATE. Poprzednio używano strcpy(), co mogło wysyłać przypadkowe dane z bufora skb do zdalnego systemu. Teraz używane jest memcpy(), które kopiuje wyzerowane bajty dopełnienia.

W jądrze Linuxa w protokole IPv6 Segment Routing naprawiono problem z przywracaniem nagłówka sieciowego przed routingiem i forwardingiem. Poprzednio, gdy nagłówek SRH nie następował bezpośrednio po nagłówku IPv6, offset sieciowy mógł być ujemny, co mogło prowadzić do przepełnień bufora podczas forwardowania.

W jądrze Linux w funkcji tpacket_parse_header() (podsystem af_packet) wartość tp_len pochodząca od użytkownika (typ u32) była rzutowana na typ int. Wartość większa niż INT_MAX stawała się liczbą ujemną, która przechodziła sprawdzenie zakresu i była zwracana do funkcji sock_sendmsg_nosec(), wywołując BUG().

W jądrze Linux w sterowniku fbtft (staging) blokada dirty_lock nie była bezpieczna dla przerwań IRQ. Funkcja fbtft_mkdirty() może być wywołana ze ścieżki renderowania fbcon w kontekście hardirq, podczas gdy fbtft_deferred_io() używa tej samej blokady w kontekście workqueue z włączonymi przerwaniami lokalnymi, co prowadzi do możliwej inwersji blokad i zakleszczenia.

W jądrze Linux w sterowniku ASoC fsl_micfil funkcje hw_params() i hw_free() włączały i wyłączały zegar mclk bez zachowania równowagi. Rdzeń PCM nie gwarantuje parowania 1:1, więc hw_free() może wykonać się bez hw_params(), a hw_params() może być wywołane wielokrotnie, co powoduje ostrzeżenie "already disabled" lub wyciek referencji włączenia zegara.

W jądrze Linux w sterowniku ASoC amd yc funkcja acp6x_pdm_dma_close() nie zwalnia bufora runtime->private_data przydzielonego w acp6x_pdm_dma_open(). Brakuje wywołania kfree, co powoduje wyciek pamięci.

W jądrze Linux w systemie plików btrfs podczas tworzenia pierwszego fragmentu metadanych dla systemu plików sprout funkcja create_chunk() dodaje nowe urządzenie do listy dev_update_list transakcji. Jeśli utworzenie kolejnego fragmentu systemowego się nie powiedzie, btrfs_init_new_device() przerywa transakcję i zwalnia urządzenie, gdy post_commit_list jest nadal połączona, co powoduje ostrzeżenie i pozostawia listę transakcji wskazującą na zwolnioną pamięć.

W jądrze Linux w systemie plików btrfs funkcja btrfs_init_new_device() przełącza wskaźniki latest_dev i s_bdev z urządzenia seed na nowe urządzenie sprout przed utworzeniem pierwszych zapisywalnych fragmentów. Jeśli utworzenie fragmentu lub konfiguracja sprout się nie powiedzie, ścieżka błędu zwalnia nowe urządzenie bez przywrócenia tych wskaźników, co może spowodować odwołanie do zwolnionej pamięci w btrfs_show_devname() i awarię.

W jądrze Linux w module bonding (tryb alb) funkcja alb_determine_nd() używa icmp6_hdr(skb) do inspekcji nagłówków ICMPv6, ale w ścieżkach transmisji (np. pakiety wysyłane przez AF_PACKET / surowe gniazda lub przekazywane) skb->transport_header nie jest gwarantowanie zainicjalizowany. pskb_network_may_pull() nie ustawia przesunięcia nagłówka transportowego, więc dereferencja icmp6_hdr(skb) może uzyskać dostęp do pamięci poza zakresem.

W jądrze Linux w sterowniku scsi mpt3sas funkcja _base_assign_reply_queues() wywołuje cpumask_of_node() z wartością zwróconą przez dev_to_node(), która może wynosić NUMA_NO_NODE (-1) w systemach bez informacji o topologii NUMA dla urządzenia PCI. Przekazanie -1 do cpumask_of_node() powoduje odczyt poza zakresem tablicy node_to_cpumask_map[-1], wykryty przez UBSAN.

W jądrze Linux występuje błąd w planistyce czasu rzeczywistego (sched/rt,dl), który powoduje, że zadania RT z wywołaniem migrate_disable() pozostają na liście zadań możliwych do przeniesienia (rq->rt.pushable_tasks), mimo że nie mogą zostać przeniesione na inny CPU. W efekcie balanser RT wielokrotnie próbuje przenieść takie zadanie, co kończy się niepowodzeniem i marnowaniem czasu procesora — w opisanym przypadku nawet 37 ms z 89 ms okna czasowego zostało zużyte na nieudane próby przeniesienia.

W jądrze Linux w podsystemie ALSA ump funkcja snd_ump_parse_endpoint() ustawia ump->parsed przy każdym wyjściu, także błędnym, zanim wywołujący podłączy starsze urządzenie rawmidi. Funkcja ump_handle_ep_name_msg() traktuje wtedy parsed jako "legacy_rmidi jest aktywne" i wywołuje ump_legacy_set_rawmidi_name(), która wykonuje snprintf() na ump->legacy_rmidi->name. Jeśli pakiet UMP nadejdzie w tym oknie (ścieżka IRQ z snd_ump_receive), legacy_rmidi jest nadal NULL, co powoduje dereferencję null w snprintf.

W jądrze Linuxa w mechanizmie precyzyjnego cofania (backtracking) dla instrukcji BPF_LD | BPF_{IND,ABS} nie obsłużono przypadku niejawnego wyjścia z podprogramu. Powodowało to kontynuowanie cofania w ramce wywołującego przy przetwarzaniu instrukcji w ramce wywoływanego, co prowadziło do błędów segmentacji lub niepoprawnego przycinania stanu.

W jądrze Linuxa w mechanizmie precyzyjnego cofania dla wywołań bpf_loop() występował błąd: przy drugim odwiedzeniu wywołania, precyzja rejestru R1 (licznik iteracji) była resetowana przez przetwarzanie poprzedzającego BPF_EXIT. Skutkowało to wstrzyknięciem punktu kontrolnego bez oznaczenia R1 jako precyzyjnego, co mogło pozwolić weryfikatorowi na zaakceptowanie niebezpiecznych programów.