Katalog podatności CVE

W jądrze Linux weryfikator BPF błędnie wnioskował, że wskaźnik z nieograniczonym przesunięciem jest nie-NULL, opierając się tylko na typie. W wyniku tego program BPF mógł przejść weryfikację, a w czasie działania nastąpiło wyłuskanie wskaźnika NULL.

W jądrze Linux weryfikator BPF mógł przywrócić identyfikator skalara usunięty przez collect_linked_regs(), ponieważ kopie porównywanych rejestrów były wykonywane przed zebraniem powiązanych rejestrów. Mogło to prowadzić do niespójności zakresów i propagacji precyzji.

W jądrze Linux weryfikator BPF błędnie przewidywał wynik porównania wskaźnika z zerem w instrukcjach JMP32, nie odróżniając porównań BPF_JMP od BPF_JMP32. Prowadziło to do nieprawidłowego wnioskowania o zawsze wykonanym skoku.

W jądrze Linux weryfikator BPF nie oznaczał rejestru zerowego jako precyzyjnego przy sprawdzaniu NULL w formie porównania rejestrów. W rezultacie jedna ze ścieżek była przycinana, a program mógł wyłuskać wskaźnik o wartości zero w czasie działania.

W jądrze Linux weryfikator BPF nie wymagał flagi MEM_PERCPU dla zapisów do pól percpu kptr, akceptując zarówno zwykłe alokacje bpf_obj_new(), jak i wskaźniki jądra. Mogło to prowadzić do dowolnego odczytu/zapisu w jądrze lub nieprawidłowej relokacji adresów.

W jądrze Linux weryfikator BPF błędnie klasyfikował pożyczone referencje RCU kptr jako referencje właścicielskie, przez co nie wymagał sprawdzenia NULL. W czasie działania refcount_inc_not_zero() mogło zwrócić NULL, podczas gdy weryfikator traktował wynik jako nie-NULL.

W jądrze Linux weryfikator BPF uznawał wskaźniki PTR_UNTRUSTED z flagą MEM_ALLOC za żywe obiekty alokowane, mimo że ich okres życia nie jest już chroniony. Funkcja bpf_refcount_acquire() mogła następnie wyłuskać NULL lub nieaktualną pamięć.

W jądrze Linux funkcja rhtab_map_update_elem() ponownie inicjalizowała pola specjalne w recyklowanych elementach mapy, usuwając jedyny wskaźnik do timera. W rezultacie timer mógł zostać uruchomiony z kluczem i wartością wskazującymi na zwolnioną pamięć.

W jądrze Linux naprawiono podatność w podsystemie BPF dotyczącą map typu rhtab. Funkcje rhtab_map_update_existing() i rhtab_delete_elem() wywoływały bpf_obj_free_fields(), co mogło być niebezpieczne w kontekście NMI. Zmiana polega na użyciu bpf_obj_cancel_fields() do anulowania tylko pól asynchronicznych, a zwalnianie referencji kptr pozostawiono destruktorowi alokacji.

W jądrze Linux naprawiono podatność w weryfikatorze BPF dotyczącą zapisów do pól kptr. Funkcja check_map_kptr_access() zezwalała na zapis skalara do niezaufanego pola kptr tylko gdy rejestr zawierał zero, ale nie oznaczała tego rejestru jako precyzyjnego. Mogło to pozwolić na ominięcie weryfikatora i zapisanie atakujących danych do pola kptr.

W jądrze Linux naprawiono podatność w podsystemie BPF dotyczącą tożsamości map wewnętrznych w ramkach wywołań zwrotnych. Konstruktory ramek wywołań zwrotnych czyściły pole map_uid, co uniemożliwiało rozróżnienie map wewnętrznych współdzielących szablon inner_map_meta. Mogło to prowadzić do użycia zwolnionej mapy po zwolnieniu pamięci.

W jądrze Linux naprawiono podatność w podsystemie tracingu dotyczącą wyścigów przy zmianie rozmiaru podbuforów. Współbieżne zmiany rozmiaru podbuforów mogły powodować awarie czytników trace_pipe_raw lub wyciek niezainicjowanej pamięci do przestrzeni użytkownika. Poprawka modyfikuje ring_buffer_alloc_read_page() i dodaje nową funkcję ring_buffer_read_page_size().

W jądrze Linux naprawiono podatność w podsystemie nexthop dotyczącą niezinicjalizowanej struktury extack w funkcji remove_nh_grp_entry(). Funkcja ta drukuje komunikat extack, gdy odbiorca nie zastąpi zredukowanej grupy nexthop, ale extack nie jest inicjalizowany, co prowadzi do dereferencji niezainicjowanego wskaźnika stosu.

W jądrze Linux naprawiono podatność w sterowniku DSA bcm_sf2 dotyczącą braku ograniczenia zrzutu reguł CFP rozmiarem bufora wywołującego. Funkcja bcm_sf2_cfp_rule_get_all() przechodzi przez całą bitmapę cfp.unique bez uwzględnienia nfc->rule_cnt, co pozwala na wyjście poza alokację. Luka jest dostępna bez uprawnień CAP_NET_ADMIN.

W jądrze Linux sterownik nfp (ethernet) zrzuca reguły ntuple do bufora bez sprawdzania rozmiaru bufora podanego przez wywołującego. Funkcja nfp_net_get_fs_loc() zapisuje wszystkie wpisy nn->fs.list do rule_locs[] ignorując cmd->rule_cnt, co pozwala użytkownikowi bez uprawnień CAP_NET_ADMIN wywołać ETHTOOL_GRXCLSRLALL z mniejszą liczbą slotów niż liczba reguł i wyjść poza alokację; rule_cnt równy 0 pozostawia wskaźnik NULL i powoduje dereferencję.

W jądrze Linux sterownik nfp (ethernet) przy nieudanym przeprogramowaniu reguły nie usuwa jej z listy. Funkcja nfp_net_fs_add() usuwa starą regułę ze sprzętu i zmniejsza nn->fs.count, ale gdy nfp_net_fs_add_hw() zawiedzie, stary wpis pozostaje na nn->fs.list, przez co lista jest dłuższa niż licznik i nadal reklamuje regułę, której wpis sprzętowy został już usunięty.

W jądrze Linux sterownik DSA mv88e6xxx zrzuca reguły polityki do bufora bez sprawdzania jego rozmiaru. Funkcja mv88e6xxx_get_rxnfc() używa rxnfc->rule_cnt jako indeksu zapisu, nadpisując wartość wejściową oznaczającą liczbę dostępnych slotów, co pozwala użytkownikowi bez CAP_NET_ADMIN wywołać ETHTOOL_GRXCLSRLALL z mniejszą liczbą slotów niż liczba reguł i wyjść poza alokację; rule_cnt równy 0 pozostawia wskaźnik NULL i powoduje dereferencję.

W jądrze Linux mostek (bridge) multicast nieprawidłowo konwertuje listę mglist na RCU. Funkcja br_multicast_del_port_group usuwa grupę portów bez użycia właściwego pomocnika RCU zachowującego wskaźnik next, a następnie natychmiast zwalnia grupę bez oczekiwania na okres karencji RCU; jedyny czytelnik mglist, br_multicast_list_adjacent(), był zawsze błędny, ponieważ mglist nigdy nie zostało poprawnie przekonwertowane na RCU.

W jądrze Linux w sterowniku cx82310_eth wykryto przepełnienie bufora na stercie (heap overflow). Gdy urządzenie wyśle URB rozpoczynający się od znacznika restartu 0xffff, sterownik pomija sprawdzenie MTU i kopiuje do 4094 bajtów danych do bufora o rozmiarze zaledwie 1516 bajtów, co prowadzi do uszkodzenia pamięci i przekazania zniekształconej ramki do stosu sieciowego.

W jądrze Linux sterownik s390/ism zwalnia pamięć niewłaściwą funkcją po błędzie. Pole dmb->cpu_addr zostało przydzielone przez folio_alloc(), ale w ścieżce błędu funkcji ism_alloc_dmb() użyto kfree() zamiast folio_put(), co może uszkodzić alokator slab; dodatkowo po folio_put należy wyzerować dmb->cpu_addr, aby uniknąć przyszłego użycia po zwolnieniu.