Katalog podatności CVE

W jądrze Linux wykryto podatność w sterowniku VXLAN, która pozwala na konfigurację dynamicznych wpisów FDB odwołujących się do identyfikatora nexthop. Taka konfiguracja jest nieprawidłowa i może prowadzić do uszkodzenia listy powiązanej, wyścigu oraz użycia po zwolnieniu (use-after-free). Problem został naprawiony poprzez odrzucanie takich wpisów podczas tworzenia i aktualizacji.

W jądrze Linux nieograniczona wartość tx_queue_len pozwalała nieuprzywilejowanemu użytkownikowi (poprzez unshare -Urn) ustawić ogromną wartość i wyczerpać pamięć globalną alokacjami pierścieni buforów w podsystemach pfifo_fast, tun i tap. Podatność została naprawiona przez ograniczenie tx_queue_len do S16_MAX (32767) w funkcji netif_change_tx_queue_len(), co odrzuca zbyt duże wartości w momencie ich ustawiania.

W jądrze Linux wykryto podatność w mechanizmie tworzenia i modyfikacji interfejsów sieciowych. Atrybut IFLA_TXQLEN (txqueuelen) nie był poprawnie ograniczany do wartości S16_MAX podczas parsowania atrybutów netlink, co pozwalało na ustawienie nadmiernie dużej kolejki transmisyjnej. Prowadziło to do nadmiernych alokacji pamięci w modułach pfifo_fast, tun i tap, co mogło być wykorzystane przez nieuprzywilejowanego użytkownika w przestrzeni nazw.

W jądrze Linux sterownik pds_core ma wyścig dostępu do cmd_regs podczas odmapowywania BAR przy resecie. Funkcje pdsc_reset_prepare() i ścieżka błędu pdsc_map_bars() w pdsc_reset_done() czyszczą i odmapowują cmd_regs bez devcmd_lock, a pętla pobierania w pdsc_legacy_firmware_update() używa cmd_regs po zwolnieniu i ponownym zajęciu blokady bez ponownego sprawdzenia; równoległy FLR z devlink flash może odmapować cmd_regs w trakcie trwającego devcmd, powodując dereferencję NULL lub zapis do niezamapowanego MMIO.

W jądrze Linux weryfikator BPF nie oznaczał rejestru skalarnego jako 'precise' w dwóch przypadkach: gdy argument funkcji pomocniczej jest NULL (check_func_arg) oraz gdy drugi parametr bpf_get_local_storage() jest zerem (check_helper_call). Powodowało to, że punkt kontrolny utworzony na takiej ścieżce mógł zostać przycięty względem dowolnej wartości skalarnej, co prowadzi do nieprawidłowej weryfikacji programów BPF.

W jądrze Linux funkcja mctp_i3c_probe() zwalniała blokadę busdevs_lock po znalezieniu pasującej magistrali, co pozwalało równoległemu zdarzeniu I3C_NOTIFY_BUS_REMOVE na wyrejestrowanie i zwolnienie netdev magistrali przed przekazaniem danych do mctp_i3c_add_device(). Prowadziło to do użycia zwolnionej pamięci (use-after-free) poprzez wskaźnik mbus.

W jądrze Linux żądanie RTM_NEWQDISC mogło spowodować, że clsact powiązał współdzielony blok ingress podczas ->init(), publikując mini_Qdisc dla czytających bez blokad. Jeśli to samo żądanie miało nieprawidłowy TCA_RATE, konfiguracja estymatora kończyła się niepowodzeniem po ->init(), a ścieżka wycofania zwalniała qdisc synchronicznie, podczas gdy tc_run() mógł wciąż go używać — prowadząc do use-after-free.

W jądrze Linux w sterowniku net/mlx5e funkcja sample_restore_put() mogła ponownie odczytać restore->count po zwolnieniu restore_lock podczas równoległego demontażu reguł TC sample współdzielących ten sam kontekst restore. W tym momencie inny wątek mógł już zakończyć czyszczenie i zwolnić obiekt restore, co prowadziło do use-after-free.

W jądrze Linux w funkcji mlx5_eswitch_termtbl_put() sprawdzenie zerowego licznika odwołań odczytywało tt->ref_count po zwolnieniu termtbl_mutex. Dwóch równoległych wywołujących na tym samym mlx5_termtbl_handle ścigało się: jeden dekrementował ref_count do zera, usuwał wpis z hash i wywoływał kfree(tt), podczas gdy drugi już zwolnił mutex i miał ocenić if (!tt->ref_count), co prowadziło do use-after-free.

W jądrze Linuxa w sterowniku mlx5 (E-Switch) występuje podatność prowadząca do użycia po zwolnieniu (use-after-free) i podwójnego zwolnienia referencji podczas odzyskiwania po błędzie krytycznym (FW-fatal recovery). Problem dotyczy funkcji mlx5_esw_vport_disable(), gdzie nieprawidłowa kolejność operacji powoduje, że lista mc_list jest ponownie zapełniana podczas wyłączania vportu, co prowadzi do uszkodzenia drzewa FDB i pozostawienia wiszących wskaźników.

W jądrze Linux funkcja fq_pie_change() akceptowała dowolną wartość quantum z przestrzeni użytkownika, w tym 1. Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 powodowało, że pętla uzupełniania deficytu wykonywała się ~2^31 razy pod blokadą qdisc, co prowadziło do soft lockup i odmowy usługi.

W jądrze Linux funkcja sfq_change() akceptowała dowolną nieujemną wartość quantum (odrzucała tylko (int)ctl->quantum < 0). Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 powodowało, że pętla uzupełniania deficytu wykonywała się ~2^31 razy pod blokadą qdisc, co prowadziło do soft lockup i odmowy usługi.

W jądrze Linux funkcja hhf_change() akceptowała dowolną wartość quantum z przestrzeni użytkownika, w tym 1. Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 powodowało, że pętla uzupełniania deficytu wykonywała się ~2^31 razy pod blokadą qdisc, co prowadziło do soft lockup i odmowy usługi.

W jądrze Linux funkcja drr_change_class() odrzucała jawne quantum==0, ale w przeciwnym razie używała psched_mtu() bez dolnego ograniczenia. Przy spreparowanej tabeli rozmiarów qdisc_pkt_len osiągał ~2 GiB, więc quantum=1 (lub zerowe psched_mtu na urządzeniu bez nagłówka) powodowało, że pętla uzupełniania deficytu wykonywała się pod blokadą qdisc, prowadząc do soft lockup i odmowy usługi.

W jądrze Linux w schedulerze sieciowym ets brakowało dolnego ograniczenia wartości quantum. Przy spreparowanej tablicy rozmiarów qdisc_pkt_len może osiągnąć ~2 GiB, a zerowe psched_mtu na urządzeniu bez nagłówka powoduje zapętlenie pętli uzupełniania deficytu pod blokadą qdisc. Poprawka przenosi ograniczenie do funkcji ets_quantum_parse(), tak aby jawnie skonfigurowane quantum było ograniczane do zakresu [256, 1<<20].

W jądrze Linux w sterowniku macb, gdy drzewo urządzeń opisuje fixed-link bez węzła "mdio", funkcja macb_mii_init() kończy się wcześnie bez alokacji szyny MDIO, pozostawiając bp->mii_bus jako NULL. Dwie ścieżki sprzątania (odłączanie sterownika i ścieżka błędu sondowania) wywołują mdiobus_unregister()/mdiobus_free() bez sprawdzenia NULL, co powoduje oops. Poprawka dodaje zabezpieczenia przed NULL w obu miejscach.

W jądrze Linux w podsystemie BPF funkcja bpf_loop() deklaruje argument nr_loops jako ARG_ANYTHING, co pozwala uprzywilejowanym programom przekazać wartość wskaźnikową. Od commita bb124da69c47 verifier oznacza R1 jako precise i odczytuje jego górną granicę, a precision backtracking akceptuje tylko rejestry skalarne, co wywołuje ostrzeżenie "backtracking misuse" i panikę przy panic_on_warn. Poprawka wprowadza ARG_SCALAR i używa go dla nr_loops.

W jądrze Linux w sterowniku ALSA caiaq występuje podatność use-after-free. Obiekt ep1_in_urb (oraz midi_out_urb) jest osadzony w strukturze snd_usb_caiaqdev, a gdy inicjalizacja karty nie powiedzie się i wywołane zostanie snd_card_free(), pamięć URBa zostaje zwolniona, mimo że wciąż jest używana przez sterownik dummy HCD, co prowadzi do błędu KASAN slab-use-after-free w usb_free_urb.

W jądrze Linux w systemie plików erofs klucze inode_share były kodowane jako fingerprint || domain_id bez separatora, co mogło powodować błędne parsowanie fingerprintu jako części domain_id. Poprawka zmienia kodowanie na domain_id || '\0' || fingerprint, dzięki czemu indeksy kluczy w pamięci są jednoznaczne.

W jądrze Linux w sterowniku iommu/riscv nie zsynchronizowano publikowania kolejki poleceń, co mogło prowadzić do wyścigu między stanem producenta a aktualizacją ogona sprzętowego. Poprawka serializuje publikowanie, aby stan producenta oprogramowania był aktualizowany dopiero po zapisaniu polecenia i aktualizacji ogona sprzętowego, oraz czeka na konsumpcję sprzętową poza blokadą kolejki, gdy kolejka jest pełna.