Katalog podatności CVE

W jądrze Linux występuje błąd w kodzie łatania alternatyw x86, który może prowadzić do awarii jądra (BUG_ON) w funkcji __text_poke. Problem pojawia się, gdy vmalloc_to_page() zawiedzie w wyniku wyścigu między text poking a change_page_attr (CPA), zwłaszcza gdy CONFIG_ARCH_HAS_EXECMEM_ROX=y, a moduły współdzielą jeden zakres execmem i równolegle wywołują set_memory_*(). Naprawa polega na wykluczeniu tego wyścigu poprzez użycie blokady init_mm mmap read lock.

W jądrze Linux występuje błąd wyścigu (race condition) w funkcji __slab_try_return_freelist() w mm/slab. Funkcja zakładała, że jeśli freelist jest NULL i cmpxchg się powiedzie, to żaden inny CPU nie zwolnił obiektu do slab, co prowadzi do klasycznego problemu ABA i uszkodzenia listy. Skutkuje to paniką jądra (kernel panic) i odmową usługi (DoS).

W jądrze Linux w podsystemie IPv6 występuje podatność use-after-free w iteratorze fib6 walker podczas zatrzymania sekwencji. Walker może zostać przeniesiony do stanu FWS_U, który jest błędnie traktowany jako odłączony, co prowadzi do zwolnienia obiektu seq, który nadal znajduje się na liście fib6_walkers, a późniejsze usuwanie tras używa zwolnionego walkera.

W jądrze Linux w podsystemie ipmr brakuje rozliczania pamięci dla tablic i tras multicast. Administrator w przestrzeni nazw użytkownika+sieci może tworzyć wiele tablic routingu multicast, które nie są obciążane do memcg, co prowadzi do niekontrolowanego wzrostu nieodzyskiwalnej pamięci slab.

W jądrze Linux występuje wyścig use-after-free wokół globalnego wskaźnika cad_pid. Funkcje proc_do_cad_pid() i kill_cad_pid() używają cad_pid bez zabezpieczenia czasu życia wskazywanej struktury pid, więc równoległy zapis może zwolnić ostatnie odwołanie do starej struktury, zanim czytelnik zakończy jej używanie. Podatność została naprawiona przez objęcie cad_pid ochroną RCU i odczekanie okresu karencji przed zwolnieniem starego odwołania.

W jądrze Linux występuje błąd use-after-free w mechanizmie ftrace podczas tworzenia procesu potomnego. Stan function graph jest inicjalizowany zbyt późno — po copy_exec_state() — więc gdy alokacja task_exec_state się nie powiedzie, funkcja free_task() zwalnia stos powrotów (ret_stack) należący do procesu nadrzędnego, który następnie odwołuje się do zwolnionej pamięci.

W jądrze Linux występuje podatność w mechanizmie tracingu, związana z modyfikatorem '.stacktrace' w histogramach. Funkcja parse_field() ustawia flagę HIST_FIELD_FL_STACKTRACE przed rozwiązaniem nazwy pola, a create_hist_field() wybiera funkcję HIST_FIELD_FN_STACK tylko na podstawie wskaźnika pola, bez sprawdzenia, czy pole rzeczywiście przechowuje stacktrace. Prowadzi to do nieograniczonego kopiowania danych i uszkodzenia pamięci (out-of-bounds read/write) podczas przetwarzania zdarzenia.

W jądrze Linux wykryto podatność use-after-free w mechanizmie histogramów tracingu. Funkcja hist_register_trigger() rejestruje trigger na globalnej liście named_triggers przed ustawieniem zegara trace, a nieznana nazwa zegara powoduje błąd po rejestracji, co prowadzi do zwolnienia obiektu bez usunięcia go z listy i późniejszego odczytu zwolnionej pamięci.

W jądrze Linux podatność w podsystemie tracing pozwala na uszkodzenie pamięci poprzez użycie klucza histogramu "STACKTRACE". Pole to jest przekazywane jako nie-NULL do create_hist_field(), co powoduje odczyt niezaufanego offsetu i długości, a następnie nieograniczony memcpy. W efekcie może dojść do błędu general protection fault i paniki jądra.

W jądrze Linux występuje podatność use-after-free w podsystemie tracing. Podczas otwierania pliku opcji tracera istnieje wyścig (race condition), w którym element tablicy topts może zostać zwolniony przez usunięcie instancji trace_array, zanim zostanie użyty do zwiększenia licznika referencji. Może to prowadzić do użycia zwolnionej pamięci.

W jądrze Linux mechanizm tracing (enable_event trigger) odraczał zwolnienie referencji trace_event_put_ref() do wątku jądra, ale powiązany trace_event_file mógł zostać już zwolniony przy usuwaniu instancji. Prowadziło to do użycia zwolnionej pamięci (use-after-free). Poprawka przechowuje trace_event_call bezpośrednio w enable_trigger_data, aby odroczone zwolnienie nie odwoływało się do zwolnionego trace_event_file.

W jądrze Linux sterownik ALSA us122l nie czyścił flagi VM_MAYWRITE dla mapowań bufora odczytu utworzonych z PROT_READ. Proces z dostępem O_RDWR do węzła hwdep mógł później użyć mprotect(), aby uczynić mapowanie zapisywalnym, a następnie zmodyfikować pole read_size i uzyskać dostęp do stron poza alokacją. Poprawka usuwa VM_MAYWRITE dla mapowań bufora odczytu.

W jądrze Linux sterownik ALSA usbusx2y ma niezgodność rozmiaru tablicy in04_last (char[24]) z buforem in04_buf alokowanym jako 21 bajtów (sizeof(struct us428_ctls)). W funkcji i_usx2y_in04_int() kopiowane jest 24 bajty z 21-bajtowej alokacji, co powoduje odczyt 3 bajtów poza końcem obiektu. Poprawka wprowadza stałą USX2Y_IN04_SIZE i używa jej spójnie.

W jądrze Linux sterownik ALSA usbusx2y w funkcji i_usx2y_in04_int() przetwarza dane URB bez sprawdzania urb->actual_length. Krótki transfer z wadliwego urządzenia powoduje przetwarzanie niezainicjalizowanych danych ze sterty (in04_buf), które są następnie kopiowane do tablicy ctl_snapshot[] dostępnej przez mmap. Poprawka używa kzalloc() i dodaje sprawdzenie actual_length.

W jądrze Linux sterownik drm/amdgpu wykonuje niepotrzebny flush VMID 0 dla operacji clear-on-release na VRAM, mimo że nie programuje okna GART. Na układach GFX11 (np. Navi33) ten zbędny flush SDMA może zawiesić silnik. Poprawka wykonuje flush tylko wtedy, gdy okno GART jest rzeczywiście używane.

W jądrze Linux system plików UFS instalował sb->s_root przed wczytaniem struktur grup cylindrów dla montowania zapisywalnego. Gdy wczytywanie się nie powiodło, ścieżka błędu zwalniała informacje superbloku i ustawiała sb->s_fs_info na NULL, pozostawiając sb->s_root, co powodowało dereferencję NULL podczas demontażu. Poprawka wczytuje metadane grup cylindrów najpierw, a korzeń tworzy na końcu.

W jądrze Linux system plików UFS kopiował indeks grupy cylindrów i pozycje rotorów z dysku bez walidacji, a następnie używał ich jako indeksów przy alokacji i zwalnianiu. Spreparowany obraz mógł ustawić dowolne wartości, powodując zapis poza alokacją s_csp lub skanowanie bitmapy daleko poza bufory grupy cylindrów. Poprawka odrzuca grupy cylindrów z niezgodnym indeksem lub rotorami poza grupą.

W jądrze Linux wykryto wyścig (race condition) podczas wymiany urządzenia broadcast (clockevents). Brak synchronizacji między instalacją nowego urządzenia broadcast a operacjami broadcast może prowadzić do użycia odłączonego urządzenia, co w skrajnym przypadku wywołuje BUG() w tick_cleanup_dead_cpu().

W jądrze Linux mechanizm tracing/user_events niszczył pola zdarzenia przed próbą usunięcia wywołania trace event. Gdy usunięcie się nie powiodło (np. zwrot -EBUSY), zdarzenie pozostawało zarejestrowane z nieodwracalnie zniszczoną listą pól, co prowadziło do operowania na pustej liście pól. Poprawka przenosi niszczenie pól po usunięciu wywołania i przywraca listę pól w razie niepowodzenia.

W jądrze Linux funkcja create_var_ref() alokuje pole VAR_REF hist_field, a następnie wywołuje init_var_ref(). Gdy inicjalizacja się nie powiedzie, pole nie jest zwalniane, ponieważ destroy_hist_field() zwraca wcześnie dla HIST_FIELD_FL_VAR_REF, a pole nie zostało jeszcze dodane do tablicy var_refs[]. Poprawka wywołuje __destroy_hist_field(), które zwalnia pole bez sprawdzania flagi.