Katalog podatności CVE

W jądrze Linux w podsystemie tracing występuje wyciek pamięci. Gdy ta sama zmienna jest używana trzy lub więcej razy w jednym wyzwalaczu histogramu, usunięcie wyzwalacza nie zwalnia referencji do zmiennej ani powiązanych łańcuchów. Licznik referencji jest tylko zwiększany, a zwolnienie następuje dopiero przy wartości 0 lub 1, więc trzy lub więcej referencji powoduje wyciek.

W jądrze Linux wykryto podatność w mechanizmie tracingu (histogramy). Podczas tworzenia pola histogramu z niedozwolonym modyfikatorem (np. .log2) pole to nie jest poprawnie zwalniane, co prowadzi do wycieku pamięci. Problem dotyczy ścieżki obsługi błędów w funkcji __create_val_field(), gdzie pole nie trafia do listy fields[] i nie jest później usuwane.

W jądrze Linux w funkcji print_entries() (podsystem tracing/histogramy) zmienna n_entries jest używana zarówno jako liczba wpisów sortowania, jak i wartość zwracana. Gdy alokacja statystyk zawiedzie, zapisany kod błędu -ENOMEM nadpisuje licznik, który jest następnie przekazywany do tracing_map_destroy_sort_entries() jako liczba typu unsigned int, co powoduje odczyt i zwolnienie pamięci poza zakresem tablicy (vmalloc-out-of-bounds).

W jądrze Linux w podsystemie tracing występuje błąd use-after-free. Funkcja event_hist_trigger_named_init() najpierw publikuje wyzwalacz na globalnej liście named_triggers, a dopiero potem pobiera referencję; jeśli inicjalizacja się nie powiedzie, wyzwalacz nie jest usuwany z listy i zostaje zwolniony, a kolejne wyszukanie po nazwie odczytuje zwolniony obiekt.

W jądrze Linux wykryto podatność w mechanizmie tracingu związaną z rejestracją wyzwalaczy histogramów. Błąd powoduje, że wyzwalacz może zostać zwolniony z pamięci, mimo że nadal znajduje się na globalnej liście named_triggers, co prowadzi do użycia po zwolnieniu (use-after-free). Problem został naprawiony poprzez zmianę kolejności operacji rejestracji i wyrejestrowania wyzwalacza.

W jądrze Linux w sterowniku accel/ivpu funkcja ivpu_to_cpu_addr() nie walidowała całego zakresu bufora. Brak sprawdzenia, czy cały zakres [vpu_addr, vpu_addr + size) mieści się w buforze BO, mógł prowadzić do dostępu poza granicami.

W jądrze Linux w sterowniku accel/ivpu funkcja fw_log_print_buffer() ponownie odczytywała pola nagłówka logu z pamięci współdzielonej po ich wcześniejszej walidacji. Umożliwiało to atak TOCTOU, w którym firmware NPU zmienia wartości między sprawdzeniem a użyciem, powodując odczyt poza granicami podczas drukowania logów.

W jądrze Linux w sterowniku accel/ivpu drukowanie nazwy z nagłówka bufora tracingu nie było ograniczone do rozmiaru pola. Pole name jest tablicą o stałym rozmiarze wypełnianą przez firmware NPU i oczekuje się zakończenia znakiem NUL, ale brak tego zakończenia powodował odczyt poza polem i ujawnienie sąsiednich bajtów przez dmesg oraz debugfs.

W jądrze Linux w sterowniku accel/ethosu funkcja ethosu_job_open() zwracała wartość z WARN_ON() (0 lub 1) zamiast oryginalnego ujemnego kodu błędu. Powodowało to przekazanie do przestrzeni użytkownika nieprawidłowego kodu zwrotnego.

W jądrze Linux w sterowniku accel/ethosu nie zapewniano, że strumień poleceń kończy się operacją stop. Choć ustawienie rejestru QSIZE powinno zapobiegać dostępowi poza granicami, nie jest jasne, czy sprzęt wygeneruje wymagane przerwanie, co może prowadzić do przekroczenia limitu czasu.

W jądrze Linux w sterowniku accel: ethosu, w przypadku niepowodzenia mapowania SRAM, rozmiar SRAM pozostaje niezerowy. To pozwala zadaniom na dostęp do SRAM, który wskazuje na fizyczny adres bazowy 0x0.

W jądrze Linux w sterowniku accel: ethosu, użytkownik może ustawić rozmiar SRAM zadania na 0, ale nadal mieć dostęp do SRAM w strumieniu poleceń. Gdy rozmiar SRAM zadania wynosi 0, pomijane jest ustawienie rejestru bazowego regionu, co prowadzi do użycia nieaktualnego adresu bazowego z poprzedniego zadania.

W jądrze Linux w sterowniku ASoC dla platformy Spreadtrum (sprd) wykryto podatność polegającą na braku walidacji rozmiarów buforów kompresji względem stałych alokacji pamięci. Użytkownik lokalny może skonfigurować logiczny bufor do ~4 GB, co prowadzi do przepełnienia bufora IRAM (32K) lub DDR (2M) podczas operacji kopiowania z przestrzeni użytkownika.

W jądrze Linux w ASoC: sti, funkcja uni_reader_init() rejestruje wspólne IRQ przed inicjalizacją reader->irq_lock. Oczekujące przerwanie może wywołać handler, gdy blokada jest jeszcze niezainicjalizowana.

W jądrze Linux w Bluetooth: btqcomsmd, kolejność zamykania jest nieprawidłowa: hci_dev jest zwalniany przed zniszczeniem punktów końcowych RPMsg. Jeśli WCNSS dostarczy dane w tym oknie, wywołanie zwrotne może użyć już zwolnionego hci_dev.

W jądrze Linux w Bluetooth: btrtl, podczas parsowania formatu firmware v2, gdy key_id z chipa jest zerowe, funkcja rtlbt_parse_firmware_v2() celowo ignoruje wszystkie nagłówki zabezpieczeń, ale implementacja po prostu przerywa switch i wycieka niezainicjalizowany kod powrotu.

W jądrze Linux w bootconfig, w funkcji get_boot_config_from_initrd(), spreparowany initrd z ogromnym rozmiarem bootconfig (np. 0xFFFFFFFF) może spowodować zawinięcie arytmetyki wskaźników na systemach 32-bitowych, omijając kontrolę granic i prowadząc do śmiertelnego błędu strony podczas wczesnego rozruchu.

W jądrze Linux w cpufreq, maska CPU polityki (policy->cpus) jest alokowana bez zerowania (alloc_cpumask_var), co pozostawia niezainicjalizowaną bitmapę. Atrybuty sysfs są publikowane przed inicjalizacją maski, co pozwala na dostęp do nieprawidłowych danych.

W jądrze Linux w cpufreq, semafor polityki (policy->rwsem) jest inicjalizowany po utworzeniu katalogu sysfs i domyślnych atrybutów. Dostęp do sysfs może dotrzeć do wywołania zwrotnego polityki przed inicjalizacją semafora.

W jądrze Linux występuje podatność use-after-free w funkcji proc_flush_pid() wywoływanej podczas kończenia procesu. W wyniku błędnego założenia o utrzymaniu referencji do thread_pid, PID może zostać zwolniony przez callback RCU, zanim proc_flush_pid() zakończy działanie. Podatność może być wywołana przez nieuprzywilejowanego użytkownika poprzez wyścig między wait4(-1) a setsid().