Katalog podatności CVE

W jądrze Linux menedżer ścieżek MPTCP pozostawiał nieaktualny wpis ADD_ADDR przy usuwaniu endpointu id 0, ponieważ ścieżka ta nie czyściła oczekujących ogłoszeń. Późniejsze ponowne wybranie id 0 powodowało trafienie na nieaktualny wpis anno_list i wywołanie WARN_ON_ONCE w mptcp_pm_announced_alloc(). Poprawka ujednolica ścieżkę usuwania id 0.

W kliencie SMB w jądrze Linux funkcja CIFSSMBRead() odczytuje pola nagłówka READ_RSP bez uprzedniego sprawdzenia, czy odebrano pełny nagłówek. Złośliwy lub przejęty serwer SMB1 może zwrócić odpowiedź krótszą niż rozmiar nagłówka, co powoduje odczyt poza buforem odbiorczym. Podatność dotyczy tylko montowań z jawnie ustawioną opcją vers=1.0, ponieważ SMB1 nie jest negocjowany domyślnie.

W kliencie SMB w jądrze Linux typ klucza cifs.idmap nie posiada funkcji weryfikującej opis (vet_description), w przeciwieństwie do cifs.spnego. Umożliwia to użytkownikowi przestrzeni użytkownika utworzenie klucza przez request_key(2)/add_key(2) i dostarczenie pól właściciela/grupy (SID, uid/gid) bez pochodzenia z CIFS. Wywołanie request_key(2) z niepustym callout prowadzi do uruchomienia usermodehelper jako root, który przetwarza niezweryfikowany opis w kontekście uprzywilejowanym.

W jądrze Linux w funkcji CIFSSMBRead() (klient SMB1) nie walidowano pola DataOffset w odpowiedzi serwera. Złośliwy lub przejęty serwer SMB1 może zwrócić duże DataOffset przy poprawnej długości DataLength, powodując odczyt poza buforem odpowiedzi — wyciek danych z pamięci jądra lub awarię (DoS). Podatność dotyczy tylko montowań z jawnym parametrem vers=1.0, ponieważ SMB1 nie jest negocjowany domyślnie.

W kliencie SMB w jądrze Linux funkcja tcon_super_cb() przechowuje surowy wskaźnik do superbloku, ale __cifs_get_super() pobiera aktywną referencję dopiero po zwolnieniu s_umount i referencji pasywnej przez iterate_supers_type(). Równoczesne wygaśnięcie automountu DFS może zwolnić superblok, zanim użyje go cifs_sb_active(), co prowadzi do use-after-free. Poprawka polega na pobraniu aktywnej referencji w callbacku, gdy iterate_supers_type() wciąż trzyma s_umount w trybie współdzielonym.

W kliencie SMB w jądrze Linux kilka ścieżek kodu bezwarunkowo wywoływało sid_to_id(), nadpisując cf_uid/cf_gid wartościami z serwera, mimo zamontowania z opcjami forceuid/forcegid. Dotyczyło to smb311_posix_info_to_fattr(), cifs_posix_to_fattr() oraz parse_sec_desc(). Umożliwiało to niezaufanemu serwerowi narzucenie lokalnej własności plików wbrew konfiguracji administratora.

W kliencie SMB w jądrze Linux funkcja smb2_parse_native_symlink() podczas przetwarzania dowiązania symbolicznego względem katalogu głównego udziału kopiuje smb_target+1 (pomijając wiodący separator), ale używa strlen(smb_target)+1 jako długości, odczytując jeden bajt poza zaalokowanym buforem. Prowadzi to do odczytu poza granicami bufora (OOB read), co potwierdza raport KASAN. Problem występuje przy dostępie do dowiązania SMB z celem takim jak '\a\b'.

W kliencie SMB jądra Linux wykryto problem z przepisaniem DACL: akumulator rozmiaru DACL używający typu u16 może się przepełnić, co prowadzi do uszkodzenia DACL wysyłanego na serwer. Poprawka zmienia typ na u32 i zwraca błąd -EOVERFLOW w przypadku przepełnienia.

W kliencie SMB jądra Linux występuje wyciek referencji cifsFileInfo w mechanizmie odroczonego zamykania z powodu wyścigu między flagami. Poprawka sprawdza wynik queue_delayed_work() i przekazuje referencję tylko gdy praca została faktycznie zakolejkowana.

W kliencie SMB jądra Linux występuje wyciek referencji w funkcji cifs_queue_oplock_break() — referencja jest pobierana bezwarunkowo, ale jeśli praca jest już w kolejce, nie jest zwalniana. Poprawka pobiera referencję tylko po pomyślnym zakolejkowaniu pracy.

W kliencie SMB jądra Linux występuje wyciek referencji w cifs_oplock_break() w przypadku błędu cifs_sb_tlink() przy opcji multiuser. Poprawka zwalnia referencję również w tej ścieżce.

W kliencie SMB jądra Linux występuje przepełnienie sterty przy przepisywaniu właściciela/grupy DACL: bufor jest alokowany na podstawie rozmiaru oryginalnego DACL, ale zamiana SID może zwiększyć rozmiar każdego ACE, co prowadzi do zapisu poza buforem. Poprawka alokuje zawsze rozmiar uwzględniający maksymalną ekspansję SID.

W kliencie SMB jądra Linux funkcja cifs_posix_to_fattr() ignoruje wynik posix_info_parse(), co przy nieprawidłowych danych może prowadzić do użycia niezainicjalizowanych SID i potencjalnego wycieku danych z pamięci jądra do procesu mapowania ID. Poprawka sprawdza wynik i pomija mapowanie przy błędzie.

W systemie plików XFS brakuje blokady podczas wstawiania zdarzenia odmontowania do monitora zdrowia (healthmon). Poprawka dodaje odpowiednie blokowanie.

W systemie plików XFS funkcja xfs_defer_finish_one() może zwrócić niezainicjalizowaną wartość błędu, jeśli lista jest pusta, co może doprowadzić do fałszywego zamknięcia systemu plików. Poprawka inicjalizuje zmienną error na 0.

W systemie plików XFS nieprawidłowa wartość args->total podczas aktualizacji wskaźników rodzica może prowadzić do nieprawidłowej kontroli wolnego miejsca i błędów ENOSPC, które eskalują do zamknięcia systemu plików. Poprawka ustawia args->total w ścieżkach dodawania i zastępowania, podobnie jak w log recovery.

W systemie plików XFS odwrócona konwersja jednostek w obliczeniach per_binval prowadzi do błędnego wyliczenia przestrzeni. Poprawka zmienia kierunek konwersji z FSB na bajty.

W jądrze Linux wykryto podatność w systemie plików XFS, polegającą na niedoszacowaniu liczby bloków potrzebnych podczas naprawy katalogów w formacie shortform (sf). Błędne ustawienie parametru args->total na 1 zamiast faktycznej liczby bloków katalogu (fsbcount) prowadzi do naruszenia asercji i może spowodować zatrzymanie systemu plików.

W jądrze Linux funkcje _maxlevels_ondisk dla rtrmap i rtrefcount w systemie plików XFS nie uwzględniają korzenia inode przy obliczaniu rozmiaru kursora btree w pamięci. Przy odpowiednio dużym btree może to prowadzić do dostępu poza koniec kursora.

W jądrze Linux w XFS funkcja xmi_can_exchange_reflink_flags() może przenieść flagę reflink między plikami podczas wymiany zakresów, ale przy ustawionej fladze XFS_EXCHMAPS_INO1_WRITTEN niektóre mapowania mogą być pominięte. Może to spowodować wyczyszczenie flagi reflink z inode, który nadal posiada współdzielone zapisane extenty, prowadząc do korupcji danych.