Katalog podatności CVE

W jądrze Linux funkcja rtw89_mac_check_he_obss_narrow_bw_ru_iter() odczytuje bajt 10 rozszerzonych możliwości, ale odrzuca tylko wartości datalen poniżej 10, podczas gdy odczyt bajtu 10 wymaga co najmniej 11 bajtów. Brak sprawdzenia długości może prowadzić do odczytu poza granicami bufora.

W jądrze Linux funkcja gb_audio_gb_get_topology() pobiera blob topologii o rozmiarze podanym przez moduł, a gbaudio_tplg_parse_data() używa pól size_dais, size_controls i size_widgets do wyznaczenia przesunięć sekcji bez sprawdzenia ich względem pobranego rozmiaru. Moduł podający mały rozmiar topologii, ale duże rozmiary sekcji, powoduje przesunięcia poza alokację i odczyt poza granicami.

W jądrze Linux w sterowniku staging octeon funkcja cvm_oct_tx_shutdown nie wywołuje tasklet_kill, więc tasklet TX cleanup może zostać zaplanowany przez obsługę przerwania watchdog i wykonać się po zwolnieniu struktur net_device w cvm_oct_remove(). Prowadzi to do użycia po zwolnieniu w cvm_oct_tx_do_cleanup() podczas iteracji tablicy cvm_oct_device[].

W jądrze Linux w sterowniku staging octeon funkcja cvm_oct_rx_shutdown wywołuje free_irq i netif_napi_del bez uprzedniego wyłączenia instancji NAPI. Ponieważ free_irq czeka tylko na zakończenie twardych procedur obsługi przerwań, funkcja odpytywania NAPI może być nadal aktywna, a jeśli cvm_oct_remove zwolni strukturę plat zawierającą instancje NAPI, aktywna funkcja odpytywania uzyska dostęp do zwolnionej pamięci.

W jądrze Linux w sterowniku RDMA/bnxt_re wywołania zwrotne niszczenia zerują wyjście udata po zniszczeniu zasobów sterownika. Jeśli dostęp do przestrzeni użytkownika zawiedzie, uverbs zachowuje uobject i pozwala na ponowne wykonanie wywołania zwrotnego niszczenia, mimo że zasób sterownika został już zwolniony. Poprawka przenosi ib_no_udata_io() przed zniszczenie oraz ib_respond_empty_udata() na początek przepływów tworzenia i modyfikacji.

W jądrze Linux w sterowniku phy-rcar-gen3-usb2 funkcja devm_regulator_get_exclusive() inicjalizuje regulator z enable_count = 1, wymagając od konsumenta wyłączenia go przed zwolnieniem. Akcja devm wyłączania była rejestrowana tylko, gdy wywołujący jawnie zażądał włączenia, więc gdy regulator pozostawał w początkowym stanie włączonym bez jawnego wywołania enable, ścieżka czyszczenia pomijała dekrementację enable_count, wywołując WARN_ON podczas zwalniania regulatora przy usuwaniu urządzenia.

W jądrze Linux w sterowniku perf/x86/intel/pt występuje błąd niezrównoważenia wywołań perf_aux_output_begin() i perf_aux_output_end(). Gdy pt_event_stop() zostanie wywołane bez flagi PERF_EF_UPDATE (np. w wyniku grupowego throttlingu), kolejne pt_event_start() ponownie otwiera kontekst AUX, co narusza zasadę braku zagnieżdżania i wywołuje ostrzeżenie w perf_aux_output_begin(). Problem dotyczy m.in. próbkowania obszaru AUX.

W jądrze Linux w sterowniku pinctrl bcm2835 funkcja bcm2835_pinctrl_probe() wywołuje gpiochip_remove() przed zarejestrowaniem układu GPIO przez gpiochip_add_data(), gdy devm_pinctrl_register() zawiedzie. Powoduje to, że gpio_chip.gpiodev jest NULL, co prowadzi do dereferencji wskaźnika null w gpiochip_remove().

W jądrze Linux w funkcji tps6594_regulator_probe() pętla konfiguracji wielofazowej nie zwalniała referencji do węzłów urządzeń (np, np_parent, np_pmic_parent) uzyskanych przez of_find_node_by_name() i of_get_parent(), powodując wyciek referencji w każdej iteracji. Dodatkowo brak sprawdzenia NULL po of_find_node_by_name() mógł prowadzić do dereferencji NULL.

W jądrze Linux w sterowniku remoteproc qcom_wcnss zmieniono inkrementację wskaźnika info z num_pd_vregs na num_pds, co dla platformy pronto-v3 (bez regulatorów domen zasilania w vregs) powodowało wyjście poza tablicę. Objawiało się to błędem "regulator request with no identifier" na urządzeniach SDM632 przy kompilacji LLVM.

W jądrze Linux sterownik wifi ath11k mógł otrzymywać ramki HT/VHT/HE z MCS przekraczającym maksimum dla danej przestrzeni szybkości mac80211 (np. HE z MCS 12). Funkcja ath11k_dp_rx_h_rate() pozostawiała nieprawidłową wartość rate_idx i nie ustawiała encoding, co powodowało odrzucenie ramki przez mac80211 z ostrzeżeniem i utratę prawidłowych danych.

W jądrze Linux interpreter BPF ignorował pole 'off' w instrukcji BPF_MOV64_PERCPU_REG (BPF_ADDR_PERCPU), która wymaga kompilacji JIT do natywnego kodu. W rezultacie ładowanie pamięci z takiego rejestru powodowało błąd strony (page fault) i oops jądra.

W jądrze Linux w funkcji ext4_ext_migrate() występował cykliczny zakleszczenie (deadlock) między s_writepages_rwsem a sb_internal (ochrona przed zamrożeniem). Wywołanie iput(tmp_inode) przed zwolnieniem ext4_writepages_up_write() powodowało zakleszczenie z równoległym czyszczeniem osieroconych inodów podczas montowania.

W jądrze Linux funkcja ext4_try_to_expand_extra_isize() wywoływana podczas montowania (!SB_ACTIVE) mogła przenosić xattrs do bloków zewnętrznych i zwalniać ea_inodes przez iput(), co prowadziło do cyklicznej zależności blokad: s_writepages_rwsem -> jbd2_handle -> xattr_sem -> s_writepages_rwsem.

W jądrze Linux w RDMA/core funkcja uverbs_free_dmah() wywoływała rdma_restrack_del() zbyt późno, po zwolnieniu zasobów specyficznych dla dostawcy powiązanych z dmah. Pozostawiało to krótkie okno, w którym dmah był nadal dostępny przez restrack, co mogło prowadzić do use-after-free.

W jądrze Linux w architekturze arm64 w funkcji rsi_attestation_token_init kopiowanie challenge do &regs.a1 powodowało ostrzeżenie FORTIFY o zapisie wykraczającym poza pojedyncze pole (field-spanning write), ponieważ rejestr a1 jest traktowany jako pole 8-bajtowe, a kopiowano 64 bajty.

W jądrze Linux w sterowniku PCI/pwrctrl tc9563 parsowanie obu funkcji zintegrowanego endpointu Ethernet MAC pod DSP3 powodowało dostęp poza granice tablicy tc9563_pwrctrl->cfg. Poprawka polega na parsowaniu węzła endpointu pod DSP3 zamiast obu funkcji.

W jądrze Linux w sterowniku RDMA/efa przy rejestracji MR i tworzeniu pośredniego PBL, jeśli liczba stron PBL była wielokrotnością EFA_PTRS_PER_CHUNK, długość ostatniego chunka była błędnie obliczana jako 0. Powodowało to, że urządzenie widziało chunk jako pusty i odrzucało rejestrację pamięci.

W jądrze Linux w sterowniku eswin dla układów EIC7700 funkcje eswin_clk_register_pll() i eswin_register_clkdiv() nie inicjalizują wszystkich pól struktury clk_init_data alokowanej na stosie. Niezainicjalizowane dane na stosie powodują błędne rozpoznanie rodzica zegara i prowadzą do dereferencji wskaźnika NULL podczas rejestracji zegara.

W jądrze Linux w module md/raid5-ppl funkcja ppl_do_flush() kontynuuje iterację pętli po wywołaniu ppl_io_unit_finished(), która zwalnia pamięć obiektu io. Późniejszy dostęp do pola io->pending_flushes prowadzi do użycia po zwolnieniu (use-after-free).