Katalog podatności CVE

W jądrze Linux wykryto podatność w mechanizmie znaczników czasu (timestamp cmsgs) dla gniazd AF_PACKET. Błędne założenie, że znacznik PACKET_OUTGOING jednoznacznie identyfikuje pakiety z kolejki błędów, pozwala na odczytanie stanu bufora sterującego AF_PACKET jako struktury sock_exterr_skb, co może prowadzić do ujawnienia danych z pamięci lub wywołania paniki jądra.

W jądrze Linuxa w sterowniku mvpp2 wykryto błąd synchronizacji DMA dla odebranych pakietów. Funkcja synchronizująca dane dla CPU rozpoczynała się od nieprawidłowego przesunięcia, pomijając część danych na końcu ramki i synchronizując nieużywany nagłówek. Na systemach bez spójności pamięci cache może to prowadzić do odczytu nieaktualnych danych przez CPU.

W jądrze Linux wykryto podatność use-after-free w module nft_tunnel. Funkcja nft_tunnel_obj_destroy() wywołuje metadata_dst_free(), które bezpośrednio zwalnia pamięć metadata_dst, ignorując licznik odwołań dst_entry. Pakiety, które przechowują referencję przez dst_hold() w nft_tunnel_obj_eval() i są nadal w kolejce (np. w netem qdisc), pozostają z wiszącym wskaźnikiem, co prowadzi do użycia po zwolnieniu przy ich dalszym przetwarzaniu.

W jądrze Linux wykryto podatność w stosie Bluetooth, gdzie funkcja hci_adv_bcast_annoucement() może doprowadzić do przepełnienia bufora tymczasowego podczas przygotowywania danych rozgłoszeniowych Broadcast Announcement. Problem występuje, gdy istniejące instancje reklamowe mają już maksymalny dozwolony rozmiar ładunku, a dodanie danych usługi powoduje przekroczenie pojemności bufora.

W jądrze Linuxa w sterowniku accel/ivpu dodano walidację indeksów odczytu i zapisu bufora logów firmware'u. Brak sprawdzania zakresów mógł prowadzić do odczytu/zapisu poza dozwolonym obszarem pamięci, gdy firmware dostarczał nieprawidłowe indeksy.

W jądrze Linux w sterowniku accel/ivpu dodano sprawdzenie przepełnienia bufora w funkcji get_info_ioctl. Brak walidacji rozmiaru danych zwracanych przez firmware mógł prowadzić do kopiowania danych poza przydzielony bufor.

W jądrze Linux w sterowniku accel/ivpu wykryto podatność polegającą na błędzie konwersji typu danych w funkcji odbierającej IPC. Duże wartości unsigned (>= 0x80000000) dostarczone przez firmware są rzutowane na signed int, co prowadzi do ujemnej wartości i w konsekwencji do przepełnienia bufora stosu podczas operacji memcpy.

W jądrze Linux wycofano optymalizację pomijającą przełączanie kolejki exec podczas zawieszania, która omijała zawieszanie GuC. Powodowało to brak przełączenia kontekstu i flushowania TLB dla unieważnionych VMA userptr, prowadząc do błędów strony w testach unieważniania userptr w trybie LR/preempt-fence.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, dotyczącą obsługi bitu XN[0] w przypadku braku wsparcia FEAT_XNX. Błąd polega na nieprawidłowym użyciu makra FIELD_PREP() do maski czyszczącej XN[0], co powoduje niekontrolowane nadawanie uprawnień do wykonywania kodu.

W jądrze Linux w sterowniku hv_netvsc wykryto podatność polegającą na użyciu phys_to_virt() do mapowania stron pamięci, co na 32-bitowym x86 z CONFIG_HIGHMEM=y prowadzi do błędów dostępu do pamięci i awarii systemu. Problem został naprawiony poprzez zastąpienie phys_to_virt() funkcją kmap_local_page(), która poprawnie obsługuje strony spoza bezpośredniego mapowania jądra.

W jądrze Linux w systemie plików ksmbd wykryto podatność use-after-free związaną z opóźnioną blokadą pliku (file_lock) podczas podwójnego żądania SMB2_CANCEL. Drugie anulowanie dla tego samego AsyncId wywołuje funkcję anulującą na już zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność w sterowniku USB serial io_ti, gdzie funkcja build_i2c_fw_hdr() alokuje bufor o stałym rozmiarze, ale kopiuje do niego dane o długości sterowanej przez użytkownika (do 65535 bajtów) bez walidacji, co prowadzi do przepełnienia sterty.

W sterowniku USB-serial kl5kusb105 jądra Linux wykryto podatność na przepełnienie bufora wyjściowego. Funkcja klsi_105_prepare_write_buffer() kopiuje dane z fifo do bufora o rozmiarze 64 bajtów, ale nie uwzględnia dwubajtowego nagłówka, co prowadzi do zapisu poza przydzieloną pamięcią.

W jądrze Linuxa w podsystemie ALSA timer wykryto podatność na użycie po zwolnieniu (use-after-free). Podczas zwalniania obiektu timera (snd_timer_free) nie są prawidłowo odłączane instancje timerów podrzędnych (slave), które nadal wskazują na zwolniony obiekt, co może prowadzić do naruszenia bezpieczeństwa pamięci. Problem jest łatwy do wywołania przy użyciu nowego mechanizmu timerów przestrzeni użytkownika (CONFIG_SND_UTIMER).

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji snd_timer_user_params() sterownika ALSA. Problem występuje, gdy podczas zamykania timera użytkownika (CONFIG_SND_UTIMER) inny wątek wykonuje jednocześnie operację ioctl SNDRV_TIMER_IOCTL_PARAMS, która nie była chroniona mutexem register_mutex. Łatka dodaje brakującą synchronizację, zapobiegając wyścigowi.

W jądrze Linux w podsystemie io_uring/net wykryto podatność związaną z nieprawidłowym dziedziczeniem flagi IORING_CQE_F_BUF_MORE podczas ponownych prób odbioru w trybie bundle. Brak tej flagi w masce CQE_F_MASK powodował jej utratę, co prowadziło do błędnego zarządzania buforami przez przestrzeń użytkownika.

W jądrze Linux wykryto podatność w funkcji __split_huge_pmd_locked(), gdzie aktualizacja licznika RSS dla plików/shmem następowała po zwolnieniu referencji do folio. Jeśli folio_put() usuwało ostatnią referencję, późniejsze odczytanie stanu folio przez mm_counter_file() mogło prowadzić do użycia zwolnionej pamięci.

W jądrze Linuxa w komponencie RDMA/core wykryto podatność polegającą na braku walidacji struktury operacji pliku (fops) w funkcji ib_get_ucaps(). Atakujący może wykorzystać urządzenie blokowe o tym samym numerze urządzenia (dev_t) do podszycia się pod legalne urządzenie ucap cdev.

W jądrze Linuxa w podsystemie RDMA/core brakuje walidacji atrybutu cpu_id pochodzącego z przestrzeni użytkownika przed przekazaniem go do funkcji cpumask_test_cpu(). Może to prowadzić do odczytu poza zakresem mapy bitowej CPU, a w przypadku włączonego CONFIG_DEBUG_PER_CPU_MAPS i panic_on_warn, do restartu maszyny.

W jądrze Linux wykryto podatność use-after-free w funkcji zram_bvec_write_partial() sterownika zram. Podczas zapisu do fragmentu strony, odczyt z urządzenia kopii zapasowej jest wykonywany asynchronicznie, a bufor strony jest zwalniany przed zakończeniem operacji odczytu, co prowadzi do zapisu do już zwolnionej pamięci.