Katalog podatności CVE

W sterowniku WiFi mt76 (mt7915) w jądrze Linux wykryto błąd use-after-free w funkcji mt7915_mac_dump_work(). Podczas odłączania urządzenia PCI, dane crash_data są zwalniane przed anulowaniem oczekującej pracy, co prowadzi do odwołania do już zwolnionej pamięci.

W sterowniku WiFi mt76 (mt7996) w jądrze Linux wykryto błąd use-after-free podczas odłączania układu PCI. Funkcja mt7996_mac_dump_work() może odwoływać się do już zwolnionej struktury crash_data, ponieważ praca dump_work nie jest anulowana przed zwolnieniem pamięci.

W jądrze Linux, w funkcji dev_map_redirect_multi() dla DEVMAP_HASH, użyto niebezpiecznej iteracji hlist_for_each_entry_safe() zamiast bezpiecznej dla RCU hlist_for_each_entry_rcu(). Na słabo uporządkowanych architekturach (ARM64, POWER) może to prowadzić do obserwacji niekompletnie skonstruowanego węzła listy.

W jądrze Linux wykryto podatność w mechanizmie BPF, gdzie po kompilacji JIT z włączonym stałym maskowaniem (constant blinding) wskaźnik offload->prog nie jest aktualizowany, wskazując na zwolniony program. Prowadzi to do błędu strony (page fault) podczas niszczenia przestrzeni nazw sieciowych.

W jądrze Linux w podsystemie BPF funkcja adjust_reg_min_max_vals() nieprawidłowo śledzi deltę rejestru, gdy src_reg == dst_reg (np. rX += rX). Modyfikacja dst_reg przed odczytem src_reg prowadzi do ustawienia nieprawidłowej delty, co powoduje niezgodność między weryfikatorem a wykonaniem.

W jądrze Linux stwierdzono podatność w funkcji qdisc_pkt_len_segs_init(), która nie zapewniała, że nagłówki pakietów GSO znajdują się w buforze skb->head. Może to prowadzić do błędów w sterownikach sieciowych, które oczekują nagłówków w tym buforze. Dodano odpowiednie sprawdzenie i mechanizm wcześniejszego odrzucania złośliwych pakietów.

W jądrze Linux stwierdzono podatność w weryfikatorze BPF dotyczącą instrukcji ld_{abs,ind} w podprogramach. Weryfikator nie symulował ścieżki niepowodzenia ładowania danych z pakietu, co mogło prowadzić do nieprawidłowej analizy. Dodano symulację obu ścieżek (sukcesu i porażki) podobnie jak w przypadku wywołań tail call.

W jądrze Linuxa, w podsystemie BPF, występuje użycie po zwolnieniu (UAF) podczas wypełniania informacji o offloaded mapie lub programie. Funkcje bpf_map_offload_info_fill_ns() i bpf_prog_offload_info_fill_ns() używają get_net() na sieci netdev, która może być już zniszczona.

W jądrze Linuxa w sterowniku bcmgenet występuje błąd wycieku wolnych buforów deskryptorów (free_bds) podczas zwalniania kolejki TX. Opuszczone ramki nie są zwracane do puli, co może prowadzić do wyczerpania zasobów.

W jądrze Linux w iteratorze open-coded task_vma BPF występuje podatność na użycie po zwolnieniu (UAF). Iterator odczytuje task->mm bez blokady i nie wywołuje mmget(), co pozwala na zwolnienie mm_struct podczas współbieżnego wyjścia procesu.

W jądrze Linuxa w mechanizmie BPF wykryto podatność polegającą na niespójnym mapowaniu identyfikatorów dla skalarnych rejestrów z flagą BPF_ADD_CONST. Funkcja regsafe() nie weryfikuje, czy podstawowe identyfikatory bazowe są zgodne z istniejącymi mapowaniami, co może prowadzić do błędnego przycinania stanów weryfikatora.

W jądrze Linuxa w programach BPF sock_ops, gdy rejestr docelowy jest taki sam jak źródłowy, makra SOCK_OPS_GET_SK() i SOCK_OPS_GET_FIELD() nie zerują rejestru docelowego w przypadku braku pełnego gniazda lub zablokowanego gniazda TCP. Prowadzi to do odczytu poza zakresem stosu i wycieku wskaźnika jądra.

W jądrze Linuxa ograniczono używanie RDS/IB tylko do początkowej przestrzeni nazw sieciowych. Kod RDS/IB nie działa poprawnie w innych przestrzeniach nazw, co mogło prowadzić do błędów lub nieprzewidzianego zachowania.

W jądrze Linuxa wykryto błąd odczytu poza zakresem w funkcji pcpu_init_value podczas kopiowania danych z mapy CGROUP_STORAGE do mapy pcpu o tym samym rozmiarze wartości, który nie jest zaokrąglony do 8 bajtów. Problem występuje, gdy źródło ma mniej niż 8 bajtów, a kopia jest zaokrąglana w górę.

W jądrze Linuxa, w sterowniku ppp, brak wymagania CAP_NET_ADMIN w docelowej przestrzeni nazw sieciowych dla nieprzypisanych ioctl. Lokalny nieuprzywilejowany użytkownik może utworzyć nową przestrzeń nazw użytkownika, uzyskać CAP_NET_ADMIN tylko w niej, a następnie wykonać operacje PPPIOCNEWUNIT, PPPIOCATTACH lub PPPIOCATTCHAN przeciwko odziedziczonej przestrzeni nazw sieciowych.

W jądrze Linuxa wykryto podatność w stosie Bluetooth, gdzie funkcja hci_conn_request_evt() wywołuje hci_connect_cfm() bez trzymania zamka hdev->lock, gdy protokół ustawia flagę HCI_PROTO_DEFER. Może to prowadzić do użycia po zwolnieniu (UAF) w przypadku równoczesnego usunięcia połączenia.

W jądrze Linux brak blokady kanału (chan lock) w funkcji l2cap_ecred_reconf_rsp umożliwia zdalnemu urządzeniu BLE wysłanie spreparowanej odpowiedzi rekonfiguracji L2CAP ECRED, co może uszkodzić listę kanałów podczas iteracji przez inny wątek.

W jądrze Linux wykryto podatność w implementacji SCTP over UDP, gdzie funkcje wysyłające tunel UDP nie wyłączają przerwań (BH). Powoduje to niezbalansowanie licznika rekurencji i może prowadzić do odrzucania pakietów.

W jądrze Linux wykryto podatność prowadzącą do wyłuskania wskaźnika NULL (null-ptr-deref) w funkcji xdp_master_redirect() podczas przekierowywania XDP na interfejsie nadrzędnym (master), który nie został uruchomiony. Problem występuje, gdy interfejs bond (bonding) w trybie round-robin nie został otwarty (bond_open()), a per-CPU licznik rr_tx_counter pozostaje niezainicjalizowany, co powoduje awarię systemu.

W jądrze Linux w sterowniku DRM komeda wykryto podatność na przepełnienie liczby całkowitej podczas walidacji rozmiaru bufora ramki AFBC. Obliczenie minimalnego wymaganego rozmiaru bufora poprzez dodanie rozmiaru ładunku AFBC do offsetu bufora ramki nie sprawdzało przepełnienia, co mogło pozwolić na użycie zbyt małego obiektu GEM i dostęp poza dozwolony obszar pamięci.