Katalog podatności CVE

W jądrze Linuxa w podsystemie PCI endpoint znaleziono podatność w funkcji pci_epf_alloc_doorbell(). Po nieudanej alokacji wektorów MSI tablica komunikatów dzwonka jest zwalniana, ale wskaźniki w strukturze EPF pozostają ustawione na zwolnioną pamięć, co może prowadzić do podwójnego zwolnienia. Dodatkowo brakuje sprawdzenia, czy dzwonki zostały już zaalokowane, co umożliwia wyciek pamięci lub nadpisanie istniejącej alokacji.

W jądrze Linuxa w menedżerze zasad pamięci podręcznej (cache policy) SMQ dla urządzeń dm-cache brakuje blokad podczas unieważniania bloków pamięci podręcznej w trybie passthrough. Współbieżne operacje unieważniania z wielu wątków roboczych mogą prowadzić do wyścigów danych na liczniku przydzielonych bloków oraz do użycia po zwolnieniu (use-after-free) wewnętrznych struktur danych.

W jądrze Linux wykryto podatność w module dm log, polegającą na zapisie poza zakresem pamięci spowodowanym przepełnieniem zmiennej region_count. Lokalna zmienna region_count typu unsigned int (32-bit) nie jest w stanie pomieścić wyniku dzielenia sektorów (sector_t, 64-bit), co prowadzi do alokacji zbyt małych buforów i późniejszych operacji poza przydzieloną pamięcią.

W jądrze Linuxa stwierdzono brak wymaganych unieważnień TLB i pamięci podręcznej kontekstu po aktualizacji wpisów DDT/PDT w sterowniku IOMMU dla architektury RISC-V. Zgodnie ze specyfikacją RISC-V IOMMU (sekcje 6.3.1 i 6.3.2) operacje te są obowiązkowe dla zapewnienia spójności translacji adresów.

W jądrze Linuxa w sterowniku drm/msm wykryto błąd blokowania w operacji VM_BIND UNMAP. Nieprawidłowy argument powodował, że obiekty biorące udział w operacjach UNMAP nie zawsze były blokowane. Problem dotyczył obiektów buforowych innych niż _NO_SHARE.

W jądrze Linuxa w podsystemie IOMMU AMD wykryto podatność w funkcji clone_alias(). Funkcja ta błędnie zakładała, że pierwszy argument (pdev) zawsze wskazuje na oryginalne urządzenie, podczas gdy w rzeczywistości może to być alias. Prowadziło to do użycia nieprawidłowego identyfikatora devid przy kopiowaniu wpisów DTE, co skutkowało propagacją błędnych lub nieaktualnych wpisów do urządzenia aliasowego.

W jądrze Linux wykryto błąd wyścigu w funkcji dquot_scan_active() podczas dezaktywacji limitów dyskowych (quota). W pewnych warunkach może dojść do pracy na zwolnionej pamięci, co prowadzi do niestabilności systemu.

W jądrze Linux wykryto podatność w sterowniku soc/tegra: cbb, gdzie nieprawidłowe użycie makra ARRAY_SIZE w tablicach wyszukiwania może prowadzić do odczytu poza zakresem pamięci podczas wyszukiwania limitu czasu docelowego.

W jądrze Linux w systemie plików OCFS2 wykryto błąd w funkcji listxattr(). Gdy i-węzeł zawiera zarówno atrybuty rozszerzone inline, jak i blokowe, a nazwy inline wypełniają bufor wywołującego dokładnie, funkcja może zwrócić rozmiar większy niż bufor, co prowadzi do paniki jądra (BUG).

W jądrze Linuxa w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji pola bg_bits podczas skanowania wolnych fragmentów w ścieżce niekoherentnej (OCFS2_INFO_FL_NON_COHERENT). Złośliwie spreparowany system plików może doprowadzić do odczytu poza zakresem pamięci (use-after-free) podczas wywołania ioctl OCFS2_IOC_INFO.

W jądrze Linuxa w JIT dla ARM64 wykryto błąd off-by-one w funkcji check_imm, która sprawdza zakres wartości natychmiastowych dla skoków warunkowych i bezwarunkowych. Błąd powoduje, że dopuszczane są wartości o jeden bit szersze niż przewiduje specyfikacja, co może prowadzić do nieprawidłowego kodowania instrukcji i zmiany kierunku skoku.

W jądrze Linux wykryto błąd w mechanizmie BPF sockmap dla gniazd Unix (af_unix). Podczas iteracji programu BPF dochodzi do wyścigu, w którym wskaźnik `peer` staje się nieaktualny, co prowadzi do użycia po zwolnieniu (Use-After-Free). Łatka dodaje blokadę stanu gniazda, aby zapewnić stabilność podczas aktualizacji sockmap.

W jądrze Linux stwierdzono podatność w funkcji arena_alloc_pages() w mechanizmie BPF. Funkcja ta akceptuje identyfikator węzła (node_id) jako zwykły typ int i przekazuje go dalej bez żadnej walidacji zakresu.

W jądrze Linuxa w podsystemie NFSD wykryto błąd w funkcji nfsd4_add_rdaccess_to_wrdeleg, który powoduje niepotrzebne zwiększenie licznika dostępu do pliku nfs4_file. Gdy inny wątek już ustawił fp->fi_fds[O_RDONLY], ponowne wywołanie __nfs4_file_get_access prowadzi do nadmiarowego zliczania, co uniemożliwia zwolnienie obiektu nfsd_file. Podczas zatrzymywania usługi nfs-server nadmiarowe liczniki wywołują BUG w kmem_cache_destroy().

W jądrze Linux wykryto podatność use-after-free w sterowniku greybus raw. Problem występuje, gdy urządzenie raw bundle zostanie odłączone, ale aplikacja wciąż ma otwarty plik znakowy (cdev). Po zamknięciu pliku przez aplikację dochodzi do odwołania do już zwolnionej pamięci, co powoduje panic jądra.

W sterowniku Greybus RAW jądra Linux wykryto podatność use-after-free. Jeśli użytkownik wywoła operację zapisu do urządzenia znakowego po wywołaniu funkcji disconnect, dochodzi do dereferencji wskaźnika NULL i paniki jądra. Problem wynika z braku synchronizacji między operacją zapisu a niszczeniem połączenia.

W jądrze Linux wykryto potencjalny wyścig (race condition) podczas synchronizacji TLB. Problem wynika z braku blokady podczas przeglądania i modyfikacji tablic stron. Rozwiązanie polega na wyłączeniu dzielonej blokady tablic stron dla uproszczenia.

W jądrze Linuxa w podsystemie CCP (crypto: ccp) występuje podatność polegająca na nadpisywaniu bufora IV podczas operacji szyfrowania AES w trybie RFC3686. Funkcja ccp_aes_complete() przywracała 16 bajtów (AES_BLOCK_SIZE) do bufora IV, podczas gdy algorytm RFC3686 używa tylko 8-bajtowego IV, co prowadzi do przepełnienia bufora.

W jądrze Linux w harmonogramie sieciowym taprio wykryto podatność use-after-free w funkcji advance_sched() podczas przełączania harmonogramów. Po wywołaniu switch_schedules() stary harmonogram oper jest zwalniany przez call_rcu(), ale wskaźnik 'next' nadal wskazuje na wpis w starym harmonogramie, co prowadzi do odwołania do zwolnionej pamięci.

W sterowniku sieciowym Intel ice (i40e) wykryto podwójne zwolnienie bufora skb w funkcji ice_xmit_frame_ring(). Gdy ice_tso() lub ice_tx_csum() zawiedzie, skb jest zwalniany, ale wskaźnik w tx_buf pozostaje ustawiony, co prowadzi do ponownego zwolnienia podczas czyszczenia kolejki transmisyjnej.