Katalog podatności CVE

W jądrze Linux w module batman-adv (B.A.T.M.A.N. Advanced) wykryto błąd w funkcji batadv_bla_add_claim(), która dodaje roszczenia (claims) i modyfikuje sumy kontrolne CRC szkieletu sieci. Równoległe wykonanie ścieżki dodawania nowego roszczenia i ścieżki zmiany szkieletu (backbone) może doprowadzić do dwukrotnej zmiany wskaźnika backbone_gw i powstania nieprawidłowej sumy CRC. Błędna suma CRC nie jest później przeliczana z zapisanych roszczeń, co powoduje trwałą niespójność.

W jądrze Linux występuje błąd w podsystemie I3C, polegający na rekurencyjnym zakładaniu blokady podczas rejestracji nowych urządzeń I3C. Funkcja i3c_master_register_new_i3c_devs() rejestruje urządzenia, trzymając blokadę i3c_bus_normaluse_lock(), a wywołanie device_register() może natychmiast uruchomić procedurę probe, która ponownie próbuje założyć tę samą blokadę, co prowadzi do zakleszczenia. Problem został rozwiązany poprzez rozdzielenie tworzenia i rejestracji urządzeń oraz użycie blokady konserwacyjnej.

W jądrze Linux moduł dm-pcache nie weryfikował identyfikatorów segmentów pamięci podręcznej przed użyciem ich do indeksowania w tablicy segments[]. Ponieważ metadane są chronione tylko przez CRC z publicznym ziarnem, atakujący z uprawnieniami CAP_SYS_ADMIN dostarczający urządzenie pamięci podręcznej może spowodować odczyty i zapisy poza zakresem. Poprawka dodaje walidację i odrzuca nieprawidłowe identyfikatory segmentów z błędem -EIO.

Podsystem I3C w jądrze Linux miał podatność use-after-free wskaźnika master->this. Wywołania zwrotne atrybutów sysfs używały tego wskaźnika po jego zwolnieniu, co powodowało naruszenie pamięci. Poprawka utrzymuje wskaźnik żywotność aż do momentu zwolnienia urządzenia i resetuje go na ścieżkach błędów.

W jądrze Linux funkcja i3c_master_search_i3c_dev_duplicate() wyszukująca duplikaty urządzeń I3C może błędnie dopasować samo urządzenie master (master->this), zwracając kontroler jako duplikat. Ponieważ kontroler nie jest urządzeniem docelowym, nie powinien być traktowany jako duplikat. Poprawka wyklucza master->this z dopasowania.

W jądrze Linux moduł dm-pcache nie waliduje łańcucha dirty_tail przy wczytywaniu. Złośliwy obraz, którego pola na nośniku są uwierzytelniane tylko przez crc32c ze stałym ziarnem, może wskazać dirty_tail na łańcuch ostatnich ksetów, który nigdy się nie kończy, powodując nieskończone ponowne uzbrajanie cache_writeback_fn(). Poprawka dodaje walidację łańcucha dirty_tail przy wczytywaniu z limitem przeskoków.

W jądrze Linux występuje błąd w mechanizmie memcg, w którym przy odłączaniu cgroup pamięci rozmiary LRU są kopiowane do rodzica zamiast być przenoszone, pozostawiając nieaktualne liczniki w dziecku. Powoduje to, że skaner LRU (lub MGLRU) odczytuje fałszywe rozmiary i wykonuje jałowe pętle skanowania na martwych cgroupach, co prowadzi do zawyżenia limitów i marnowania CPU. W jednym przypadku wykryto liczniki opisujące 476 GiB stron, czyli 1,89x więcej niż fizyczna pamięć hosta.

W jądrze Linux wykryto podatność use-after-free w sterowniku virtio_pmem dla pamięci trwałej NVDIMM. Problem występuje, gdy żądanie zostało już zwolnione przez nadawcę, ale jest jeszcze dostępne przez kolejkę virtqueue, co prowadzi do wybudzenia zwolnionej pamięci podczas przerwania.

W jądrze Linux sterownik drm/bridge synopsys dw-dp inicjalizuje i rejestruje kanał AUX DisplayPort podczas dw_dp_bind(), ale nigdy go nie wyrejestrowuje. Może to prowadzić do wycieków zasobów i/lub use-after-free. Poprawka dodaje brakującą funkcję dw_dp_unbind() umożliwiającą sprzątanie.

W jądrze Linux w sterowniku drm/rockchip (dw_dp) zasoby rdzeniowe, takie jak kanał AUX DisplayPort, są inicjalizowane i rejestrowane podczas dw_dp_bind(), ale nigdy nie są wyrejestrowywane. Prowadzi to do wycieków pamięci i/lub użycia po zwolnieniu (use-after-free), co widać w raporcie KASAN. Problem został rozwiązany poprzez użycie funkcji dw_dp_unbind() w callbacku unbind() komponentu oraz w ścieżce błędu bind().

W jądrze Linux sterownik drm/rockchip analogix_dp ma wyciek referencji do węzła OF w rockchip_dp_drm_encoder_enable(), ponieważ of_get_child_by_name() nie wywołuje symetrycznie of_node_put(). Poprawka używa __free(device_node) do automatycznego zarządzania zwalnianiem referencji.

W jądrze Linux sterownik drm/v3d nie czyści queue->active_job, gdy v3d_fence_create() zawiedzie. Callbacki run_job() dla BIN, RENDER, TFU i CSD przypisują zadanie do queue->active_job przed wywołaniem v3d_fence_create(); w razie błędu zwracają NULL, pozostawiając wiszący wskaźnik. Poprawka dodaje ścieżkę błędu czyszczącą active_job.

W jądrze Linux funkcja smack_msg_queue_msgrcv() błędnie sprawdza uprawnienia zadania 'current' zamiast zadania 'target'. W ścieżce optymalizacji pipelined_send() nadawca sprawdza uprawnienia w imieniu odbiorcy, więc nieuprawniony odbiorca może otrzymać wiadomość, naruszając politykę MAC Smack. Poprawka sprawdza uprawnienia zadania 'target'.

W jądrze Linux funkcja cros_typec_register_partner_pdos() kopiuje PDO partnera z odpowiedzi EC TYPEC_STATUS do tablicy caps_desc.pdo[PDO_MAX_OBJECTS] (7 elementów) bez walidacji liczby. Jeśli source_cap_count lub sink_cap_count przekracza 7, memcpy zapisuje poza tablicą na stosie — liczba 255 przepełnia ją o około 1 KB. Poprawka waliduje liczniki i pomija rejestrację PDO przy przekroczeniu limitu.

W jądrze Linux występuje luka use-after-free w podsystemie HID. Gdy sterownik wywoła hid_device_io_start(), a następnie zakończy inicjalizację błędem i wywoła hid_hw_stop(), struktura hidraw może zostać zwolniona, podczas gdy raporty HID są wciąż przetwarzane na innym CPU, co prowadzi do odwołania do zwolnionej pamięci. Problem dotyczy ośmiu sterowników, które nie wywołują hid_device_io_stop() przed hid_hw_stop().

W jądrze Linux sterownik HID roccat używa wartości indeksu profilu pochodzącej z urządzenia (8-bitowej) bez sprawdzenia zakresu, mimo że tablica profili ma tylko 5 elementów. Złośliwe urządzenie USB podające się za Roccat Kone może wysłać zdarzenie przełączenia profilu z wartością poza zakresem, powodując odczyt poza granicami bufora, którego wynik jest ujawniany przez atrybut sysfs actual_dpi.

W jądrze Linux w komponencie ASoC SOF funkcje sof_ipc4_widget_setup_comp_src() i sof_ipc4_widget_setup_comp_asrc() przy zerowej liczbie formatów wejściowych lub wyjściowych wypisują błąd i przechodzą do etykiety czyszczenia, ale zmienna 'ret' pozostaje równa 0. W efekcie funkcja zwraca sukces, mimo że konfiguracja widgetu faktycznie się nie powiodła.

W jądrze Linux w komponencie cxl/mbox polecenie CXL_MEM_SEND_COMMAND ogranicza rozmiar wejściowy użytkownika do rozmiaru ładunku skrzynki pocztowej, ale pozostawia nieograniczony rozmiar wyjściowy, który jest następnie używany w kvzalloc(). Duży rozmiar wyjściowy powoduje ogromną alokację, powyżej INT_MAX wywołuje ostrzeżenie i skażenie jądra, a przy panic_on_warn=1 prowadzi do paniki.

W jądrze Linuxa w sterowniku ASoC rt700-sdw wykryto podatność polegającą na tym, że funkcja rt700_sdw_remove() odprowadza pracę jack_detect_work i jack_btn_check_work tylko wtedy, gdy flaga hw_init jest ustawiona. Flaga ta jest jednak czyszczona podczas odłączenia urządzenia SoundWire, co może prowadzić do pozostawienia aktywnych obiektów pracy i zgłoszenia przez DEBUG_OBJECTS aktywnego timera po usunięciu sterownika.

W jądrze Linux w komponencie ASoC fsl_audmix po wywołaniu pm_runtime_enable() blok AUDMIX pozostaje wyłączony i zawieszony aż do pierwszego wznowienia. Zapisy do rejestrów wykonywane między probe() a pierwszym wznowieniem trafiają do niewłączonego sprzętu i powodują zawieszenie systemu.