Katalog podatności CVE

W jądrze Linux w sterowniku drm/lima funkcja lima_vm_create() jest wywoływana przed ustawieniem va_start i va_end, przez co obie wartości wynoszą 0. Gdy włączone jest DRM_DEBUG_MM, sprawdzenie DRM_MM_BUG_ON w drm_mm_init() wywołuje BUG jądra, co zaobserwowano na exynos4412-odroid-u2.

W jądrze Linux naprawiono podatność w schedulerze (sched/fair) polegającą na przepełnieniu typu u32 w funkcji update_tg_cfs_runnable(). Przepełnienie prowadzi do korupcji wartości runnable_sum, a w konsekwencji do błędu dzielenia przez zero w propagate_entity_load_avg() i awarii jądra (kernel crash). Problem można wywołać uruchamiając obciążenie takie jak hackbench.

W jądrze Linux w perf/x86/intel/uncore kolejność wywołań uncore_box_ref()/uncore_box_unref() względem uncore_change_context() jest nieprawidłowa. W uncore_event_cpu_online() uncore_box_ref() jest wywoływane, gdy box->cpu wynosi jeszcze -1, więc box nie jest inicjalizowany przy pierwszym CPU w die, a w ścieżce offline box jest niszczony przy przedostatnim CPU.

W jądrze Linux w sterowniku drm/panthor występuje błąd dereferencji wskaźnika NULL (NPD) podczas częściowego usuwania mapowania (partial unmap) bufora obiektu (BO), który został wcześniej wyewakuowany (evicted). Gdy strony BO są zwalniane przy ewakuacji, wskaźnik 'bo->backing.pages' jest ustawiany na NULL, a logika obsługi podziału mapowania GPU nie pomijała tego przypadku dla VMA wyewakuowanego BO, co prowadziło do odwołania się do NULL i awarii jądra.

W jądrze Linux w module drm/amd/powerplay naprawiono błąd w pętli przetwarzającej tablicę VoltageObjectInfo. Złośliwy lub uszkodzony VBIOS mógł dostarczyć tablicę z nieprawidłowym rozmiarem obiektu, co prowadziło do nieskończonej pętli lub odczytu poza granicami bufora sterty.

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd i vddcInd pochodzących z tablic parsowanych z VBIOS. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć.

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd, vddciInd i mvddInd pochodzących z tablic parsowanych z VBIOS w dziewięciu miejscach kodu. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć vddc, vddci i vddmem.

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_plane_drm_plane_reset() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_crtc_reset_state() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w podsystemie BPF funkcja copy_map_value_long() nie kopiowała dopełnienia (padding) między map->value_size a round_up(map->value_size, 8) dla map per-CPU. W wyniku tego ścieżki UAPI LOOKUP_ELEM mogły zwracać do przestrzeni użytkownika nieaktualne dane ze sterty.

W jądrze Linux w podsystemie BPF/LSM wywołanie security_bpf_prog_free() z kontekstu softirq (poprzez __bpf_prog_put_rcu) powodowało błąd "sleeping function called from invalid context", gdy do hooka podłączony był program LSM typu sleepable. Poprawka usuwa bpf_prog_free z sleepable_lsm_hooks.

W jądrze Linux w mm/mm_init brakowało sprawdzenia nieudanej alokacji pgdat->per_cpu_nodestats w free_area_init_core_hotplug, co prowadziło do dereferencji NULL przy odwołaniu do obszaru per-CPU. Poprawka propaguje -ENOMEM i pozostawia per_cpu_nodestats wskazujący na boot_nodestats.

W jądrze Linux w sterowniku leds: lp5860 funkcja lp5860_device_init() w przypadku niepowodzenia lp5860_init_dt() zwalniała już zwolniony mutex (double-unlock). Poprawka zmienia sposób pobierania i zwalniania blokady.

W jądrze Linux w sterowniku dmaengine: xilinx_dma występował wyścig w procedurach obsługi przerwań AXIDMA i MCDMA. Kanał mógł zostać błędnie oznaczony jako bezczynny i rozpocząć zbędne transfery, gdy deskryptory były wciąż przetwarzane, co prowadziło do korupcji deskryptorów lub pominiętych ukończeń.

W jądrze Linux w funkcji zynqmp_dma_remove() runtime PM był wyłączany dopiero po sprawdzeniu stanu i ręcznym uśpieniu urządzenia, co może powodować wyścig z runtime PM w ścieżce usuwania/odłączania modułu (rmmod). Poprawka najpierw wyłącza runtime PM, a następnie usypia urządzenie tylko jeśli nie jest już uśpione, aby zapobiec dalszym przejściom stanów runtime PM.

W jądrze Linux w sterowniku dmaengine xilinx_dma funkcja xilinx_dma_poll_timeout wywoływana z parametrem delay_us=0 powodowała zajęte oczekiwanie CPU przez bardzo długi czas, gdy warunek zakończenia nigdy nie został spełniony. Zamiast przekroczyć limit czasu po około XILINX_DMA_LOOP_COUNT mikrosekund, przekroczenie następowało po kilku minutach, co prowadziło do zablokowania CPU. Poprawka wprowadza stałą XILINX_DMA_POLL_DELAY_US i używa delay_us=10.

W jądrze Linux ścieżka śledzenia wywołań systemowych przeładowuje argumenty z pt_regs przed wywołaniem handlera. Na C-SKY ABIv2 kod zmienia wskaźnik stosu (sp) przed załadowaniem LSAVE_A4 i LSAVE_A5, przez co odczytywane są niewłaściwe sloty i śledzone wywołania używające 5. lub 6. argumentu (np. mmap2) otrzymują uszkodzone argumenty. Poprawka ładuje a4/a5 z pt_regs przed zmianą sp.

W jądrze Linux w funkcji rtw89_ppdu_str() sterownika wifi rtw89 użyto porównania '>' zamiast '>=', co może prowadzić do dostępu poza granicami bufora. Poprawka zmienia operator na '>=' aby uniknąć nieprawidłowego dostępu do pamięci.

W jądrze Linux w module platform/chrome sensorhub wartości max_response i sensor_num pochodzą z różnych poleceń EC. Przy wadliwym firmware EC liczba odczytanych bajtów może być mniejsza niż oczekiwana, co powoduje przepełnienie odczytu (overread) bufora resp->fifo_info w funkcji cros_ec_sensorhub_ring_handler(). Poprawka sprawdza wartość zwracaną przez cros_ec_cmd_xfer_status() i przerywa działanie przy niezgodności długości.

W jądrze Linux naprawiono podatność w mechanizmie uprobes na architekturze x86. Zoptymalizowane uprobes mogły nadpisywać obszar redzone stosu użytkownika, ponieważ instrukcja call zapisywała adres powrotny na stosie, podczas gdy kod użytkownika mógł tam przechowywać dane tymczasowe bez korygowania rejestru rsp. Problem rozwiązano, przenosząc zoptymalizowane uprobes z instrukcji nop5 na nop10, co pozwala dodać instrukcję lea korygującą rsp przed wykonaniem call.