Katalog podatności CVE

W jądrze Linux w module RDMA/rxe wykryto błąd, który powoduje wielokrotne przetwarzanie tego samego pakietu po przejściu kolejki QP w stan błędu. Gdy QP przechodzi w stan błędu podczas odbierania pakietu (np. rozłączenie rdma_cm w trakcie przetwarzania), maszyna stanów respondera zapętla się i wielokrotnie wysyła to samo ukończenie IB_WC_SUCCESS, a po wyczerpaniu RQ następuje dereferencja NULL i panika jądra. Duplikaty ukończeń są nierozróżnialne od prawdziwych odbiorów, co łamie gwarancję dokładnie jednokrotnego dostarczenia w RC.

W jądrze Linux funkcja restore_dm_crypt_keys_to_thread_keyring() pobiera referencję do keyringu użytkownika przed przywróceniem zapisanych kluczy dm-crypt. Ta sama referencja jest przekazywana do add_key_to_keyring() dla każdego klucza, ale funkcja ta zwalnia referencję przy każdym wywołaniu. Przy przywracaniu wielu kluczy referencja jest zwalniana zbyt wiele razy, co może wywołać underflow licznika referencji lub use-after-free. Przy więcej niż pięciu kluczach może wystąpić ostrzeżenie o underflow/use-after-free.

W jądrze Linux funkcja esp_ssg_unref() zwalnia referencje do stron źródłowego scatterlist po zakończeniu operacji AEAD. Wywołuje skb_page_unref() na każdej stronie fragmentu dla transformacji out-of-place oraz w ścieżce błędów esp_output_tail(). Jest to błędne gdy skb przenosi managed frags (SKBFL_MANAGED_FRAG_REFS), które są własnością zerocopy ubuf i skb nie posiada referencji do stron. Brak zabezpieczenia powoduje underflow licznika referencji strony i zwolnienie strony wciąż używanej.

W jądrze Linux funkcja rvt_alloc_device() dealokuje urządzenie IB, gdy nie można zaalokować tablicy portów, ale następnie zwraca wskaźnik do zwolnionej alokacji. Wywołujący traktują każdą nie-NULL wartość jako prawidłową i dereferencjonują ją, co prowadzi do use-after-free. Poprawka zwraca NULL natychmiast po dealokacji, aby wywołujący mogli propagować błąd alokacji.

Podatność w sterowniku hfi1 w jądrze Linuxa dotyczy funkcji hfi1_free_devdata(), która zakłada, że urządzenie zostało umieszczone w tabeli jednostek i bezwarunkowo kasuje dd->unit. Jeśli xa_alloc_irq() zawiedzie, wyzerowana jednostka pozostaje zerem, co może spowodować usunięcie niezwiązanego urządzenia z indeksu 0 podczas pełnego czyszczenia.

Podatność w sterowniku hfi1 dotyczy wycieku pamięci podczas późnej awarii probe. Funkcja hfi1_init_dd() przydziela współdzielone wsparcie RX AIP/VNIC przed zwróceniem. Jeśli hfi1_init() lub hfi1_register_ib_device() później zawiedzie, init_one() usuwa dane urządzenia bez wywołania hfi1_free_rx(), co powoduje wyciek netdev_rx i jego atrapy netdev.

Podatność w podsystemie v4l2-async w jądrze Linuxa powoduje awarię podczas odłączania urządzenia em28xx z użyciem i2c tvp5150. Gdy lista asc_list jest pusta, funkcja v4l2_async_unregister_subdev() nie wywołuje v4l2_device_unregister_subdev(), co prowadzi do crasha. Poprawka polega na wywołaniu v4l2_device_unregister_subdev() nawet przy pustej asc_list.

W jądrze Linux występuje podatność use-after-free w funkcji rdtgroup_kn_put() w podsystemie fs/resctrl. Struktura rdtgroup jest zwalniana przez dwa konkurencyjne mechanizmy, co może prowadzić do użycia zwolnionej pamięci, a nawet podwójnego zwolnienia. Problem naprawiono zastępując atomic_dec_and_test() funkcją atomic_dec_and_mutex_lock(), która zapewnia wzajemne wykluczanie z mechanizmami masowego zwalniania.

Podatność use-after-free (UAF) w jądrze Linux w podsystemie resctrl, występująca podczas usuwania domen monitorowania. Pracownicy (worker threads) odczytujący liczniki zdarzeń mogą spać i korzystać z opóźnionej pracy (delayed_work) umieszczonej w strukturze domeny. W pewnych warunkach, gdy pracownik czeka na blokadę, domena może zostać zwolniona, co prowadzi do odwołania do zwolnionej pamięci.

W jądrze Linux występuje zakleszczenie (deadlock) w implementacji rpmsg glink podczas niszczenia endpointu przy odłączaniu sterownika. Funkcja niszcząca endpoint próbuje wyrejestrować urządzenie rpmsg, co powoduje ponowną próbę zdobycia tego samego muteksa urządzenia już trzymanego przez rdzeń, w wyniku czego rmmod zawiesza się na stałe. Problem rozwiązano poprzez usunięcie zbędnej operacji wyrejestrowania.

Podatność w podsystemie cxl/mbox w jądrze Linuxa dotyczy zapętlenia w pętli listy trucizn. Urządzenie zwracające count == 0 z ustawionym CXL_POISON_FLAG_MORE w każdej iteracji nie zwiększa nr_records, więc zabezpieczenie max_errors nie działa i pętla do/while działa w nieskończoność, trzymając mutex poison. To zawiesza wątek skanowania sysfs i blokuje wszystkie kolejne operacje trucizn na urządzeniu. Poprawka zatrzymuje pętlę przy pustym ładunku.

Podatność w podsystemie cxl/features w jądrze Linuxa dotyczy braku serializacji wieloczęściowych transferów Get/Set Feature. Payload większy niż rozmiar skrzynki mailowej jest dzielony na kilka komend, ale mbox_mutex nie chroni całego transferu. Równoczesne wywołania z fwctl i ścieżek EDAC mogą przeplatać części transferu, co może uszkodzić kontekst urządzenia. Poprawka dodaje per-mailbox feat_mutex trzymany przez cały transfer.

Podatność w systemie plików HFS+ w jądrze Linuxa dotyczy braku walidacji rekordu wątku przed odbudową klucza usuwania. Gdy hfsplus_delete_cat() jest wywoływane z str == NULL, rekonstruuje klucz z thread.nodeName bez sprawdzenia, czy rekord jest prawidłowy. Uszkodzony obraz może podać zbyt długą długość nazwy, co prowadzi do zapisu poza przydzieloną pamięcią. Poprawka używa hfsplus_brec_read_cat(), która ogranicza odczyt i weryfikuje rozmiar rekordu.

Podatność w sterowniku wifi ath12k w jądrze Linuxa dotyczy pozostałych odwołań dp_link_peer podczas wycofywania AP vdev. Gdy tworzenie vdev zawiedzie po ath12k_peer_create(), funkcja nie wywołuje ath12k_dp_link_peer_unassign(), pozostawiając opublikowane referencje wskazujące na potencjalnie zwolnioną pamięć, co prowadzi do użycia po zwolnieniu. Poprawka polega na użyciu ath12k_peer_delete(), które najpierw wykonuje unassign.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że stan kanału transportowego jest publikowany dopiero po wywołaniu callbacków, co może prowadzić do wyłuskania wskaźnika NULL w callbacku RX. Problem dotyczy zarówno kanałów mailbox, jak i SMC, gdzie wczesne przerwania mogą wywołać callback przed inicjalizacją wskaźnika cinfo lub handle.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że notyfikator urządzeń nie jest wyrejestrowywany przed zniszczeniem struktury IDR active_protocols. Może to prowadzić do wyścigu, w którym callback notyfikatora próbuje uzyskać dostęp do już zwolnionej struktury IDR.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że powiadomienia nie są wyciszane przed zniszczeniem kanałów TX/RX, co może prowadzić do wyłuskania zwolnionej pamięci w callbacku powiadomień. Dodatkowo, praca inicjalizacyjna (init_work) może być wykonywana po zwolnieniu instancji powiadomień.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że w przypadku błędu podczas konfiguracji kanałów, wcześniej zarejestrowane kanały nie są poprawnie czyszczone. Może to prowadzić do wycieku zasobów lub pozostawienia nieprawidłowego stanu.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że w przypadku błędu podczas wstawiania do IDR po udanej konfiguracji kanału transportowego, nie jest wywoływany callback czyszczący (chan_free). Może to prowadzić do wycieku zasobów, takich jak IRQ, kanały mailbox i pamięć współdzielona.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że podczas czyszczenia kanałów, callback usuwający wpisy z IDR w trakcie iteracji idr_for_each() może unieważnić iterator, co prowadzi do niebezpiecznego zachowania. Ponadto callback nie może być chroniony przez rcu_read_lock(), ponieważ może spać.