Katalog podatności CVE

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że identyfikatory protokołów z drzewa urządzeń (DT) spoza dozwolonego zakresu nie są odrzucane, co może prowadzić do obcięcia wartości i błędnej interpretacji protokołu. Może to również powodować aliasowanie tożsamości protokołów.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że w przypadku błędu podczas wiązania protokołu, uchwyt SCMI nie jest zwalniany, co prowadzi do wycieku referencji i pozostawienia nieprawidłowego stanu. Dotyczy to również sytuacji, gdy funkcja device_link_add() zawiedzie.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że w przypadku błędu podczas konfiguracji dodatkowego kanału odbiorczego TX, główny kanał mailbox nie jest zwalniany, co prowadzi do pozostawienia kanału zajętego.

W jądrze Linux w podsystemie ARM SCMI występuje podatność polegająca na tym, że w przypadku błędu podczas konfiguracji dodatkowego kanału odbiorczego P2A, główny kanał P2A nie jest zwalniany, co prowadzi do pozostawienia kanału zajętego.

W jądrze Linux w sterowniku firmware: arm_scmi występuje błąd zarządzania czasem życia urządzeń SCMI. Funkcja scmi_child_dev_find() zwalnia referencję zwróconą przez device_find_child() przed zwróceniem wskaźnika scmi_device, przez co równoległe wyrejestrowanie może zwolnić urządzenie, gdy ścieżka niszczenia wciąż używa tego wskaźnika. Dodatkowo identyfikator szyny SCMI może zostać ponownie użyty, zanim stary wpis zostanie usunięty z sysfs.

W jądrze Linux w sterowniku firmware: arm_scmi występuje błąd w wyszukiwaniu urządzeń transportowych podczas rozbierania kanału. Funkcja scmi_device_destroy() używa tego samego mechanizmu dopasowania protokół/nazwa co dopasowanie sterowników, przez co nie znajduje urządzeń transportowych, które powinny zostać wyrejestrowane. Dodatkowo zduplikowane węzły protokołu w firmware mogą ponownie użyć istniejącego urządzenia transportowego i je zniszczyć.

W jądrze Linux w module cxl/features funkcja cxlctl_get_feature() rozmiar bufora wyjściowego wyznacza z fwctl_rpc.out_len, ale urządzeniu nakazuje zapisać cxl_mbox_get_feat_in.count bajtów, gdzie count jest osobną wartością kontrolowaną przez użytkownika. Brak ograniczenia count względem out_len pozwala na przepełnienie bufora przydzielonego przez kvzalloc() i zapis poza zakresem sterty.

W jądrze Linux w module cxl/features funkcja cxlctl_set_feature() rozmiar bufora wyjściowego wyznacza z fwctl_rpc.out_len, ale nie sprawdza, czy jest on wystarczająco duży, by pomieścić nagłówek fwctl_rpc_cxl_out. Gdy out_len wynosi 0, kvzalloc() zwraca ZERO_SIZE_PTR, co przechodzi sprawdzenie !rpc_out, a następnie zapis rpc_out->size = 0 następuje przez wskaźnik poison.

W jądrze Linux w module cxl/features funkcja cxl_get_feature() odczytuje funkcję w pętli, ale w każdej iteracji przekazuje stały rozmiar size_out jako pojemność wyjściową. W ostatniej częściowej iteracji w buforze pozostaje mniej miejsca, więc urządzenie zwracające więcej niż zażądano może przepełnić feat_out.

W jądrze Linux w module dax/fsdev nie jest czyszczone pole pgmap->vmemmap_shift przy wiązaniu statycznego urządzenia DAX. Przy ponownym powiązaniu statycznego urządzenia z device_dax (które może ustawić vmemmap_shift na podstawie wyrównania) do fsdev_dax nieaktualna wartość vmemmap_shift pozostaje w współdzielonym pgmap, co powoduje zbudowanie vmemmap dla folio innego rzędu niż wymaga fsdev.

W jądrze Linux w module dax/fsdev funkcja fsdev_dax_probe() ustawia pgmap->ops i pgmap->owner, ale nigdy ich nie czyści przy odłączaniu. Dla statycznego urządzenia pgmap jest współdzielony i długotrwały, więc po odłączeniu fsdev nieaktualny wskaźnik fsdev_pagemap_ops pozostaje w pgmap. Późniejsze memory_failure może wywołać nieaktualny, potencjalnie zwolniony handler.

W jądrze Linux w module dax/fsdev funkcja __fsdev_dax_direct_access() używa virt_addr + linear_offset zamiast __va(phys) do zwrócenia kaddr. Dla urządzeń wielozakresowych z fizycznymi przerwami między zakresami ta liniowa arytmetyka przekracza przerwę i zwraca błędny adres wirtualny jądra.

W jądrze Linux w module dax funkcja dax_holder_notify_failure() odczytuje dax_dev->holder_ops dwukrotnie bez READ_ONCE() — raz do sprawdzenia NULL i raz do wywołania notify_failure(). Równoległe fs_put_dax() może wyczyścić holder_ops między tymi odczytami, przez co sprawdzenie widzi wskaźnik nie-NULL, a wywołanie dereferencjonuje NULL.

W jądrze Linux w sterowniku irqchip/renesas-irqc występuje wyciek zasobów przy usuwaniu sterownika. Sterownik alokuje domain generic chips podczas sondowania, ale przy usuwaniu nie są one automatycznie zwalniane, ponieważ flagi domeny nie zawierają IRQ_DOMAIN_FLAG_DESTROY_GC. Powoduje to wyciek struktur i pozostawienie ich na globalnej liście, gdzie mogą być później użyte przez wywołania zwrotne suspend, resume lub shutdown po usunięciu sterownika.

W jądrze Linux sterownik media bcm2835-unicam nie zwalniał struktury asc przydzielonej przez v4l2_async_nf_add_fwnode_remote() w ścieżkach błędów i usuwania modułu. Powodowało to wyciek pamięci widoczny w kmemleak po rmmod.

W jądrze Linux sterownik media ipu6 zwalniał pamięć pdata po inicjalizacji urządzenia pomocniczego, co mogło prowadzić do podwójnego zwolnienia tego samego obiektu. Ścieżki błędów już wywołują put_device() i auxiliary_device_uninit(), które uruchamiają zwolnienie przez ipu6_bus_release().

W jądrze Linux w podsystemie OPP zmieniono kolejność inicjalizacji wskaźników, przez co *opp_table było inicjalizowane po *opp. Powodowało to zmianę kolejności funkcji czyszczących i błędy use-after-free, gdy funkcja _opp_kref_release odwoływała się do już zwolnionego opp->opp_table.

W jądrze Linux w sterowniku drm/amd/display występuje wyścig przy usuwaniu adapterów DM I2C. Adaptery mogą pozostać widoczne dla przestrzeni użytkownika podczas demontażu DM, a równoczesny transfer i2c-dev może wywołać amdgpu_dm_i2c_xfer() po zniszczeniu stanu DM, prowadząc do dereferencji NULL.

W jądrze Linux w sterowniku drm/bridge tc358767 funkcja tc_aux_transfer() nie ograniczała rozmiaru odczytu AUX do rozmiaru żądania. Kontroler mógł zgłosić do 255 bajtów, co powodowało przepełnienie 16-bajtowego bufora stosu auxrdata i bufora wywołującego.

W jądrze Linux wykryto podatność use-after-free w mechanizmie PAT (Page Attribute Table) dla architektury x86. Problem występuje podczas równoczesnego ładowania i zwalniania modułów na wielu CPU, gdy operacja scalania dużych stron (large-page collapse) nie jest chroniona odpowiednim zamkiem, co prowadzi do zapisu do zwolnionej pamięci i awarii systemu.