Katalog podatności CVE

W jądrze Linux funkcja bpf_arena_free_pages() akceptowała adresy aren poniżej bazowego adresu areny, co po zamaskowaniu do dolnych 32 bitów i rekonstrukcji adresu użytkownika prowadziło do zwolnienia zakresu poza mapowaniem areny. Poprawka odrzuca takie zwolnienia przed obliczeniem przyciętego zakresu.

W jądrze Linux interpreter BPF nie obsługuje instrukcji związanych z areną, jednak mechanizm fallbacku interpretera był dla nich dozwolony, co prowadziło do trafienia w BUG_ON() w ___bpf_prog_run() w czasie wykonania. Poprawka ustawia jit_required na true, gdy w programie używana jest mapa arena, aby uniemożliwić fallback interpretera.

W jądrze Linux interpreter BPF nie rozpoznaje instrukcji BPF_JMP|BPF_JA|BPF_X używanej dla mapy insn_array, co prowadziło do trafienia w BUG_ON() w ___bpf_prog_run() w czasie wykonania. Poprawka ustawia jit_required na true, gdy w programie używana jest mapa insn_array, aby uniemożliwić fallback interpretera dla instrukcji gotox.

W jądrze Linux sterownik dmaengine dw-edma wywoływał vchan_cookie_complete() przy odroczonym STOP, co powodowało wywołanie callbacku dla aktywnego deskryptora i pozostawienie innych deskryptorów w kolejce. Późny callback po dmaengine_terminate_sync() mógł odwoływać się do zwolnionego stanu klienta, a pozostałe deskryptory mogły wznowić działanie na ponownie użytych buforach. Poprawka przenosi wszystkie wydane i zgłoszone deskryptory do listy zakończonych bez planowania callbacków.

W jądrze Linux w sterowniku dmaengine dw-edma funkcja dw_edma_abort_interrupt() zwalnia blokadę vc.lock przed aktualizacją stanu żądania i kanału. W tym oknie issue_pending() może odczytać stary stan zajętości i pominąć uruchomienie zakolejkowanych deskryptorów, a następnie procedura przerwania nadpisuje stan kanału jako bezczynny, trwale pozostawiając nowe deskryptory bez obsługi.

W jądrze Linux w sterowniku dmaengine dw-edma funkcje pause() i resume() odczytują i modyfikują stan kanału bez blokady vc.lock, podczas gdy procedury przerwania robią to pod nią. Może to doprowadzić do zapisania żądania pauzy na już bezczynnym kanale, którego żadne przerwanie nie potwierdzi, trwale zakleszczając kanał.

W jądrze Linux w sterowniku ASoC meson funkcja meson_card_reallocate_links() powiększa tablice DAI link i danych prywatnych dwoma kolejnymi wywołaniami krealloc(), aktualizując wskaźniki dopiero po obu sukcesach. Gdy pierwszy krealloc() przeniesie dane, a drugi zawiedzie, card->dai_link wskazuje zwolniony blok, co prowadzi do use-after-free i podwójnego zwolnienia.

W jądrze Linux w sterowniku iio dac ad5686 brakuje sprawdzenia wskaźnika chip_info na wartość NULL. Jeśli użytkownik powiąże sterownik przez driver_override w sysfs z nazwą urządzenia nieobecną w id_table lub of_match_table, dane dopasowania będą NULL.

W jądrze Linux w sterowniku RDMA hfi1 funkcja set_txreq_header_ahg() ignoruje wartość zwracaną przez sdma_txinit_ahg(). Gdy inicjalizacja zawiedzie, tx->txreq nie jest zainicjowany, ale wywołujący kontynuuje przetwarzanie żądania tak, jakby się powiodło.

HortusFox-Web przed wersją 6.1 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW poprzez nadużycie funkcji Import/Export. Atakujący mogą wykorzystać funkcję Import/Export, przeznaczoną wyłącznie do przenoszenia danych, do wdrożenia i wykonania złośliwego kodu na hoście serwera aplikacji.

W jądrze Linux w sterowniku RDMA rxe funkcja rxe_requester() nie waliduje pól num_sge/cur_sge dla WQE pochodzących z kolejki użytkownika. Lokalny nieuprzywilejowany użytkownik może zakolejkować WQE z poza zakresem cur_sge lub zbyt dużym num_sge, wymuszając odczyt poza zakresem tablicy sge w copy_data() (vmalloc OOB read).

W jądrze Linux w sterowniku irqchip gic-v3-its funkcja its_vpe_irq_domain_alloc() nie wywołuje its_vpe_teardown() w ścieżce błędu, gdy its_irq_gic_domain_alloc() zawiedzie. Powoduje to wyciek zasobów przypisanych do danego przerwania.

W jądrze Linux w module RDMA nldev atrybut RDMA_NLDEV_ATTR_STAT_HWCOUNTERS jest atrybutem zagnieżdżonym, którego elementy podrzędne są odczytywane bezpośrednio przez nla_get_u32(). Polityka najwyższego poziomu waliduje tylko kontener, nie ustalając stałego rozmiaru każdego elementu podrzędnego.

W jądrze Linux w module ACPI processor wyszukiwanie hotplug IOAPIC parsuje rekordy MADT i _MAT bez pełnej walidacji granic. Wcześniej używano zadeklarowanej długości podtablicy do przesuwania kursora po zlokalizowaniu jedynie nagłówka generycznego, a ścieżka _MAT przekazywała nagłówek generyczny do funkcji pomocniczej IOAPIC.

W jądrze Linux w module ACPI PCI funkcja acpi_pci_root_add() przypisuje nowo przydzielony root do device->driver_data przed dmar_device_add() i pci_acpi_scan_root(). Tylko ścieżka pci_acpi_scan_root() czyści driver_data przed zwolnieniem root, więc gdy dmar_device_add() zawiedzie, pozostaje wiszący wskaźnik. Ten sam problem występuje w acpi_pci_root_remove().

W jądrze Linux w asystentach BPF dla kolejek i stosów (pop/peek) bufor wyjściowy nie był zerowany w przypadku nieudanego przejęcia zamka. Programy BPF mogły obserwować niezainicjalizowane dane ze stosu. Poprawka polega na wyzerowaniu bufora przed zwróceniem błędu -EBUSY.

W jądrze Linux dla architektury RISC-V w mechanizmie BPF JIT występuje wyciek pamięci. Gdy kompilacja JIT nie powiedzie się dla późniejszego podprogramu, funkcja bpf_jit_free() nie zwalnia tablicy offsetów kontekstu, co prowadzi do wycieku pamięci. Poprawka dodaje brakujące kfree.

W jądrze Linux dla RISC-V z włączoną opcją CFI_CLANG, podczas tailcall w BPF występuje uszkodzenie stosu jądra. Z powodu podwójnego pomijania instrukcji kcfi, skok przeskakuje o dodatkowe 4 bajty, pomijając korektę wskaźnika stosu. Poprawka usuwa to podwójne uwzględnienie.

W jądrze Linux dla RISC-V, w obsłudze wyjątków dla operacji load_acquire w BPF, brakuje wpisu w tablicy extable, co przy błędzie dostępu prowadzi do paniki (oops). Ponadto, w przypadku błędu rejestr rd nie jest zerowany, co może powodować wyciek danych przez mapę. Poprawka sprawdza warunek ret >= 0 przed dodaniem handlera i przekazuje rd dla LOAD_ACQ, aby przy błędzie wyzerować rejestr.

W jądrze Linux w mechanizmie BPF, w obsłudze instrukcji BPF_RES_SPIN_LOCK, sprawdzenie offsetu błędnie używa pola offset dla BPF_SPIN_LOCK zamiast res_spin_lock_off. Poprawka zmienia to sprawdzenie na właściwe pole.