Katalog podatności CVE

W jądrze Linux w module RDMA/bnxt_re funkcja bnxt_re_mmap() odrzuca flagę VM_WRITE dla stron DBR_PAGE i TOGGLE_PAGE, ale mapowanie tylko do odczytu może nadal zachować VM_MAYWRITE i zostać później rozszerzone przez mprotect(PROT_WRITE). Pozwala to obejść kontrolę zapisu wykonywaną tylko w momencie mmap. Poprawka czyści VM_MAYWRITE przed vm_insert_page() w gałęzi wspólnej dla DBR/toggle-page.

W jądrze Linux w funkcji ext4_init_orphan_info() występuje wyciek referencji buffer_head. Gdy odczyt bloku pliku sierot się powiedzie, ale walidacja magic lub sumy kontrolnej nie powiedzie się, pętla zwalniająca bufory pomija bufor o bieżącym indeksie, co prowadzi do wycieku pamięci.

W jądrze Linux moduł amd_pstate_ut nie sprawdza, czy sterownik amd-pstate jest aktywny, co powoduje NULL pointer dereference przy modprobe na platformach Intel. Brak wykrywania stanu sterownika amd-pstate prowadzi do awarii jądra.

W jądrze Linux w sterowniku cpufreq/amd-pstate funkcje amd_pstate_power_supply_notifier() i amd_pstate_profile_set() nie obsługują przypadku, gdy cpufreq_cpu_get() zwraca NULL. Może to prowadzić do NULL pointer dereference przy wyścigu z hotplug CPU lub niszczeniem sterownika.

W jądrze Linux funkcja scmi_protocol_table_register() może pozostawić wcześniej zarejestrowane żądania, gdy późniejszy wpis w tabeli ID zawiedzie. Każde żądanie zachowuje wskaźnik do tabeli ID sterownika, co po zwolnieniu pamięci modułu może prowadzić do dangling pointer.

W jądrze Linux funkcja scmi_driver_register() żąda urządzeń protokołu przed rejestracją sterownika. Jeśli driver_register() zawiedzie, żądania pozostają w globalnym IDR i zachowują wskaźniki do tabeli ID modułu, co po zwolnieniu pamięci modułu prowadzi do dangling pointer.

W jądrze Linux funkcja xfrm_dev_direct_output() zwalnia skb, gdy local_out() zwróci wartość inną niż 1, mimo że skb został już skonsumowany lub przekazany. Prowadzi to do podwójnego zwolnienia skb, gdy netfilter odrzuci pakiet.

W jądrze Linux sterownik RDMA/erdma w funkcjach erdma_destroy_qp(), erdma_destroy_cq(), erdma_dereg_mr() i erdma_destroy_ah() zwraca wcześnie, gdy erdma_post_cmd_wait() zawiedzie, co powoduje wyciek buforów kolejek, MTT, doorbells oraz identyfikatorów STAG, QPN, CQN i AHN.

W jądrze Linux system plików exfat zeruje lukę w page-cache poniżej nowego valid_size przy rozszerzaniu przez zapis buforowany lub page fault. Zapis przez współdzielone mapowanie może wyścignąć się z tym zerowaniem i zostać nadpisany.

W jądrze Linux podprogramy BPF używają ABI bpf_callback_t, ale task work wywołuje callback przez wskaźnik funkcji z trzema argumentami. Powoduje to niezgodność CFI (kCFI).

W jądrze Linux w funkcji bpf_tracing_link_release występuje ostrzeżenie spowodowane nadpisaniem flag tr->flags przez 'tr->flags = BPF_TRAMP_F_TAIL_CALL_CTX' w weryfikatorze. Prowadzi to do uszkodzenia trampoliny i niepowodzenia przywrócenia instrukcji nop.

W jądrze Linux w funkcji find_pos_and_ways() ścieżka błędu zwalnia referencję do dekodera switch przed zalogowaniem komunikatu zawierającego jego nazwę. Jeśli była to ostatnia referencja, dekoder może zostać zwolniony, zanim komunikat odczyta jego nazwę, co prowadzi do use-after-free.

W jądrze Linux mechanizm liveupdate (LUO) nie zapamiętywał statusu nieudanej próby retrieve() na FLB, co powodowało ponowne wywołanie callbacku retrieve() przy kolejnej próbie. Ponowna próba jest problematyczna, ponieważ FLB może być w innym stanie (np. część stron KHO mogła już zostać przywrócona i zwolniona).

W jądrze Linux sterownik pinctrl: mediatek rejestrował gpio_chip za pomocą niezarządzanego gpiochip_add_data(), mimo że pamięć była alokowana przez devm. Gdy sterowniki mogą być budowane jako moduły i usuwane, devm zwalnia pamięć gpio_chip, gdy jest on wciąż zarejestrowany, powodując use-after-free.

W jądrze Linux funkcja mtk_eint_do_init() tworzy domenę IRQ, mapowania i łańcuchowy handler, ale nigdy ich nie zwalnia. Gdy sterowniki mogą być budowane jako moduły i usuwane, pozostawia to wiszącą domenę IRQ, mapowania wskazujące na zwolnioną pamięć oraz handler odwołujący się do zwolnionych danych.

W jądrze Linux sterownik scsi: ufs: core nieprawidłowo walidował deskryptory łańcuchowe. Przekazywał liczbę bajtów zamiast liczby jednostek UTF-16 do utf16s_to_utf8s(), co mogło powodować odczyt poza buforem deskryptora, a kopiowanie bLength bajtów mogło wykraczać poza bufor odpowiedzi.

W jądrze Linux ścieżka ukończenia single-doorbell może wywołać ufshcd_compl_one_cqe() z NULL CQE. Jeśli żadne polecenie nie jest powiązane z tagiem ukończenia, komunikat ostrzeżenia dereferencjonuje CQE podczas raportowania błędu.

W jądrze Linux sterownik scsi: ufs: core nie walidował liczby podłączonych linii. Liczba ta jest używana przez kod equalizacji TX do indeksowania tablic o rozmiarze UFS_MAX_LANES, co może prowadzić do indeksowania poza zakresem.

W jądrze Linux funkcja ufs_saved_err_write() kopiuje dane wejściowe użytkownika do bufora stosu o zerowej inicjalizacji i przekazuje je do kstrtoint(). Zapis wypełniający cały bufor nadpisuje jego jedyny terminator NUL.

W jądrze Linux funkcja kmb_ocs_aes_probe() żąda przerwania IRQ urządzenia przed zainicjalizowaniem irq_completion. Po zarejestrowaniu handlera może on uruchomić się natychmiast, a ocs_aes_irq_handler() bezwarunkowo wywołuje complete(), używając niezainicjalizowanego obiektu completion.