Katalog podatności CVE

W jądrze Linux funkcja set_user_buf_size() w sterowniku RDMA/mlx5 oblicza rozmiar bufora QP przez przesunięcie w lewo dostarczonych przez użytkownika wartości rq.wqe_cnt i rq.wqe_shift jako liczb całkowitych ze znakiem. Duże rq.wqe_cnt powoduje przepełnienie ze znakiem, dając mały lub ujemny buf_size, przez co ib_umem_get() mapuje bufor mniejszy niż sprzęt faktycznie zapisze.

W jądrze Linux w funkcji zisofs_fill_pages() (system plików isofs) ścieżka sukcesu pozostawiała ostatni bufor nagłówka bloku (buffer_head) bez zwolnienia. Prowadzi to do wycieku referencji bufora przy odczycie tablicy wskaźników skompresowanych bloków zisofs.

W jądrze Linux sterownik SPI oc-tiny alokował kontroler przez spi_alloc_host() (bez zarządzania zasobami), a przerwanie rejestrował przez devm_request_irq(). Podczas usuwania kontroler był zwalniany przed wykonaniem free_irq(), co pozwalało późnemu lub zatrzaśniętemu przerwaniu odwołać się do zwolnionej pamięci (use-after-free).

W jądrze Linux w schedulerze sched_ext funkcja scx_hardlockup() odkładała przerwanie (abort) przez irq_work, co nie działało w kontekście NMI i uniemożliwiało odzyskanie z samodzielnie wykrytego zakleszczenia. Dodatkowo zwracano wartość true nawet gdy abort został odrzucony, tłumiąc raport o hardlockup.

W jądrze Linux w podsystemie remoteproc brak synchronizacji między rproc_crash_handler_work() a rproc_del() pozwalał na usunięcie sterownika podczas gdy obsługa awarii była zaplanowana lub wykonywana, prowadząc do use-after-free. Wprowadzono flagę "deleting" oraz anulowanie i synchronizację pracy przed usunięciem.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja tegra241_vintf_init_lvcmdq() publikowała wskaźnik vcmdq w tablicy vintf->lvcmdqs[] zanim tegra241_vcmdq_alloc_smmu_cmdq() zainicjalizował vcmdq->cmdq. Zatrzaśnięty błąd LVCMDQ w tym oknie powodował przekazanie wyzerowanego arm_smmu_cmdq do __arm_smmu_cmdq_skip_err() i dereferencję wskaźników NULL.

W jądrze Linux w komponencie iommu/tegra241-cmdqv występuje błąd synchronizacji między procedurą obsługi przerwania błędu (ISR) a inicjalizacją i deinicjalizacją VINTF. Brak odpowiedniego uporządkowania pamięci i synchronizacji może prowadzić do odwołania do wskaźnika NULL lub użycia zwolnionej pamięci (use-after-free) podczas równoczesnego błędu. Podatność została naprawiona poprzez zastosowanie barier pamięci smp_store_release/smp_load_acquire oraz synchronize_irq().

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja __tegra241_cmdqv_probe() rejestrowała przerwanie błędu przed alokacją tablicy cmdqv->vintfs i ustawieniem cmdqv->num_vintfs. Zatrzaśnięty błąd CMDQV odziedziczony po kexec powodował, że ISR przeglądał niezainicjalizowaną tablicę.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja __tegra241_cmdqv_probe() używała devm_krealloc() do powiększenia @smmu, co zwalniało oryginalny wskaźnik po relokacji. Błąd po tej operacji zwracał NULL, a wywołujący dereferencjonował zwolniony @smmu na ścieżce awaryjnej.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja tegra241_cmdqv_remove() najpierw usuwała VINTF, a dopiero potem wywoływała free_irq(). Błąd w tym oknie powodował, że ISR odczytywał nieaktualny wpis i dereferencjonował NULL lub zwolniony wskaźnik.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja tegra241_vintf_init_vsid() mapowała gościnny vSID na pojedynczy fizyczny Stream ID z master->streams[0], jedynie ostrzegając gdy urządzenie nie miało dokładnie jednego strumienia. Urządzenie z wieloma strumieniami miało mapowany tylko pierwszy, a urządzenie bez strumieni powodowało odczyt poza zakresem (ZERO_SIZE_PTR).

W jądrze Linux w sterowniku iommu/tegra241-cmdqv występuje wyciek pamięci VINTF0 na ścieżce błędów inicjalizacji. Gdy funkcja tegra241_cmdqv_init_vintf() zawiedzie lub gdy późniejsza prealokacja VCMDQ się nie powiedzie, struktura VINTF0 nie jest prawidłowo zwalniana, a decyzja o zwolnieniu opiera się na błędnie odczytanym stanie własności sprzętowej.

W jądrze Linux w module RDMA/rxe występuje użycie po zwolnieniu (UAF) na ścieżce obsługi błędów inicjalizacji ODP. Gdy rxe_odp_init_pages() zawiedzie, wskaźnik mr->umem nie jest zerowany, co powoduje, że późniejsze wywołanie ib_umem_release() odczytuje już zwolnione pola.

W jądrze Linux w sterowniku clk: mediatek: pllfh występuje wyciek zmapowanej pamięci IO na ścieżce błędów rejestracji PLL. Funkcja mtk_clk_register_pllfhs nie zwalnia pamięci IO zmapowanej na węźle fhctl, gdy rejestracja PLL się nie powiedzie.

W jądrze Linux w podsystemie PCI występuje użycie po zwolnieniu (UAF), gdy operacja probe przebiega równolegle z usuwaniem dynamicznego identyfikatora. Wskaźnik do dynamicznego ID może zostać zwolniony przez remove_id_store(), podczas gdy pci_match_device() nadal go używa.

W jądrze Linux w systemie plików nilfs2 występuje nieskończona pętla w funkcji nilfs_clean_segments(). Gdy nilfs_segctor_construct() wielokrotnie zwraca -EROFS (np. po błędzie I/O i przełączeniu urządzenia w tryb tylko do odczytu), wątek cleaner wpada w nieskończoną pętlę.

W jądrze Linux w systemie plików nilfs2 występuje odczyt poza granicami bufora podczas parsowania bloku super-root. Rozmiar metadanych inode super-root jest zaufany przed wywołaniem nilfs_read_inode_common(), co pozwala złośliwemu obrazowi systemu plików na odczyt poza blokiem super-root.

W jądrze Linux w systemie plików nilfs2 występuje błąd BUG w funkcji nilfs_copy_dirty_pages() wywołany niezgodnością stanu dirty. Gdy strona dirty nieoczekiwanie traci status dirty po przejściu systemu plików w tryb tylko do odczytu, jądro zgłasza BUG.

W jądrze Linux w module RDMA/cxgb4 występuje wyciek skb i podwójne zwolnienie w funkcji write_tpt_entry(). Gdy urządzenie jest w stanie błędu krytycznego, write_tpt_entry() zwraca błąd przed przekazaniem skb, co prowadzi do wycieku w c4iw_dereg_mr() lub podwójnego zwolnienia w c4iw_get_dma_mr().

W jądrze Linux w module RDMA/mlx5 występuje odczyt poza granicami stosu w debugfs cc_params. Funkcja get_param() formatuje wartość u32 jako liczbę ze znakiem do 11-bajtowego bufora, co przy wartości 0x80000000 powoduje odczyt jednego bajtu poza buforem.