Katalog podatności CVE

W jądrze Linux w module RDMA/cxgb4 występuje wyciek indeksu STAG, gdy zapis wpisu TPT się nie powiedzie. Funkcja write_tpt_entry() alokuje indeks STAG, ale przy błędzie write_adapter_mem() nie zwalnia go ani nie cofa statystyk, co prowadzi do wycieku aż do wyłączenia urządzenia.

W jądrze Linux w module IB/isert funkcja isert_recv_done() przekazywała odebrane PDU do handlerów bez sprawdzenia wc->byte_len, czyli liczby bajtów faktycznie zapisanych w deskryptorze odbioru. Inicjator mógł zadeklarować w nagłówku BHS dłuższy segment danych niż rzeczywiście wysłał, co prowadziło do odczytu poza granicami bufora (out-of-bounds read), a w ścieżce imm_data_len również do zapisu nadmiarowych danych z heapu do magazynu docelowego.

W jądrze Linux wykryto podatność w module IB/isert (iSER), która pozwala niezalogowanemu inicjatorowi na zadeklarowanie w pakiecie login PDU większej ilości danych, niż faktycznie wysłano. Prowadzi to do odczytu poza przydzielonym buforem (slab-out-of-bounds) przed procesem uwierzytelnienia, co może skutkować wyciekiem informacji lub awarią systemu.

W jądrze Linux funkcja nvmet_execute_get_log_page_rmi() nie inicjalizuje zmiennej 'status' przed próbą alokacji bufora logu. Gdy kzalloc() zawiedzie, sterownik zwraca sukces (NVME_SC_SUCCESS) mimo że żadne dane nie zostały przesłane. Poprawka ustawia 'status' na NVME_SC_INTERNAL, aby błąd alokacji był zgłaszany jako błąd wewnętrzny.

W jądrze Linux funkcja __nvme_fc_init_request() mapuje cmd_iu, a następnie rsp_iu dla DMA. Gdy mapowanie rsp_iu zawiedzie, oryginalny kod nie odmapowuje cmd_iu i oznacza operację jako FCPOP_STATE_IDLE, co powoduje wyciek mapowania DMA dla każdej nieudanej operacji. Poprawka wprowadza ścieżkę błędu, która odmapowuje cmd_iu i pozostawia operację w stanie FCPOP_STATE_UNINIT.

W jądrze Linux sterownik spi-davinci alokuje kontroler przez spi_alloc_host(), ale rejestruje przerwanie przez devm_request_threaded_irq(). Podczas usuwania kontroler jest zwalniany przed wyrejestrowaniem przerwania, co może prowadzić do użycia zwolnionej pamięci przez spóźnione przerwanie. Poprawka przełącza na devm_spi_alloc_host() i jawnie opróżnia przerwanie przez devm_free_irq().

W jądrze Linux sterownik drm/panthor nie sprawdza, czy mapowania vm_bind dla buforów widocznych dla użytkownika nie nakładają się na region zarezerwowany dla mapowań buforów jądra. Brak tej weryfikacji może prowadzić do konfliktów w przestrzeni adresowej. Poprawka dodaje sprawdzenie nakładania się zakresów oraz zabezpieczenie przed przepełnieniem 64-bitowego zakresu.

W jądrze Linux sterownik wifi ath12k nie egzekwuje minimalnej długości struktury zdarzenia WMI_TAG_PDEV_CSA_SWITCH_COUNT_STATUS_EVENT, a pole num_vdevs pochodzące z firmware jest używane jako granica pętli bez walidacji. Może to prowadzić do odczytu poza granicami bufora. Poprawka dodaje wpis polityki TLV oraz funkcję pomocniczą ograniczającą num_vdevs.

W jądrze Linux sterownik wifi ath11k nie egzekwuje minimalnej długości struktury zdarzenia WMI_TAG_PDEV_CSA_SWITCH_COUNT_STATUS_EVENT, a pole num_vdevs pochodzące z firmware jest używane jako granica pętli bez walidacji. Może to prowadzić do odczytu poza granicami bufora. Poprawka dodaje wpis polityki TLV oraz funkcję pomocniczą ograniczającą num_vdevs.

W jądrze Linux sterownik media qcom iris nie sprawdza wartości zwracanej przez pm_runtime_resume_and_get() w funkcji iris_core_deinit(). W przypadku niepowodzenia wznowienia runtime PM sterownik kontynuuje operacje wyłączania sprzętu, co może prowadzić do niezrównoważonych referencji PM. Poprawka pomija operacje sprzętowe i odpowiadające im pm_runtime_put_sync() przy błędzie.

W jądrze Linux sterownik media stm32 dcmi ma kilka błędów obsługi błędów w funkcji probe(): pierwsza ścieżka błędu wykonuje bezpośredni return bez sprzątania, sprawdzane jest pole dcmi->mdma_chan zamiast lokalnej zmiennej mdma_chan, a dma_release_channel() jest wywoływane na nieprzypisanej dcmi->dma_chan zamiast na zmiennej chan. Prowadzi to do wycieków pamięci i dereferencji NULL.

W jądrze Linux funkcja cros_ec_debugfs_probe() rejestruje notifier_panic w łańcuchu powiadomień paniki EC, ale ścieżka usuwania modułu nie wyrejestrowuje go. Późniejsze powiadomienie o panice może wywołać usuniętą instancję i zakolejkować pracę odwołującą się do zwolnionych danych.

W jądrze Linux w funkcji rtl_pci_probe() ostatnia ścieżka błędu pomija funkcje czyszczące z powodu błędnej etykiety goto. Dodatkowo nie są cofane udane wywołania rtl_init_rfkill(), ieee80211_register_hw() i rtl_debug_add_one().

W jądrze Linux funkcja mhi_register_controller() dodaje urządzenie kontrolera przed utworzeniem opcjonalnego pliku sysfs trigger_edl. Jeśli sysfs_create_file() zawiedzie, ścieżka błędu tylko zwalnia referencję urządzenia, pozostawiając je zarejestrowanym.

W jądrze Linux obsługa REQ_NOWAIT w osobowościach md raid1, raid10 i raid456 jest fundamentalnie niekompletna. Przy zapisach może wystąpić sytuacja, gdy jedno lustro się powiedzie, a inne zwróci -EAGAIN, przez co md nie potrafi odróżnić presji kolejki od awarii urządzenia i może doprowadzić do rozbieżności danych między lustrami.

W jądrze Linux w podsystemie md (RAID) występuje wyścig (race condition) między wątkiem raid10d a operacjami I/O. Zmiany konfiguracji dysków zapasowych (spare) mogą zostać wykonane bez uprzedniego zawieszenia macierzy, co prowadzi do dereferencji wskaźnika NULL i awarii jądra (kernel panic).

W jądrze Linux w funkcji ath12k_wmi_mac_phy_caps_parse() bufor mac_phy_caps jest alokowany jako tot_phy_id * len, gdzie len jest ograniczane, ale memcpy() przesuwa wskaźnik o rozmiar pełnej struktury na slot. Gdy firmware wysyła krótkie TLV, drugi i kolejne sloty są zapisywane poza końcem alokacji.

W jądrze Linux w funkcji ath11k_wmi_tlv_mac_phy_caps_parse() bufor mac_phy_caps jest alokowany jako tot_phy_id * len, gdzie len jest ograniczane, ale memcpy() przesuwa wskaźnik o rozmiar pełnej struktury na slot. Gdy firmware wysyła krótkie TLV, drugi i kolejne sloty są zapisywane poza końcem alokacji.

W jądrze Linux w qcom_scm_probe() funkcja devm_request_threaded_irq() jest wywoływana przed opublikowaniem __scm przez smp_store_release(). Dwie ścieżki mogą odwołać się do __scm przed jego opublikowaniem, powodując dereferencję NULL.

W jądrze Linux nieudane mapowanie integralności w bloku utrzymuje referencję dio, co prowadzi do jej wycieku. Należy przejść przez pełne zakończenie bio, jeśli w sekwencji były wcześniej przesłane bio.