Katalog podatności CVE

W jądrze Linux notyfikator USB i początkowa detekcja VBUS mogą zakolejkować isp->work w sterowniku isp1704_charger. Ścieżka usuwania modułu wyrejestrowuje notyfikator i zasilanie, ale nie czeka na zakolejkowaną lub działającą pracę przed usunięciem stanu zasilania.

W jądrze Linux w sterowniku ładowania sc2731_charger nie anulowano pracy (work) przy usuwaniu urządzenia. Notyfikator USB i początkowa detekcja ładowarki mogą zaplanować info->work, a ścieżka remove wyrejestrowuje notyfikator, ale nie anuluje zakolejkowanej lub działającej pracy przed zwolnieniem danych sterownika. Problem wykryto narzędziem analizy statycznej.

W jądrze Linux w funkcji bpf_netns_link_update_prog sprawdzenia old_prog i typu prog wykonywane są bez blokady przed pozyskaniem netns_bpf_mutex. Tworzy to warunek wyścigu, który może prowadzić do użycia zwolnionej pamięci (UAF), gdy dwa wątki jednocześnie wykonują BPF_LINK_UPDATE na tym samym łączu netns. Poprawka przenosi sprawdzenia do sekcji krytycznej mutexa.

W jądrze Linux w funkcjach bpf_link_show_fdinfo i bpf_link_get_info_by_fd pole link->prog jest odczytywane bez blokady. Jeśli prog zostanie równocześnie zastąpiony przez bpf_link_update, stary prog może zostać zwolniony, co prowadzi do potencjalnego użycia zwolnionej pamięci (UAF). Poprawka odczytuje link->prog pod ochroną RCU.

W jądrze Linux w lib/test_hmm funkcja dmirror_fault() zwraca 0, gdy mmget_not_zero() zawiedzie, mimo że żadna strona nie została obsłużona i nie zainstalowano wpisu tablicy stron urządzenia. Powoduje to, że wywołujący ponawia ten sam adres, trafia na -ENOENT i może zapętlić się w nieskończoność. Poprawka zwraca -EFAULT.

W jądrze Linux w md/bitmap funkcja backlog_store() zawiesza macierz przed sprawdzeniem, czy istnieje urządzenie write-mostly. Jeśli takie urządzenie nie istnieje, ścieżka błędu tylko odblokowuje reconfig_mutex i pozostawia macierz zawieszoną, blokując kolejne operacje I/O. Poprawka używa mddev_unlock_and_resume().

W jądrze Linux w podsystemie md token memalloc_noio_save() przechowywany w mddev->noio_flags pozwala jednemu zadaniu zapisać token, a innemu go przywrócić. Przy równoczesnych zapisach do sysfs suspend zadanie A może wejść w PF_MEMALLOC_NOIO i wrócić do przestrzeni użytkownika w tym zakresie, a zadanie B przywróci zapisany token A. Poprawka ogranicza zakres PF_MEMALLOC_NOIO do sekcji krytycznych alokacji.

W jądrze Linux w iommu/dma nieblokująca, niespójna ścieżka alokacji używa dma_alloc_from_pool(), która zwraca przydzieloną stronę i wypełnia cpu_addr tylko przy sukcesie. Kod polega na cpu_addr do wykrycia błędu alokacji, co jest nieprawidłowe. Poprawka sprawdza bezpośrednio zwróconą stronę przed użyciem jej do mapowania IOMMU.

W jądrze Linux w swiotlb funkcja swiotlb_alloc_tlb() może alokować z atomowej puli DMA, gdy wymagana jest odszyfrowana pula z kontekstu atomowego. Z CONFIG_DMA_DIRECT_REMAP pula atomowa używa przemapowanych adresów wirtualnych, które różnią się od adresów direct-map. swiotlb_init_io_tlb_pool() rekonstruuje adres wirtualny z adresu fizycznego, co dla alokacji z puli atomowej zapisuje błędny adres w pool->vaddr, powodując późniejszy błąd w swiotlb_free_tlb().

W jądrze Linux w sterowniku i3c dw na pustej magistrali ENTDAA nie przypisuje żadnych urządzeń, więc cmd->rx_len równa się master->maxdevs. Indeks GENMASK() master->maxdevs - cmd->rx_len - 1 staje się -1, co powoduje przesunięcie poza zakres i zgłoszenie UBSAN. Problem występuje przy każdym rozruchu na serwerze Gigabyte/AMD.

W jądrze Linux w md/raid1 po dodaniu nowego rdev do istniejącej macierzy RAID1 z włączoną serialize_policy, warunek w mddev_create_serial_pool() pomija utworzenie rdev->serial. Funkcja wait_for_serialization() zakłada, że rdev->serial jest zainicjalizowany, co prowadzi do błędu Oops przy dostępie do niezainicjalizowanej struktury. Poprawka tworzy pulę serial przy dodawaniu rdev.

W jądrze Linux w mechanizmie iomap podczas operacji zerowania zakresu nie jest zwalniana partia folio (folio batch) w przypadku błędów w callbackach iomap_begin i iomap_end. Poprawka zapewnia wywołanie funkcji sprzątającej przy błędach i aktualizuje działanie tej funkcji.

W jądrze Linux w sterowniku sgi-gru usunięto niebezpieczne operacje na tablicach stron kontekstu procesu wykonywane w kontekście przerwań. Dotychczas obsługa błędów TLB chodziła po stronach bez odpowiednich blokad, co może prowadzić do wyścigów i problemów z bezpieczeństwem.

W jądrze Linux w sterowniku mt76x02 usunięto ostrzeżenie WARN_ON_ONCE dla deskryptorów rx o nieprawidłowej długości. W trybie monitora z filtrem fcsfail uszkodzone ramki mogą powodować panikę jądra przy ustawieniu panic_on_warn.

W jądrze Linux w sterowniku mt76 poprawiono obsługę przełączania kontekstów kanałów w różnych pasmach w funkcji mt76_switch_vif_chanctx. Wcześniej krótkie przełączenia na różnych radiach mogły powodować nieprawidłowe działanie.

W jądrze Linux w sterowniku mt792x wykryto podatność use-after-free w funkcji mt76_rx_poll_complete. Z powodu wyścigu wskaźnik do wcid może wskazywać na już usuniętą strukturę STA, co prowadzi do nieprawidłowego dostępu do pamięci.

W jądrze Linux w sterowniku wifi mt76 dla układów mt7921 brakowało obsługi błędów PCIe AER. Gdy wystąpi błąd AER i magistrala zawiesi się, odczyty rejestrów zwracają 0xFFFFFFFF, co uszkadza stan kolejki DMA i prowadzi do nieprawidłowego dostępu do pamięci (q->desc[] lub q->entry[]) oraz awarii systemu. Poprawka waliduje indeks DMA odczytywany ze sprzętu, sprawdza flagę bus_hung przed resetem, odrzuca komunikaty MCU przy zawieszonej magistrali i instaluje puste operacje magistrali po nieodwracalnym błędzie AER.

W ścieżce transmisji SDIO w sterowniku mt76 występuje wyciek pamięci. Gdy funkcja tx_prepare_skb() zwraca błąd, bufor skb nie jest zwalniany, co może prowadzić do wyczerpania pamięci. Dotyczy to przypadków, gdy odrzucane są ramki o zerowej długości (np. ramki WNM NULL), aby uniknąć zawieszenia sprzętu.

W obsłudze odbioru danych RRO 3.0 w sterowniku mt76 występuje błędne kolejkowanie. Ramki zwalniane z kolejki danych RRO powinny trafiać do kolejki wskaźników, ale są umieszczane w kolejce danych, co powoduje opóźnienia i przestawienie kolejności odbieranych pakietów.

Problem z identyfikatorem MLD w TXD i HIF TXP w sterowniku mt7996. Gdy pole MLD_ID nie jest ani głównym, ani pomocniczym identyfikatorem linku, może powodować zapętlenie firmware podczas trybu oszczędzania energii trzeciego linku. Poprawka przekierowuje ramki na główny identyfikator wcid.