Katalog podatności CVE

W jądrze Linux w podsystemie TTY występuje podatność polegająca na tym, że rejestracja urządzenia TTY może zakończyć się niepowodzeniem przed alokacją cdev. Serial core zachowuje port, więc setserial może go nadal używać, a późniejsze usunięcie przekazuje wskaźnik NULL do cdev_del(), co powoduje dereferencję NULL.

W jądrze Linux w funkcji tty_cdev_add() występuje problem polegający na tym, że w przypadku niepowodzenia cdev_add() referencja do cdev jest zwalniana, ale wskaźnik driver->cdevs[index] pozostaje wskazujący na zwolnioną pamięć. Późniejsze wywołanie tty_unregister_device() przekazuje ten nieaktualny wskaźnik do cdev_del(), co prowadzi do use-after-free.

W jądrze Linux w module dm-integrity występuje podatność polegająca na tym, że znacznik bloku dysku o wartości wszystkich bajtów 0xf6 (DISCARD_FILLER) jest traktowany jako dowód, że blok został odrzucony, i pomija weryfikację HMAC. Atakujący z dostępem do zapisu na urządzeniu bazowym, ale bez klucza integralności, może oznaczyć dowolny blok takim znacznikiem i uzyskać jego autoryzację.

W jądrze Linux w sterowniku PCI dwc ep występuje podatność polegająca na tym, że w ścieżce MSI nie ma odpowiednika flush dla zapisu MSI przed odmapowaniem wpisu iATU. Może to spowodować utratę lub błędne przekierowanie zapisu MSI, który jest w locie, gdy wpis iATU jest usuwany.

W jądrze Linux w sterowniku HID dla urządzeń ASUS występuje wiele problemów: brak sprawdzania rozmiaru w asus_raw_event(), nieczyste sprzątanie w asus_probe przy błędzie, możliwe use-after-free w asus_probe, używanie wielu kolejek pracy, wywołania usypiające w kontekście atomowym oraz wysyłanie pakietów o nieprawidłowym rozmiarze do kontrolera klawiatury.

W jądrze Linux w sterowniku HID Logitech (hidpp) występuje problem polegający na tym, że w funkcji hidpp_ff_init(), jeśli alokacje prywatnych danych, tablicy ID efektów lub kolejki pracy nie powiodą się po utworzeniu urządzenia force-feedback, funkcja zwraca błąd bez niszczenia urządzenia FF, co prowadzi do wycieku zasobów.

W jądrze Linux w podsystemie HID występuje podatność polegająca na tym, że hid_device_io_start() pozwala na równoległe wykonywanie raportów z probe. Jeśli probe zakończy się niepowodzeniem, __hid_device_probe() zwalnia zasoby sterownika i czyści hdev->driver bez wykluczania tych wywołań zwrotnych raportów, co może prowadzić do use-after-free, np. w hidraw_report_event().

W jądrze Linux sterownik HID dla kontrolera Steam (HID: steam) ufał rozmiarowi wiadomości raportowanej w samym komunikacie FEATURE, zamiast weryfikować rzeczywistą długość odczytu. Prowadziło to do problemu z krótkimi odczytami (short reads).

W jądrze Linux funkcja pep_getsockopt() w module phonet ograniczała raportowaną długość do bufora wywołującego za pomocą min_t(), ale następnie zapisywała wartość przez put_user(), co zawsze zapisuje sizeof(int) bajtów. Wywołanie getsockopt() z optlen mniejszym niż sizeof(int) raportowało ograniczoną długość, ale zapisywało pełny int, od jednego do trzech bajtów poza buforem użytkownika.

W jądrze Linux w blk-cgroup występuje wyścig między aktywacją polityki (blkcg_activate_policy()) a niszczeniem blkg. Podczas przełączania harmonogramu IO blkcg_activate_policy() może wyścignąć się ze współbieżnym usuwaniem blkcg, prowadząc do use-after-free i wycieku pamięci. Dodatkowo blkg_free_workfn() zwalnia pd przed usunięciem blkg z q->blkg_list, co pozwala na alokację nowego pd dla niszczonego blkg.

W jądrze Linux w blk-cgroup funkcja blkcg_activate_policy() może wyścignąć się ze współbieżnym usuwaniem blkcg podczas przełączania harmonogramów IO, prowadząc do use-after-free w rcu_accelerate_cbs. Problem występuje gdy blkg jest w trakcie niszczenia, a blkcg_activate_policy() próbuje pobrać referencję do niego.

W jądrze Linux w module ublk funkcja import_ubuf() może zawieść, jeśli zakres adresów podany przez serwer ublk w przestrzeni użytkownika znajduje się poza dozwoloną przestrzenią adresową użytkownika. W takim przypadku przekazywana jest niezainicjalizowana struktura iov_iter do ublk_copy_user_pages().

W jądrze Linux w module ublk z flagą UBLK_F_AUTO_BUF_REG nieprawidłowy sqe->addr może spowodować błąd po ustawieniu UBLK_IO_FLAG_ACTIVE przez ublk_fill_io_cmd(). Uring_cmd jest kończony, gdy tag pozostaje aktywny, co może zawiesić proces teardown.

W jądrze Linux w module ocfs2/cluster występuje błąd w zarządzaniu lokalnym węzłem klastra. Gdy ustawienie local=0 czyści stan lokalnego węzła, ale pozostawia flagę cl_has_local, funkcja o2nm_this_node() zwraca nieprawidłowy numer 255, co prowadzi do błędu KASAN slab-out-of-bounds w o2hb_do_disk_heartbeat().

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji granic atrybutów rozszerzonych (xattr) przechowywanych inline w bloku i-węzła. Uszkodzone metadane mogą prowadzić do odczytu poza zakresem pamięci (use-after-free) podczas wywołań getxattr() lub listxattr().

W jądrze Linux w systemie plików ocfs2 funkcja ocfs2_validate_xattr_block() sprawdza nagłówek bloku xattr, ale nie weryfikuje, czy xh_count i przesunięcia wpisów mieszczą się w bloku dla bloków nieindeksowanych. Zindeksowane kubełki również docierają do konsumentów list/get bez sprawdzenia granic wpisów, co prowadzi do use-after-free w ocfs2_xattr_list_entries().

W jądrze Linux w podsystemie rapidio funkcja rio_alloc_net() zapisuje nowo przydzielony rio_net w mport->net przed rejestracją urządzenia przez rio_scan_alloc_net(). Jeśli rio_add_net() zawiedzie, put_device() zwalnia rio_net, ale mport->net pozostaje wskazaniem na zwolniony obiekt, co może prowadzić do podwójnego zwolnienia.

W jądrze Linux funkcja fat_rebuild_parent() używa wpisu katalogowego do odbudowy inode'a nadrzędnego, ale nie zwalnia bufora sinfo.bh po udanym skanowaniu. Prowadzi to do wycieku bufora (buffer head) w ścieżce eksportu NFS nostale_ro.

W jądrze Linux w programach BPF typu sleepable spin lock może być jedyną ochroną RCU dla wskaźnika kptr. Po ostatnim bpf_spin_unlock() weryfikator pozostawia wskaźnik jako ważny, co pozwala innemu CPU zwolnić obiekt przed jego użyciem, prowadząc do use-after-free (np. w __bpf_get_task_stack()).

W jądrze Linux sterownik drm/omap DSI kopiował tablicę ISR, aby umożliwić wyrejestrowanie procedur obsługi przerwań. Ponieważ do tych ISR przekazywane są obiekty alokowane na stosie, istnieje ryzyko use-after-free, gdy przerwania są wyrejestrowywane w trakcie ich obsługi.