Katalog podatności CVE

W jądrze Linux procedury obsługi sysfs legacy I/O i legacy memory nie sprawdzały security_locked_down(LOCKDOWN_PCI_ACCESS). W efekcie root mógł zapisywać dowolne porty I/O oraz mapować przestrzenie legacy I/O i pamięci nawet przy aktywnym lockdownie jądra.

W jądrze Linux w funkcji rsc_table_for_each_entry() offset z firmware (u32) był przechowywany jako int ze znakiem. Spreparowany offset, np. 0xFFFFFFF0, stawał się wartością -16, co omijało sprawdzenie dostępności i umożliwiało odczyt poza zakresem bufora (hdr->type).

W jądrze Linux po nieudanej podmianie programu BPF cgroup (BPF_F_REPLACE w trybie multi-attach) funkcja __cgroup_bpf_attach nadpisała pl->storage nowym buforem, ale w ścieżce błędu nie przywróciła starego. Aktywny prog1 zachowuje wiszące wskaźniki do pamięci, co prowadzi do nieprawidłowego dostępu przy bpf_get_local_storage.

W jądrze Linuxa wykryto podatność w weryfikatorze BPF. Podczas obsługi operacji load-acquire, gdzie rejestr źródłowy i docelowy są takie same, weryfikator nie sprawdza poprawnie typu wskaźnika, co umożliwia dostęp do niekonwertowanych obiektów jądra i może prowadzić do ujawnienia danych lub pomyłki typów.

W jądrze Linux wykryto podatność w podsystemie termicznym (thermal/hwmon). Problem polega na tym, że urządzenie klasy hwmon jest rejestrowane tylko dla pierwszej strefy termicznej danego typu, a atrybuty sysfs innych stref są do niego dołączane. Usunięcie strefy termicznej, która posiada to urządzenie hwmon, może zablokować proces usuwania z powodu atrybutów należących do innych stref.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację numerującą CVE. Brak dostępnych szczegółów technicznych dotyczących podatności.

W jądrze Linux sterownik RDMA/erdma w obsłudze zdarzeń EQ wyszukuje CQ z dev->cq_xa i wywołuje callbacki poza blokadą xarray. Funkcja erdma_destroy_cq() może usunąć CQ i zwolnić jej bufor oraz rekord doorbell, gdy wcześniej zaplanowany handler EQ nadal używa CQ, co prowadzi do use-after-free.

W jądrze Linux w sterowniku RDMA/erdma występuje podatność use-after-free. Ścieżki obsługi zdarzeń krytycznych QP (AE) oraz iWARP CM pobierają wskaźniki QP z dev->qp_xa i używają ich poza blokadą xarray, przez co erdma_destroy_qp() może zwolnić zasoby QP w trakcie takiego odwołania. Poprawka dodaje funkcję erdma_qp_get_by_qpn() pobierającą referencję kref pod blokadą oraz usuwa QP z xarray przed zwolnieniem referencji niszczącej.

W jądrze Linux występuje luka w module RDMA/srp polegająca na wycieku informacji z pamięci sterty. Funkcja srp_recv_done() nie przekazuje rozmiaru odebranego bufora do srp_process_cred_req() ani srp_process_aer_req(), które odczytują pola o stałym rozmiarze bez sprawdzenia, czy zostały faktycznie odebrane. Złośliwy cel SRP może wysłać skróconą wiadomość SRP_CRED_REQ lub SRP_AER_REQ, powodując odczyt danych spoza bufora i odesłanie ich z powrotem do atakującego.

W jądrze Linux na architekturze ARM usunięto zastępczy handler hw_breakpoint_cfi_handler(), który bez potrzeby przejmował typ breakpointu 0x03 (ARM_ENTRY_CFI_BREAKPOINT). Gdy CFI nie jest aktywnie używane lub breakpoint pochodzi z przestrzeni użytkownika, hw_breakpoint_pending() zwraca teraz 1 (nieobsłużony fault), umożliwiając użytkownikowi skorzystanie z tego breakpointu.

W jądrze Linux na architekturze ARM włączono PREEMPT_RT bez wybrania HAVE_POSIX_CPU_TIMERS_TASK_WORK, przez co CONFIG_POSIX_CPU_TIMERS_TASK_WORK pozostawał wyłączony, a timery CPU wygasały w kontekście twardego przerwania. Na PREEMPT_RT powodowało to wywołanie run_posix_cpu_timers() z uśpieniem na sighand->siglock, co prowadziło do błędu "sleeping function called from invalid context". Poprawka wybiera tę opcję, aby odroczyć wygasanie timerów POSIX CPU do kontekstu zadania.

W jądrze Linux na architekturze ARM funkcje do_DataAbort()/do_PrefetchAbort() wywoływały force_sig_fault() z wyłączonymi przerwaniami, gdy hook obsługi nieobsłużonego błędu użytkownika zwracał wartość niezerową. PREEMPT_RT wymaga włączonych przerwań podczas wysyłania sygnałów, co można było wywołać m.in. instrukcją bkpt przy CONFIG_PERF_EVENTS=n. Poprawka włącza przerwania w tych ścieżkach.

W jądrze Linux na architekturze ARM przy CONFIG_DEBUG_USER=y i parametrze "user_debug=31" błąd użytkownika może wywołać show_pte() bez blokady. Równoległe munmap() w tym samym procesie może zwolnić strony tablicy stron w trakcie ich przeglądania, powodując use-after-free, a przy CONFIG_ARM_LPAE=y nawet panikę jądra. Poprawka zakłada mmap_write_lock() wokół show_pte() dla błędów użytkownika i ogranicza jego wywołanie do adresów przestrzeni użytkownika (addr < TASK_SIZE).

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na wyścigu podczas zamykania modułu o2net. Wywołania zwrotne heartbeat mogą pozostać zarejestrowane, gdy teardown niszczy kolejkę pracy o2net_wq, co prowadzi do użycia po zwolnieniu (use-after-free) w funkcji __queue_work(). Problem został znaleziony przez KASAN.

W jądrze Linux w module ocfs2 (o2hb) występuje błąd use-after-free związany z cyklem życia regionu heartbeat. Region jest publikowany w tabeli handlerów o2net zanim jego opóźnione prace (delayed work) zostaną zainicjalizowane, a przy zamykaniu nie ma pełnej synchronizacji z trwającymi wywołaniami zwrotnymi o2net. Prowadzi to do wyścigu i użycia zwolnionej pamięci (KASAN slab-use-after-free w __run_timers).

W jądrze Linux funkcje pomocnicze bpf_get_task_stack i bpf_get_task_stack_sleepable korzystające z __bpf_get_task_stack mają bufor zadeklarowany jako ARG_PTR_TO_UNINIT_MEM, który powinien być inicjalizowany na każdej ścieżce zwrotu. Brakujący memset w ścieżkach błędów powodował, że bufor zawierał niezainicjalizowane dane. Poprawka dodaje zerowanie bufora, zapewniając deterministyczną zawartość.

W jądrze Linux, gdy CONFIG_FUNCTION_ERROR_INJECTION jest wyłączone, weryfikator BPF nie sprawdza, czy symbol docelowy jest funkcją jądra czy programem BPF, przez co uśpiony program tracing może zostać podłączony do celu o nazwie z prefiksem podobnym do '__x64_'. Przykładowo uśpiony program fentry podłączony do programu XDP '__x64_sys_nop' i używający bpf_copy_from_user() może wywołać błąd "sleeping function called from invalid context". Poprawka zabrania uśpionych programów, gdy docelowy BTF nie jest BTF jądra.

W jądrze Linux w sterowniku drm/sun4i funkcja of_find_device_by_node() pobiera referencję do urządzenia TCON TOP, która nie jest zwalniana po zakończeniu konfiguracji multipleksera. Prowadzi to do wycieku referencji urządzenia.

W jądrze Linux w sterowniku drm/sun4i funkcja sun4i_crtc_init() zwraca zwykły NULL przy błędzie inicjalizacji warstwy, podczas gdy inne ścieżki błędów zwracają wskaźnik błędu. Wywołujący sun4i_tcon_bind() sprawdza wynik przez IS_ERR(), więc kontynuuje z tcon->crtc ustawionym na NULL, co prowadzi do wyłuskania NULL w drm_crtc_mask() i oops.

W jądrze Linux w sterowniku cpufreq imx6q tablica imx6_soc_volt jest alokowana przez devm_kcalloc() względem cpu_dev, które nigdy nie jest odłączane, więc jego lista devres nie jest zwalniana, a funkcja remove nie zwalnia tablicy. Każde probe dodaje alokację pozostającą na cały czas życia systemu.