Katalog podatności CVE

W jądrze Linux w sterowniku cpufreq imx6q tablica imx6_soc_volt jest alokowana na nowo przy każdym probe, ale wypełniana przez soc_opp_count, który ma statyczny czas przechowywania i nie jest resetowany. Drugie wiązanie po odłączeniu kontynuuje indeksowanie od miejsca, w którym skończyło pierwsze, i zapisuje poza końcem nowej tablicy.

W jądrze Linux w podsystemie IB/isert występuje podatność polegająca na wysłaniu końcowej odpowiedzi logowania przed zarejestrowaniem sesji. Inicjator, który po otrzymaniu odpowiedzi natychmiast wysyła polecenie SCSI, może spowodować wykonanie go na sesji z niezainicjalizowanym wskaźnikiem se_tpg, co prowadzi do błędu NULL dereference i awarii systemu.

W jądrze Linux rozwiązano podatność w module IB/isert, gdzie bufory odbioru pełnej funkcjonalności były publikowane przed zarejestrowaniem sesji. Inicjator, który nie czekał na końcową odpowiedź Login Response, mógł spowodować wykonanie polecenia SCSI na sesji z pustym se_tpg, prowadząc do awarii jądra (oops) w target_submit. Poprawka przenosi publikowanie buforów do isert_get_rx_pdu() i wykonuje je przed wysłaniem odpowiedzi.

W jądrze Linux w module RDMA/siw funkcja siw_accept() wyszukuje QP podany przez przestrzeń użytkownika. Jeśli QP jest już w stanie RTS, funkcja przechodzi do sprzątania błędów przed powiązaniem przychodzącego CEP. Sprzątanie zakłada, że bieżące wywołanie zainstalowało powiązanie, ale qp->cep może wskazywać na CEP istniejącego połączenia, co prowadzi do zwolnienia przychodzącego CEP i use-after-free.

W jądrze Linux kod kmod dups używa RCU do zapewnienia, że instancja kmod_dup_req jest zwalniana dopiero gdy nie jest już referencjonowana. Jednak równolegli użytkownicy w kmod_dup_request_exists_wait() nie wchodzą w sekcję krytyczną odczytu RCU, co może prowadzić do use-after-free.

W jądrze Linux na architekturze arm64 funkcja swsusp_arch_suspend() przy błędzie swsusp_mte_save_tags() powraca z zamaskowanym stanem DAIF, co jest niezgodne z oczekiwaniami. Poprawka przywraca zapisany stan DAIF przed powrotem ze ścieżki błędu.

W jądrze Linux w sterowniku drm/amd/display stała AMDGPU_DM_MAX_DISPLAY_INDEX wynosi 31, co sugeruje maksymalnie 32 złącza, ale jest używana jak MAX_DISPLAY_COUNT. Powoduje to przesunięcie o jeden względem rdzenia DRM, który obsługuje maksymalnie 32 złącza. Poprawka zmienia nazwę stałej i zwiększa rozmiar tablic HDCP do 32.

W jądrze Linux w sterowniku PHY Renesas R-Car Gen2 występuje podwójne wywołanie of_node_put() w ścieżce błędu podczas tworzenia PHY. Makro for_each_child_of_node_scoped() automatycznie zwalnia referencję do węzła, a jawne wywołanie of_node_put() powoduje podwójne zwolnienie. Poprawka usuwa zbędne wywołanie, pozostawiając sprzątanie zakresowe.

W jądrze Linux w sterowniku PHY Sunplus występuje nieprawidłowa obsługa błędów w funkcji sp_uphy_init(). Ścieżki błędów nie cofają poprawnie wykonanych operacji: przy niepowodzeniu clk_prepare_enable() następuje bezpośredni powrót, przy niepowodzeniu reset_control_deassert() zwalniany jest tylko zegar, a przy niepowodzeniu update_disc_vol() skok do etykiety err_reset zapewnia zwolnienie zegara i resetu. Poprawka porządkuje te ścieżki.

W jądrze Linux w sterowniku DRM AMDGPU dla GFX6 brakuje użycia PFP (pre-fetch parser) na kolejkach obliczeniowych. Na GFX6 kolejki obliczeniowe używają tej samej ścieżki CP co grafika, ale bez obsługi komend rysowania. Poprawka dodaje użycie PFP do zapisów rejestrów, synchronizacji potoku i po VM flush, aby zapobiec problemom z wykonywaniem.

W jądrze Linux w sterowniku SCSI QLogic (qla2xxx) występuje zbędny odczyt VPD flash w ścieżce odczytu sysfs. Funkcja qla2x00_sysfs_read_vpd() wywołuje read_optrom() drugi raz po zwolnieniu mutexu optrom_mutex. Ten powtórzony odczyt jest zbędny i wykonywany bez trzymania mutexu, co naraża dostęp do flash na współbieżne operacje. Poprawka usuwa to podwójne wywołanie.

W jądrze Linux w firmware_loader występuje problem z kolejkowaniem zakończonych żądań fallback sysfs. Funkcja fw_load_sysfs_fallback() wywołuje device_add() przed dodaniem fw_priv do pending_fw_head. To pozwala użytkownikowi przestrzeni użytkownika na ukończenie żądania przed jego zakolejkowaniem, co prowadzi do zakolejkowania już zakończonego żądania i potencjalnego błędu przy następnym żądaniu. Poprawka sprawdza, czy żądanie jest już zakończone i nie kolejkuje go.

W jądrze Linux w hugetlbfs występuje problem z zwalnianiem subpoola przy niepowodzeniu fill_super. Funkcja hugetlbfs_fill_super() alokuje subpool stron ogromnych, a w przypadku niepowodzenia tworzenia katalogu głównego, ścieżka błędu zwalnia subpool przez kfree(), co pomija hugepage_put_subpool() i może pozostawić rezerwacje min_size. Poprawka używa hugepage_put_subpool() w ścieżce błędu.

W jądrze Linux w sterowniku phy qcom qmp-usb-legacy występuje luka, w której callback runtime suspend może zostać uruchomiony po pm_runtime_enable(), ale przed pm_runtime_forbid(). Powoduje to dereferencję niezainicjalizowanego wskaźnika qmp->phy i crash. Problem może też wystąpić, gdy użytkownik ponownie włączy runtime-pm przez sysfs przed inicjalizacją PHY.

W jądrze Linux w sterowniku phy qcom snps-femto-v2 występuje luka polegająca na tym, że runtime PM jest włączane przed utworzeniem PHY, a callbacki runtime PM dereferencują jeszcze niegotową instancję hsphy. Powstaje okno, w którym callback suspend może wywołać dereferencję NULL. Poprawka używa pm_runtime_get_noresume() przed włączeniem runtime PM i zwalnia referencję po utworzeniu PHY.

W jądrze Linux w sterowniku phy qcom qmp-usb występuje luka, w której callback runtime suspend może zostać uruchomiony po pm_runtime_enable(), ale przed pm_runtime_forbid(). Powoduje to dereferencję niezainicjalizowanego wskaźnika qmp->phy i crash. Problem może też wystąpić, gdy użytkownik ponownie włączy runtime-pm przez sysfs przed inicjalizacją PHY.

W jądrze Linux w podsystemie md/raid5 funkcja raid5_bitmap_sector_map() wyrównuje zakres tablicy do pełnej szerokości paska RAID5 przed konwersją na sektory komponentów. Szerokość ta nie zawsze jest potęgą dwójki, przez co stare logika round_down()/round_up() daje błędne zakresy. Poprawka używa arytmetyki opartej na sector_div(), aby wyrównanie odpowiadało rzeczywistej szerokości paska RAID5.

W jądrze Linux w podsystemie md funkcja __md_stop() niszczyła bitmapę przed wywołaniem mddev_detach(), przez co mddev_detach() pomijało bitmap_ops->wait_behind_writes(). W przypadku llbitmap powodowało to, że ukończenia zapisów behind-write w RAID1 mogły nastąpić po zwolnieniu pamięci llbitmap. Poprawka wywołuje mddev_detach() przed md_bitmap_destroy().

W jądrze Linux w podsystemie md/md-llbitmap funkcja llbitmap_create() publikuje mddev->bitmap przed odczytem superbloku bitmapy. Jeśli llbitmap_read_sb() zawiedzie, stara ścieżka czyszczenia zwalniała llbitmap przed wyczyszczeniem mddev->bitmap, przez co czytelnicy tacy jak /proc/mdstat mogli zobaczyć nieaktualny wskaźnik. Poprawka czyści mddev->bitmap przy trzymanym mutexie bitmap_info.mutex.

W jądrze Linux w podsystemie md/md-llbitmap funkcja llbitmap_destroy() usuwa pending_timer przed opróżnieniem md_llbitmap_io_wq, ale daemon_work może nadal być zakolejkowany lub uruchomiony i ponownie uzbroić pending_timer. Jeśli nastąpi to podczas niszczenia, timer może pozostać uzbrojony po zwolnieniu llbitmap i później odwołać się do zwolnionej pamięci. Poprawka dodaje bit BITMAP_SHUTDOWN i używa timer_shutdown_sync().