Katalog podatności CVE

W jądrze Linux w podsystemie sunrpc, funkcje xprtsock używają zwykłych operacji zapisu i odczytu dla współdzielonych wskaźników callbacków sk_data_ready i sk_write_space. Może to prowadzić do sytuacji, w której inny procesor używa nieaktualnego wskaźnika po przywróceniu oryginalnych callbacków. Poprawka dodaje READ_ONCE/WRITE_ONCE dla tych operacji.

W jądrze Linux w podsystemie NFS, gdy klient nie może zarejestrować delegacji otrzymanej od serwera, nie wysyła DELEGRETURN. Powoduje to, że serwer myśli, że klient nadal trzyma delegację, co prowadzi do problemów z odwołaniem delegacji i pętli w menedżerze stanu klienta. Poprawka nakazuje zwrócenie delegacji w tych ścieżkach błędów.

W jądrze Linux w sterowniku nvme-pci, pule deskryptorów DMA nie są zwalniane podczas niepowodzenia inicjalizacji (probe) po przydzieleniu zestawu tagów admin. Powoduje to wyciek obiektów dma_pool. Poprawka dodaje zwalnianie pul w ścieżce błędu out_disable.

Podatność w jądrze Linux dotyczy sterownika AMT (Automatic Multicast Tunneling). Umożliwia ona tworzenie urządzeń AMT na urządzeniu niższej warstwy w innej przestrzeni nazw sieciowych, co prowadzi do ostrzeżenia jądra i zawieszenia systemu podczas wyrejestrowywania urządzenia. Poprawka zakazuje takiej konfiguracji między przestrzeniami nazw.

W jądrze Linux występuje błąd w mechanizmie AppArmor dotyczący ograniczenia przejścia do nieograniczonego profilu (unconfined) dla zadań już objętych stosem profili. Nieprawidłowe zastosowanie ograniczenia pozwala na ucieczkę z sandboxa, jeśli możliwe jest wykonanie dwóch przejść przez profil unconfined. Poprawka przenosi sprawdzenie do etapu budowania etykiety profilu, tak aby zawsze weryfikowano względem unconfined.

W podsystemie nvmet jądra Linux funkcja nvmet_auth_negotiate() odczytuje dane poza zaalokowanym buforem (heap out-of-bounds read), ponieważ nie waliduje długości transferu (tl) ani wartości halen/dhlen przekazanych przez hosta. Złośliwy lub niezgodny host może podać zbyt małe tl lub zbyt duże halen/dhlen (do 255), powodując odczyt poza buforem. Poprawka przekazuje tl do funkcji i odrzuca nieprawidłowe wartości.

W sterowniku nvme-apple jądra Linux kolejka administracyjna alokowana przez blk_mq_alloc_queue() nie była zwalniana przy usuwaniu kontrolera. Prowadziło to do pozostawienia aktywnego timera timeout i workqueue na kolejce, która była zwalniana, co powodowało ostrzeżenie WARN, a następnie panikę jądra (oops) w funkcji blk_mq_timeout_work(). Problem występował tylko wtedy, gdy kontroler nie uruchomił się poprawnie i był natychmiast usuwany.

W podsystemie nvmet jądra Linux funkcja nvmet_execute_identify_ns_zns() wywołuje bdev_is_zoned() na wskaźniku req->ns->bdev, który dla przestrzeni nazw opartej na pliku jest NULL. Host może wysłać polecenie Identify z CNS 05h i CSI 02h, co prowadzi do dereferencji NULL i awarii jądra (oops). Poprawka odrzuca polecenie, gdy przestrzeń nazw nie jest oparta na urządzeniu blokowym.

W jądrze Linux polecenie NVME_IOCTL_SUBMIT_IO nie wywołuje funkcji nvme_cmd_allowed(), w przeciwieństwie do IO_CMD i IO64_CMD. Nieuprzywilejowany użytkownik może w ten sposób wykonywać operacje I/O na urządzeniu partycji lub zapisywać przez deskryptor pliku otwarty tylko do odczytu. Poprawka przekazuje flagi i open_for_write oraz odrzuca niedozwolone polecenia z błędem -EACCES.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_getsockopt() zawsze zapisuje 4 bajty przez put_user(), niezależnie od wartości optlen podanej przez użytkownika. Wywołanie z optlen < 4 powoduje zapis poza buforem użytkownika, naruszając kontrakt getsockopt(2). Poprawka odrzuca wywołania z optlen < sizeof(u32), z dodatkowym sprawdzeniem wartości ujemnych.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_getsockopt() odczytuje wskaźnik llcp_sock->local przed założeniem blokady gniazda, a następnie używa go w sekcji krytycznej. Wyścig z równoległym wywołaniem bind() może spowodować użycie zwolnionego wskaźnika (use-after-free). Poprawka przenosi odczyt i sprawdzenie NULL do sekcji chronionej przez lock_sock().

W podsystemie NFC NCI jądra Linux funkcje nci_close_device() i nci_rx_work mogą równocześnie wywołać nci_data_exchange_complete(), co prowadzi do podwójnego wywołania sock_put() i niedomknięcia licznika referencji gniazda. Powoduje to zwolnienie gniazda będącego w użyciu (use-after-free). Poprawka zastępuje clear_bit() funkcją test_and_clear_bit(), dzięki czemu tylko pierwszy wywołujący kontynuuje.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_recv_snl() przetwarza listę TLV bez ograniczenia odczytów do rzeczywistych danych skb, co prowadzi do niedomknięcia długości, odczytu poza buforem i błędu w strncmp()/nfc_llcp_sock_from_sn(). Sąsiednie urządzenie NFC może to wykorzystać bez uwierzytelnienia, ponieważ aktywacja łącza LLCP następuje automatycznie po NFC-DEP. Poprawka przechodzi po TLV wskaźnikiem z ograniczeniem do skb_tail_pointer() i waliduje długości.

W jądrze Linux w sterowniku NFC pn533 występuje błąd use-after-free. Funkcja __pn533_send_async() publikuje polecenie, a następnie wywołuje send_frame(), podczas gdy równolegle obsługa przerwania I2C może zakończyć polecenie i zwolnić bufor skb, zanim transport zakończy jego używanie.

W jądrze Linux w podsystemie NFC NCI funkcje parsujące pakiet CORE_INIT_RSP nie sprawdzają długości bufora skb. Złośliwa lub uszkodzona odpowiedź może zadeklarować dużą liczbę interfejsów RF przy niedostatecznej ilości danych, powodując odczyt niezainicjalizowanej pamięci.

W jądrze Linux w podsystemie ALSA seq funkcja bounce_error_event() osadza wskaźnik data.ext.ptr w ładunku bounce, który następnie trafia do przestrzeni użytkownika. Prowadzi to do wycieku adresu jądra (8 bajtów na 64-bit), mimo że odczyt nagłówka zdarzenia jest czyszczony.

W jądrze Linux w sterowniku RDMA cxgb4 funkcja c4iw_alloc() tworzy drzewo debugfs, ale nie usuwa go w c4iw_dealloc(). Gdy rejestracja urządzenia RDMA się nie powiedzie, ścieżka err_dealloc_ctx pomija c4iw_remove(), powodując wyciek wpisów debugfs.

W jądrze Linux w module RDMA/cma występuje błąd, który powoduje ostrzeżenie WARN_ON w funkcji res_to_rt() podczas asynchronicznego rozwiązywania adresów. Problem pojawia się, gdy funkcja cma_acquire_dev_by_src_ip() zwróci błąd, a zasób i tak jest dodawany do restrack z pustym wskaźnikiem urządzenia. Poprawka polega na dodawaniu zasobu tylko wtedy, gdy pozyskanie urządzenia się powiedzie.

W jądrze Linux w weryfikatorze BPF porównywanie typów iteratorów podczas przycinania stanu nie rozróżnia stanów MEM_RCU i PTR_UNTRUSTED. Może to pozwolić weryfikatorowi na przycięcie niebezpiecznej ścieżki i zaakceptowanie niebezpiecznego programu BPF.

W jądrze Linux w podsystemie UBI funkcja ubi_init_attach() wycofuje nieudane inicjalizacje, skanując ubi_devices[0..i-1] i zakładając, że indeks parametru mtd= odpowiada numerowi urządzenia UBI. Przy jawnie podanym ubi_num założenie jest błędne i pomyślnie podłączone urządzenie może zostać pominięte przy wycofywaniu.