Katalog podatności CVE

W jądrze Linux funkcja ntfs_mft_record_alloc() odczytuje numer sekwencji aktualizacji z niezwalidowanego rekordu MFT, używając niezaufanego pola usa_ofs. Uszkodzony rekord może spowodować, że odczyt dwóch bajtów wykroczy poza folio, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w sterowniku ALSA mtpav funkcja snd_mtpav_free() usuwa timer bez oczekiwania na zakończenie działającego wywołania zwrotnego. Wywołanie zwrotne działające na innym CPU może nadal odwoływać się do zwolnionego stanu karty lub ponownie uzbroić timer po jego usunięciu. Problem rozwiązano przez użycie timer_shutdown_sync() bez trzymania blokady chip->spinlock.

W jądrze Linux w podsystemie XDP socket (xsk) funkcja __xsk_rcv() w ścieżce wielobuforowej wywołuje xsk_buff_alloc() w pętli bez sprawdzania wartości zwracanej. Gdy xsk_buff_alloc() zwróci NULL, następuje dereferencja wskaźnika NULL prowadząca do awarii jądra. Poprawka wprowadza dwuetapową transakcję alokacji buforów.

W jądrze Linux w podsystemie mostka sieciowego (bridge) para malejących zakresów VLAN i tuneli może przejść kontrolę rozpiętości zakresu. Odejmowanie VLAN daje wartość ujemną konwertowaną na unsigned, co może równać się zawiniętej różnicy identyfikatorów tuneli. Pętla zakresu nie wykonuje wtedy żadnej iteracji, pozostawiając zmienną err niezainicjalizowaną i czyniąc wartość zwracaną nieprzewidywalną.

W jądrze Linux w sterowniku netdevsim kolejki odbiorcze zawierają własną strukturę napi_struct. Podczas resetu kolejki funkcja nsim_queue_start() nie aktualizowała mapowania kolejka-NAPI przez netif_queue_set_napi(), przez co dev->_rx[idx].napi wskazywał na starą strukturę NAPI. Po zwolnieniu starej kolejki zrzut kolejki przez Netlink powodował odczyt use-after-free w nla_put_napi_id().

W jądrze Linux w sterowniku qlcnic parser zunifikowanego ROM odczytuje pola katalogu, produktu i deskryptorów danych z pliku firmware. Istniejąca walidacja kończy się niesprawdzanymi dodawaniami i mnożeniami, a błędne wartości mogą się zawinąć przed porównaniem z rozmiarem firmware. Parser może też odczytywać dane poza alokacją firmware podczas walidacji lub ładowania.

W jądrze Linux w podsystemie routingu multicast IPv6 (ip6mr) pakiety przychodzące otrzymują dst bez licznika referencji (NOREF) pod RCU. Gdy pakiet multicast nie trafi w wyszukiwanie MFC, trafia do kolejki nierozwiązanych, opuszczając okres karencji RCU. Jeśli trasa zostanie usunięta i zwolniona, a kolejka MFC zostanie później rozwiązana z błędnym interfejsem nadrzędnym, ip6mr_cache_report() wykonuje dst_clone() na zwolnionym wpisie dst, powodując use-after-free.

W jądrze Linux występuje podatność w systemie ograniczania szybkości inetpeer, który przechowuje wpisy w drzewie czerwono-czarnym kluczowanym deterministycznie na podstawie adresu IP. Atakujący z zewnątrz może przewidzieć strukturę drzewa i wymuszać usuwanie wybranych węzłów, co resetuje ich licznik ograniczania szybkości i pozwala obejść limity ICMP oraz wnioskować o otwartych portach UDP. Podatność naprawiono poprzez randomizację porównywania węzłów drzewa przy użyciu SipHash z tajnym kluczem.

W jądrze Linux w podsystemie planowania ruchu (net: sched) funkcje gred_enqueue(), bfifo_enqueue() i plug_enqueue() obliczają sumę backlogu i długości pakietu w 32 bitach. Po przekroczeniu 4 GiB prawdziwego backlogu suma zawija się i staje się mała, przez co kolejka rośnie bez ograniczeń i może doprowadzić do wyczerpania pamięci (OOM). Poprawka promuje sumy do u64.

W jądrze Linux w podsystemie SMC (net/smc) podczas przejścia lokalnego przepływu LLC z SMC_LLC_FLOW_REQ_ADD_LINK do SMC_LLC_FLOW_ADD_LINK funkcja smc_llc_flow_qentry_set() jest wywoływana bezwarunkowo. Wcześniej odłożony wpis qentry (z CONFIRM_LINK lub ADD_LINK_CONT) jest nadpisywany bez zwolnienia, co powoduje wyciek jednego obiektu kmalloc.

W jądrze Linux w podsystemie SMC (net/smc) funkcja smc_llc_flow_stop() resetuje strukturę przepływu za pomocą memset. Jeśli flow->qentry jest w tym momencie nie-NULL, wskaźnik jest nadpisywany bez zwolnienia alokacji, co powoduje wyciek jednego obiektu kmalloc. Sytuacja może wystąpić, gdy późno przyjdzie zduplikowana wiadomość CONFIRM_LINK lub ADD_LINK_CONT.

W jądrze Linux w module mostu sieciowego (bridge) występuje błąd w obsłudze proxy ARP/ND polegający na bezpośrednim odczycie adresu neigh ha. Może to prowadzić do częściowych lub niespójnych odczytów, gdy wpis neigh jest w trakcie aktualizacji. Problem rozwiązano poprzez użycie funkcji neigh_ha_snapshot do stabilnego pobrania adresu.

W jądrze Linux w module vxlan występuje błąd polegający na bezpośrednim odczycie adresu neigh ha przez funkcje arp/neigh_reduce. Może to prowadzić do częściowych odczytów podczas aktualizacji wpisu neigh. Problem rozwiązano stosując neigh_ha_snapshot, podobnie jak w route_shortcircuit.

W jądrze Linux w implementacji NFSv4.1 występuje błąd polegający na niezerowaniu list referring call przed dekodowaniem. Funkcja decode_cb_sequence_args() alokuje csa_rclists przez kmalloc_objs(), pozostawiając każdą referring_call_list niezainicjalizowaną, a decode_rc_list() przypisuje rcl_refcalls tylko gdy rcl_nrefcalls jest niezerowe. Prawidłowa lista z zerem referring calls pozostawia wskaźnik niezainicjalizowany, a nfs4_callback_sequence() przekazuje później nieaktualną zawartość slab do kfree().

W jądrze Linux w implementacji NFSv4.2 występuje błąd wyczerpania bufora wysyłania LAYOUTSTATS. Makro encode_layoutstats_maxsz rezerwuje 256 bajtów, ale rekord flexfiles może tę wartość przekroczyć, ponieważ serwer kontroluje długość uchwytu pliku i adresu. Może to doprowadzić do przekroczenia bufora i trwałego zablokowania mutexa, gdy xdr_reserve_space() zwróci NULL.

W jądrze Linux w implementacji NFSv4/pnfs występuje błąd polegający na kluczowaniu pamięci podręcznej serwera danych wyłącznie na podstawie zestawu adresów multipath, bez uwzględnienia wersji NFS. Gdy dwa deviceidy na tym samym adresie mają różne wersje, współdzielą jeden nfs4_pnfs_ds, a pierwszy łączący się mirror przypisuje ds_clp do swojej wersji. Drugi mirror otrzymuje ten klient i wybiera rpc_call_ops dla nieobsługiwanej wersji, co prowadzi do dereferencji NULL.

W jądrze Linux w sterowniku bnxt_en występuje błąd polegający na przekazaniu urządzenia platformowego zamiast urządzenia monitoringu sprzętowego jako pierwszego parametru do hwmon_notify_event(). To złamanie API powoduje niezdefiniowane zachowanie i może prowadzić do awarii.

W jądrze Linux w sterowniku ptp netc występuje błąd obcięcia okresu i potencjalnego dzielenia przez zero w PEROUT. Wartość max_period przekracza U32_MAX, co powoduje ciche obcięcie period_ns do zera i dzielenie przez zero w roundup_u64(). Dodatkowo zerowa wartość pp->period powoduje zawinięcie unsigned do 0xFFFFFFFD i błędne zaprogramowanie rejestru FIPER.

Podatność w jądrze Linux w mechanizmie klasyfikatorów net/sched pozwala nieuprzywilejowanym użytkownikom na przypięcie pamięci jądra poza kontrolą memcg, poprzez użycie alokacji GFP_KERNEL bez __GFP_ACCOUNT w ścieżkach *_change() klasyfikatorów, a także w tablicy akcji tcf_exts_init_ex(). Dodatkowo występuje błąd w ścieżce błędów cls_basic, który pozostawia wiszący wskaźnik w IDR.

W jądrze Linux w sterowniku sparx5 występuje błąd polegający na usypianiu w kontekście atomowym podczas dostępu do tablicy MAC. Funkcja sparx5_set_rx_mode() działa z założonym netif_addr_lock_bh i iteruje po dev->mc, co prowadzi do zajęcia mutexa sparx5->lock i odpytywania rejestru w kontekście atomowym, co jest niedozwolone. Rozwiązaniem jest konwersja sterownika na nowe wywołanie zwrotne .ndo_set_rx_mode_async.