Katalog podatności CVE

W jądrze Linux w module hv vmbus występuje błąd polegający na próbie czyszczenia niezainicjalizowanego modułu VMBus w przypadku głównej partycji niezanurzonej. Funkcja hv_acpi_init() nic nie robi w takim scenariuszu, ale zgłasza sukces, więc moduł jest ładowany. Późniejsze wyładowanie modułu próbuje posprzątać niezainicjalizowane zasoby, co prowadzi do błędów pamięci i paniki.

W jądrze Linux w systemie plików FUSE wykryto podatność związaną z zapisem bezpośrednim z flagą O_APPEND. Funkcja fuse_direct_write_iter() używała nieaktualnej pozycji przed sprawdzeniem zapisu, co powodowało unieważnianie błędnego zakresu stron po zapisie. Może to prowadzić do niespójności danych, gdy rozmiar pliku nie jest wyrównany do rozmiaru strony.

W jądrze Linuxa naprawiono warunek umożliwiający użycie over-io-uring w FUSE. Funkcja fuse_uring_cmd() wymaga teraz ustawienia flagi FUSE_OVER_IO_URING w odpowiedzi FUSE_INIT, aby zaakceptować polecenie IORING_OP_URING_CMD. Bez tej flagi istnieje ryzyko zakleszczenia (deadlock) w przypadku próby użycia io-uring. Zmiana jest trywialna, ale zmienia zachowanie: serwery FUSE muszą ustawić tę flagę, aby obsługiwać io-uring.

W jądrze Linuxa naprawiono błąd w zarządzaniu kontekstem dla procesów ARM64 związany z trybem Memory Tagging Extension (MTE) typu store-only. Bit SCTLR_EL1.TCSO0 nie był uwzględniany w masce SCTLR_USER_MASK, co powodowało, że po przełączeniu kontekstu ustawienie to nie było kasowane i mogło być dziedziczone przez inny zadanie. Poprawka dodaje SCTLR_EL1_TCSO0_MASK do SCTLR_USER_MASK, aby zapewnić poprawne kasowanie podczas przełączania.

W jądrze Linuxa naprawiono problem z bezpiecznym dostępem do pola chan->conn w funkcjach getsockopt/setsockopt dla Bluetooth L2CAP. Po zmianie wcześniejszej, chan->conn zachowuje referencję i pozostaje nie-NULL nawet po usunięciu skojarzonego hci_conn, ale dostęp do jego pól (np. hdev) jest nieprawidłowy i prowadzi do błędu zgłaszanego przez KASAN. Poprawka dodaje sprawdzenie, czy hci_conn jest nadal aktywny, oraz blokadę l2cap_chan_lock() w celu uniknięcia wyścigów.

W jądrze Linuxa naprawiono problem w Bluetooth L2CAP polegający na możliwości dodania nowego gniazda do kolejki akceptacji rodzica po zakończeniu działania l2cap_sock_cleanup_listen() i ustawieniu stanu BT_CLOSED, co mogło prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na dodaniu sprawdzenia stanu sk_state == BT_LISTEN po uzyskaniu blokady sk w funkcji l2cap_sock_new_connection_cb() oraz dalszym zabezpieczeniu przed wyścigami.

W jądrze Linux występuje wyścig (race condition) w podsystemie Bluetooth L2CAP pomiędzy funkcjami l2cap_sock_cleanup_listen() a l2cap_sock_put_chan(). Niezsynchronizowany odczyt wskaźnika l2cap_pi(sk)->chan może zwrócić wartość NULL, co prowadzi do dereferencji wskaźnika NULL (null-ptr-deref) i awarii jądra. Problem został rozwiązany poprzez zastosowanie blokady lock_sock() w l2cap_sock_kill().

W jądrze Linux sterownik Bluetooth btmtksdio w ścieżce nadawania (TX) zaokrągla rozmiar transferu do rozmiaru bloku SDIO (256 bajtów), ale przekazuje kontrolerowi bufor SKB bez wypełnienia. Kontroler odczytuje w ten sposób do 255 bajtów niezainicjowanej pamięci, a odczyt może wykroczyć poza koniec bufora.

W jądrze Linux sterownik Bluetooth btnxpuart w funkcji nxp_process_fw_dump() odczytuje pola seq_num i buf_len ze struktury nagłówka zrzutu firmware umieszczonej pod skb->data, nie sprawdzając, czy ładunek ACL jest wystarczająco długi. Krótka ramka z uchwytem połączenia 0xfff powoduje odczyt poza odebranymi danymi, a wartość buf_len równa zero może przedwcześnie zakończyć zrzut i zresetować kontroler.

W jądrze Linux w implementacji Bluetooth RFCOMM funkcja rfcomm_apply_pn() przyjmuje wartość MTU z ramki negocjacji parametrów (PN) bez sprawdzenia zera. Gdy zdalny peer wyśle MTU równe zero, d->mtu zostaje ustawione na 0, co powoduje nieskończoną pętlę przy fragmentacji danych i wyczerpanie pamięci systemowej.

W jądrze Linux występuje wyciek struktury hci_conn, gdy drugie połączenie LE zostanie odrzucone. Funkcja create_le_conn_complete() błędnie porównuje nieudane połączenie z hci_lookup_le_connect(), co przy dwóch jednocześnie oczekujących połączeniach powoduje pominięcie wywołania hci_conn_failed() i pozostawienie połączenia w stanie BT_CONNECT na stałe. W efekcie wszystkie kolejne próby nawiązania połączenia LE kończą się błędem -EBUSY i wymagają resetu adaptera.

W jądrze Linux ścieżka zero-copy podsystemu xsk odczytuje metadane TX zawsze, gdy UMEM ma przestrzeń na metadane, nawet jeśli deskryptor nie ustawia flagi XDP_TX_METADATA. Poprawka przekazuje opcje deskryptora przez helpery metadanych i ignoruje metadane, gdy opcja nie jest ustawiona.

W jądrze Linux sterownik octeontx2-af w funkcji rvu_dbg_nix_tm_tree_display() odwołuje się do pfvf->sq_ctx bez sprawdzenia, czy kontekst SQ został przydzielony. Odczyt pliku /sys/kernel/debug/octeontx2/nix/tm_tree dla NIX LF bez skonfigurowanych kolejek nadawczych powoduje oops jądra.

W jądrze Linux sterownik octeontx2-vf ma wyścig między kolejką roboczą a urządzeniem sieciowym w ścieżkach probe/remove. Kolejka robocza VF nie jest inicjalizowana przed register_netdev(), więc ndo_set_rx_mode może zakolejkować pracę na NULL, a kolejka jest niszczona przed wyrejestrowaniem netdev.

W jądrze Linuxa wykryto podatność w module act_ife (net/sched), która powoduje panikę jądra (skb_under_panic) przy przetwarzaniu ramek niepochodzących z Ethernetu. Problem wynika z użycia skb->dev->hard_header_len zamiast ETH_HLEN, co prowadzi do błędnych operacji na buforze skb. Poprawka ogranicza działanie IFE wyłącznie do ramek Ethernetowych i wymusza odpowiednią długość nagłówka.

W jądrze Linux sterownik net: mana w funkcji mana_gd_query_max_resources() wylicza gc->num_msix_usable na podstawie resp.max_msix i liczby CPU, ale nie uwzględnia rozmiaru tablicy MSI-X urządzenia. Na maszynie z 1792 vCPU daje to 1793 wektory przy tablicy 1024 wpisów, co powoduje wyjście poza zmapowany region i błąd page fault.

W jądrze Linux funkcja rds_cong_map_updated() w net/rds używa waitqueue_active() bez wymaganej bariery pamięci, co prowadzi do wzorca store-buffering. Aktualizujący może zaobserwować pustą kolejkę oczekujących, podczas gdy oczekujący wciąż widzi port jako zatłoczony, więc nie zostaje wysłane wybudzenie.

W jądrze Linux w sterowniku octeontx2-pf występuje podatność polegająca na braku sprawdzenia wskaźnika af_xdp_zc_qidx przed użyciem go w funkcji test_bit(). Wskaźnik ten jest inicjowany tylko dla ścieżek AF_XDP zero-copy, a reprezentory i inne ścieżki pozostawiają go jako NULL, co prowadzi do błędu dereferencji NULL podczas przełączania trybu devlink eswitch.

W jądrze Linux w sterowniku octeontx2-af występuje wyciek pamięci i błędy zwalniania zasobów przy wielokrotnym wywołaniu rvu_mbox_init(). Każde wywołanie alokowało nowy obiekt ng_rvu, nadpisując poprzedni wskaźnik, a ścieżki błędów zwalniały zasoby nieprawidłowo, pozostawiając pamięć skrzynek pocztowych w użyciu.

W jądrze Linux w module net/sched act_skbmod występują błędy obliczania długości nagłówków. Funkcja tcf_skbmod_act() wywołuje skb_network_header_len() bez gwarancji ustawienia transport_header oraz skb_mac_header_len() na urządzeniach L3, co powoduje ostrzeżenia i błędne odrzucanie prawidłowych krótkich pakietów.