Katalog podatności CVE

W jądrze Linux w funkcji copy_net_ns() występuje wyciek zasobów w ścieżce obsługi błędów. Gdy preinit_net() zwróci błąd, kod przechodzi do etykiety dec_ucounts, pomijając zwolnienie zasobów zaalokowanych przez net_alloc(), takich jak key_remove_domain() i net_passive_dec().

W jądrze Linux w module net/sched fq występuje przepełnienie liczbowe przy obliczaniu quantum i initial_quantum. Urządzenie z ogromnym MTU powoduje, że psched_mtu() zwraca 0x80000000, a mnożenie przez 2 i 10 zawija się do zera, co prowadzi do nieskończonej pętli w fq_dequeue() i soft lockup.

W jądrze Linux w module net/sched fq_codel występuje brak ograniczenia wartości quantum i mtu. Urządzenie z ogromnym MTU powoduje przepełnienie signed flow->deficit do INT_MIN, co prowadzi do nieskończonej pętli i soft lockup, a także cichego wyłączenia mechanizmu CoDel.

W jądrze Linux w module net/sched fq_pie występuje brak ograniczenia domyślnej wartości quantum. Urządzenie z ogromnym MTU powoduje przepełnienie signed flow->deficit do INT_MIN w fq_pie_qdisc_dequeue(), co prowadzi do nieskończonej pętli i soft lockup.

W jądrze Linux w module net/sched hhf występuje brak sprawdzenia przepełnienia przy ustawianiu quantum. Urządzenie z ogromnym MTU powoduje przepełnienie signed deficit w hhf_dequeue(), co prowadzi do nieskończonej pętli, a także błędu -EINVAL przy dodawaniu qdisc z opcjami.

W jądrze Linux w module net/sched sfq występuje brak ograniczenia wartości quantum. Urządzenie z ogromnym MTU powoduje, że slot->allot przyjmuje wartość INT_MIN, a operacja INT_MIN + INT_MIN oscyluje między INT_MIN i 0, powodując nieskończoną pętlę w sfq_dequeue() i soft lockup.

W jądrze Linux w module net/sched: sch_teql występuje podatność polegająca na tym, że funkcja teql_master_xmit() ustawia skb->dev na urządzenie podrzędne (slave) przed wywołaniem ndo_start_xmit(), ale nie przywraca go po nieudanej transmisji. To powoduje, że pakiet z nieaktualnym wskaźnikiem skb->dev trafia do kolejki ARP, a po usunięciu urządzenia podrzędnego dochodzi do użycia po zwolnieniu (UAF).

W jądrze Linux funkcja st33zp24_status() ignoruje wynik odczytu transportu i zwraca dane nawet gdy nie odebrano żadnego bajtu. W transporcie I2C, gdy zapis wyboru rejestru jest zbyt krótki lub kończy się niepowodzeniem, i2c_master_recv() jest pomijane, pozostawiając dane niezainicjalizowane. Wartość ze stosu może zostać zinterpretowana jako flagi TPM_STS i spowodować fałszywe zakończenie sprawdzania statusu.

W jądrze Linux makro ACOMP_REQUEST_ON_STACK() rezerwuje miejsce tylko na synchroniczny fallback. Gdy wybrana jest implementacja asynchroniczna, acomp_request_clone() kopiuje jedynie obiekt rozmiaru stosu, przez co klon nie ma miejsca na kontekst żądania dostawcy asynchronicznego. Dostawcy tacy jak QAT zapisują poza alokację przez acomp_request_ctx(), co KASAN zgłasza jako zapis poza zakresem (slab OOB write).

W jądrze Linux funkcja snd_soc_dapm_put_enum_double() odrzuca item[0] gdy osiągnie e->items, ale pozwala item[1] być równym tej wartości. Oba trafiają do snd_soc_enum_item_to_val(), które indeksuje e->values bez własnego ograniczenia, więc enum z tabelą wartości odczytuje jeden element poza końcem. Problem dotyczy tylko adav80x, który łączy tabelę wartości z dwoma przesunięciami.

W jądrze Linux w module libceph (protokół Ceph messenger v2) nie walidowano pola payload_len w prefiksie banera. Klient mógł wysłać baner z payload_len równym 0, co powodowało odczyt z gniazda o długości 0 i naruszenie niezmiennika maszyny stanów, wywołując ostrzeżenie w populate_in_iter(). Zgodnie ze specyfikacją msgr2 payload_len musi wynosić co najmniej 16 bajtów.

W jądrze Linux funkcja ftrace_direct_multi_init() przypisuje wynik kthread_run() do simple_tsk bez sprawdzenia IS_ERR(). Gdy kthread_run() zawiedzie, zwraca ERR_PTR(-ENOMEM), ale init nadal zwraca 0, więc moduł ładuje się z simple_tsk wskazującym na wskaźnik błędu. Przy wyładowaniu ftrace_direct_multi_exit() przekazuje ten ERR_PTR do kthread_stop(), co prowadzi do dereferencji wskaźnika NULL.

W jądrze Linux gniazda IPPROTO_SMC tworzą wewnętrzne gniazdo TCP ("clcsock") w hooku proto->init. Gdy utworzenie gniazda zawiedzie po uruchomieniu proto->init — np. program cgroup BPF podpięty do BPF_CGROUP_INET_SOCK_CREATE odmówi — sk_common_release() wywołuje sk_prot->destroy tylko jeśli jest ustawione, ale ani smc_inet_prot ani smc_inet6_prot go nie definiuje, a smc_destruct() kończy się wcześnie. W rezultacie każde nieudane wywołanie socket(AF_INET, SOCK_STREAM, IPPROTO_SMC) wycieka jeden tcp_sock.

W jądrze Linux w sterowniku drm/xe włączony scratch nie czyni VM zdolną do obsługi odzyskiwalnych błędów stron. Przepuszczanie VM ze scratch przez wyszukiwanie ASID dopuszcza również VM w trybie dma-fence. Jeśli taka VM zgłosi błąd na już prawidłowym VMA, handler raportuje sukces bez naprawy błędu, powodując nieskończone ponawianie przez GPU.

W jądrze Linux w virtio-net użytkownik może określić dowolny gso_size w pakiecie utworzonym przez gniazdo AF_PACKET PACKET_VNET_HDR, nawet mniejszy niż TCP_MIN_GSO_SIZE = 8. Ponieważ GSO_MAX_SIZE = 8 * GSO_MAX_SEGS = 8 * 65535, przy gso_size < 8 istnieje ryzyko przepełnienia 16-bitowego pola gso_segs przy dzieleniu długości SKB przez gso_size.

W jądrze Linux w netfilter nf_tables krok sprzętowego offloadu jest wykonywany przed zbudowaniem bloba łańcucha. Alokacja bloba łańcucha przed offloadem rulesetu zmniejsza ryzyko wejścia w niespójny stan, w którym offloadowany ruleset w karcie sieciowej różni się od rulesetu programowego.

W jądrze Linux w netfilter nf_tables zarówno ścieżka dynset, jak i newsetelem klonują istniejące wyrażenia zbioru przy ustawianiu wyrażeń elementów zbioru, jeśli nie podano wyrażeń nadpisujących. Powoduje to podwójne klonowanie. Poprawka dodaje flagę override_exprs do oznaczania wyrażeń nadpisujących i warunkowo zwalnia wyrażenia, co naprawia również niezrównoważenie licznika referencji modułu dla wyrażenia connlimit.

W jądrze Linuxa w warstwie ALSA control istnieje podatność na dereferencję wskaźnika NULL. Można utworzyć element sterujący tylko do zapisu, bez funkcji pobierania (get), co prowadzi do awarii jądra (Oops) podczas wywołania snd_ctl_led_notify().

W jądrze Linux w sterowniku stmmac (karta sieciowa) ścieżka odbioru RX została przekonwertowana na tryb zero-copy, ale nie przeniesiono wyrównania NET_IP_ALIGN do stmmac_rx_offset(). W efekcie nagłówek IP trafia pod nieprawidłowo wyrównany adres, co na architekturach takich jak ARM32 powoduje błąd wyrównania i panikę jądra przy odbiorze np. pakietu ICMP echo request.

Podatność w jądrze Linux w module net/sched pozwala na wywołanie miękkiego zawieszenia (soft lockup) poprzez spreparowaną tablicę rozmiaru pakietów (stab) w schedulerach DRR i ETS. Atakujący z uprawnieniami CAP_NET_ADMIN w przestrzeni nazw może wygenerować ogromną wartość qdisc_pkt_len (nawet ~1 GiB), co prowadzi do pętli w schedulerze i zawieszenia systemu.