Katalog podatności CVE

W jądrze Linux wpis nfs4_openowner pozostawiony na nn->close_lru trzyma tylko surowy wskaźnik do nfs4_client. Gdy laundromat zwalnia wpisy, zwalnia blokadę client_lock i wywołuje nfs4_put_stid(), równoległe force_expire_client() może zwolnić klienta, powodując użycie zwolnionej pamięci.

W jądrze Linux właściciel blokady pozostawiony na nn->blocked_locks_lru trzyma tylko surowy wskaźnik do nfs4_client. Gdy laundromat zwalnia taką blokadę, końcowe nfs4_put_stateowner() sięga po cl_lock klienta, którego równoległe force_expire_client() mogło już zwolnić, powodując use-after-free.

W jądrze Linux funkcja get_estimated_bw() w sterowniku drm/amd/display dzieli przez bw_granularity, które jest zerowane i wypełniane dopiero po obsłużeniu DP_TUNNELING_BW_ALLOC_CAP_CHANGED. Jeśli urządzenie USB4/DPIA zgłosi zmianę szacowanej przepustowości przed zmianą możliwości, w obsłudze przerwania DPCD dochodzi do dzielenia przez zero.

W jądrze Linux sterownik usb image mdc800 używa kmalloc() do buforów irq_urb_buffer i download_urb_buffer w usb_mdc800_init(). Przy krótszej wiadomości w mdc800_usb_irq() lub mdc800_usb_download_notify() może dojść do wycieku danych ze stosu.

W jądrze Linux funkcja snd_usbmidi_us122l_output() w ALSA usb-audio wybiera rozmiar 2 dla prędkości niższej niż high speed, nie odnosząc go do ep->max_transfer. Przy urządzeniu z jednobajtowym endpointem bulk memset oblicza 1 - 2 w int i zawija do SIZE_MAX, powodując zapis poza buforem.

W jądrze Linux w sterowniku media: usbtv występuje użycie zwolnionej pamięci. Wywołania zwrotne ALSA PCM przechowują stan sterownika w pcm->private_data, a otwarty plik PCM może przetrwać odłączenie USB, ponieważ usbtv_audio_free() używa snd_card_free_when_closed(). Ścieżka odłączenia może zwolnić strukturę usbtv przed zwolnieniem podstrumienia przez ALSA, co prowadzi do odwołania do zwolnionej pamięci w snd_usbtv_pcm_close().

W jądrze Linux w sterowniku usb-storage: ene_ub6250 występuje wyścig (race condition) między pracą skanowania a sondowaniem. Zarówno opóźniona praca skanowania przez usb_stor_Bulk_max_lun(), jak i ene_get_card_type() używają us->current_urb, ale tylko ścieżka skanowania serializuje dostęp przez us->dev_mutex. Jeśli skanowanie uruchomi się, gdy ene_get_card_type() wciąż używa us->current_urb, usb_submit_urb() ostrzega, że URB jest już aktywny.

W jądrze Linux w sterowniku usb: dwc3 występuje problem z bitem forceRM przy wydawaniu polecenia EndTransfer. W kontrolerach DWC_usb31 v2.00a i v2.10a z forceRM=1 transfer przerwany przez ep_dequeue pozostawał aktywny po zakończeniu EndTransfer, a kolejny StartTransfer powodował zapisy związane z przerwanym transferem, co skutkowało błędem SMMU, ponieważ bufor transferu został już odmapowany. Użycie forceRM=0 eliminuje problem.

W jądrze Linux w sterowniku usb: storage: realtek_cr występuje użycie zwolnionej pamięci przy odłączaniu. realtek_cr_destructor() wywołuje timer_delete() przed zwolnieniem układu zawierającego timer, a wywołanie zwrotne timera może wciąż działać i ponownie się uzbroić. Poprawka używa timer_shutdown_sync() i przenosi timer_setup() do init_realtek_cr().

W jądrze Linux w sterowniku usb: typec: hd3ss3220 występuje problem ze śledzeniem stanu włączenia VBUS na konsumenta. regulator_is_enabled() zwraca zagregowany stan regulatora, a nie informację, czy dany konsument posiada referencję włączenia. Jeśli inny konsument włączy VBUS pierwszy, sterownik może pominąć własne regulator_enable() i później próbować zwolnić referencję, której nigdy nie nabył, wywołując ostrzeżenie o niezrównoważonym wyłączeniu regulatora.

W jądrze Linux w sterowniku usb: typec: qcom-pmic-typec występuje problem z opóźnioną pracą cc_debounce_dwork przy zatrzymaniu. cc_debounce_dwork jest kolejkowana z wywołań zwrotnych set_cc() i start_toggling(), a port_stop() zwraca przed zniszczeniem wątku roboczego TCPM. Opóźniona praca może uruchomić się po zwolnieniu pmic_typec_port przez devres. Poprawka używa disable_delayed_work_sync() w port_stop().

W jądrze Linux w sterowniku usb: typec: qcom-pmic występuje problem z anulowaniem reset_work przy zatrzymaniu. pdphy_stop() wyłącza przerwania, ale pozostawia reset_work w stanie oczekiwania. Jeśli procedura obsługi przerwania zaplanuje ją tuż przed disable_irq(), praca uruchomi się po zwolnieniu struktury przez remove() za pomocą devm. Poprawka wywołuje cancel_work_sync() po wyłączeniu przerwań.

W jądrze Linux w sterowniku usb: typec: ucsi: displayport występuje błąd indeksu tablicy altmode poza zakresem (OOB). Sterownik indeksuje tablicę altmode portu złącza odpowiedzią GET_CURRENT_CAM po sprawdzeniu, że nie jest równa 0xff. Tablica ma UCSI_MAX_ALTMODES elementów, więc jeśli PPM zwróci nieprawidłową odpowiedź powyżej UCSI_MAX_ALTMODES i różną od 0xff, jądro może ulec awarii z powodu błędu indeksu OOB.

W jądrze Linux występuje podatność polegająca na dereferencji wskaźnika NULL w funkcji f_midi2_free_ep_reqs() w module USB gadget MIDI 2.0. Gdy konfiguruje się gadget MIDI 2.0 przez configfs z kierunkiem bloku ustawionym na SNDRV_UMP_DIR_INPUT, endpoint midi1_ep_out nie jest inicjalizowany, a jego pole usb_ep->card pozostaje NULL. Późniejsza zmiana alternate setting przez hosta powoduje wywołanie f_midi2_free_ep_reqs() dla niezainicjalizowanego endpointu i crash jądra.

W jądrze Linux w sterowniku usb: gadget: f_mass_storage występuje dereferencja wskaźnika null w fsg_common_set_num_buffers(). Usunięto wcześniej fsg_num_buffers_validate(), ponieważ Kconfig ograniczał n od 2 do 256, ale ustawienie zawartości strony tak, aby kstrtou8() zwracało n równe 0 lub 1, omija te ograniczenia i prowadzi do dereferencji wskaźnika null przy n=0. Poprawka dodaje sprawdzenie n < 2 i zwraca -EINVAL.

W jądrze Linux w funkcji f_midi2_opts_str_show() sterownika USB gadget występuje use-after-free. Wywołujący odczytują wskaźnik opts->info.<pole> przed założeniem blokady, co wyściguje się z f_midi2_opts_str_store(), która zwalnia stary łańcuch pod blokadą. Współbieżny zapis atrybutu może spowodować odczyt zwolnionego wskaźnika.

W jądrze Linux w f_midi_alloc() struktura work nie jest inicjalizowana, jeśli f_midi_bind() nigdy nie zostanie wywołane. Wówczas warunek w f_midi_free staje się prawdziwy, co prowadzi do ostrzeżenia w __flush_work z powodu work->func = 0. Poprawka przenosi INIT_WORK z f_midi_bind() do f_midi_alloc().

W jądrze Linux funkcja gadget_dev_ioctl() odczytuje dev->gadget przed założeniem blokady dev->lock, a stan dev->state sprawdza po jej założeniu. Współbieżne bind może zmienić stan urządzenia, pozostawiając nieaktualny wskaźnik NULL gadget i powodując dereferencję NULL w gadget->ops->ioctl.

W jądrze Linux funkcja usb_put_function_instance() próbuje dereferencjonować fd wewnątrz struktury fi w ścieżce błędu uvc_alloc_inst(). Jednak fd nie jest alokowane aż do późniejszego try_get_usb_function_instance(), więc w ścieżce błędu jest zawsze NULL. Poprawka dodaje sprawdzenie NULL dla fi->fd.

W funkcji rtw_get_wps_attr() w sterowniku staging rtl8723bs jądra Linux występuje błąd polegający na braku weryfikacji długości atrybutu WPS pobranej z ramki zarządzającej siecią bezprzewodową. Długość ta jest kontrolowana przez atakującego i używana bez sprawdzenia jako rozmiar operacji memcpy(), co prowadzi do odczytu poza granicami bufora sterty oraz przepełnienia bufora stosu. Podatność można wykorzystać poprzez spreparowaną ramkę beacon lub probe response przetwarzaną podczas skanowania.