Katalog podatności CVE

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_action_frame_parse() nie sprawdza parametru frame_len przed indeksowaniem ciała ramki. Odczyt frame_body[0] i frame_body[1] wymaga frame_len >= 26, więc krótsza ramka (np. 24 bajty) powoduje odczyt poza zakresem o 1-2 bajty. Jest to osiągalne z rtw_cfg80211_monitor_if_xmit_entry() i cfg80211_rtw_mgmt_tx().

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_restruct_wmm_ie() skanuje bufor in_ie w poszukiwaniu WMM IE. Gdy sprawdzenie 'i + 5 < in_len' zawiedzie blisko końca bufora, wykonanie przechodzi do 'i += (in_ie[i + 1] + 2)', co przy i == in_len - 1 powoduje odczyt poza zakresem o 1 bajt. Poprzednia poprawka dodała zabezpieczenie tylko do warunku dopasowania, nie do przesunięcia.

W jądrze Linux występuje błąd w sterowniku xhci, który powoduje gubienie buforów odbicia (bounce buffers) dla transferów rozciągających się na trzy lub więcej segmentów pierścienia. Gdy transfer danych nie jest wyrównany do rozmiaru wMaxPacketSize, tylko ostatni bufor odbicia jest zapisywany w td->bounce_seg, przez co wcześniejsze bufory nie są kopiowane z powrotem ani odmapowywane DMA. Prowadzi to do cichego uszkodzenia danych w buforze docelowym oraz wycieku mapowań DMA.

W jądrze Linux nowe pliki show_event_filters i show_event_triggers nie pobierają referencji do trace_array, który wyświetlają. Bez tej referencji trace_array może zostać zwolniony przez 'rmdir' podczas odczytu pliku, co powoduje use-after-free. Poprawka sprawia, że otwarcie obu plików pobiera referencję przez trace_array_get().

W jądrze Linux wykryto podatność use-after-free w mechanizmie tracingu. Otwarcie pliku opcji nie zwiększało referencji do struktury trace_array, co mogło prowadzić do użycia zwolnionej pamięci, gdy jeden proces otwierał plik, a inny usuwał instancję. Problem rozwiązano przez dodanie funkcji trace_array_options_get(), która zwiększa referencję przed użyciem.

W jądrze Linux w funkcji __spi_map_msg() występuje błąd w zarządzaniu własnością mapowań DMA przy częściowym niepowodzeniu mapowania. Gdy mapowanie RX lub TX się nie powiedzie, flagi i wskaźniki urządzeń nie są prawidłowo czyszczone, co może prowadzić do ponownego odmapowania lub użycia NULL/starego wskaźnika urządzenia. Może to wywołać oops jądra.

W jądrze Linux w podsystemie scsi target iscsi funkcja iscsi_target_check_login_request() nie rezerwuje bajtu terminatora NUL dla bufora logowania. Przy payload_length od 8189 do 8192 cały bufor 8192 bajtów jest wypełniany, a następnie przetwarzany jako string C, co prowadzi do odczytu poza buforem. Podatność jest osiągalna przez nieuwierzytelnionego inicjatora przy konfiguracji CHAP.

W jądrze Linux w podsystemie scsi bsg funkcja ukończenia kopiuje scmd->sense_len do bufora odpowiedzi użytkownika bez uwzględnienia max_response_len. Po prawidłowym sense midlayer ustawia sense_len na rzeczywistą długość (do SCSI_SENSE_BUFFERSIZE), co powoduje przepełnienie mniejszego bufora użytkownika.

W jądrze Linux w podsystemie scsi bsg funkcja scsi_bsg_uring_cmd() odczytuje bsg_uring_cmd ze współdzielonego mmap'd SQE, co pozwala użytkownikowi zmienić pole między sprawdzeniem a użyciem (TOCTOU). request_len może wzrosnąć poza sizeof(scmd->cmnd) po sprawdzeniu granic i przepełnić scmd->cmnd w copy_from_user().

W jądrze Linux w sterowniku megaraid_sas funkcja megasas_make_prp_nvme() buduje listę PRP w buforze cmd->sg_frame bez sprawdzania jego rozmiaru. Po zwiększeniu domyślnego limitu BLK_DEF_MAX_SECTORS_CAP do 4 MiB transfery NVMe wymagają więcej wpisów, niż mieści się w ramce, co prowadzi do zapisu poza buforem, błędu page fault lub cichego uszkodzenia sąsiedniego wpisu puli DMA.

W jądrze Linux w sterowniku scsi pm8001 funkcja pm8001_request_msix() przy niepowodzeniu request_irq() używa indeksu i zamiast j w pętli wycofywania, co powoduje przekazanie błędnej pary IRQ/dev_id do free_irq(). Wcześniej zarejestrowane handlery pozostają zainstalowane.

W jądrze Linux w samples/damon/mtier funkcja damon_sample_mtier_stop() zakłada, że damon_stop() zawsze się powiedzie i zwalnia konteksty DAMON po wywołaniu. Jeśli kontekst jest już zatrzymany, damon_stop() zwraca błąd, pozostawiając działające konteksty, co prowadzi do use-after-free. Problem dotyczy tylko mtier.

W jądrze Linux w module przykładowym samples/damon/wsse funkcja damon_sample_wsse_start() nie zwalniała pamięci kontekstu DAMON w przypadku niepowodzenia wywołania damon_start(). Prowadzi to do wycieku pamięci, a w szerszym zakresie podobne błędy w obsłudze damon_start() i damon_stop() w modułach przykładowych DAMON mogą powodować zakłócenia kolejnych operacji DAMON oraz use-after-free.

W jądrze Linux w mm/damon/core funkcja damon_apply_min_nr_regions() zakłada, że damon_split_region_at() zawsze się powiedzie. Przy niepowodzeniu alokacji pamięci i gdy region był ostatni, pobranie następnego regionu zwraca nieprawidłowy wskaźnik, co prowadzi do nieprawidłowego odwołania do pamięci i korupcji. Poprawka przerywa pętle przy każdym niepowodzeniu podziału.

W jądrze Linux występuje błąd use-after-free w mechanizmie futex podczas operacji requeue PI na jądrze z włączonym PREEMPT_RT. Wyścig między wczesnym wybudzeniem oczekującego wątku a operacją requeue PI może spowodować, że zadanie requeue wywoła rcuwait_wake_up() na strukturze futex_q, która została już zwolniona ze stosu wątku oczekującego. Problem został rozwiązany poprzez pominięcie rcuwait_wake_up() w przypadku stanu Q_REQUEUE_PI_LOCKED.

W jądrze Linux występuje błąd use-after-free w podsystemie ftrace. Pliki set_ftrace_filter i set_ftrace_notrace dla instancji trace_array używają wskaźnika ftrace_ops z inode->private, który może zostać zwolniony równolegle przez rmdir instancji, co prowadzi do odwołania do zwolnionej pamięci i awarii jądra.

W jądrze Linux w mechanizmie HID BPF występuje wyścig (race condition) między ścieżką niszczenia urządzenia (__hid_bpf_ops_destroy_device) a wyrejestrowaniem (hid_bpf_unreg), które mogą zwolnić to samo odwołanie do urządzenia dwukrotnie. Prowadzi to do zwolnienia struktury hid_device, podczas gdy funkcja hid_destroy_device() wciąż z niej korzysta, co skutkuje użyciem zwolnionej pamięci (use-after-free). Poprawka serializuje decyzję o zwolnieniu odwołania pod blokadą prog_list_lock.

W jądrze Linux w sterowniku HID RMI wykryto podatność prowadzącą do odczytu i zapisu poza przydzielonym buforem (OOB). Sterownik alokuje bufory na podstawie rozmiaru raportów zadeklarowanych przez urządzenie, ale bez minimalnego limitu, a następnie zapisuje i odczytuje dane pod stałymi offsetami, co może prowadzić do naruszenia pamięci. Dodatkowo pętla odczytu może się zapętlić, gdy urządzenie odpowiada zerową długością, blokując wątek probe.

OpenMeter przed wersją v1.0.0-beta.228 zawiera podatność na wstrzyknięcie SQL w definicjach liczników opartych na ClickHouse. Zdalny nieuwierzytelniony atakujący może uzyskać dostęp do danych pomiarowych lub je modyfikować, a także spowodować DoS.

W jądrze Linux w funkcji wacom_intuos_pro2_bt_irq() sterownika HID wacom nie sprawdzano długości odbieranego raportu przed jego przetwarzaniem. Złośliwe lub wadliwe urządzenie Bluetooth podające się za tablet Wacom może wysłać zbyt krótki raport, co powoduje odczyt poza granicami bufora i wyciek danych do przestrzeni użytkownika przez evdev.