Katalog podatności CVE

W jądrze Linuxa w akceleratorze amdxdna występuje problem z operacją SYNC_BO o zerowej długości. Żądanie zerowej liczby bajtów prowadzi do wywołania funkcji drm_clflush_virt_range(), która wykonuje operację na adresie przed mapowaniem, powodując błąd strony i awarię systemu.

W jądrze Linuxa w akceleratorze ethosu występuje problem z brakiem sprawdzenia błędów mapowania MMIO podczas inicjalizacji. Funkcja devm_platform_ioremap_resource() może zwrócić wskaźnik błędu, który jest następnie używany bez sprawdzenia, co prowadzi do awarii.

W jądrze Linuxa w akceleratorze ethosu występuje problem z czyszczeniem płotka (fence) po zakończeniu zadania. W niektórych ścieżkach błędów płotek nie jest inicjalizowany, a następnie zwalniany, co prowadzi do wycieku pamięci lub użycia niezainicjalizowanych danych.

W jądrze Linuxa w podsystemie nvme-fabrics występuje wyciek sekretu DHCHAP podczas nieudanego parsowania opcji. Funkcja nvmf_parse_options() duplikuje sekret przed walidacją, a w przypadku błędu nie zwalnia tymczasowego łańcucha, co prowadzi do wycieku pamięci.

W jądrze Linuxa w podsystemie nvme-fc występuje podwójne zwolnienie pamięci opcji fabrics, gdy funkcja nvme_add_ctrl() zakończy się niepowodzeniem. Błąd został wprowadzony przez commit 1a9e218195a5 i może być wywołany przy braku pamięci lub wstrzykiwaniu błędów, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcji nvme_tcp_handle_c2h_data() brakowało sprawdzenia kierunku danych dla PDU typu C2HData. Złośliwy lub błędnie działający kontroler NVMe/TCP mógł odpowiedzieć na polecenie zapisu ramką C2HData, co prowadziło do ostrzeżenia jądra (WARN_ON_ONCE) i zresetowania kontrolera. Nie dochodzi do uszkodzenia pamięci, ponieważ żadne dane nie są kopiowane.

W jądrze Linux w funkcji nvme_alloc_ns() ścieżka błędu usuwa namespace z listy rodzeństwa za pomocą list_del_rcu(), ale nie czeka na zakończenie czytelników SRCU przed zwolnieniem struktury namespace. Współbieżny czytelnik w kodzie multipath może wciąż trzymać referencję do ns w momencie wywołania kfree(ns), co prowadzi do use-after-free.

W jądrze Linux występuje luka w obsłudze błędów w sterowniku NVMe. Funkcja nvme_update_ns_info_block() sprawdza tylko ujemne kody błędów, pomijając dodatnie kody statusu NVMe zwracane przez nvme_query_zone_info(). Gdy urządzenie, firmware lub cel NVMe-oF nie wykona polecenia Identify, konfiguracja jest kontynuowana z wyzerowanymi informacjami o strefach, co prowadzi do przesunięcia o ujemny wykładnik (shift-out-of-bounds) i dalszego przesyłania I/O do kolejki strefowej z zerowym rozmiarem strefy.

W jądrze Linux funkcja nvmet_auth_sq_free() anuluje zadanie auth_expired_work za pomocą cancel_delayed_work(), które nie czeka na zakończenie już uruchomionego callbacku. W wyniku tego podczas demontażu transportu kolejka zawierająca struct nvmet_sq może zostać zwolniona lub ponownie użyta, gdy nvmet_auth_expired_work() wciąż uzyskuje do niej dostęp.

W jądrze Linux funkcja nvmet_tcp_try_recv_pdu() oblicza pozostałą długość ładunku PDU bez sprawdzenia, czy nie przekracza ona rozmiaru bufora queue->pdu. Gdy wynegocjowany jest digest nagłówka, zduplikowany pakiet ICReq powoduje zapis 4 bajtów poza końcem 128-bajtowego bufora, nadpisując pola queue->hdr_digest i queue->data_digest danymi kontrolowanymi przez atakującego.

W jądrze Linuxa wykryto podatność w podsystemie nvmet-tcp. Serwer NVMe-over-TCP akceptuje niechciane pakiety H2CData bez sprawdzenia, czy wysłano żądanie R2T dla danego polecenia. Zdalny atakujący może to wykorzystać, powodując podwójne dodanie polecenia do listy odpowiedzi, co prowadzi do zawieszenia systemu (soft-lockup) lub paniki jądra (kernel BUG).

W jądrze Linux funkcje migrate_device_range() i migrate_device_pfns() czyszczą wpisy po złożonym folio bez ograniczenia ich liczby do rozmiaru tablicy npages. Jeśli złożone folio wykracza poza koniec zakresu podanego przez wywołującego, pętle powodują zapis poza granicami tablicy.

W jądrze Linux wykryto podatność w mechanizmie alokacji stron hugetlb z CMA. Funkcja hugetlb_cma_alloc_frozen_folio nie obsługuje poprawnie sytuacji, gdy nodemask jest NULL, co prowadzi do dereferencji wskaźnika NULL i paniki jądra. Nieuprzywilejowany użytkownik może wywołać awarię systemu, żądając alokacji gigantycznej strony z polityką MPOL_PREFERRED_MANY w systemie z CMA skonfigurowanym tylko na części węzłów NUMA.

W jądrze Linux pole nfree w bloku informacyjnym BTT jest odczytywane z nośnika bez walidacji. Funkcje btt_freelist_init() i btt_rtt_init() rozmiarują tablice freelist[] i rtt[] na podstawie nfree, ale ścieżka I/O indeksuje je numerem lane ograniczonym przez num_lanes, a nie przez nfree. Arena z nfree mniejszym niż liczba lane powoduje zapis poza granicami alokacji.

W jądrze Linux funkcja eisa_irq_setup() przy nieprawidłowej wartości parametru wiersza poleceń "eisa_irq_edge=" wypisuje komunikat błędu i kontynuuje bez przesunięcia bieżącej pozycji. Powoduje to wielokrotne parsowanie tej samej nieprawidłowej wartości i nieskończoną pętlę podczas rozruchu jądra.

W jądrze Linux funkcja kexec_extra_fdt_size_ppc64() może wywołać dereferencję wskaźnika NULL. Na platformach bez zarezerwowanych regionów pamięci get_reserved_memory_ranges() może zwrócić 0, pozostawiając 'rmem' jako NULL, a następnie odwołanie do 'rmem->nr_ranges' powoduje panikę jądra.

W jądrze Linux w funkcji __merge_memory_ranges() (powerpc/kexec_file) występuje błąd logiki scalania nakładających się zakresów pamięci. Funkcja porównuje początek bieżącego zakresu z poprzednim elementem zamiast z bieżącym indeksem docelowym i bezwarunkowo nadpisuje koniec zakresu, co prowadzi do obcięcia prawidłowych zakresów pamięci. W efekcie fragmenty pamięci mogą zostać pominięte na listach wykluczeń kexec, co grozi nadpisaniem aktywnej pamięci przez jądro awaryjne.

W jądrze Linux w funkcji vmemmap_populate_compound_pages() (architektura powerpc) zmienna addr_pfn była zwiększana ręcznie w sposób niezgodny z postępem pętli po adresach vmemmap. Powodowało to błędne wyliczenie pfn_offset i podejmowanie decyzji o mapowaniu head/tail dla niewłaściwej pozycji strony złożonej.

W jądrze Linux w funkcji vfio_ap_mdev_set_kvm() wskaźnik kvm->arch.crypto.pqap_hook jest ustawiany przed sprawdzeniem, czy inne urządzenie mdev nie jest już przypisane do tej samej instancji KVM. W przypadku błędu funkcja zwraca -EPERM bez przywrócenia wskaźnika, co prowadzi do pozostawienia nieaktualnego wskaźnika i potencjalnego use-after-free przy wykonaniu instrukcji PQAP przez gościa.

W jądrze Linux funkcja vfio_ap_config_remove używała bitmap_andnot do czyszczenia bitów w bitmapie matrix_mdev->matrix.adm, co uniemożliwiało usunięcie jawnie odłączonych domen kontrolnych z gościa KVM. Poprawka zastępuje bitmap_andnot funkcją bitmap_and.