Katalog podatności CVE

W jądrze Linux w sterowniku s390/vfio-ap występuje podatność polegająca na braku sprawdzenia, czy wskaźnik matrix_mdev->kvm nie jest NULL przed pobraniem mutexa matrix_mdev->kvm->lock. Jeśli matrix_mdev->kvm nigdy nie został ustawiony, próba pobrania blokady powoduje dereferencję wskaźnika NULL. Poprawka dodaje sprawdzenie matrix_mdev->kvm == NULL przed pobraniem mutexa.

W jądrze Linux funkcja vfio_ap_mdev_hot_unplug_cfg() używała wartości zwracanej bitmap_andnot() do decyzji o aktualizacji APCB gościa. Gdy wynikowa bitmapa była pusta, funkcja zwracała false i aktualizacja nie następowała, pozostawiając gościowi KVM dostęp do odłączonych urządzeń AP.

W jądrze Linux wykryto podatność w podsystemie s390/vfio-ap, polegającą na braku wymaganego zamka (mutex guests_lock) podczas dostępu do listy obiektów ap_matrix_mdev. Dwie funkcje (vfio_ap_mdev_probe i vfio_ap_mdev_for_queue) uzyskiwały dostęp do listy bez odpowiedniego zabezpieczenia, co mogło prowadzić do uszkodzenia pamięci jądra lub użycia po zwolnieniu (use-after-free) przy współbieżnym tworzeniu lub usuwaniu urządzeń.

W jądrze Linux funkcja vfio_ap_mdev_probe_queue() tworzyła grupę atrybutów sysfs, zanim ustawiono dane sterownika kolejki. Współbieżny odczyt atrybutu 'status' mógł wywołać dev_get_drvdata() zwracające NULL, co prowadziło do dereferencji NULL w vfio_ap_mdev_for_queue().

W jądrze Linux parser AFS v2 używa footer[8] do zlokalizowania bloku informacji obrazu w bloku wymazywania, a następnie region_count do przejścia po wpisach lokalnej tablicy. Przesunięcie i liczba regionów pochodzą z zawartości flash i nie były sprawdzane przed użyciem.

W jądrze Linux funkcja mtdoops_notify_add() alokuje bitmapę oops_page_used przy rejestracji urządzenia MTD, ale mtdoops_notify_remove() nie zwalnia jej. Ponowna rejestracja tego samego urządzenia MTD powoduje wyciek jednej alokacji vmalloc na każdy cykl remove/add.

W jądrze Linux funkcja nand_flash_detect_ext_param_page() przydziela pamięć na podstawie długości zadeklarowanej w stronie parametrów ONFI, a następnie odczytuje nagłówek i sekcje zmiennej długości bez weryfikacji, czy mieszczą się one w przydzielonym buforze. Brak walidacji może prowadzić do odczytu poza granicami bufora. Poprawka odrzuca zbyt krótkie strony, śledzi pozostały obszar i wymaga, aby sekcja ECC zawierała wszystkie odczytywane pola.

W module batman-adv jądra Linux ponowne składanie fragmentów używa skb z fragmentu o najwyższym numerze, a gdy interfejs, na którym go odebrano, zostanie usunięty przed zakończeniem łańcucha, scalony pakiet może ponownie wejść do ścieżki odbioru ze starym skb->dev i skb_iif. Może to prowadzić do użycia zwolnionego obiektu net_device. Poprawka odświeża metadane urządzenia odbiorczego przed uruchomieniem procedur obsługi pakietu.

W module batman-adv jądra Linux funkcje batadv_mcast_forw_packet() i batadv_mcast_forw_scrape() mogą być wywołane pośrednio przez batadv_mcast_forw_mcsend() bez linearyzacji skb, co powoduje uruchomienie SKB_LINEAR_ASSERT() i krytyczny błąd BUG(). Linearyzacja powinna następować podczas rozszerzania nagłówka. Poprawka zapewnia prawidłową linearyzację bufora.

W module batman-adv jądra Linux niezależnie od wyrównania pakietu ARP w SKB, odczyt batadv_arp_ip_src lub batadv_arp_ip_dst może powodować nieprawidłowy dostęp do niez wyrównanych danych na sprzęcie bez natywnego wsparcia. Poprawka używa get_unaligned() do prawidłowej obsługi na wszystkich architekturach.

W module batman-adv jądra Linux podczas usuwania interfejsu mesh funkcja batadv_bla_del_backbone_claims() nie jest wykonywana, ponieważ batadv_bla_free() ustawia claim_hash na NULL przed wywołaniem, co uniemożliwia zwolnienie wszystkich claims. Dodatkowo batadv_handle_unclaim() może nie znaleźć odpowiedniego backbone z powodu braku obsługi rehashingu. Poprawka upraszcza proces zwalniania claims.

W jądrze Linux wykryto podatność polegającą na odczycie poza zakresem pamięci (out-of-bounds read) w sterowniku zegarów dla platform Amlogic GXBB. Problem wynika z nieaktualnej, zakodowanej na stałe liczby rodziców zegara gxbb_32k_clk_sel, co prowadzi do błędu KASAN podczas rejestracji zegara. Poprawka polega na użyciu makra ARRAY_SIZE zamiast twardo wpisanej wartości.

W jądrze Linux w sterowniku ASoC cs35l33 funkcja cs35l33_runtime_suspend() przełącza kodek w tryb regcache_cache_only(true) i wyłącza go bez uprzedniego wyciszenia wątkowego przerwania IRQ zarejestrowanego przez devm_request_threaded_irq(). Powstaje okno, w którym cs35l33_irq_thread() może nadal działać po wyłączeniu dostępu do rejestrów, odczytując ulotne rejestry INT_STATUS_1/2 i wykonując ścieżki zwalniania AMP_SHORT_RLS, CAL_ERR_RLS, OTE_RLS i OTW_RLS.

W jądrze Linux w sterowniku ASoC cs35l34 funkcja cs35l34_runtime_suspend() przełącza kodek w tryb regcache_cache_only(true), ustawia reset w stan niski i wyłącza urządzenie bez uprzedniego wyciszenia wątkowego przerwania IRQ zarejestrowanego przez devm_request_threaded_irq(). Powstaje okno, w którym cs35l34_irq_thread() może nadal działać po usunięciu dostępu do sprzętu, odczytując ulotne rejestry INT_STATUS_1..4 i wykonując sekwencję PROT_RELEASE_CTL lub zapisy wyłączające zasilanie przy błędzie BST.

W jądrze Linux w sterowniku ASoC hdac_hda funkcja hdac_hda_dev_probe() pobiera referencję do łącza HDA przez snd_hdac_ext_bus_link_get() przed rejestracją komponentu ASoC. Jeśli rejestracja komponentu się nie powiedzie, funkcja zwraca błąd bez zwolnienia referencji do łącza, co powoduje wyciek referencji.

W jądrze Linux w sterowniku ASoC loongson funkcja loongson_card_parse_acpi() ignoruje wartość zwracaną przez device_property_read_string() dla właściwości `codec-dai-name`. Jeśli właściwość jest brakująca lub nieprawidłowa, używany jest później niezainicjalizowany wskaźnik, co może prowadzić do niezdefiniowanego zachowania.

W jądrze Linux w podsystemie IIO buffer uchwyt anonimowego bufora przechowuje referencję do urządzenia IIO, która jest zwalniana w funkcji zwalniającej uchwyt bufora. Jeśli urządzenie zostało usunięte (unbind lub hot-unplug), uchwyt bufora może posiadać ostatnią referencję. Funkcja zwalniająca używa strażnika mutexa, co powoduje odblokowanie po iio_device_put(), co może zwolnić zarówno urządzenie IIO, jak i bufor zawierający mutex, prowadząc do use-after-free przy odblokowywaniu mutexa.

W jądrze Linux w podsystemie IIO buffer implementacja iio_dma_fence używa kfree() do zwolnienia obiektu dma_fence, co jest niezgodne z dokumentacją dma_fence wymagającą zwalniania w sposób bezpieczny dla RCU. Może to prowadzić do use-after-free.

W jądrze Linux w podsystemie IIO buffer implementacja iio_dma_fence używa blokady osadzonej w iio_dmabuf_priv, ale iio_dma_fence może przeżyć iio_dmabuf_priv, co może powodować use-after-free. Poprawka wiąże czas życia blokady z czasem życia fence poprzez osadzenie ich w tej samej strukturze.

W jądrze Linux w sterowniku IIO chemical atlas-sensor funkcja atlas_buffer_postenable() pobiera referencję runtime PM przez pm_runtime_resume_and_get(), ale zwraca wynik atlas_set_interrupt() bezpośrednio. Jeśli atlas_set_interrupt() zawiedzie, referencja runtime PM wycieka i urządzenie nigdy nie może przejść w autosuspend.