Katalog podatności CVE

W jądrze Linux w KVM dla arm64 występuje problem z nieprawidłowym obsługiwaniem końca przestrzeni adresowej podczas unieważniania TLB. Porównanie zakresów nie uwzględnia zawinięcia adresu, co może prowadzić do nieudanego unieważnienia TLB dla ostatniej strony/bloku w przestrzeni TTBR1.

W jądrze Linux w KVM dla arm64 występuje wyścig między unieważnianiem TLB VNCR a operacją vcpu_put() podczas odmapowywania strony VNCR. Może to prowadzić do wzorca TOCTOU i wywołania BUG_ON(), co może skutkować awarią systemu.

W jądrze Linux występuje problem w KVM na architekturze arm64 dotyczący unieważniania VNCR. Gdy jeden vcpu unieważnia TLB dla VNCR, a inny vcpu jednocześnie obsługuje błąd strony dla tej samej strony, może dojść do wstawienia nieaktualnego wpisu TLB. Rozwiązanie polega na rozszerzeniu invalidate_vncr_va() o aktualizację licznika mmu_invalidate_seq, co wymusza powtórzenie obsługi błędu.

W jądrze Linux w KVM na arm64 usunięto globalny licznik mapowania VNCR, który służył do decydowania o konieczności unieważnienia TLB. Licznik ten miał wady: sprawdzanie go mogło prowadzić do pominięcia unieważnień TLB, a vcpu L1 unieważniający własny TLB nie unieważniał pseudowpisu VNCR. Ponieważ mechanizm nie zapewniał wymaganych gwarancji, został całkowicie usunięty.

W jądrze Linux w KVM na arm64 funkcja decode_range_tlbi() używana do unieważniania TLB zakresowego dla S1 pomijała wymagane rozszerzenie znaku adresu wirtualnego. Może to prowadzić do nieprawidłowego obliczenia zakresu unieważnienia. Poprawka dodaje brakujące rozszerzenie znaku i zabezpiecza przed przepełnieniem bitów PA przy unieważnianiu S2.

W jądrze Linux w KVM na arm64 funkcja vgic_v3_save_pending_tables() iteruje po dist->lpi_xa bez utrzymywania referencji do struktur vgic_irq, polegając jedynie na tymczasowym zabezpieczeniu RCU. Równoległa ścieżka może zwolnić LPI, powodując użycie zwisającego wskaźnika po zakończeniu okresu RCU. Poprawka polega na ponownym pobraniu każdego LPI przez vgic_get_irq() i zwolnieniu go przez vgic_put_irq().

W jądrze Linux w KVM na arm64 funkcja vgic_its_save_ite() bezwarunkowo dereferencjonuje ite->collection, które może być NULL po operacji MAPC z V=0. Gość wykonujący MAPD, MAPTI, a następnie MAPC(V=0) może spowodować błąd jądra (oops) podczas migracji, gdy VMM wywoła KVM_DEV_ARM_ITS_SAVE_TABLES. Poprawka zapisuje wyzerowany wpis, który przy odtwarzaniu jest traktowany jako nieprawidłowy.

W jądrze Linux w KVM na arm64 unieważnianie TLB zakresowe (TLBI Range) może kodować duże zakresy w małej liczbie bitów, co pozwala gościowi łatwo wygenerować przepełnienie, jeśli hipervisor naiwnie doda zakres do adresu bazowego. Poprawka ogranicza zakres do limitu wynikającego z bitu adresowego określającego zakres VA, a dla unieważniania IPA dodatkowo ignoruje górny zakres.

W jądrze Linux w KVM na architekturze LoongArch zmienna vector[] zadeklarowana na stosie w funkcji dmsintc_inject_irq() jest czasami używana bez inicjalizacji. Poprawka inicjalizuje tę zmienną, aby uniknąć użycia niezainicjalizowanych danych.

W jądrze Linux w KVM na architekturze LoongArch funkcja kvm_loongarch_init() wywołuje kvm_loongarch_env_init() w celu alokacji zasobów, a następnie kvm_init(). Jeśli kvm_init() zawiedzie, zasoby nie są zwalniane, ponieważ module_exit() nie jest wywoływane przy błędzie inicjalizacji modułu. Poprawka wywołuje kvm_loongarch_env_exit() w przypadku niepowodzenia kvm_init().

W jądrze Linux w KVM na architekturze LoongArch funkcja kvm_arch_prepare_memory_region() oblicza flagi arch dla memslotu tylko przy KVM_MR_CREATE i KVM_MR_MOVE, a przy KVM_MR_FLAGS_ONLY zwraca wcześnie. Ponieważ ogólny kod alokuje wyzerowany memslot, po aktualizacji KVM_MR_FLAGS_ONLY flagi arch są zerowane, co może prowadzić do mapowania pamięci gościa na niewłaściwe strony hosta. Poprawka przenosi flagi arch ze starego memslotu dla KVM_MR_FLAGS_ONLY.

W jądrze Linux w KVM na architekturze LoongArch funkcja pch_msi_set_irq() przekazuje e->msi.data bezpośrednio do eiointc_set_irq() jako numer przerwania, bez sprawdzenia względem EIOINTC_IRQS. Dane MSI pochodzą z przestrzeni użytkownika (KVM_SET_GSI_ROUTING lub KVM_SIGNAL_MSI), a wartość >= 256 powoduje odczyt i zapis pamięci poza tablicami, umożliwiając korupcję pamięci jądra. Poprawka odrzuca dane MSI spoza przestrzeni przerwań EIOINTC.

W jądrze Linux w architekturze LoongArch w podsystemie BPF stwierdzono błąd w obliczaniu przesunięcia skoku w wywołaniach ogonowych. Stary sposób obliczania oparty na makrach mógł prowadzić do błędnych przesunięć i zawieszeń systemu podczas dodatkowych przebiegów JIT. Poprawka polega na bezpośrednim obliczaniu przesunięcia względem celu absolutnego oraz dodaniu zabezpieczenia dla przypadku, gdy obraz jest pusty.

W jądrze Linux dla architektury LoongArch w podsystemie BPF stwierdzono problem z rozmieszczeniem slotu rejestru arena w stosie. Gdy arena_vm_start jest dynamicznie włączany, przesuwa on względne przesunięcie slotu tcc_ptr, co może prowadzić do nieprawidłowego wyrównania pamięci lub jej uszkodzenia. Poprawka przenosi sekwencje zapisu i przywracania rejestru arena poniżej slotów kontekstu licznika wywołań ogonowych oraz aktualizuje epilog.

W jądrze Linux dla architektury LoongArch stwierdzono przepełnienie tablicy acpi_package_ids[] w przypadku maszyn wirtualnych z wieloma gniazdami. Przy typowej konfiguracji jednego rdzenia na gniazdo, liczba gniazd może osiągnąć 256, co powoduje przepełnienie tablicy. Poprawka zwiększa rozmiar tablicy do maksymalnej wartości MAX_PACKAGES i KVM_MAX_VCPUS.

W jądrze Linux na architekturze LoongArch trampolina rethook zapisywała i przywracała rejestr bazowy percpu ($r21) w swojej ramce. Jeśli zadanie w trakcie działania handlera zostało przeniesione na inny CPU, przywracany był nieaktualny wskaźnik bazowy percpu, co powodowało błędne odwołania this_cpu_*() i uszkodzenie stanu schedulera oraz timera.

W jądrze Linux dla architektury LoongArch stwierdzono podatność związaną z obsługą przerwań (break 11) w kontekście Kprobes. Użytkownik może wywołać tę samą instrukcję break, co prowadzi do wywołania kprobe_singlestep_handler() bez aktywnego probe, powodując niedomiar licznika preempt (preempt count underflow). Może to skutkować błędnym przypisaniem gniazd do cgroup root, omijając polityki BPF.

W jądrze Linux naprawiono podatność w sterowniku media: airspy, polegającą na użyciu nieprawidłowej funkcji przy odłączaniu urządzenia. Funkcja airspy_disconnect() zerowała wskaźnik s->udev, podczas gdy airspy_stop_streaming() nadal odwoływała się do niego bez sprawdzenia, co prowadziło do dereferencji NULL. Zamieniono video_unregister_device() na vb2_video_unregister_device() i przeniesiono je przed wyzerowaniem s->udev.

W jądrze Linux występuje wyciek pamięci (kmemleak) w podsystemie media CEC. W wyniku wcześniejszej zmiany usunięto niejawne wywołanie rc_free_device() z rc_unregister_device(), ale pozostawiono przypisanie adap->rc = NULL, przez co funkcja rc_free_device() nigdy nie jest wywoływana dla zaalokowanego urządzenia rc. Problem ujawnia się m.in. przy odłączaniu sterownika dw-hdmi.

W jądrze Linux w podsystemie CEC stwierdzono problem z opóźnionym zadaniem (delayed work) podczas przerywanego przesyłania. Jeśli oczekiwanie na transmisję zostanie przerwane sygnałem, cancel_delayed_work_sync() może zostać wywołane przed uaktywnieniem pracy przez wątek CEC, co prowadzi do zwolnienia pamięci z wciąż oczekującą pracą. Poprawka używa disable_delayed_work_sync(), aby anulować i wyłączyć pracę, zapobiegając ponownemu jej uaktywnieniu.