Katalog podatności CVE

W jądrze Linux sterownik scsi qla2xxx w funkcji qla2x00_update_fru_versions() kopiuje żądanie BSG do bufora stosu o stałym rozmiarze 256 bajtów i iteruje list->count razy bez ograniczenia, co może prowadzić do odczytu poza buforem i wysłania danych z pamięci stosu do urządzenia.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla_nvme_ls_reject_iocb() brakuje blokady qpair podczas alokacji i wysyłania odrzucenia NVMe LS, co może prowadzić do współbieżnego dostępu i korupcji stanu pierścienia żądań, powodując duplikację lub utratę poleceń.

W sterowniku scsi: qla2xxx jądra Linux liczba kolejek wyliczana z liczby wektorów MSI-X (msix_count - 1) jest zapisywana do pola typu u8, co powoduje obcięcie wartości. Przy 257 wektorach MSI-X wynik 256 obcina się do 0, a w trybie target kolejna dekrementacja powoduje niedomknięcie do 255. Gdy liczba kolejek wynosi 0, alokacja zwraca ZERO_SIZE_PTR, który nie jest NULL-em, więc sprawdzenie przechodzi i dochodzi do wyłuskania tego wskaźnika, co psuje pamięć lub powoduje awarię jądra.

W sterowniku scsi: qla2xxx jądra Linux operacja resetu przez sysfs "update cache versions without reset" (0x20261) wywołuje get_flash_version(), która odczytuje rejestry flash sprzętu, bez trzymania muteksu ha->optrom_mutex. Ścieżka aktualizacji VPD serializuje to samo wywołanie pod optrom_mutex, więc ścieżka resetu może przeplatać dostępy do rejestrów flash z równoległą operacją VPD lub optrom i uszkodzić odczyty.

W sterowniku scsi: qla2xxx jądra Linux funkcja qla84xx_put_chip() zwalnia ostatnie odwołanie do ha->cs84xx i uwalnia je przez __qla84xx_chip_release() bez wyczyszczenia ha->cs84xx. Podczas rozbierania urządzenia działała ona przed scsi_remove_host(), która usuwa atrybut sysfs 84xx_fw_version. Równoległy odczyt tego atrybutu w oknie między tymi wywołaniami wywołuje qla24xx_84xx_fw_version_show(), która wyłuskuje zwolniony ha->cs84xx, powodując use-after-free.

W sterowniku scsi: qla2xxx jądra Linux funkcja qla2x00_free_fce_trace() zwalniała i czyściła ha->fce trzymając tylko fce_mutex. Konsumenci zrzutu firmware qla27xx_fwdt_entry_t264() i qla25xx_copy_fce() odczytują ha->fce (sprawdzenie NULL, a następnie kopiowanie bufora) pod hardware_lock i nigdy nie biorą fce_mutex. Wyłączenie FCE przez debugfs mogło więc zwolnić bufor DMA między sprawdzeniem NULL a kopiowaniem, powodując use-after-free.

W sterowniku scsi: qla2xxx jądra Linux struktura mbx_cmd_t jest alokowana na stosie, ale pozostaje niezainicjalizowana. qla2x00_mailbox_command() ma kilka ścieżek wczesnego powrotu (trwała awaria PCI, awaria urządzenia, zajętość EEH, oczekujący abort ISP, przekroczenie czasu dostępu do skrzynki pocztowej, purge mbox), które wracają bez zapisania rejestrów wejściowych skrzynki do mcp->mb[]. qla2x00_get_firmware_state() następnie bezwarunkowo kopiuje mcp->mb[1..6] (oraz mb[12]) do tablicy states[] wywołującego, niezależnie od wartości zwracanej.

W sterowniku scsi: qla2xxx jądra Linux funkcja qla2x00_dfs_fce_write() wywoływała kstrtoul() z wskaźnikiem wyniku ustawionym na NULL, więc udane parsowanie powodowało wyłuskanie NULL i oops. Co gorsza, wartość zwracana typu int (0 przy sukcesie, ujemny errno przy błędzie) była przypisywana do flagi enable typu unsigned long, odwracając zamierzoną logikę: prawidłowa liczba była traktowana jako "wyłącz", a błąd parsowania włączał FCE.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_fw_state_show() mimo wykrycia, że układ jest wyłączony lub EEH jest zajęte, ponownie wysyłała polecenie mailbox qla2x00_get_firmware_state() poza blokadą optrom_mutex. Mogło to zawiesić adapter podczas resetu ISP lub odzyskiwania po błędzie PCI.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() przepuszczała nie-SCSI wpisy SRB do szybkiej ścieżki SCSI, gdzie odczytywany był wskaźnik sp->u.scmd.cmd. Nieoczekiwany STATUS_TYPE IOCB dla uchwytu innego niż SCSI mógł spowodować odczyt wskaźnika śmieciowego i dereferencję dzikiego wskaźnika.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2xxx_delete_qpair() usuwała kolejkę żądań przed kolejką odpowiedzi, pozostawiając okno, w którym przerwanie MSI-X odpowiedzi mogło odwołać się do zwolnionej pamięci rsp->req. Prowadzi to do use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_async_iocb_timeout() mogła wywołać sp->done() dwukrotnie, gdy przerwanie odpowiedzi ukończyło ten sam uchwyt przed obsługą timeoutu. Prowadziło to do zapisu do zwolnionej ramki stosu (use-after-free).

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() nie ograniczała wartości rsp_info_len pochodzącej z odpowiedzi FCP celu, co przy złośliwym lub błędnym celu powodowało niedomiar par_sense_len i odczyt poza zakresem danych sense. Mogło to ujawnić sąsiednią pamięć sterty do bufora sense.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_error_entry() odczytywała ha->req_q_map[que] dwukrotnie, co przy równoczesnym wyzerowaniu slotu przez qla25xx_free_req_que() mogło spowodować dereferencję wskaźnika NULL.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla24xx_report_id_acquisition() w ścieżce format-1 wywoływała qla_update_host_map() bez blokady vport_slock, co mogło powodować wyścig z równoległymi aktualizacjami host_map i uszkodzenie drzewa btree.

W jądrze Linux w sterowniku scsi: qla2xxx kilka procedur obsługi bsg używało niezainicjalizowanego bufora stosu o rozmiarze 256 bajtów, a następnie kopiowało całą strukturę do odpowiedzi, ujawniając dane ze stosu. Dotyczyło to m.in. qla2x00_read_fru_status() i qla2x00_read_i2c().

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla_nvme_xmt_ls_rsp() bezwarunkowo wywoływała qla_nvme_ls_reject_iocb() nawet gdy firmware nie był uruchomiony, powodując zapis doorbell i kolejkę IOCB, których zatrzymany firmware nie mógł obsłużyć, oraz dostęp MMIO w oknie resetu/EEH.

W jądrze Linux w systemie plików f2fs funkcja redirty_blocks() mogła wykonać dodatkową iterację pętli czyszczącej, gdy read_cache_folio() zawiodło przed przypięciem jakichkolwiek folio, powodując zbyt wczesne zwolnienie referencji (folio_put_refs z 2). Prowadziło to do błędu "BUG: Bad page state" przy późniejszym drop_caches lub reclaim.

W jądrze Linux w f2fs funkcja F2FS_IOC_MOVE_RANGE sprawdza zakres źródłowy, ale nie sprawdza końca zakresu docelowego przed aktualizacją i_size. Dziura w źródle może to ujawnić, ponieważ __clone_blkaddrs() pomija wpisy NULL_ADDR i zwraca sukces, pozwalając na rozszerzenie i-węzła docelowego bez sprawdzenia pos_out + len.

W jądrze Linux w f2fs funkcja f2fs_xattr_advise_set() wywołuje inode_owner_or_capable() z &nop_mnt_idmap zamiast idmap przekazanego przez VFS do handlera ->set(). Na montowaniach z idmap powoduje to sprawdzanie fsuid wywołującego względem niezmapowanego właściciela na dysku.