Katalog podatności CVE

W jądrze Linux w podsystemie DRM/GUD brakuje gwarancji zakończenia znakiem NUL nazw trybów TV odczytywanych z urządzenia USB. Funkcja strlen() może czytać poza przydzielony bufor, co prowadzi do odczytu poza zakresem.

W jądrze Linux w podsystemie DRM wykryto wyciek pamięci obiektu drm_crtc_commit, gdy używany jest znacznik PAGE_FLIP_EVENT. Problem występuje, gdy zdarzenie jest alokowane w prepare_signaling() i zerowane w complete_signaling(), co uniemożliwia zwolnienie obiektu.

W jądrze Linux występuje błąd w module drm/ttm, gdzie po pomyślnym zakończeniu procesu przywracania (restore) w funkcji ttm_pool_restore_and_alloc() nie zwalniany jest wskaźnik tt->restore. Prowadzi to do tego, że kolejne operacje backup/restore widzą stan, jakby przywracanie już się zakończyło, podczas gdy uchwyty shmem pozostają zainstalowane w tt->pages, co powoduje ślad stosu i potencjalne uszkodzenie pamięci.

W jądrze Linux w podsystemie DRM/AMDGPU wykryto odczyt poza zakresem tablicy adev->isolation[] dla pierścieni nieprzypisanych do partycji. Indeks AMDGPU_XCP_NO_PARTITION (wartość ~0) powoduje dostęp poza tablicę, co wyzwala ostrzeżenia UBSAN.

W jądrze Linux w podsystemie DRM/AMDGPU brakuje wymuszenia zakończenia fence'ów pierścienia KIQ podczas resetu. Po resecie MODE1 pierwsze zgłoszenie KIQ może czekać w nieskończoność na wartość, która nie zostanie zapisana, co prowadzi do zawieszenia.

W jądrze Linux w podsystemie DRM/AMDGPU brakuje wymuszenia zakończenia fence'ów pierścienia MES podczas resetu. Po resecie pierwsze zgłoszenie MES może czekać w nieskończoność, co prowadzi do niepowodzenia wznowienia i zawieszenia systemu.

W jądrze Linux w podsystemie DRM/AMDKFD brakuje flush TLB po ewakuacji/zawieszeniu kolejek MES, co może prowadzić do wyścigu i błędów stron podczas migracji pamięci SVM.

W jądrze Linux w sterowniku drm/amdkfd naprawiono błąd ścieżki obsługi błędów w funkcji svm_migrate_copy_to_ram. Gdy migracja strony z urządzenia do pamięci systemowej się nie powiedzie, sterownik używał adresu DMA zamiast adresu fizycznego strony (pfn) do zwolnienia i odblokowania stron, co jest niepoprawne przy włączonym IOMMU. Poprawka zwalnia strony na podstawie struct page* i wykonuje dma_unmap dla odpowiednich stron.

W jądrze Linux występuje podatność typu NULL pointer dereference w funkcji pqm_debugfs_mqds sterownika drm/amdkfd. Odczyt pliku /sys/kernel/debug/kfd/mqds, gdy proces posiada aktywną kolejkę KFD, powoduje dereferencję niezainicjalizowanego wskaźnika mqd_mgr, ponieważ pętla wywołująca mqd_mgr->debugfs_show_mqd() znajduje się poza blokiem if (pqn->q). Prowadzi to do awarii jądra (oops) i odmowy usługi.

W jądrze Linux w sterowniku drm/amdkfd naprawiono przypadek, gdy zakres pamięci VM jest dziurą po stronie CPU podczas svm_migrate_copy_to_vram. Sterownik mimo to alokował strony urządzenia, a nie zainicjalizowana zmienna r mogła spowodować zwolnienie całego świeżo ustawionego VRAM. Poprawka inicjalizuje r i wywołuje ostatnią migrację tylko gdy j > 0.

W jądrze Linux w sterowniku drm/amdkfd brakowało zabezpieczenia przed NULL dla restore_mqd podczas przywracania kolejki CRIU. Użytkownik z uprawnieniem CAP_CHECKPOINT_RESTORE mógł wywołać KFD_IOC_CRIU_OP_RESTORE ze spreparowanym obiektem, powodując dereferencję NULL i panikę jądra. Poprawka dodaje sprawdzenie NULL i zwraca -EOPNOTSUPP.

W jądrze Linux w sterowniku drm/sysfb (ofdrm) naprawiono przepełnienie liczb całkowitych w obliczeniu rozmiaru bufora ramki fb_size = linebytes * height. Przy dużych wartościach (np. 46341 * 46341) mnożenie int * int powoduje niezdefiniowane zachowanie. Poprawka używa check_mul_overflow() do wykrywania i zapobiegania przepełnieniu.

W jądrze Linux naprawiono błąd w module drm/pagemap dotyczący funkcji drm_pagemap_migrate_populate_ram_pfn(). Podczas alokacji folio wyższego rzędu brakowało flagi __GFP_NOWARN i ścieżki awaryjnej, a w ścieżce błędu free_pages kolejność folio była obliczana po zwolnieniu referencji (put_page), co prowadziło do use-after-free. Dodatkowo poprawiono budowanie tablicy stron źródłowych, aby zapewnić pełne kopiowanie danych po degradacji do folio rzędu 0.

W jądrze Linux w sterowniku drm/nouveau/dmem naprawiono niedopasowany rozmiar DMA unmap dla dużych folio. Przy migracji THP mapowano bufory z page_size(), ale w dwóch miejscach (nouveau_dmem_migrate_to_ram i nouveau_dmem_migrate_copy_one) przekazywano PAGE_SIZE do dma_unmap_page(), co dla folio rzędu > 0 powodowało wyciek części mapowania IOMMU/IOVA. Poprawka używa zapisanego rozmiaru.

W jądrze Linux w sterowniku drm/nouveau funkcja nouveau_channel_del() najpierw niszczyła kontekst fence, a dopiero później anulowała subskrypcję zdarzenia channel-kill. Wąskie okno czasowe pozwalało na wywołanie nouveau_fence_context_kill() na już zwolnionym kontekście fence, co prowadziło do use-after-free. Poprawka anuluje subskrypcję przed zniszczeniem zależnych struktur.

W jądrze Linux w sterowniku drm/nouveau/uvmm naprawiono dereferencję NULL podczas wycofywania operacji OP_MAP_SPARSE. Gdy późniejsza operacja w tym samym zadaniu zawiedzie, pętla wycofywania wywołuje drm_gpuva_ops_free() na op->ops, które dla udanej operacji sparse map pozostaje NULL, powodując oops. Poprawka dodaje sprawdzenie IS_ERR_OR_NULL().

W jądrze Linux w sterowniku drm/nouveau/uvmm naprawiono przedwczesne zwolnienie regionu przy nieudanej operacji OP_UNMAP_SPARSE. Dwie ścieżki błędów pozostawiały op->reg ustawione, co prowadziło do usunięcia i zwolnienia regionu, którego zadanie nie utworzyło, powodując use-after-free. Poprawka czyści op->reg na obu ścieżkach błędów.

W jądrze Linux w sterowniku drm/nouveau/uvmm nieczyszczony jest znacznik dirty przy wycofywaniu operacji OP_UNMAP_SPARSE. Gdy późniejsza operacja w zadaniu zawiedzie, region pozostaje w drzewie ze znacznikiem dirty, a jego zakończenie nigdy nie jest sygnalizowane. Kolejne przypisania w tym zakresie trwale zawodzą przez błędy -ENOENT, -EINVAL lub nieprzerywalne oczekiwanie w bind_validate_region().

W jądrze Linux w funkcji bpf_get_stackid wywołanie get_perf_callchain wymaga wyłączonego wywłaszczania, podobnie jak dostęp do zwróconego bufora wpisów śledzenia. Funkcja bpf_get_stackid_pe jest już wykonywana z wyłączonym wywłaszczaniem. Brak wyłączenia wywłaszczania w bpf_get_stackid może prowadzić do problemów ze spójnością danych.

W jądrze Linux w rpcrdma_rn_register() obiekt @rn jest wstawiany do rd_xa przez xa_alloc() przed zapisaniem wskaźnika rn_done. Usunięcie urządzenia wyścigujące się z rejestracją może odczytać @rn z rn_done równym NULL i wywołać wskaźnik funkcji NULL. Poprawka zapisuje rn->rn_done przed xa_alloc() i czyści go przy niepowodzeniu alokacji.