Katalog podatności CVE

W jądrze Linux w funkcji ext4_search_dir() wykryto błąd polegający na tym, że sprawdzenie granic wpisu katalogu nie uwzględnia 8-bajtowego znacznika hasha (EXT4_DIRENT_HASHES) używanego w katalogach szyfrowanych z obsługą casefold. Złośliwie spreparowany wpis katalogu, którego nazwa kończy się dokładnie na granicy bloku, przechodzi weryfikację, a następnie ext4_match() odczytuje dane poza blokiem, co prowadzi do błędu use-after-free.

W jądrze Linux w funkcji ext4_read_inline_dir() występuje odczyt poza zakresem (out-of-bounds read). Iteracja po katalogu używa większego rozmiaru extra_size niż faktyczny bufor inline_size, co pozwala na odczyt nagłówka dirent poza końcem bufora, co może prowadzić do wycieku informacji lub awarii.

W jądrze Linux w systemie plików NTFS3 funkcje ntfs_reparse_init() i ntfs_objid_init() odczytują pola typu i reguły z atrybutu INDEX_ROOT bez sprawdzenia, czy atrybut rezydentny jest wystarczająco duży. Może to prowadzić do odczytu poza zakresem podczas montowania spreparowanego obrazu.

W jądrze Linux funkcje rpcb_register_inet4() i rpcb_register_inet6() w module SUNRPC zapisują wynik rpc_sockaddr2uaddr() do map->r_addr bez sprawdzenia, czy nie jest NULL. Gdy alokacja pamięci (kstrdup) zawiedzie, niezaznaczony NULL trafia do ścieżki kodowania RPCBPROC_SET, gdzie funkcja strlen() dereferencjonuje NULL, powodując awarię jądra (oops).

W jądrze Linux w funkcji xfrm6_input_addr() występuje zapis poza zakresem (out-of-bounds write) z powodu błędnego sprawdzenia głębokości. Gdy sp->len osiągnie XFRM_MAX_DEPTH, zapis do sp->xvec[sp->len++] wykracza poza tablicę, co może prowadzić do awarii systemu.

W jądrze Linux w module fs/ntfs3 wykryto podatność polegającą na braku walidacji rozmiaru tablicy restartu podczas odtwarzania $LogFile. Podczas montowania spreparowanego obrazu NTFS liczba wpisów przekraczająca U16_MAX jest obcinana, co prowadzi do alokacji zbyt małej tablicy i dostępu poza jej granicami (out-of-bounds).

W jądrze Linux w systemie plików NTFS3 funkcja read_log_rec_buf() odczytuje poza zakresem z powodu nieprawidłowej wartości log->record_header_len pochodzącej z dysku. Może to prowadzić do odczytu pamięci poza buforem podczas montowania spreparowanego obrazu NTFS.

W jądrze Linux w sterowniku Qualcomm RMNet wykryto podatność polegającą na braku przypisania skb->dev do ramek po deagregacji. Prowadzi to do wywołania netif_tx_lock() na wskaźniku NULL, co powoduje awarię jądra (kernel panic) i może być wykorzystane przez nieuprzywilejowanego użytkownika.

W jądrze Linux w fs/ntfs3 funkcja ntfs_read_ea() nie sprawdza, czy pole ef->size rekordu EA jest wystarczająco duże, aby pomieścić nazwę i wartość rekordu. Złośliwy obraz NTFS może ustawić małe ef->size przy dużym elength, co powoduje odczyt poza zaalokowanym buforem i wyciek pamięci jądra do przestrzeni użytkownika przez getxattr().

W jądrze Linux wykryto podatność w systemie plików ISOFS dotyczącą kompresji zisofs. Funkcja zisofs_uncompress_block() w przypadku pustego bloku zwraca nieprawidłową liczbę bajtów, ignorując przesunięcie poffset, co prowadzi do odczytu poza granicami tablicy stron podczas obsługi plików skompresowanych na obrazach ISO9660. Specjalnie spreparowany rekord Rock Ridge "ZF" może wywołać ten błąd podczas zwykłego odczytu pliku.

W jądrze Linux w podsystemie vfio/pci funkcja vfio_msi_cap_len() przy błędzie inicjalizacji zwalniała pamięć vdev->msi_perm, ale nie zerowała wskaźnika. Prowadziło to do użycia zwolnionej pamięci (use-after-free) przy kolejnym otwarciu urządzenia oraz do podwójnego zwolnienia (double free) przy jego zamykaniu, co może skutkować paniką jądra.

W jądrze Linux w module vxlan (vnifilter) polityka atrybutów GROUP/GROUP6 dopuszcza ładunki krótsze niż rozmiar adresu, ponieważ używa NLA_BINARY z samym maksymalnym rozmiarem. Konsument odczytuje atrybut bezwarunkowo jako 4 bajty, co powoduje odczyt do 3 bajtów niezainicjalizowanej pamięci i wyciek danych jądra przez RTM_GETTUNNEL.

W jądrze Linux w KVM dla architektury arm64 funkcja pgshift_level_to_ttl() nie obsługuje ujemnych poziomów (np. -127 oznaczającego wyłączony MMU S1), przez co błędnie wylicza rozmiar unieważnienia TLB jako 0. Poprawka obsługuje ujemne poziomy i sprawia, że ttl_to_size() zwraca SZ_1G, gdy brak prawidłowego TTL.

W jądrze Linux w podsystemie Bluetooth SCO funkcja sco_conn_ready() odwołuje się do wskaźnika sk bez trzymania conn->lock lub referencji, co w połączeniu z równoległym zamknięciem gniazda prowadzi do use-after-free. Poprawka utrzymuje referencję do sk i ponownie sprawdza ważność gniazda po lock_sock().

W ZenHive mpp przed wersją 0.16.2, użycie pamięci podręcznej zawierającej wrażliwe informacje pozwala współdzielonej pamięci podręcznej HTTP przechowywać płatną odpowiedź i serwować ją klientom, którzy nie zapłacili. MPP.Plug.verify_credential ustawia nagłówki payment-receipt i cache-control: private, ale aplikacja montująca może je nadpisać, np. ustawiając cache-control: public, co pozwala CDN lub reverse proxy na przechowywanie płatnej odpowiedzi i serwowanie jej niepłacącym klientom. Dodatkowo, nie-2xx odpowiedzi mogą nadal zawierać Payment-Receipt.

W ZenHive mpp przed wersją 0.16.2, nieprawidłowa walidacja równoważności w danych wejściowych pozwala nieuwierzytelnionemu zdalnemu klientowi przejść bramę duplikatów Tempo dwukrotnie z jednym podpisanym transakcją. MPP.Methods.Tempo rezerwuje slot deduplikacji na podstawie hex dostarczonego przez wywołującego, a nie kanonicznej formy transakcji, co pozwala na dwa różne klucze rezerwacji dla tej samej transakcji (np. v=27 i v=0). W rezultacie oba przechodzą rezerwację i trafiają do ścieżki broadcast, a węzeł może zwrócić drugi ważny Payment-Receipt za jedną płatność on-chain.

W providerze Apache Airflow Akeyless backend sekretów można obejść zabezpieczenie zakresu zespołu za pomocą klucza kontrolowanego przez użytkownika. Autor DAG przypisany do jednego zespołu może podać klucz zmiennej zawierający separator ścieżki, co powoduje odczyt sekretu należącego do innego zespołu.

W providerze Apache Airflow FAB zmiana hasła użytkownika przez endpoint PATCH edycji użytkownika w panelu administracyjnym nie unieważnia istniejących sesji tego użytkownika w bazie danych. Atakujący posiadający kopię ciasteczka sesji zachowuje pełny dostęp po zmianie hasła.

W Ash przed wersją 3.33.4, polityki pól (field_policies) mają chronić przed ujawnianiem informacji przez filtry, ale nilling (zastępowanie wartością nil) był stosowany tylko do atrybutów, nie do obliczeń (calculations) ani agregatów (aggregates). Użytkownik może odwołać się w filtrze do obliczenia lub agregatu, którego nie może zobaczyć, i użyć filtra jako wyroczni do odczytania chronionej wartości (np. filter(secret_calc == "x")).

NLnet Labs Unbound do wersji 1.26.0 jest podatny na ataki typu algorithmic complexity (znane jako 'ReTrap'), które powodują degradację usługi. Ataki obejmują TagTrap (duża liczba niedopasowanych rekordów DNSKEY, RRSIG, DS), DelegationTrap (kosztowna iteracyjna walidacja dla głęboko zagnieżdżonych domen), NsecTrap (nadmiarowe nieprawidłowe rekordy NSEC) oraz AdditionalTrap (domyślna walidacja sekcji ADDITIONAL).