Katalog podatności CVE

W jądrze Linux funkcja fwnode_for_each_child_node() może wejść w nieskończoną pętlę, gdy iteruje po dzieciach fwnode posiadającego drugorzędny fwnode z więcej niż jednym dzieckiem. Powoduje to wielokrotne zwracanie tych samych węzłów zamiast zakończenia iteracji.

W jądrze Linux funkcja nsm_sendrecv_msg_locked() zapisuje długość raportowaną przez urządzenie NSM bez ograniczenia jej do rozmiaru bufora odpowiedzi. Złośliwe lub błędne urządzenie może zgłosić zbyt dużą długość, co prowadzi do odczytu poza zakresem bufora i ujawnienia sąsiedniej pamięci sterty jądra.

W jądrze Linux funkcja dma_req_free() w RapidIO mport_cdev zwalnia referencję do mapowania przez kref_put(), a następnie ponownie używa wskaźnika req->map do odblokowania mutexa. Jeśli kref_put() zwolni ostatnią referencję, obiekt zostaje zwolniony i następuje użycie po zwolnieniu (use-after-free).

W jądrze Linux wycofano wcześniejszą poprawkę obsługi błędów w __video_register_device(), ponieważ powodowała podwójne zwolnienie pamięci. Interfejs V4L2 wymaga wywołania video_device_release() po niepowodzeniu rejestracji, ale put_device() już zwalniał strukturę.

W jądrze Linux sterownik serial: imx publikuje port w tablicy imx_uart_ports[] przed uart_add_one_port(), a wpis nie jest czyszczony przy niepowodzeniu dodania lub po usunięciu. Powstaje wiszący wskaźnik, przez który sąsiedni probe może zarejestrować współdzieloną konsolę.

W jądrze Linux występuje podatność use-after-free w sterowniku USB dwc3 (tryb gadget). Funkcja dwc3_gadget_free_endpoints zwalnia pamięć struktury dep, podczas gdy zakolejkowana praca opóźniona nostream_work może nadal być w trakcie wykonywania i odwoływać się do zwolnionej pamięci. Problem rozwiązano poprzez anulowanie pracy opóźnionej przed zwolnieniem pamięci.

W jądrze Linux w sterowniku USB gadget at91_udc, w trybie odpytywanego VBUS, timer i powiązany work item nie były zatrzymywane przed zwolnieniem struktury udc. Prowadziło to do użycia zwolnionej pamięci (use-after-free) podczas normalnego odłączenia sterownika lub błędu probe.

W jądrze Linux funkcja tbt_altmode_remove() zwalnia referencje plug i cable bez wstrzymania tbt->work. Funkcja robocza używa tych referencji i może się ponownie zakolejkować, a callbacki VDM mogą kolejkować ten sam element pracy.

W jądrze Linux w funkcji g_audio_cleanup() sterownika USB gadget u_audio występuje use-after-free. Funkcja snd_card_free_when_closed() zwraca asynchronicznie, a struktura snd_uac_chip jest zwalniana natychmiast, podczas gdy uchwyty ALSA (kctls) pozostają otwarte w przestrzeni użytkownika. Dostęp do tych uchwytów powoduje dereferencję zwolnionej pamięci.

W jądrze Linux w sterowniku USB gadget midi2 funkcja f_midi2_alloc_inst() tworzy domyślne grupy configfs, ale podczas demontażu funkcji lub czyszczenia EP nie jest wywoływane configfs_remove_default_groups(). Prowadzi to do wycieku pamięci struktur f_midi2_ep_opts i f_midi2_block_opts.

W jądrze Linux w sterowniku USB gadget uvc funkcja uvcg_video_init() przy niepowodzeniu kthread_run_worker() loguje błąd używając wskaźnika video->uvc, który nie jest jeszcze przypisany. Powoduje to dereferencję null pointera.

W jądrze Linux w sterowniku USB gadget uvc funkcje uvc_function_bind() i uvc_function_unbind() pozostawiają wiszące wskaźniki uvc->control_req i uvc->control_buf po zwolnieniu. Prowadzi to do use-after-free.

W jądrze Linux w funkcji ffs_ep0_read() interfejsu USB gadget FunctionFS występował zakleszczenie (deadlock). Funkcja zasypiała z trzymanym muteksem ffs->mutex, co przy jednoczesnym demontażu gadżetu przez configfs (np. echo "" > UDC) i pętli read() demona przestrzeni użytkownika prowadziło do trwałego zakleszczenia. Poprawka zwalnia muteks przed snem i używa wait_event_interruptible_exclusive().

W jądrze Linux funkcja cxl_rch_get_aer_info() odczytuje rejestry AER poza mapowanym blokiem, ponieważ sizeof(struct aer_capability_regs) jest większy niż fizyczny rozmiar możliwości AER. Nadmiarowy odczyt może dodatkowo spowodować drugi out-of-bounds w pcie_print_tlp_log().

W jądrze Linux w sterowniku fpga altera-cvp funkcja altera_cvp_send_block() dereferencjonuje wskaźnik u32 nawet gdy w buforze pozostaje tylko 1-3 bajty. Może to spowodować odczyt poza zakresem, jeśli bufor kończy się na granicy strony lub scatterlist.

W jądrze Linux w sterowniku HID sensor-hub funkcja sensor_hub_get_feature() ogranicza wartość zwracaną, ale pętla kopiowania nadal kopiuje field->report_size / 8 bajtów na wartość. Złośliwy deskryptor HID może spowodować out-of-bounds write, gdy wywołujący IIO dostarczy mały bufor.

W jądrze Linux w sterowniku i3c renesas funkcja obliczająca maskę nowo wykrytych urządzeń nie uwzględnia przypadku pustej magistrali. Gdy magistrala jest pusta, pole długości danych zawiera maksymalną liczbę urządzeń (8), co prowadzi do dostępu poza zakresem.

W jądrze Linux w KVM arm64 GICv2 funkcja vgic_v2_deactivate() przekazuje INTID zapisany przez gościa do GICV_DIR bezpośrednio do vgic_get_vcpu_irq() i traktuje nieudane wyszukanie jako niemożliwe, wywołując WARN_ON_ONCE(). Gość może to wywołać dowolnie, powodując panikę hosta z panic_on_warn.

W jądrze Linux funkcja ucs2_strnlen() w lib/ucs2_string.c sprawdza bieżący znak przed sprawdzeniem, czy osiągnięto maksymalną długość podaną przez wywołującego. Jeśli dane wejściowe nie są zakończone znakiem NUL w tym zakresie, pętla może odczytać jeden element ucs2_char_t poza limitem, powodując odczyt poza granicami bufora o jeden bajt.

W jądrze Linux sterownik media: cec: stm32 w funkcji stm32_rx_done() dopisuje każdy odebrany bajt CEC do rx_msg.msg[] używając rx_msg.len jako indeksu, bez sprawdzania go względem rozmiaru bufora. Bufor rx_msg.msg[] ma stały rozmiar CEC_MAX_MSG_SIZE (16) bajtów, a liczba bajtów przed RXEND jest kontrolowana przez zdalne urządzenie CEC, co pozwala na zapis poza granicami bufora.