Katalog podatności CVE

W jądrze Linux w module ksmbd funkcja ksmbd_reopen_durable_fd() podczas ponownego łączenia trwałego uchwytu (durable handle) przypisywała do nowej sesji wszystkie odłączone oplocki na danym i-nowęźle, a nie tylko ten należący do ponownie otwieranego pliku. Prowadziło to do sytuacji, w której jedna sesja przejmowała oplock innej sesji, a po zniszczeniu sesji przejmującej następowało użycie zwolnionej pamięci (use-after-free). Podatność występuje przy domyślnej konfiguracji udziału z obsługą durable handle i oplock, gdy dwie sesje otwierają ten sam plik z różnymi AppInstanceIds.

W kliencie SMB jądra Linux w funkcji symlink_data() makro ALIGN() może przepełnić się dla wartości ErrorDataLength bliskiej UINT32_MAX (np. 0xFFFFFFF9), zawijając się do 0. Powoduje to, że kontrola granic przechodzi, a pętla przesuwa się o zero bajtów, pozostawiając wskaźnik 'p' wskazujący na nieaktualne dane.

W kliencie SMB jądra Linux funkcja coalesce_t2() oblicza wskaźniki danych bezpośrednio z pól DataOffset dostarczonych przez serwer, bez walidacji względem granic bufora. Mały DataOffset może przesunąć wskaźnik przed obszar danych i nadpisać pola nagłówka, a duży może wyjść poza bufor, powodując odczyt lub zapis poza zakresem sterty.

W kliencie SMB jądra Linux funkcja reparse_buf_ptr() odczytuje pole ReparseDataLength z bufora przed sprawdzeniem, czy odebrane dane obejmują pełny nagłówek struktury. Gdy serwer zwróci OutputCount < 6, odczyt pod offsetem 4-5 wykracza poza koniec odebranych danych.

W kliencie SMB jądra Linux funkcja CIFSTCon() ogranicza strnlen() przez ByteCount minus dwa, co dla ByteCount 0 lub 1 daje wartość ujemną jako int i konwertuje się na ogromny size_t. Późniejsze odejmowanie zawija __u16 bytes_left, co pozwala cifs_strndup_from_utf16() odczytać do 65535 bajtów z obiektu o rozmiarze ~16 KB, ujawniając dane przez /proc/fs/cifs/DebugData.

W kliencie SMB jądra Linux funkcja is_valid_oplock_break() przestała skutecznie sprawdzać pole DataOffset. W wyniku wcześniejszej zmiany w obsłudze nagłówka RFC1002 wyrażenie używane do walidacji zawsze daje zero, przez co sprawdzenie nigdy nie odrzuca nieprawidłowych wartości.

W sterowniku HID corsair-void brakowało sprawdzania rozmiaru przychodzących zdarzeń statusu i aktualizacji firmware. Zniekształcone zdarzenia mogły powodować odczyt poza granicami bufora.

W sterowniku HID picolcd funkcja picolcd_debug_eeprom_read() ufała bajtowi długości dostarczonemu przez urządzenie, nie sprawdzając ile danych faktycznie odebrano. Urządzenie zwracające długość 0xff mogło spowodować odczyt poza buforem i ujawnienie sąsiedniej pamięci przez plik debugfs.

W sterowniku HID roccat funkcja roccat_report_event() kopiuje raporty do bufora cyklicznego, ale ścieżki niszczenia urządzenia nie zwalniały tych kopii. Powodowało to wyciek pamięci przy każdym usunięciu urządzenia.

W sterowniku HID sensor custom funkcja hid_sensor_custom_add_attributes() nie usuwała wcześniej utworzonych grup sysfs, gdy kolejne wywołanie sysfs_create_group() zakończyło się błędem. Prowadziło to do pozostawienia nieprawidłowych struktur i potencjalnego dostępu do zwolnionej pamięci.

W jądrze Linux występuje luka use-after-free w sterowniku HID: sony, dotycząca odbiorników GHL (Guitar Hero Live). Podczas odłączania lub usuwania modułu sterownika funkcja sony_remove() używa timer_delete_sync(), które nie blokuje ponownego uzbrojenia timera, a usb_free_urb() nie anuluje URB będącego w locie. W efekcie timer ghl_poke_timer może zostać ponownie uzbrojony na zwolnionej pamięci i uruchomić się po zwolnieniu struktury sc.

W jądrze Linux w funkcji universal_pidff_probe() sterownika HID universal-pidff urządzenie jest uruchamiane przez hid_hw_start(), ale w przypadku niepowodzenia inicjalizacji force-feedback błąd jest zwracany bez zatrzymania urządzenia. Powoduje to, że zarejestrowane urządzenie hidraw pozostaje aktywne mimo zwolnienia sterownika, co prowadzi do zapisu do zwolnionej pamięci (use-after-free) przy próbie otwarcia /dev/hidrawX.

W sterowniku HID mcp2221 funkcja czyszcząca mcp2221_hid_unregister() nie zatrzymywała wejścia/wyjścia urządzenia przed rozpoczęciem demontażu sprzętu. Przychodzące raporty HID mogły wyścignąć się z niszczeniem urządzenia, prowadząc do użycia po zwolnieniu pamięci.

W sterowniku HID mcp2221 funkcja mcp_i2c_smbus_read() przechowywała wskaźnik bufora w mcp->rxbuf, ale nie czyściła go po zakończeniu transferu. Opóźniony lub fałszywy raport MCP2221_I2C_GET_DATA mógł zapisywać dane do zwolnionej pamięci.

W sterowniku HID mcp2221 funkcja mcp2221_raw_event() nie sprawdzała rozmiaru przychodzących raportów HID. W ścieżce MCP2221_I2C_GET_DATA ufała bajtowi data[3] jako długości kopiowania, co mogło prowadzić do odczytu poza buforem raportu.

W jądrze Linux sterownik HID intel-quickspi nie sprawdza rozmiaru raportu przed skopiowaniem go do bufora report_buf. Bufor jest alokowany na podstawie deskryptora urządzenia (max_report_len), ale długość raportu pochodzącego z ioctl hidraw nie jest ograniczana, co pozwala na przepełnienie bufora sterownika danymi kontrolowanymi przez atakującego.

W jądrze Linux funkcja quickspi_get_report() w sterowniku HID intel-quickspi kopiuje całą odpowiedź urządzenia do bufora wywołującego bez sprawdzenia jego długości. Odpowiedź większa niż rozmiar bufora wywołującego powoduje przepełnienie danymi kontrolowanymi przez urządzenie.

W jądrze Linux funkcja init_ei() w eventfs nie inicjalizuje list_headów eventfs_inode. Gdy eventfs_create_dir() zawiedzie z powodu braku pamięci, free_ei() sprawdza listę dzieci, która nie została zainicjalizowana, co powoduje fałszywe ostrzeżenie.

W jądrze Linux sterownik fs/ntfs3 nie waliduje tablicy dirty page table podczas odtwarzania dziennika. Podrobiony wpis DIR_PAGE_ENTRY z nieprawidłowym polem lcns_follow pozwala na wyjście poza wpis podczas konwersji v0->v1 i późniejszego odtwarzania.

W jądrze Linux funkcja ni_read_frame() w fs/ntfs3 ufa wartości zwracanej przez decompress_lznt(), która może być mniejsza niż rozmiar ramki. Niezapisane bajty pozostają w stronach vmapped i są zwracane do użytkownika, ujawniając niezainicjalizowaną pamięć jądra.