Katalog podatności CVE

W jądrze Linux wykryto podatność w module netfilter ctnetlink, polegającą na braku weryfikacji pomocnika (helper) dla nowych oczekiwań (expectations). Atakujący może podać dowolny pomocnik przez przestrzeń użytkownika, co prowadzi do odczytu poza zakresem bufora (slab-out-of-bounds) i potencjalnego wycieku pamięci jądra.

W jądrze Linux występuje podatność typu use-after-free w funkcji sco_sock_connect() (Bluetooth SCO). Brak blokady gniazda podczas sprawdzania stanu i typu gniazda pozwala dwóm równoczesnym wywołaniom connect() na tym samym gnieździe przejść weryfikację i doprowadzić do podwójnego zwolnienia gniazda oraz użycia zwolnionej pamięci.

W jądrze Linux w module Bluetooth MGMT podczas ładowania Long Term Keys zapisywany jest dostarczony przez użytkownika parametr enc_size, używany później do rozmiarowania operacji na stosie przy odpowiedziach na żądania LE LTK. Wartość enc_size większa niż 16-bajtowy bufor klucza może przepełnić bufor stosu odpowiedzi. Poprawka odrzuca zbyt duże wartości enc_size podczas walidacji rekordu LTK.

W jądrze systemu Linux zidentyfikowano podatność, która została naprawiona. Dotyczy ona potencjalnego użycia po zwolnieniu (UAF) w funkcji set_cig_params_sync związanej z połączeniami Bluetooth.

W podsystemie Bluetooth jądra Linux funkcja hci_le_remote_conn_param_req_evt() wyszukuje i używa struktury hci_conn bez ochrony zamkiem hdev, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka rozszerza sekcję krytyczną hci_dev_lock na całe użycie połączenia.

W jądrze Linux występuje podatność use-after-free w funkcji sk_psock_verdict_data_ready() w podsystemie BPF sockmap. Po wywołaniu przez unix_stream_sendmsg() wskaźnik sk->sk_socket gniazda AF_UNIX może zostać zwolniony po okresie karencji RCU, zanim zostanie użyty, co prowadzi do odczytu zwolnionej pamięci.

W jądrze Linux wykryto podatność w weryfikatorze BPF, związaną z nieprawidłowym przycinaniem ścieżek podczas śledzenia precyzji dla atomowych operacji pobierania (BPF_ATOMIC z BPF_FETCH). Logika cofania się nie uwzględniała, że rejestr źródłowy jest jednocześnie rejestrem docelowym, co prowadziło do nieoznaczenia precyzji na stosie. W efekcie weryfikator mógł błędnie uznać dwa różne stany za równoważne i przyciąć jedną z gałęzi, co może prowadzić do niebezpiecznych optymalizacji.

W jądrze Linuxa zidentyfikowano podatność, która pozwala na importowanie bufora o zerowej długości, co prowadzi do odczytu pamięci poza przydzielonym obszarem. Problem ten występuje w funkcji validate_fixed_range(), gdzie brak odpowiedniego sprawdzenia długości bufora skutkuje błędnym obliczeniem offsetu.

W jądrze Linuxa naprawiono podatność związaną z dostępem do tablicy w module hwmon dla układu tps53679. Problem występował, gdy funkcja i2c_smbus_read_block_data() zwracała 0, co prowadziło do odczytu spoza bufora na stosie.

W bibliotece Open CASCADE Technology (OCCT) V8_0_0_rc5 odkryto problem w parserze VRML V2.0, który pozwala atakującym na wywołanie odmowy usługi poprzez spreparowany plik VRML. Problem występuje z powodu błędnego wejścia VRML, które może spowodować dereferencję uszkodzonego lub niezweryfikowanego wskaźnika podczas konstrukcji kształtu.

W podatności CVE-2026-42477 występuje błąd odczytu poza granicami pamięci w funkcji RWObj_Reader::read w parserze plików OBJ w Open CASCADE Technology (OCCT) V8_0_0_rc5. Atakujący może wykorzystać tę lukę, nakłaniając ofiarę do otwarcia spreparowanego pliku OBJ, co może prowadzić do odmowy usługi lub ujawnienia wrażliwych informacji.

W Open CASCADE Technology (OCCT) V8_0_0_rc5 występują dwie podatności typu heap-based out-of-bounds read w parserze plików STL ASCII. Problemy te wynikają z braku odpowiedniej walidacji długości buforów przed dostępem do danych, co może prowadzić do odmowy usługi lub ujawnienia informacji.

W jądrze Linuxa naprawiono podatność związaną z operacją container_of w funkcji intel_pmu_hw_config. Problem mógł prowadzić do odczytów pamięci poza przydzielonym zakresem w przypadku wystąpienia zdarzeń programowych w grupie zdarzeń.

W sterowniku wifi iwlwifi (mvm) jądra Linux funkcja iwl_mvm_nd_match_info_handler() używa memcpy zakładając, że dynamiczna tablica notif->matches jest co najmniej tak duża jak liczba kopiowanych bajtów. Brak wystarczającej walidacji długości pakietu może prowadzić do odczytu poza zakresem i umieszczenia niechcianych danych w results->matches.

W jądrze Linux w sterowniku ALSA caiaq w funkcji init_card występuje błąd off-by-one podczas kopiowania krótkiej nazwy karty bez spacji. Warunek len < sizeof(card->id) pozwala zapisać 16 znaków bez bajtu null, przez co późniejsze snd_card_set_id() odczytuje poza bufor stosu. Wywołuje to błąd KASAN stack-out-of-bounds przy urządzeniu USB z nazwą produktu zawierającą wiele znaków wielobajtowych.

W jądrze Linux w sterowniku ALSA ctxfi funkcja daio_device_index() nie obsługuje poprawnie typu SPDIF1 DAIO dla hw20k2 i zwraca -EINVAL, co prowadzi do dostępu poza granice tablicy. Poprawka wzoruje się na hw20k1 i zwraca właściwy indeks dla tego typu.

W jądrze Linux w funkcji io_bundle_nbufs() interfejsu io_uring/net występuje odczyt poza granicami bufora (slab-out-of-bounds). Wartość sqe->len typu __u32 jest zapisywana do pola sr->len typu int, więc wartości przekraczające INT_MAX (np. 0xFFFFFFFF) przepełniają się do liczby ujemnej, co prowadzi do nieskończonej pętli i odczytu poza zaalokowaną tablicą iov[]. Problem został rozwiązany poprzez odrzucanie ujemnych wartości sr->len w io_sendmsg_prep() i io_recvmsg_prep().

W jądrze Linux ścieżka legacy respondera w smp_random() oznaczała klucz STK jako uwierzytelniony zawsze, gdy pending_sec_level wynosiło BT_SECURITY_HIGH, niezależnie od faktycznego wyniku parowania. Dla parowania Just Works/Confirm STK powinien pozostać nieuwierzytelniony, dlatego poprawka używa stanu MITM przy zapisie klucza respondera.

Funkcja hci_le_big_create_sync() w jądrze Linux używa DEFINE_FLEX z miejscem na 17 wpisów BIS, podczas gdy conn->num_bis może wynosić do 31 (HCI_MAX_ISO_BIS). Gdy liczba BIS wynosi od 18 do 31, memcpy zapisuje do 14 bajtów poza buforem stosu, powodując przepełnienie stosu.

W jądrze Linux występuje podatność w module Bluetooth: hci_event, gdzie hci_store_wake_reason() jest wywoływane przed sprawdzeniem minimalnej długości ładunku zdarzenia HCI. Krótka ramka zdarzenia HCI może dotrzeć do bacpy() przed jakąkolwiek weryfikacją granic. Poprawka przenosi przechowywanie adresu wybudzenia do indywidualnych handlerów zdarzeń po pomyślnej walidacji długości.