Katalog podatności CVE

W jądrze Linux w podsystemie Ceph funkcja ceph_cap_reclaim_work() wielokrotnie się przekolejkowała, gdy ceph_trim_dentries() zwracało -EAGAIN, co prowadziło do zapętlenia zużywającego CPU bez postępu. Problem pogłębiało odświeżanie ważnych dzierżaw katalogów (TOUCH) zamiast ich pozostawiania (KEEP), co uniemożliwiało naturalne zakończenie skanowania. Poprawka zmienia logikę zwalniania dzierżaw i warunki zwracania -EAGAIN.

W jądrze Linux naprawiono wyciek referencji do i-węzła w systemie plików Ceph podczas przerywania zapisu przy odmontowywaniu. Gdy funkcja ceph_inc_osd_stopping_blocker() zawiedzie w trakcie odmontowywania, żądanie zapisu jest przerywane, a pobrana referencja bufora zapisu (i_wrbuffer_ref) nie jest zwalniana, przez co i-węzeł nie może zostać usunięty i pojawia się błąd jądra "Busy inodes after unmount of ceph".

W jądrze Linux w funkcji btrfs_recover_relocation() występuje wyciek referencji do reloc_root podczas nieudanego odzyskiwania relokacji. Gdy ładowanie lub dodawanie kolejnego roota albo pierwszy commit transakcji zakończy się błędem, ścieżka out_unset nie zwalnia referencji trzymanych przez fs_root->reloc_root, co prowadzi do pozostawienia referencji. Poprawka utrzymuje tymczasowe referencje do fs rootów i zwalnia je w razie błędu.

W jądrze Linux w funkcji btrfs_dio_iomap_begin() występuje wyciek extent map przy bezpośrednim zapisie I/O do zakresu NOCOW. Gdy btrfs_create_dio_extent() zwróci błąd (np. przy nieudanej alokacji ordered extent), funkcja zwraca błąd bez zwolnienia wejściowej extent map. Poprawka sprawdza błąd przed zastąpieniem mapy i zwalnia ją w razie niepowodzenia.

W jądrze Linux w funkcji audit_del_rule() występuje błąd use-after-free przy automatycznym usuwaniu reguł fsnotify. Bezwarunkowe audit_put_tree() zakłada przypadek szablonu, przez co dla reguł mieszanych AUDIT_DIR i AUDIT_EXE zdarzenie autoremove zwalnia żywą referencję drzewa zainstalowanej reguły. Powtórzenie tego może zwolnić drzewo, gdy inna reguła wciąż je referencjonuje, prowadząc do dereferencji zwolnionej ścieżki. Poprawka przenosi zwolnienie tymczasowego drzewa do audit_rule_change().

W jądrze Linux w funkcji cifs_setsize() brakuje wywołania pagecache_isize_extended() przy rozszerzaniu pliku. Funkcja wywołuje truncate_pagecache(), ale pomija zerowanie końca strony obejmującej stary EOF, przez co brudne bajty w tym obszarze mogą zostać zapisane na serwerze i ujawnić nieaktualne dane w nowo rozszerzonym zakresie. Poprawka dodaje wywołanie pagecache_isize_extended() przed truncate_pagecache().

W jądrze Linux w funkcji cifs_file_set_size() występuje use-after-free. Gdy gałąź else znajdzie uchwyt pliku do zapisu przez find_writable_file(), pożycza tcon i server z uchwytu, próbuje wykonać RPC set_file_size(), a następnie zwalnia uchwyt przez cifsFileInfo_put(). Jeśli set_file_size() zawiedzie, wykonanie przechodzi do ścieżki opartej na ścieżce, która ponownie używa pożyczonego tcon i server, mimo że cifsFileInfo_put() mógł zwolnić tcon. Poprawka ustawia tcon = NULL po cifsFileInfo_put(), aby wymusić bezpieczną ścieżkę cifs_sb_tlink().

W kliencie CIFS jądra Linux funkcja cifs_remap_file_range() przy wywołaniu z len == 0 (klonowanie do końca pliku) oblicza efektywną długość jako różnicę i_size - off. Gdy off jest większe niż rozmiar pliku, wynik jest ujemny, co psuje pole ByteCount w żądaniu FSCTL_DUPLICATE_EXTENTS_TO_FILE i odwraca zakres w filemap_write_and_wait_range(). Istniejąca kontrola off >= i_size wykonywana jest dopiero po wysłaniu ioctl.

W kliencie CIFS jądra Linux funkcja cifs_do_truncate() wywoływana z cifs_open() przy O_TRUNC nie może użyć cifs_resize_file_locked() z powodu braku blokady i_rwsem, więc nie wykonuje prawidłowej zmiany rozmiaru cookie fscache. Poprawka dodaje wywołanie cifs_invalidate_cache() po cifs_setsize(), które unieważnia pamięć podręczną bez potrzeby trzymania i_rwsem.

W kliencie SMB (cifs.ko) jądra Linux występuje luka, w której zapis do pliku z ustawionym bitem setuid/setgid nie usuwał tego bitu na serwerze przy montowaniu z opcjami cifsacl, modefromsid lub rozszerzeniami POSIX/Unix. VFS zgłaszał żądanie wyczyszczenia bitu, ale sterownik cifs bezwarunkowo pomijał zmianę trybu (ATTR_MODE), przez co wyczyszczony tryb nie był przesyłany do serwera.

W kliencie SMB jądra Linux funkcja cifs_check_trans2() przy błędnej odpowiedzi wtórnej T2 (nieprawidłowy nagłówek SMB lub odrzucenie PDU przez check2ndT2()) powoduje, że handle_mid() nadpisuje mid->resp_buf nowym buforem, wyciekając bufor pierwotny i pozostawiając wiszące wskaźniki server->smallbuf/bigbuf. Prowadzi to do use-after-free, gdy wątek demultipleksera ponownie użyje zwolnionego bufora.

W kliencie SMB jądra Linux funkcja free_tgts() zwalnia wszystkie struktury z ce->tlist, ale pozostawia ce->tgthint wskazujący na jedną ze zwolnionych struktur cache_dfs_tgt. Jeśli wskaźnik nie zostanie zresetowany przed ponownym użyciem, dochodzi do use-after-free.

W jądrze Linux w module ksmbd funkcja ksmbd_reopen_durable_fd() podczas ponownego łączenia trwałego uchwytu (durable handle) przypisywała do nowej sesji wszystkie odłączone oplocki na danym i-nowęźle, a nie tylko ten należący do ponownie otwieranego pliku. Prowadziło to do sytuacji, w której jedna sesja przejmowała oplock innej sesji, a po zniszczeniu sesji przejmującej następowało użycie zwolnionej pamięci (use-after-free). Podatność występuje przy domyślnej konfiguracji udziału z obsługą durable handle i oplock, gdy dwie sesje otwierają ten sam plik z różnymi AppInstanceIds.

W kliencie SMB jądra Linux w funkcji symlink_data() makro ALIGN() może przepełnić się dla wartości ErrorDataLength bliskiej UINT32_MAX (np. 0xFFFFFFF9), zawijając się do 0. Powoduje to, że kontrola granic przechodzi, a pętla przesuwa się o zero bajtów, pozostawiając wskaźnik 'p' wskazujący na nieaktualne dane.

W kliencie SMB jądra Linux funkcja coalesce_t2() oblicza wskaźniki danych bezpośrednio z pól DataOffset dostarczonych przez serwer, bez walidacji względem granic bufora. Mały DataOffset może przesunąć wskaźnik przed obszar danych i nadpisać pola nagłówka, a duży może wyjść poza bufor, powodując odczyt lub zapis poza zakresem sterty.

W kliencie SMB jądra Linux funkcja reparse_buf_ptr() odczytuje pole ReparseDataLength z bufora przed sprawdzeniem, czy odebrane dane obejmują pełny nagłówek struktury. Gdy serwer zwróci OutputCount < 6, odczyt pod offsetem 4-5 wykracza poza koniec odebranych danych.

W kliencie SMB jądra Linux funkcja CIFSTCon() ogranicza strnlen() przez ByteCount minus dwa, co dla ByteCount 0 lub 1 daje wartość ujemną jako int i konwertuje się na ogromny size_t. Późniejsze odejmowanie zawija __u16 bytes_left, co pozwala cifs_strndup_from_utf16() odczytać do 65535 bajtów z obiektu o rozmiarze ~16 KB, ujawniając dane przez /proc/fs/cifs/DebugData.

W kliencie SMB jądra Linux funkcja is_valid_oplock_break() przestała skutecznie sprawdzać pole DataOffset. W wyniku wcześniejszej zmiany w obsłudze nagłówka RFC1002 wyrażenie używane do walidacji zawsze daje zero, przez co sprawdzenie nigdy nie odrzuca nieprawidłowych wartości.

W sterowniku HID corsair-void brakowało sprawdzania rozmiaru przychodzących zdarzeń statusu i aktualizacji firmware. Zniekształcone zdarzenia mogły powodować odczyt poza granicami bufora.

W sterowniku HID picolcd funkcja picolcd_debug_eeprom_read() ufała bajtowi długości dostarczonemu przez urządzenie, nie sprawdzając ile danych faktycznie odebrano. Urządzenie zwracające długość 0xff mogło spowodować odczyt poza buforem i ujawnienie sąsiedniej pamięci przez plik debugfs.