Katalog podatności CVE

W sterowniku HID roccat funkcja roccat_report_event() kopiuje raporty do bufora cyklicznego, ale ścieżki niszczenia urządzenia nie zwalniały tych kopii. Powodowało to wyciek pamięci przy każdym usunięciu urządzenia.

W sterowniku HID sensor custom funkcja hid_sensor_custom_add_attributes() nie usuwała wcześniej utworzonych grup sysfs, gdy kolejne wywołanie sysfs_create_group() zakończyło się błędem. Prowadziło to do pozostawienia nieprawidłowych struktur i potencjalnego dostępu do zwolnionej pamięci.

W jądrze Linux występuje luka use-after-free w sterowniku HID: sony, dotycząca odbiorników GHL (Guitar Hero Live). Podczas odłączania lub usuwania modułu sterownika funkcja sony_remove() używa timer_delete_sync(), które nie blokuje ponownego uzbrojenia timera, a usb_free_urb() nie anuluje URB będącego w locie. W efekcie timer ghl_poke_timer może zostać ponownie uzbrojony na zwolnionej pamięci i uruchomić się po zwolnieniu struktury sc.

W jądrze Linux w funkcji universal_pidff_probe() sterownika HID universal-pidff urządzenie jest uruchamiane przez hid_hw_start(), ale w przypadku niepowodzenia inicjalizacji force-feedback błąd jest zwracany bez zatrzymania urządzenia. Powoduje to, że zarejestrowane urządzenie hidraw pozostaje aktywne mimo zwolnienia sterownika, co prowadzi do zapisu do zwolnionej pamięci (use-after-free) przy próbie otwarcia /dev/hidrawX.

W sterowniku HID mcp2221 funkcja czyszcząca mcp2221_hid_unregister() nie zatrzymywała wejścia/wyjścia urządzenia przed rozpoczęciem demontażu sprzętu. Przychodzące raporty HID mogły wyścignąć się z niszczeniem urządzenia, prowadząc do użycia po zwolnieniu pamięci.

W sterowniku HID mcp2221 funkcja mcp_i2c_smbus_read() przechowywała wskaźnik bufora w mcp->rxbuf, ale nie czyściła go po zakończeniu transferu. Opóźniony lub fałszywy raport MCP2221_I2C_GET_DATA mógł zapisywać dane do zwolnionej pamięci.

W sterowniku HID mcp2221 funkcja mcp2221_raw_event() nie sprawdzała rozmiaru przychodzących raportów HID. W ścieżce MCP2221_I2C_GET_DATA ufała bajtowi data[3] jako długości kopiowania, co mogło prowadzić do odczytu poza buforem raportu.

W jądrze Linux sterownik HID intel-quickspi nie sprawdza rozmiaru raportu przed skopiowaniem go do bufora report_buf. Bufor jest alokowany na podstawie deskryptora urządzenia (max_report_len), ale długość raportu pochodzącego z ioctl hidraw nie jest ograniczana, co pozwala na przepełnienie bufora sterownika danymi kontrolowanymi przez atakującego.

W jądrze Linux funkcja quickspi_get_report() w sterowniku HID intel-quickspi kopiuje całą odpowiedź urządzenia do bufora wywołującego bez sprawdzenia jego długości. Odpowiedź większa niż rozmiar bufora wywołującego powoduje przepełnienie danymi kontrolowanymi przez urządzenie.

W jądrze Linux funkcja init_ei() w eventfs nie inicjalizuje list_headów eventfs_inode. Gdy eventfs_create_dir() zawiedzie z powodu braku pamięci, free_ei() sprawdza listę dzieci, która nie została zainicjalizowana, co powoduje fałszywe ostrzeżenie.

W jądrze Linux sterownik fs/ntfs3 nie waliduje tablicy dirty page table podczas odtwarzania dziennika. Podrobiony wpis DIR_PAGE_ENTRY z nieprawidłowym polem lcns_follow pozwala na wyjście poza wpis podczas konwersji v0->v1 i późniejszego odtwarzania.

W jądrze Linux funkcja ni_read_frame() w fs/ntfs3 ufa wartości zwracanej przez decompress_lznt(), która może być mniejsza niż rozmiar ramki. Niezapisane bajty pozostają w stronach vmapped i są zwracane do użytkownika, ujawniając niezainicjalizowaną pamięć jądra.

W jądrze Linux pętle copy_lcns i redo shorten w fs/ntfs3 indeksują page_lcns[] na podstawie liczby lcns_follow z rekordu dziennika, która nie jest sprawdzana względem docelowego wpisu. Spreparowany rekord może przepełnić page_lcns[] prawidłowego wpisu.

W jądrze Linux sterownik ntfs ogranicza skanowanie bitmapy wolnych klastrów na podstawie rozmiaru $Bitmap, a nie liczby klastrów wolumenu. Obraz z $Bitmap obejmującą więcej klastrów niż wolumen pozwala na indeksowanie poza tablicą lcn_empty_bits_per_page.

W jądrze Linux sterownik ntfs nie odrzuca atrybutów z pustymi mapping pairs, jeśli mają niespójne highest VCN i rozmiar. Brak walidacji może prowadzić do nieprawidłowego przetwarzania.

W jądrze Linux funkcja parse_ntfs_boot_sector() dekoduje 64-bitowe LCN sektora rozruchowego NTFS do typu s64. Spreparowana wartość z wysokim bitem staje się ujemna i przechodzi sprawdzenie górnej granicy, co prowadzi do dostępu poza granicami tablicy lcn_empty_bits_per_page.

W jądrze Linux funkcja ntfs_attr_update_meta() nie waliduje przesunięcia nazwy atrybutu podczas konwersji między atrybutami niesparsowanymi i sparowanymi. Złośliwy rekord MFT może ustawić name_offset tak, że nazwa wykracza poza granice atrybutu lub nakłada się na mapping pairs.

W jądrze Linux w dekoderze par mapowania systemu plików NTFS brakowało sprawdzenia, czy długość zakresu nie wykracza poza granicę wolumenu. Złośliwy obraz NTFS mógł spowodować dostęp do pamięci poza granicą wolumenu, prowadząc do uszkodzenia pamięci i eskalacji uprawnień.

W jądrze Linux funkcja ecryptfs_exorcise_daemon() usuwała zakolejkowane wiadomości z kończącego się demona bez trzymania blokady ecryptfs_msg_ctx_lists_mux, której wymaga ecryptfs_msg_ctx_alloc_to_free(). Powodowało to wyścig z innymi użytkownikami globalnej listy kontekstów wiadomości.

W jądrze Linux funkcja ecryptfs_parse_packet_set() obliczała rozmiar bufora pozostałych pakietów jako PAGE_SIZE - 8, mimo że dla nagłówków w wersji 1 zestaw pakietów zaczyna się później w nagłówku. Mogło to zawyżać dostępny bufor i prowadzić do błędów w parsowaniu.