Katalog podatności CVE

W jądrze Linux w funkcji parse_tag_3_packet() podatność polega na braku ograniczenia wartości encrypted_key_size do rozmiaru ECRYPTFS_MAX_KEY_BYTES (64 bajtów). Gdy encrypted_key_size przekracza 64, funkcja decrypt_passphrase_encrypted_session_key() wykonuje dwa zapisy poza granicami bufora, co prowadzi do uszkodzenia pamięci struktur ecryptfs_auth_tok i ecryptfs_crypt_stat. Problem dotyczy wyłącznie szyfru AES-192 (kod 0x08), który ustawia crypt_stat->key_size = 24 niezależnie od encrypted_key_size.

W jądrze Linux funkcja ecryptfs_parse_tag_70_packet() odejmowała stałe pola metadanych od rozmiaru ciała pakietu, aby wyznaczyć rozmiar zaszyfrowanej nazwy pliku. Złośliwy pakiet o zbyt małym ciele mógł spowodować niedomiar w tym obliczeniu.

W jądrze Linux funkcja ecryptfs_send_message_locked() przenosiła kontekst wiadomości z listy wolnych na listę przydzielonych przed wysłaniem żądania do demona w przestrzeni użytkownika. Jeśli ecryptfs_send_miscdev() zawiodło, kontekst pozostawał na liście przydzielonych i nie mógł być ponownie użyty.

W jądrze Linux funkcja statfs() na punkcie montowania efivarfs może być wywoływana przez nieuprzywilejowanych użytkowników, co może skutkować zalewem wywołań usługi czasu wykonania QueryVariableInfo(). Na systemach x86, gdzie magazyn zmiennych jest obsługiwany przez SMM, każde wejście SMM wymaga spotkania wszystkich procesorów, co jest kosztowne.

To CVE zostało odrzucone lub wycofane przez organizację numerującą CVE. Brak dalszych informacji o podatności.

W jądrze Linux w systemie plików erofs zmienna z_erofs_gbuf_nrpages jest zwiększana dopiero po powiększeniu wszystkich buforów globalnych. Jeśli zmiana rozmiaru nie powiedzie się po powiększeniu niektórych buforów, ponowna próba odwiedza już powiększone bufory, co może prowadzić do błędów alokacji lub przepełnienia tablicy wskaźników.

W jądrze Linux funkcje ext2_setsize() i ext2_xattr_set2() zawierały konstrukcję, która dla i-węzłów IS_SYNC wywoływała sync_inode_metadata() zamiast oznaczenia i-węzła jako brudny. Ponieważ sync_inode_metadata() działa tylko jeśli i-węzeł jest już brudny, aktualizacje i-węzła mogły zostać utracone.

W jądrze Linux występuje błąd use-after-free w podsystemie fanotify dotyczący informacji o zakresie pliku. Wskaźnik do pozycji zakresu przechowywanej na stosie zadania wywołującego jest zapisywany w zdarzeniu uprawnień na stercie, a gdy sygnał przerwie zadanie wywołujące, ramka stosu jest zwalniana, podczas gdy czytelnik zdarzenia nadal odwołuje się do tego wskaźnika. Prowadzi to do odczytu nieaktualnej wartości ze stosu i skopiowania jej do przestrzeni użytkownika.

W jądrze Linux w sterowniku fbdev omapfb panel-dsi-cm mutex ddata->lock jest inicjalizowany po zarejestrowaniu wyświetlacza. Po opublikowaniu wyświetlacza przez omapdss_register_display() inny konsument może wywołać funkcję zwrotną dsicm, która próbuje użyć niezainicjalizowanego mutexa. Może to prowadzić do nieprawidłowego działania lub awarii.

W jądrze Linux sterownik fbdev ssd1307fb wywoływał synchroniczne transfery I2C z callbacków uszkodzenia (damage callbacks), które mogą być uruchamiane z fbcon w kontekście atomowym (z wyłączonym wywłaszczaniem przez printk). Prowadziło to do błędu "scheduling while atomic" i ostrzeżeń jądra na systemach takich jak RK3566. Problem został rozwiązany poprzez odroczenie transferów I2C z callbacków uszkodzenia.

W jądrze Linux w sterowniku fbdev uvesafb funkcja uvesafb_init() rejestruje funkcję zwrotną złącza v86d przed zarejestrowaniem sterownika platformowego. Jeśli platform_driver_register() zakończy się niepowodzeniem, funkcja zwraca błąd bez wyrejestrowania funkcji zwrotnej złącza, pozostawiając ją zarejestrowaną. Późniejsza ścieżka błędu urządzenia platformowego już wykonuje takie wyrejestrowanie.

W sterowniku forcedeth jądra Linux pętle w nv_suspend() i nv_resume() używają warunku 'i <= register_size/sizeof(u32)', co powoduje jedną iterację za dużo i dostęp poza granice tablicy saved_config_space. Na urządzeniach VER3 ostatnia iteracja sięga poza tablicę, wykonując odczyt MMIO oraz — przy wznowieniu — zapis MMIO jeden dword poza zmapowanym zakresem rejestrów. Błąd wykrywany jest przez UBSAN, a przy CONFIG_UBSAN_TRAP=y powoduje przerwanie działania jądra.

W jądrze Linux naprawiono błąd wyścigu w podsystemie fsnotify dotyczący aktualizacji masek zdarzeń dla znaczników (mark). Równoległe aktualizacje różnych znaczników na tym samym obiekcie mogły prowadzić do pozostawienia nieaktualnej maski obiektu, przez co zdarzenia takie jak FAN_MODIFY lub IN_MODIFY mogły nie być zgłaszane mimo poprawnej konfiguracji. Problem występował m.in. w fanotify i inotify.

W jądrze Linux sterownik hsi omap_ssi_core używa syntetycznego urządzenia kontrolera HSI przydzielonego przez hsi_alloc_controller(), które nie przechodzi normalnej ścieżki inicjalizacji urządzenia OF/platform. W rezultacie osadzona struktura device nie ma domyślnie zainicjalizowanej maski DMA. Po ostatnich zmianach wzmacniających API DMA funkcje dma_map_sg() i pokrewne wymagają prawidłowej dma_mask, w przeciwnym razie sterownik może się zawiesić lub wywołać ostrzeżenia.

W jądrze Linux w podsystemie hugetlb funkcja __unmap_hugepage_range może dostosowywać rezerwacje od czasu zmiany df7a6d1f6405. Gdy folio jest zmapowane zarówno w rodzicu, jak i w dziecku, a rodzic najpierw odmapuje zakres, dostosowanie rezerwacji powoduje niedomiar licznika rezerwacji. Po odmapowaniu zakresu przez dziecko licznik zostaje przywrócony. Poprawka sprawdza mapcount przed dostosowaniem rezerwacji.

W jądrze Linux sterownik accel/rocket w funkcji rocket_job_push() przydziela tymczasową tablicę na wskaźniki obiektów GEM wejściowych i wyjściowych. Występują dwa błędy: brak sprawdzenia NULL po nieudanej alokacji kvmalloc_array() powodujący dereferencję NULL oraz przepełnienie liczb całkowitych przy sumowaniu in_bo_count i out_bo_count (typy u32), które mogą się zawinąć, prowadząc do zbyt małej alokacji i późniejszych dostępów poza granicami tablicy.

W jądrze Linux sterownik accel/rocket funkcja rocket_ioctl_submit_job() zwalnia rjob przez rocket_job_put() na ścieżkach błędów alokacji. Funkcja rocket_job_cleanup() bezwarunkowo wywołuje rocket_iommu_domain_put(job->domain), ale job->domain jest przypisywane dopiero po kopiowaniu zadań i wyszukiwaniu BO. Awaria przed tym przypisaniem może spowodować czyszczenie zadania z wskaźnikiem domain równym NULL. Dodatkowo rjob->tasks nie jest czyszczone po zwolnieniu w rocket_copy_tasks(), co może prowadzić do podwójnego zwolnienia.

W jądrze Linux w funkcji rocket_job_run() sterownika accel/rocket występują błędy w obsłudze ścieżek błędów. Nie zwalniane są referencje do fence (job->done_fence), a pm_runtime_get_sync() zwiększa licznik użycia nawet przy błędzie, co uniemożliwia uśpienie NPU. Dodatkowo do schedulera DRM zwracany jest niezsygnalizowany fence, co wywołuje ostrzeżenie WARN.

W jądrze Linux występuje zakleszczenie w obsłudze błędów CXL CPER w module acpi/apei/ghes. Blokady cxl_cper_work_lock i cxl_cper_prot_err_work_lock były używane jako zwykłe spinlocki, co przy przerwaniu GHES na tym samym CPU prowadziło do zakleszczenia. Problem rozwiązano przez zmianę na raw_spinlock_t, dodanie WARN_ONCE oraz uporządkowanie funkcji wyrejestrowujących.

W jądrze Linux w funkcji ghes_handle_arm_hw_error() (ACPI APEI GHES) po pominięciu nagłówka cper_sec_proc_arm pozostała długość jest zmniejszana o sizeof(err) (rozmiar wskaźnika) zamiast sizeof(*err) (rozmiar struktury). Powoduje to przeszacowanie dostępnych bajtów i może doprowadzić do odczytu poza sekcją CPER, gdy err_info_num jest wystarczająco duże.