Katalog podatności CVE

W jądrze Linux w module svcrdma funkcja svc_rdma_create() wywołuje kfree(cma_xprt), gdy svc_rdma_create_listen_id() zawiedzie. Ponieważ svc_xprt_init() wcześniej pozyskało referencję do przestrzeni nazw sieci przez get_net_track(), kfree omija svc_xprt_free(), która zwolniłaby tę referencję, co prowadzi do niezrównoważenia liczników referencji.

W jądrze Linux w module svcrdma pole pozycji fragmentu Read RPC/RDMA jest dostarczane przez zdalnego klienta i przechowywane bez weryfikacji. xdr_count_read_segments() sprawdza tylko wyrównanie do 4 bajtów i nigdy nie porównuje pozycji z długością otrzymanego ciała inline, co w ścieżce pojedynczego fragmentu prowadzi do niedomiaru długości ogona i ujawnienia sąsiedniej pamięci slab, a w ścieżce wielu fragmentów do niedomiarów przy obliczaniu odstępów i kopiowania poza bufor odbioru.

W jądrze Linux w systemie plików UDF mapowanie wirtualnej partycji UDF 1.50 używa tablicy VAT jako tablicy mapowań bloków fizycznych, gdzie s_num_entries przechowuje liczbę wpisów, a nie najwyższy prawidłowy indeks. udf_get_pblock_virt15() odrzuca obecnie tylko indeksy większe niż s_num_entries, więc spreparowany obraz może zażądać indeksu równego s_num_entries, przejść kontrolę zakresu i spowodować odczyt jednego wpisu poza zaalokowaną tablicą VAT.

W jądrze Linux w sterowniku wifi ath6kl funkcja ath6kl_cfg80211_connect_event() odejmuje stałe przesunięcia IE od długości assoc_req_len i assoc_resp_len (typu u8) bez sprawdzenia dolnej granicy. Gdy długość jest mniejsza niż przesunięcie, wartość u8 zawija się do około 250, a cfg80211_connect_result()/cfg80211_roamed() traktują ją jako długość IE i kopiują tyle bajtów z małego bufora assoc_info do przestrzeni użytkownika przez nl80211, ujawniając sąsiednią pamięć slab.

W jądrze Linux w sterowniku wifi mt76 (mt7925) oczekująca praca mlo_pm_work nie jest anulowana w ścieżkach resetu, zawieszenia i wyrejestrowania urządzenia. Jeśli urządzenie zostanie zresetowane, zawieszone lub wyrejestrowane w tym oknie, praca może nadal działać i uzyskiwać dostęp do już zwolnionych danych vif/bss lub wysyłać polecenia MCU, gdy firmware jest niedostępny.

W jądrze Linux w sterowniku media staging/ipu7 funkcja isys_register_devices() rejestruje asynchroniczny notifier V4L2, ale ścieżka błędu probe (isys_probe()) wywołuje tylko isys_unregister_devices(), która nie wyrejestrowuje ani nie czyści notifiera. W rezultacie notifier pozostaje na globalnej liście notifier_list, podczas gdy struktura ipu7_isys jest zwalniana przez devres, co prowadzi do uszkodzenia listy i use-after-free przy następnym przejściu po liście.

W jądrze Linux w schedulerze (sched/core) funkcja pick_next_task() core scheduling przestaje działać poprawnie, gdy implementacja ->pick_task() może zwolnić blokadę rq. Stan wyboru ustalony na wejściu jest ważny tylko przy ciągłym trzymaniu blokady; gdy pick może ją zwolnić, przeplatający się wybór może unieważnić ten stan, prowadząc do błędnego zatwierdzenia wyboru lub zaburzenia rozliczania forceidle.

W jądrze Linux w schedulerze (sched/core) funkcja pick_next_task() core scheduling działa na wszystkich bliźniaczych rq pod jedną akwizycją wspólnej blokady core-wide. Gdy ->pick_task() zwalnia blokadę rq, każdy bliźniaczy __lock staje się chwilowo wolny, pozwalając __sched_core_flip(false) zakończyć się w trakcie wyboru i przepiąć rq_lockp() pod nim. Wybór wznawia się na rozdzielonych blokadach, dotykając stanu bliźniaczego, którego już nie chroni, a __schedule() ostatecznie zwalnia blokadę, która nigdy nie została wzięta, jednocześnie wyciekając tę, która została wzięta.

W jądrze Linux w schedulerze sched_ext flaga SCX_RQ_BAL_KEEP informuje pick o kontynuowaniu poprzedniego zadania, co jest pozostałością z czasów, gdy balansowanie i wybieranie były osobnymi operacjami. Flaga na poziomie rq działa tylko, gdy dispatche i picki łączą się jeden do jednego, co łamie core scheduling: wybory przeplatają się przez zwolnienia blokady dispatch, a pick może zużyć nieaktualną flagę, zachowując zadanie, które zostało już usunięte z kolejki.

W jądrze Linux naprawiono błąd w schedulerze sched_ext dotyczący funkcji dispatch kfuncs. W przypadku core scheduling funkcja ops.dispatch() może być wykonywana na innym CPU niż docelowe rq, co prowadziło do błędnych założeń w kilku ścieżkach kfunc, w tym do potencjalnego zakleszczenia (deadlock) w scx_dsq_move() oraz nieprawidłowego rozwiązywania SCX_DSQ_LOCAL.

W jądrze Linux naprawiono błąd w schedulerze sched_ext dotyczący korupcji stanu rq->core_pick podczas core scheduling. Gdy wybór zadania zwalniał blokadę rq (podczas dispatchu), równoległe wybory na tym samym rdzeniu SMT wzajemnie niszczyły swój stan, co prowadziło do NULL deref lub deadlocka i twardych zawieszeń systemu. Poprawka wymusza zwracanie RETRY_TASK, gdy dispatch zwolnił blokadę, tak aby wybór zatwierdzał tylko decyzje podjęte przy ciągle trzymanej blokadzie.

W jądrze Linux w schedulerze sched_ext funkcja scx_bpf_dsq_reenq() kolejkuje odroczone ponowne wstawienie (dru), które uruchamia się z run_deferred(), a nie ops.dispatch(). Jeśli DSQ zostanie zniszczone przed uruchomieniem dru, process_deferred_reenq_users() widzi dsq->id == SCX_DSQ_INVALID i trafia na BUG_ON. destroy_dsq() nie opróżnia oczekujących drus, więc wystarczy pominąć.

W jądrze Linux występuje podatność w podsystemie SCSI, gdzie w funkcji scsi_alloc_sgtables() bajty dopełnienia DMA (pad_len) dla ostatniego nie wyrównanego elementu scatterlisty pozostają niezainicjalizowane. Prowadzi to do odczytu niezainicjalizowanej pamięci (wykrytego przez KMSAN) podczas operacji DMA, co może skutkować wyciekiem danych lub niestabilnością systemu.

W jądrze Linux sterownik fnic (SCSI/FCoE) wywołuje alokację deskryptora VLAN z flagą GFP_KERNEL, trzymając jednocześnie spinlock vlans_lock. Alokacja GFP_KERNEL może usypiać, co jest niedozwolone w kontekście atomowym i może prowadzić do ostrzeżenia o uśpieniu w nieprawidłowym kontekście lub zakleszczenia.

W jądrze Linux w komponencie KVM dla architektury RISC-V występuje przepełnienie rozmiaru tablicy informacji o zdarzeniach PMU. Wartość num_events kontrolowana przez gościa jest mnożona przez sizeof(*einfo) i zapisywana w 32-bitowej zmiennej, co przy dużych wartościach powoduje obcięcie rozmiaru i alokację zbyt małego bufora. Następnie pętla iteruje po oryginalnej liczbie zdarzeń, co prowadzi do odczytów i zapisów poza granicami zaalokowanej pamięci.

W jądrze Linux w podsystemie remoteproc (sterownik SCP) występuje wyciek referencji do urządzenia przy nieudanym wyszukaniu danych sterownika przed jego powiązaniem. Referencja pobrana do urządzenia SCP nie jest zwalniana w przypadku niepowodzenia wyszukiwania.

W jądrze Linux sterownik qede (karta sieciowa QLogic FastLinQ) zawiera błąd, w którym pod presją pamięciową dochodzi do dereferencji wskaźnika NULL podczas przetwarzania fragmentów kontynuacji TPA. Z powodu braku przypisania tpa_info->buffer.data w qede_tpa_start() do pierścienia Rx trafia „widmowy" bufor z prawidłowym mapowaniem DMA, ale wskaźnikiem danych NULL, co powoduje panikę jądra w qede_fill_frag_skb().

W jądrze Linux w sterowniku RDMA/cxgb4 funkcja c4iw_remove() może zwolnić ctx->dev, podczas gdy zakolejkowana praca reg_work (rejestrująca urządzenie RDMA) jest wciąż oczekująca lub wykonywana. Prowadzi to do tego, że c4iw_register_device() uzyskuje dostęp do zwolnionego urządzenia.

W jądrze Linux sterownik RDMA/ionic nie został dostosowany do wymogu osadzania struktury rdma_counter w strukturze specyficznej dla sterownika i rejestrowania jej rozmiaru przez INIT_RDMA_OBJ_SIZE. Powoduje to, że rdma_zalloc_drv_obj() alokuje zero bajtów, co prowadzi do dereferencji wskaźnika NULL w alloc_and_bind().

W jądrze Linux w funkcji ucma_set_ib_path() brakowało blokady handlera podczas wywołania ucma_event_handler() z ścieżki write(). Równoległe wywołanie ucma_migrate_id() mogło zmienić ctx->file, powodując operacje na liście zdarzeń innego pliku bez odpowiedniego mutexa, co prowadziło do use-after-free (wykryte przez KASAN).