Katalog podatności CVE

W jądrze Linux występuje luka w module RDMA/ucma polegająca na braku blokady handlera w funkcji ucma_write_cm_event(). Podczas gdy ucma_migrate_id() przenosi kontekst do innego pliku, wskaźnik ctx->file może zostać zmieniony w trakcie sekwencji operacji, co prowadzi do uszkodzenia listy, trwałego zablokowania muteksa i zawieszenia procesu w stanie D. Luka jest osiągalna dla nieuprzywilejowanego użytkownika przez /dev/infiniband/rdma_cm.

W jądrze Linux w podsystemie RDMA/uverbs metoda UVERBS_METHOD_REG_MR nie zawiera atrybutu UVERBS_ATTR_UHW, mimo że trzy sterowniki (mthca, irdma, siw) mają dane UHW powiązane z reg_mr i zakładają, że udata nie może być NULL. Złośliwy proces w przestrzeni użytkownika może wywołać dereferencję NULL udata w tych sterownikach.

W jądrze Linux w podsystemie RDMA/uverbs starsza ścieżka write() przekazuje do kodu dostawcy pakiet uverbs_attr_bundle bez elementu metody ioctl. Jeśli błędne dane wejściowe dostawcy spowodują wygenerowanie komunikatu błędu przez wspólny kod walidacji, funkcja uverbs_get_handler_fn() dereferencjonuje niezainicjalizowany wskaźnik method_elm.

W funkcji as3722_get_regulator_dt_data() jądra Linux wywołanie of_get_child_by_name() pozyskuje referencję do węzła, która jest przypisywana do pdev->dev.of_node, ale zaraz potem of_node_put(np) zwalnia tę referencję, pozostawiając wiszący wskaźnik. Usunięcie tego wywołania pozwala urządzeniu utrzymać referencję.

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_alloc_read_page() jest podatna na wyścig z ring_buffer_subbuf_order_set, mogąc przydzielić stronę czytnika z nieaktualnym rozmiarem (order). Jeśli subbuf_order zmieni się w trakcie alokacji, bpage->order może nie odpowiadać rzeczywistej pamięci.

W podsystemie ring-buffer jądra Linux, gdy podbufory używają rozmiaru (order) większego niż 0, cpu_buffer->free_page jest przydzielana z użyciem subbuf_order. Poprawka zapewnia użycie właściwego rozmiaru dla cpu_buffer->free_page.

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_subbuf_order_set() może wyczyścić cpu_buffer->free_page, co powoduje wyścigi z ring_buffer_alloc_read_page() i ring_buffer_free_read_page(). Poprawka polega na trzymaniu cpu_buffer->lock podczas zmiany rozmiaru podbufora.

W podsystemie ring-buffer jądra Linux odrzucenie buforowanej strony czytnika po równoczesnej zmianie rozmiaru bufora używa nowego globalnego subbuf_order w wywołaniu free_pages(), co może prowadzić do awarii jądra lub wycieku pamięci. Poprawka zapisuje rzeczywisty rozmiar strony wraz z jej adresem, czyniąc free_page strukturą buffer_data_read_page.

W podsystemie ring-buffer jądra Linux funkcja __rb_get_reader_page_from_remote() kontynuuje działanie mimo niepowodzenia callbacku swap_reader_page (zwracającego -EBUSY), co może prowadzić do nieprawidłowego przetwarzania listy stron. Poprawka traktuje błąd callbacku jako odzyskiwalny, loguje go przez pr_warn_ratelimited() i zwraca NULL.

W systemie plików orangefs jądra Linux funkcja orangefs_devreq_write_iter() zwalnia op->downcall.trailer_buf przez vfree() przy niepowodzeniu copy_from_iter_full(), ale nie czyści wskaźnika przed goto Efault. Powoduje to podwójne zwolnienie tego samego wskaźnika po stronie readdir, gdy klient wyśle downcall z trailer_size większym niż dostarczone dane.

W systemie plików orangefs jądra Linux funkcja orangefs_prepare_cdm_array() rozmiaruje bufor słowa kluczowego za pomocą strcspn(cds_head, " "), ale parsuje je przez %s, który pomija wiodące białe znaki. Jeśli wpis debugowania klienta zaczyna się od spacji, alokacja może być za mała, a sscanf() zapisze poza buforem.

W jądrze Linux w systemie plików ocfs2 występuje wyciek pamięci podczas operacji copy-on-write wywoływanych przez copy_file_range() w obrębie tego samego systemu plików. Problem został wykryty przez fuzzing i polega na tym, że zwalnianie bloków (deallocs) nie jest zawsze uruchamiane po zakończeniu copy-on-write, co prowadzi do nieodwołanych alokacji pamięci.

W jądrze Linux w module ocfs2 (o2dlm) procedura obsługi komunikatu DLM_MIGRATE_REQUEST ufała długości nazwy (namelen) podanej przez węzeł nadawcy bez sprawdzenia jej rozmiaru. Funkcja dlm_init_mle() kopiowała tę długość do stałego bufora mname[] o rozmiarze 32 bajtów w obiekcie slab o2dlm_mle, co pozwalało na zapis poza granicami sterty do około 215 bajtów danych kontrolowanych przez atakującego.

W jądrze Linux w module ocfs2 funkcja dlm_mig_lockres_handler ufała polom num_locks i lockname_len z wiadomości DLM_MIG_LOCKRES bez ich walidacji. Prowadziło to do odczytu poza granicami bufora (panic BUG_ON) oraz zapisu poza granicami sterty przy kopiowaniu nazwy blokady do 32-bajtowego obiektu. Podatność może wykorzystać dowolny węzeł w domenie.

W jądrze Linux w module ocfs2 brakowało walidacji pól rl_used i rl_count w bloku refcount. Złośliwy lub uszkodzony obraz ocfs2 z rl_used ustawionym na 0xffff powoduje odczyt poza zakresem bloku metadanych, a następnie memmove poza bufor podczas operacji reflink (FICLONE). Podatność wymaga lokalnego dostępu (CAP_SYS_ADMIN przy montowaniu obrazu lub zapis do urządzenia blokowego).

W jądrze Linux w module ocfs2 wykryto lukę polegającą na braku walidacji liczby wpisów w indeksie katalogu podczas odczytu metadanych. Funkcje ocfs2_validate_dx_leaf() i ocfs2_validate_dx_root() nie sprawdzają, czy pola de_num_used i de_count mieszczą się w pojemności bloku, co pozwala spreparowanemu obrazowi dysku ustawić je na 0xffff i doprowadzić do odczytu poza granicami bloku metadanych 4KB. Luka jest osiągalna przy każdej operacji wyszukiwania ścieżki, stat() lub open() na zaindeksowanym katalogu po zamontowaniu obrazu.

W jądrze Linux naprawiono podatność w module ocfs2/cluster, w funkcji o2hb_region_pin(). Funkcja ta była wywoływana z trzymaną blokadą spinlock o2hb_live_lock, jednocześnie wywołując śpiącą funkcję configfs_depend_item(), co powodowało błąd BUG przy włączonej opcji CONFIG_DEBUG_ATOMIC_SLEEP, inwersję kolejności blokad prowadzącą do zakleszczenia oraz wyciek licznika o2hb_dependent_users przy częściowym niepowodzeniu przypinania regionów.

W jądrze Linux w module ocfs2 funkcja ocfs2_dir_foreach_blk_el() na 32-bitowych jądrach błędnie obliczała maskę pozycji katalogu, co powodowało wyzerowanie górnych 32 bitów pozycji. Przy przekroczeniu granicy 4 GiB podczas readdir() pozycja była resetowana, co prowadziło do nieskończonego ponownego wyliczania tych samych wpisów katalogu.

W jądrze Linux na architekturze OpenRISC wywołanie systemowe sys_or1k_atomic (nr 244) nie sprawdzało wskaźników użytkownika za pomocą access_ok() przed wykonaniem operacji atomowej w asemblerze. Umożliwiało to nieuprzywilejowanemu procesowi podanie adresu jądra i bezpośredni odczyt/zapis pamięci jądra.

W jądrze Linux w module openvswitch występuje błąd use-after-free związany z limitem CT (conntrack). Wskaźnik limitu CT nie był usuwany przed zwolnieniem pamięci ani chroniony okresem karencji RCU, przez co przetwarzanie pakietów mogło odwołać się do zwolnionego stanu podczas niszczenia przestrzeni nazw sieci. Nieuprzywilejowany użytkownik może wywołać ten błąd z poziomu przestrzeni nazw użytkownika i sieci.