Katalog podatności CVE

W jądrze Linux w module openvswitch funkcja queue_userspace_packet() wywołuje skb_tx_error() na pakiecie, który nie jest własnością tej funkcji i jest dalej przekazywany. Powoduje to usunięcie flagi SKBFL_SHARED_FRAG z aktywnego skb, co przy dostarczaniu ESP-in-UDP prowadzi do odszyfrowania w miejscu na stronach pamięci należących do nadawcy. Umożliwia to nieuprzywilejowany zapis do page cache (prymityw "Fragnesia").

W jądrze Linux w podsystemie IPMI występuje błąd use-after-free w funkcji _ipmi_destroy_user(). Usunięcie synchronize_rcu() między odłączeniem odbiorników poleceń z listy intf->cmd_rcvrs a ich zwolnieniem pozwala czytelnikowi wciąż używać wskaźnika do zwolnionego obiektu cmd_rcvr. Lista cmd_rcvrs jest nadal przeglądana w zwykłym RCU, więc brak okresu karencji powoduje użycie po zwolnieniu.

W jądrze Linux w podsystemie lockd funkcja nlm_traverse_files() przypina bieżący plik przez f_count++ na czas zwolnienia mutexa, ale nie przypina zapisanego wskaźnika next. Współbieżne nlm_release_file() może zwolnić next w oknie bez blokady, a iterator odwołuje się do zwolnionej pamięci w następnej iteracji. Poprawka przypina oba pliki i zwalnia je po zakończeniu iteracji.

W jądrze Linux w podsystemie lockd funkcja nlmclnt_locks_init_private() instaluje operacje blokad NLM nawet gdy nlmclnt_find_lockowner() nie zdoła przydzielić właściciela blokady. VFS nadal niszczy częściowo zainicjowany file_lock i wywołuje locks_release_private(), co powoduje dereferencję fl->fl_u.nfs_fl.owner i awarię (NULL dereference). Poprawka czyści fl_ops przed inicjalizacją i instaluje operacje NLM dopiero po pomyślnym przydzieleniu właściciela.

W jądrze Linux naprawiono podatność w sterowniku NVMe, gdzie funkcja nvme_setup_discard() przy nieudanej alokacji pamięci używała strony ctrl->discard_page, która nie była zerowana. W wyniku tego do kontrolera NVMe wysyłane były niezainicjalizowane dane (do 4080 bajtów) pochodzące z wcześniejszej zawartości strony pamięci.

W jądrze Linux w sterowniku nvme-tcp występuje luka polegająca na tym, że odbiór danych C2HData był weryfikowany wyłącznie na podstawie blk_rq_payload_bytes(), bez sprawdzenia req->data_len. Dla operacji WRITE_ZEROES, która nie ma segmentów fizycznych, ale ma niezerowe blk_rq_bytes(), prowadzi to do kopiowania danych do niezainicjalizowanego iteratora i błędu wild-memory-access (KASAN) w _copy_to_iter().

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_handle_r2t() nie sprawdza kierunku żądania, którego dotyczy R2T. Złośliwy kontroler może wysłać R2T dla polecenia READ, a host odpowie, wysyłając bufor docelowy odczytu (zawierający stare dane jądra) do kontrolera. Luka ujawnia pamięć jądra, w tym wskaźniki struct page.

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_recv_data() kończy żądanie po odebraniu bieżącego PDU C2HData, nie porównując łącznej liczby odebranych bajtów z długością żądaną przez polecenie. Złośliwy kontroler może odpowiedzieć na odczyt 4096 bajtów tylko 512 bajtami, a żądanie zostanie zgłoszone jako zakończone, ujawniając użytkownikowi 3584 bajty starych danych ze strony. Poprawka zlicza odebrane bajty i odmawia zakończenia niepełnego odczytu.

W jądrze Linux występuje podatność use-after-free w obsłudze protokołu SCTP. Zdalny peer może w jednym pakiecie połączyć chunki COOKIE ECHO, SHUTDOWN i SHUTDOWN ACK, co prowadzi do zwolnienia asocjacji i jej transportów, a następnie do zapisu do zwolnionej pamięci w pętli endpointu. Problem występuje, gdy pakiet jest przetwarzany z kolejki backlogu gniazda w kontekście zadania.

W jądrze Linux w funkcji sctp_rcv() transport jest przypisywany do chunka i pozostaje w nim do momentu przetworzenia. Uwierzytelniony pakiet ASCONF DEL-IP może w międzyczasie usunąć ten transport z asocjacji i zwolnić go przez RCU, a następnie kolejny opóźniony SACK odczytuje stan już zwolnionego transportu. Podatność prowadzi do use-after-free.

W jądrze Linux występuje podatność typu NULL pointer dereference w implementacji SCTP, związana z zakończeniem żądania rekonfiguracji strumienia, które nie zostało jeszcze wysłane. Gdy żądanie jest już opublikowane w asoc->strreset_chunk, ale nie ma przypisanego transportu (chunk->transport == NULL), próba zatrzymania timera powoduje odwołanie do NULL i panikę jądra. Problem można wywołać lokalnie przez nieuprzywilejowany proces lub zdalnie przez spreparowany pakiet RECONF.

W jądrze Linux w stosie SCTP zbuforowany chunk RECONF może zawierać więcej niż jeden parametr żądania. Zduplikowana odpowiedź może ponownie przetworzyć to samo żądanie ADD_OUT, co powoduje dwukrotne cofnięcie licznika outcnt i jego niedomknięcie (underflow). Poprawka śledzi typy oczekujących żądań jako bity i ignoruje późniejsze odpowiedzi.

W jądrze Linux w sterowniku power: supply: bq24257 przerwanie STAT-pin jest zarządzane przez devm, więc pozostaje aktywne do momentu sprzątania po remove(). Funkcja remove() anuluje pracę bq->iilimit_setup_work, ale wątek obsługi przerwania może ją ponownie zaplanować i odwołać się do zwolnionej pamięci bq. Poprawka używa devm_delayed_work_autocancel() i rejestruje pracę przed żądaniem przerwania.

W jądrze Linux w sterowniku power: supply: bq256xx notyfikator USB-PHY kolejkuje usb_work, którego handler wywołuje power_supply_changed(bq->charger). Akcja reset devm rejestrowana jest przed zasilaczami, więc devm zwalnia bq->charger przed jej uruchomieniem, a zakolejkowana praca może odwołać się do zwolnionej pamięci. Poprawka rejestruje akcję reset po zasilaczach i inicjalizuje usb_work przed notyfikatorami.

W jądrze Linux w sterowniku power: supply: bq25890 funkcja bq25890_fw_probe() pozyskuje referencję do dodatkowego zasilacza przez power_supply_get_by_name(), ale nie zwalnia jej przy późniejszych błędach sondowania ani przy odłączaniu sterownika. Poprawka rejestruje akcję sprzątania zarządzaną przez urządzenie natychmiast po pozyskaniu referencji.

W jądrze Linux w module charger-manager (power: supply) występuje luka use-after-free. Regulatorzy są zwalniani (regulator_put) przed wyrejestrowaniem wpisów sysfs (power_supply_unregister), a jednocześnie wpisy sysfs są rejestrowane przed pozyskaniem regulatorów, co pozwala na wyścig i dostęp do zwolnionych uchwytów.

W jądrze Linux w sterowniku power: supply: cros_usbpd-charger funkcja cros_usbpd_charger_probe() odczytuje z EC dwie liczby portów i używa num_charger_ports jako granicy pętli wypełniającej tablicę ports[] o stałym rozmiarze 8 elementów. Brak walidacji względem EC_USB_PD_MAX_PORTS pozwala wadliwemu lub złośliwemu EC zgłosić wartość do 255, co powoduje zapis poza granicami tablicy (slab out-of-bounds write). Poprawka odrzuca liczbę portów większą niż rozmiar tablicy.

W jądrze Linux w sterowniku power: supply: cros_usbpd-charger funkcja sondowania iteruje na podstawie surowej liczby portów zwróconej przez kontroler EC. Jedynym sprawdzeniem jest porównanie z liczbą portów USB PD również zdefiniowaną przez EC, więc złośliwy EC może zwrócić niedokładną liczbę (do 255), powodując zapis poza granicami i uszkodzenie pamięci. Poprawka ogranicza liczbę portów do EC_USB_PD_MAX_PORTS.

W jądrze Linux w sterowniku power: supply: lp8727 funkcja lp8727_release_irq() anuluje pracę pchg->work przed zwolnieniem przerwania, więc przerwanie dostarczone w międzyczasie może ponownie uzbroić pracę przez wątek obsługi. Po powrocie z .remove warstwa devm zwalnia pchg, a lp8727_delayed_func() może wciąż działać i odwołać się do zwolnionej pamięci. Poprawka najpierw zwalnia przerwanie, a następnie anuluje pracę.

W jądrze Linux w sterowniku ładowarki lp8788-charger występuje błąd use-after-free podczas usuwania urządzenia. Funkcja lp8788_charger_remove() opróżnia kolejkę pracy przed wyrejestrowaniem przerwań IRQ, przez co wątek IRQ może zakolejkować pracę po zakończeniu flush_work(), a następnie praca ta odwołuje się do zwolnionej pamięci pchg.