Katalog podatności CVE

W jądrze Linux funkcja iommufd_take_all_iova_rwsem() pobiera referencję obiektu i blokadę zapisu przed zapisem IOAS do tablicy xarray; jeśli xa_store() zawiedzie, bieżący IOAS nie zostaje zwolniony, co prowadzi do wycieku. Poprawka zwalnia bieżący IOAS przed cofnięciem poprzednich wpisów.

W jądrze Linux selftest IOMMUFD TRIGGER_IOPF pożycza uchwyt attach z group->pasid_array bez synchronizacji z odłączeniem PASID, co przy równoczesnym iommu_report_device_fault() prowadzi do użycia zwolnionej pamięci (UAF). Poprawka dodaje iopf_rwsem w mock_dev do synchronizacji.

W jądrze Linux funkcja set_attribute() w dell-wmi-sysman wypełnia bufor żądania atrybutu BIOS hasłem administratora, a następnie zrzuca cały bufor przez print_hex_dump_bytes(), ujawniając hasło w logu jądra. Poprawka usuwa ten zrzut.

W jądrze Linux funkcje isst_if_get_perf_level_mask() i isst_if_get_base_freq_mask() używają poziomu podanego przez użytkownika jako indeksu do perf_levels[] bez walidacji, co umożliwia odczyt poza zakresem. Poprawka dodaje sprawdzenia zakresu i odrzuca wyłączone poziomy SST-PP.

W jądrze Linux funkcja isst_if_clos_assoc() waliduje socket_id przez '>' zamiast '>=', co pozwala na indeksowanie poza tablicę sst_inst[]; dodatkowo brak sprawdzenia NULL dla niepowiązanych pakietów prowadzi do dereferencji NULL. Poprawka odrzuca socket_id >= topology_max_packages() i NULL sst_inst.

W jądrze Linux sterownik mmc via-sdmmc nie anuluje pracy carddet_work przy usuwaniu urządzenia; praca już zakolejkowana może wykonać się po zwolnieniu hosta, powodując użycie zwolnionej pamięci. Poprawka anuluje carddet_work po zwolnieniu IRQ i przed anulowaniem finish_bh_work.

W jądrze Linux sterownik mmc via-sdmmc rejestruje i włącza przerwanie card-detect przed mmc_add_host(); jeśli mmc_add_host() zawiedzie, przerwanie pozostaje zarejestrowane i obsługuje zwolniony host, powodując użycie zwolnionej pamięci. Poprawka dodaje ścieżkę błędu, która wyłącza i zwalnia przerwanie oraz anuluje carddet_work.

W jądrze Linux w ISST brakowało sprawdzenia NULL dla isst_common.sst_inst[] przy nieudanym ładowaniu gniazda, co mogło prowadzić do dereferencji NULL. Poprawka dodaje sprawdzenie NULL dla spójności z innymi miejscami.

W jądrze Linux w sterowniku platform/x86 ISST brakowało walidacji identyfikatora logicznego CPU oraz poziomu CLOS ID używanych w funkcji zarządzania mocą rdzeni. Wartości przekraczające obsługiwane maksimum nie były odrzucane, mimo że służą do obliczania offsetu MMIO.

W jądrze Linux w sterowniku platform/x86 int1092 pamięć przydzielona dla device_mode_info w parse_package() nie była zwalniana w niektórych ścieżkach błędów funkcji sar_probe(). Powodowało to wyciek pamięci.

W jądrze Linux w sterowniku panasonic-laptop występuje błąd przepełnienia bufora poza granice tablicy pcc->sinf[]. Funkcja acpi_pcc_retrieve_biosdata() zapisuje wartość sentinela pod indeksem równym liczbie elementów pakietu SINF, co przy num_sifr równym tej liczbie powoduje zapis jednego elementu poza zaalokowaną tablicą (4-bajtowe przepełnienie sterty). Problem ujawnia się na sprzęcie, gdzie HKEY.SQTY zwraca 37, a pakiet HKEY.SINF() ma 38 elementów.

Funkcja Kiro Powers w Amazon Kiro IDE przed wersją 0.8.135 pozwala na włączenie funkcjonalności z niezaufanej strefy kontroli. Złośliwa zawartość repozytorium może zmodyfikować plik ustawień workspace, przekierowując żądanie rejestru Kiro Powers do punktu końcowego kontrolowanego przez atakującego i wysyłając dane workspace po otwarciu panelu Powers.

Concrete CMS przed wersją 9.5.3 sprawdzał autoryzację dla zgłoszenia wpisu Express względem encji opublikowanego formularza, a nie encji zidentyfikowanej przez trasę dashboardu. Użytkownik uprawniony do dodawania wpisów w jednym obiekcie Express mógł tworzyć wpisy w innym obiekcie Express poza swoim zakresem uprawnień.

Concrete CMS poniżej wersji 9.5.3 nie wykonuje sprawdzenia autoryzacji na poziomie obiektu podczas aktualizacji typu strony. Kontroler Types::submit() ładował i zapisywał typ strony zidentyfikowany przez ptID dostarczony przez użytkownika bez wywołania canEditPageType(), umożliwiając zalogowanemu użytkownikowi dashboardu modyfikację konfiguracji typów stron poza jego granicami uprawnień.

Concrete CMS w wersjach od 9.5.0 do 9.5.2 jest podatny na otwarte przekierowanie poprzez parametr rcURL. Atakujący może stworzyć link w domenie witryny, który po uwierzytelnieniu przekierowuje użytkownika na dowolną zewnętrzną stronę, ułatwiając phishing i kradzież danych uwierzytelniających. Ten sam mechanizm występuje w procesie rejestracji.

Concrete CMS przed wersją 9.5.3 jest podatny na Cross-Site Request Forgery w funkcji Move Multiple Groups. Endpoint dashboard/users/groups/bulkupdate/confirm() przenosił wybrane węzły drzewa grup bez walidacji tokenu akcji, umożliwiając zmianę stanu grupy dla uwierzytelnionego użytkownika, który jej nie zainicjował. Przeniesienie grupy pod nowego rodzica powoduje dziedziczenie uprawnień rodzica przez członków grupy.

Concrete CMS w wersjach od 9.0.0 do 9.5.2 jest podatny na trwały XSS w oknie dialogowym Board Custom Slot. Endpoint custom_slot save_template autoryzuje żądanie tylko względem docelowej instancji board i zapisuje dostarczony przez klienta selectedTemplateOption[collection] bez weryfikacji, umożliwiając użytkownikowi z uprawnieniami do edycji zawartości boardu zapisanie złośliwego obiektu podsumowania z ładunkiem JavaScript w polu opisu. Domyślny szablon podsumowania renderuje to pole bez kodowania wyjściowego.

W jądrze Linux w sterowniku platform/x86 think-lmi obsługa wielu certyfikatów pozwala obiektowi uwierzytelniania systemu przechowywać pola ->signature i ->save_signature, które nie są zwalniane przy usuwaniu sterownika. Powoduje to wyciek pamięci.

W jądrze Linux w sterowniku platform/chrome sensorhub numer czujnika raportowany przez EC (in->sensor_num) nie był walidowany w cros_ec_sensorhub_ring_handler(). Wartość większa lub równa sensor_num prowadziła do odczytu i zapisu poza granicami tablicy batch_state[].

W jądrze Linux w sterowniku platform/x86/amd/pmc funkcja amd_stb_s2d_init() ignorowała wartości zwracane przez kilka poleceń SMU S2D oraz wartości S2D_PHYS_ADDR_LOW/HIGH. W przypadku błędu adres fizyczny pozostawał niezainicjalizowany i był przekazywany do devm_ioremap(), co mogło mapować adres fizyczny 0.