Katalog podatności CVE

W jądrze Linux w sterowniku platform/x86/amd/pmc funkcja amd_pmc_probe() rejestrowała handler LPS0 s2idle oraz tworzyła katalog debugfs przed wywołaniem amd_stb_s2d_init(). Gdy ta ostatnia funkcja zawiodła, ścieżka błędu nie wyrejestrowywała handlera ani nie usuwała katalogu debugfs, co prowadziło do uszkodzenia listy i błędu jądra przy ponownym ładowaniu modułu.

W jądrze Linux w sterowniku platform/x86 hp-bioscfg funkcje sk_store() i kek_store() usuwały końcowy znak nowej linii przed alokacją bufora klucza, ale do hp_wmi_perform_query() przekazywały oryginalny rozmiar count zamiast length. Powodowało to odczyt jednego bajtu poza zaalokowanym buforem.

W jądrze Linux w sterowniku platform/x86 hp-bioscfg funkcja validate_password_input() obliczała length = strlen(buf) i sprawdzała buf[length - 1] bez uprzedniego upewnienia się, że length jest niezerowe. Zapis pustego łańcucha (samego '\n') do current_password lub new_password powodował odczyt buf[-1], czyli jednego bajtu przed alokacją sterty.

W jądrze Linux w sterowniku platform/x86 hp-bioscfg funkcja hp_get_string_from_buffer() porównywała długość konwertowanego łańcucha z rozmiarem bufora docelowego za pomocą warunku "size > dst_size". Gdy długość była równa dst_size, bezwarunkowy zapis terminatora NUL trafiał jeden bajt poza bufor docelowy.

W jądrze Linux w module platform/x86 hp-bioscfg parsery pakietów ACPI otrzymywały błędną liczbę elementów — zamiast zwalidowanej wartości obj->package.count przekazywały długość pola NAME (typu string), co wynikało z unii acpi_object. Obecnie jest to bezpieczne, ponieważ funkcja hp_init_bios_package_attribute() odrzuca pakiety o zbyt małej liczbie elementów, ale planowane złagodzenie tego sprawdzenia doprowadziłoby do odczytu poza granicami sterty (out-of-bounds heap read). Poprawka przekazuje prawidłową, zwalidowaną liczbę elementów do parserów.

To zgłoszenie CVE zostało odrzucone lub wycofane przez organizację odpowiedzialną za numerację CVE. Nie zawiera ono potwierdzonej podatności ani szczegółów technicznych.

To zgłoszenie CVE zostało odrzucone lub wycofane przez organizację odpowiedzialną za numerację CVE. Nie zawiera ono potwierdzonej podatności ani szczegółów technicznych.

W jądrze Linux występuje podatność use-after-free w funkcjach icc_get() i of_icc_get_by_index(). Gdy alokacja pamięci dla path->name nie powiedzie się, ścieżka błędu wywołuje kfree(path) bez wcześniejszego usunięcia wskaźników z listy req_list, co prowadzi do dangling pointers i późniejszego użycia zwolnionej pamięci. Problem został naprawiony poprzez zastąpienie kfree(path) funkcją icc_put(path) oraz zwolnienie mutexa icc_lock przed jej wywołaniem.

W jądrze Linux funkcja ipmb_write() w sterowniku IPMI odczytywała pola wiadomości przed walidacją bajtu długości. Krótki lub zerowy zapis może odczytać niezainicjalizowane bajty stosu, a długość mniejsza niż nagłówek SMBus powoduje niedomiar długości zapisu blokowego.

W jądrze Linux funkcja ipmi_add_smi() tworzy pliki nr_users i nr_msgs przed próbą utworzenia pliku maintenance_mode. Jeśli ostatnie tworzenie się nie powiedzie, ścieżka błędu usuwa tylko nr_users przed zwolnieniem referencji do interfejsu, pozostawiając zarejestrowany atrybut sysfs nr_msgs w zwolnionym interfejsie.

W jądrze Linux występuje podatność typu NULL pointer dereference w sterowniku ipmi_si. Gdy rejestracja interfejsu IPMI nie powiedzie się (np. BMC nie odpowiada poprawnie na polecenie Get Device ID), funkcja shutdown_smi() zwalnia pamięć si_sm i ustawia wskaźnik na NULL, ale flaga in_shutdown nie jest ustawiana. Asynchroniczne zadanie redo_bmc_reg może następnie ponowić próbę komunikacji z już wyczyszczonym interfejsem, co prowadzi do wywołania start_kcs_transaction() z NULL wskaźnikiem i awarii jądra.

W jądrze Linux, jeśli podczas uruchamiania interfejsu IPMI wystąpi błąd, może on mieć zaplanowaną pracę do wykonania. Praca ta musi zostać anulowana przed zwolnieniem interfejsu, czego brakowało w module ipmi:msghandler.

W jądrze Linux w funkcji afiucv_hs_rcv() (net/iucv) gniazdo AF_IUCV było wybierane wyłącznie na podstawie czterech pól nazw w nagłówku transportowym, bez sprawdzania urządzenia sieciowego, z którego ramka przyszła. Umożliwiało to dostarczenie ramki z dowolnego netdev do gniazda AF_IUCV, w tym z urządzenia w innej przestrzeni nazw. Poprawka pomija gniazda, których hs_dev nie odpowiada urządzeniu wejściowemu.

W jądrze Linux funkcja xdp_convert_zc_to_xdp_frame() klonuje pakiet XSK do strony rzędu 0 i ogłasza PAGE_SIZE jako rozmiar ramki, pozwalając skopiowanej ramce zająć ogon strony potrzebny dla skb_shared_info. Prowadzi to do nakładania się skb na skb_shared_info lub umieszczenia go poza przydzieloną stroną, co skutkuje błędem KASAN slab-out-of-bounds w skb_gro_receive.

W jądrze Linux występuje podatność use-after-free w funkcji sl_sync() sterownika SLIP. Tablica slip_devs[] przechowuje wskaźniki do struktur net_device bez zwiększania licznika referencji, a zwolnienie wpisu następuje poza ochroną rtnl_lock(), co pozwala na dostęp do zwolnionej pamięci podczas wywołania slip_open().

W jądrze Linux w funkcji tun_get_user() sterownika TUN/TAP wartość tun->align jest używana zarówno jako headroom skb, jak i do wyboru ilości danych liniowych. Gdy align przekracza dostępne miejsce w jednej stronie skb, wyrażenie SKB_MAX_HEAD(align) ulega niedomiarowi, a wynik staje się ujemny i po przypisaniu do zmiennej size_t powoduje umieszczenie skb->data poza zaalokowanym obszarem. OVS może propagować zbyt duży headroom z innego portu do TUN/TAP.

W jądrze Linux w sterowniku DSA dla układów Realtek funkcje rtl83xx_reset_assert() i rtl83xx_reset_deassert() używały gpiod_set_value() zamiast gpiod_set_value_cansleep() do sterowania GPIO resetu. Gdy GPIO resetu jest obsługiwane przez kontroler mogący zasypiać (np. ekspander I2C), wywołanie gpiod_set_value() generuje ostrzeżenie jądra. Podatność dotyczy jąder v6.9+ zawierających te funkcje pomocnicze.

W jądrze Linux sterownik bnxt w ścieżce SW USO może wcześnie zakończyć działanie z NETDEV_TX_BUSY, mimo że txr->kick_pending zostało wcześniej ustawione na 1. W takiej sytuacji sterownik zapisuje część deskryptorów BD, ale nie zapisuje doorbella, co powoduje zatrzymanie kolejki TX, ponieważ urządzenie nie wie, że ma wykonać transmisję i wygenerować ukończenie wybudzające kolejkę.

W jądrze Linux naprawiono błąd w sterowniku IPA (net: ipa), który powodował trwałe zatrzymanie kolejki TX modemu po wznowieniu działania (runtime resume). Funkcja ipa_start_xmit() bezwarunkowo zatrzymywała kolejkę TX przed wywołaniem pm_runtime_get(), licząc na wznowienie kolejki przez mechanizm wake. Jednak zadanie wake było uruchamiane zbyt wcześnie — zanim stan zasilania osiągnął RPM_ACTIVE — przez co wznowienie kolejki nie następowało, a transmisja zawieszała się na stałe.

W jądrze Linux handlery netlink L2TP dla tworzenia i modyfikacji tunelu oraz sesji wysyłają powiadomienia multicast po zakończeniu właściwej operacji. Błąd alokacji, kodowania lub multicastu powiadomienia jest zwracany jako wynik komendy, mimo że operacja już się powiodła, co może powodować ponawianie przez wywołujących i gromadzenie aktywnych obiektów.