Katalog podatności CVE

W jądrze Linux urządzenia tuneli IP wyliczają reklamowany needed_headroom z niższych urządzeń wyjściowych. Stos urządzeń tworzonych przez użytkownika może sprawić, że wartość przekroczy zakres 16-bitowych przesunięć nagłówka skb, co przy rezerwacji w wyjściu IP powoduje zawinięcie tych przesunięć.

W jądrze Linux funkcja skb_tx_error() kończy zerocopy uarg i czyści SKBFL_ALL_ZEROCOPY, a skb_zcopy_downgrade_managed() czyści SKBFL_MANAGED_FRAG_REFS — oba w skb_shinfo() współdzielonym przez klony. Przy klonie Open vSwitch (OVS_ACTION_ATTR_RECIRC) prowadzi to do zdjęcia znacznika z pakietu wciąż przekazywanego i późniejszego odszyfrowania ESP w miejscu na fragmentach, których nie posiada się na wyłączność.

W jądrze Linux występuje podatność w obsłudze segmentowego routingu IPv6 (SRv6). Funkcja decap_and_validate() nie resetuje bloku kontrolnego IPv6 (IP6CB) po dekapulacji, przez co nieuprzywilejowany użytkownik może doprowadzić do odczytu poza buforem (slab-out-of-bounds) w ip6_protocol_deliver_rcu().

W jądrze Linux występuje podatność w sterowniku mfd: qnap-mcu. Funkcja qnap_mcu_exec() publikuje bufor na stosie (rx) do ścieżki odbioru, która może zapisywać do niego po przekroczeniu limitu czasu lub po niepowodzeniu zapisu, gdy ramka stosu nie jest już ważna. Prowadzi to do uszkodzenia pamięci stosu i potencjalnego wykonania dowolnego kodu.

W jądrze Linux w funkcjach sm501_pci_probe() i sm501_plat_probe() przydzielana jest pamięć dla struktury sm501_devdata, która nie jest zwalniana przez odpowiadające funkcje usuwania sm501_pci_remove() i sm501_plat_remove(). Powoduje to wyciek pamięci przy każdym usunięciu urządzenia.

W jądrze Linux w sterowniku ALSA dla urządzeń USB 6fire (snd_usb_6fire) funkcja usb6fire_comm_receiver_handler() przekazywała zdarzenie MIDI, używając długości podanej przez urządzenie bez żadnej walidacji. Złośliwe lub wadliwe urządzenie mogło podać długość 0xFF, co powodowało odczyt 255 bajtów z 64-bajtowego bufora (odczyt poza zakresem). Problem występuje już przy podłączeniu urządzenia, a dane spoza bufora mogą trafić do przestrzeni użytkownika przez interfejs rawmidi.

Sterownik ALSA aloop w jądrze Linux bez weryfikacji ufa wartości devptr->id podczas probe, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Przy ręcznym powiązaniu urządzenia przez sysfs wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów.

W jądrze Linux w sterowniku ALSA bcd2000 funkcja zwalniająca zasoby USB nie zerowała wskaźników do struktur URB po ich zwolnieniu. Otwarty strumień rawmidi mógł po odłączeniu urządzenia odwołać się do zwolnionej pamięci (use-after-free), co prowadziło do uszkodzenia pamięci jądra.

W jądrze Linux w funkcji fcp_ioctl_init() sterownika ALSA FCP bufor odpowiedzi był alokowany przez kmalloc() bez wyzerowania i kopiowany w całości do przestrzeni użytkownika. Krótki lub zerowy transfer USB (step 0) był akceptowany jako sukces, przez co niezinicjalizowane bajty pamięci jądra trafiały do aplikacji użytkownika. Luka została naprawiona poprzez wyzerowanie bufora i wymuszenie pełnego transferu step 0.

Sterownik ALSA mpu401 w jądrze Linux bez weryfikacji ufa wartości devptr->id podczas probe, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Przy ręcznym powiązaniu urządzenia przez sysfs wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów.

Sterownik ALSA mts64 w jądrze Linux sprawdza wartość devptr->id, ale nie weryfikuje wartości ujemnych, które są często przekazywane jako "none" przy powiązaniu urządzenia przez sysfs. Może to prowadzić do dostępu poza zakresem tablicy index[] i innych parametrów.

Funkcja pcxhr_probe() w jądrze Linux wywołuje pcxhr_threaded_irq() przed zainicjalizowaniem mutexa mgr->lock, mimo że wątek obsługi przerwania używa tego mutexa. Wczesne przerwanie może więc działać na niezainicjalizowanym stanie mutexa podczas probe.

Sterownik ALSA portman2x4 w jądrze Linux sprawdza wartość devptr->id, ale nie weryfikuje wartości ujemnych, które są często przekazywane jako "none" przy powiązaniu urządzenia przez sysfs. Może to prowadzić do dostępu poza zakresem tablicy index[] i innych parametrów.

W jądrze Linux sterownik ALSA serial-u16550 bez weryfikacji ufa wartości devptr->id, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Gdy urządzenie jest podpinane ręcznie przez sysfs, wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów. Dodano sprawdzenie poprawności indeksu karty z ostrzeżeniem i korektą wartości spoza zakresu.

W jądrze Linux sterownik ALSA virmidi bez weryfikacji ufa wartości devptr->id, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Gdy urządzenie jest podpinane ręcznie przez sysfs, wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów. Dodano sprawdzenie poprawności indeksu karty z ostrzeżeniem i korektą wartości spoza zakresu.

W jądrze Linux w module dm-stats występuje błąd polegający na tym, że gdy alokacja danych per-CPU (dm_kvzalloc) się nie powiedzie, kod wywołuje dm_stat_free, która odwołuje się do wskaźnika s->stat_percpu[cpu] bez sprawdzenia NULL. Prowadzi to do dereferencji NULL i awarii jądra. Poprawka dodaje sprawdzenie NULL przed użyciem wskaźnika.

W jądrze Linux moduł dm-pcache nie waliduje pól geometrii (n_segs i id segmentu) pochodzących z metadanych cache_info na dysku. Funkcja cache_segs_init() iteruje n_segs razy, indeksując tablicę cache->segments[], która ma rozmiar wynikający z geometrii urządzenia. Ponieważ metadane są chronione jedynie CRC z publicznym ziarnem, osoba dostarczająca urządzenie cache (CAP_SYS_ADMIN) może podać zbyt duże n_segs lub identyfikator spoza zakresu, powodując odczyt i zapis poza zakresem. Poprawka odrzuca nieprawidłowe wartości przed użyciem.

W jądrze Linux moduł dm-pcache nie ogranicza pola key_num w ksecie ani granic wewnątrz segmentu. key_num steruje funkcją cache_kset_crc() i pętlą odtwarzania w cache_replay(), a ponieważ sprawdzane są tylko magic i CRC z publicznym ziarnem, nieprawidłowy key_num może spowodować odczyt poza buforem PCACHE_KSET_KEYS_MAX. Dodatkowo przesunięcie i długość klucza w cache_key_decode() są przyjmowane bez weryfikacji, co pozwala na odczyt poza segmentem i wyciek danych do przestrzeni użytkownika. Poprawka dodaje walidację key_num i granic klucza.

W jądrze Linux moduł dm-pcache nie waliduje pola seg_num pochodzącego z superbloku chronionego tylko crc32c. seg_num określa rozmiar tablicy cache->segments[] i jest używany do ograniczania identyfikatorów segmentów, ale nigdy nie jest sprawdzany względem rozmiaru urządzenia. Osoba dostarczająca urządzenie cache (CAP_SYS_ADMIN) może podać zbyt duże seg_num, co prowadzi do zapisu poza zakresem (memset 12 KiB) w pamięci jądra podczas ładowania tabeli. Poprawka odrzuca seg_num równy zero, większy niż urządzenie może pomieścić lub większy niż PCACHE_CACHE_SEGS_MAX.

W jądrze Linux moduł dm-pcache nie ogranicza przesunięcia seg_off w funkcji cache_pos_decode(), która pobiera zapisane wartości key_tail i dirty_tail z urządzenia cache. Wartość seg_off równa lub większa niż rozmiar danych segmentu (data_size), kontrolowana przez osobę dostarczającą urządzenie (CAP_SYS_ADMIN), powoduje odczyt poza segmentem. Poprawka odrzuca zdekodowane seg_off, które nie jest mniejsze niż data_size segmentu.