Katalog podatności CVE

W jądrze Linux w sterowniku wifi mt76 (mt7615) funkcja mt7615_suspend() pozyskuje muteks mt76, a następnie wywołuje cancel_delayed_work_sync() na mac_work. Ponieważ mt7615_mac_work() również pozyskuje ten sam muteks, jeśli mac_work już działa i czeka na muteks, ścieżka suspend zakleszcza się.

W jądrze Linux w sterowniku wifi mt76 (mt7915) funkcja mt7915_mcu_get_eeprom() kopiuje stały blok EFUSE do bufora dev->mt76.eeprom.data pod adresem raportowanym przez MCU (res->addr) bez sprawdzenia go względem rozmiaru bufora. Złośliwe lub wadliwe urządzenie może zgłosić dowolny adres i wywołać 16-bajtowy zapis poza zakresem bufora.

W jądrze Linux w sterowniku wifi mt76 (mt7925) funkcja mlo_pm_work jest kolejkowna z 5-sekundowym opóźnieniem podczas konfiguracji oszczędzania energii multi-link i nigdy nie jest anulowana na ścieżce zatrzymania. Jeśli urządzenie zostanie zniszczone w tym oknie, praca przeżywa teardown, a jej timer odpala się później, próbując kolejkować do już nieistniejącej kolejki roboczej.

W jądrze Linux w funkcji mt7996_mcu_get_eeprom() sterownika wifi mt76 (układ mt7996) adres docelowy kopii bloku EFUSE/EXT jest wyliczany na podstawie adresu raportowanego przez MCU (event->addr), a ograniczana jest jedynie długość kopii, nigdy przesunięcie docelowe w buforze eeprom.data. Złośliwe lub wadliwe urządzenie może zgłosić dowolny adres i wymusić zapis poza zakresem bufora eeprom.data o rozmiarze do MT7996_EXT_EEPROM_BLOCK_SIZE bajtów.

W jądrze Linux sterowniki mt7996/mt7992 przekazują firmware'owi HW MAC-TXP dla ramek AddBA req, ale są urządzeniami FW-TXP. Przy zwalnianiu TX funkcja mt76_connac_txp_skb_unmap() błędnie dekoduje txp jako strukturę mt76_connac_fw_txp, przez co pętla unmap wykonuje się zero razy i mapowanie DMA skb w buf[1] nigdy nie jest zwalniane. Każda ramka AddBA req powoduje wyciek jednego mapowania TX DMA, co przy ciągłym ponownym łączeniu klientów wyczerpuje pulę swiotlb WED po około 1-2 dniach.

W jądrze Linux domyślny firmware EEPROM jest parsowany i kopiowany jako pełny EEPROM bez sprawdzenia jego długości. Obcięty plik może spowodować odczyt poza buforem firmware podczas walidacji wariantu lub kopii zapasowej.

W jądrze Linux funkcja virtio_vsock_remove() zatrzymuje kolejki i opróżnia elementy pracy przed zwolnieniem struktury virtio_vsock, ale kolejność nie uwzględnia zależności między nimi: tx_work może zakolejkować send_pkt_work, a send_pkt_work może zakolejkować rx_work. W szczególności send_pkt_work może ustawić restart_rx i zwolnić tx_lock, a ścieżka usuwania może opróżnić rx_work przed jego zakolejkowaniem, co prowadzi do wyścigu use-after-free z kfree(vsock).

W jądrze Linux funkcja w1_f19_i2c_master_transfer() będąca master_xfer dla mostu DS28E17 1-Wire do I2C, przy odczycie I2C_M_RECV_LEN pobiera długość z urządzenia. Sterownik odczytuje tę liczbę bajtów do buf[1], ale bufor wywołującego ma rozmiar I2C_SMBUS_BLOCK_MAX + 2 (34 bajty), a długość powyżej 32 powoduje odczyt poza buforem do około 222 bajtów. Sprawdzenie w rdzeniu SMBus następuje po powrocie master_xfer, gdy zapis już się dokonał.

W jądrze Linux funkcja i2c_nuvoton_wait_for_stat() w sterowniku tpm_i2c_nuvoton włącza przerwanie przed oczekiwaniem na zmianę statusu. Jeśli oczekiwanie przekroczy limit czasu lub zostanie przerwane przed uruchomieniem handlera, funkcja zwraca wynik bez zrównoważenia wywołania enable_irq().

W jądrze Linux wpis sysctl "cad_pid" jest globalny, a kill_cad_pid() jest używane tylko w głównej przestrzeni nazw. Jednak z powodu pid_table_root_permissions() nieuprzywilejowany użytkownik może odłączyć przestrzenie nazw pid/user i modyfikować ten wpis z podrzędnej przestrzeni nazw, co jest błędne.

W jądrze Linux funkcja smack_file_send_sigiotask() uzyskiwała dostęp zarówno do tsk->cred, jak i __task_cred(tsk). Dostęp do ->cred na zadaniu innym niż bieżące jest zabronione, ponieważ zadanie może zmieniać własny wskaźnik ->cred bez synchronizacji, co prowadzi do use-after-free struktury cred.

W jądrze Linux w funkcji __do_adjtimex() nie sprawdzano wartości zwracanej przez tk_get_aux_ts64. Jeśli zegar pomocniczy zostanie wyłączony podczas tk_get_aux_ts64(), ale włączony przed sprawdzeniem tks->clock_valid, używane są niezainicjalizowane dane stosu, które są pośrednio ujawniane przestrzeni użytkownika.

W jądrze Linux naprawiono błąd use-after-free w mechanizmie powiadomień o przerwaniu oplocku w module ksmbd. Funkcja smb2_oplock_break_noti() odczytywała wskaźnik opinfo->conn bez blokady i używała go po operacjach alokacji, które mogą usypiać, co pozwalało na wyścig z procesem rozłączania trwałego uchwytu (durable handle) i dostęp do zwolnionego połączenia. Podatność może być wykorzystana przez każdego uwierzytelnionego klienta posiadającego trwały batch oplock.

Podatność typu reflected XSS w komponencie p.rfihub.com platformy Zeta Marketing Platform (ZMP) v1.0 pozwala atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez wstrzyknięcie spreparowanego adresu URL do parametru ca.

Podatność typu out-of-bounds write w Citrix Workspace app dla Windows. Problem dotyczy wersji przed 2603.11 Current Release (CR), przed 2507.1 LTSR CU3 oraz przed LTSR 2607.

Podatność typu out-of-bounds read w Citrix Workspace app dla Windows. Problem dotyczy wersji przed 2603.11 Current Release (CR), przed 2507.1 LTSR CU3 oraz przed LTSR 2607.

Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (cross-site scripting) w Microsoft Edge (opartym na Chromium) pozwala nieautoryzowanemu atakującemu na przeprowadzenie ataku typu spoofing przez sieć.

Concrete CMS przed wersją 9.5.3 nie walidował tokenu anty-CSRF w akcji submit() kontrolera okna dialogowego duplikowania wydarzenia kalendarza (concrete/controllers/dialog/event/duplicate.php), co pozwalało na zduplikowanie wydarzenia po sprawdzeniu tylko canAccess() i uprawnienia canAddCalendarEvent(). Sfałszowane żądanie cross-site mogło spowodować utworzenie duplikatów rekordów CalendarEvents i CalendarEventVersions przez uwierzytelnionego użytkownika z uprawnieniem dodawania wydarzeń.

AirSane w wersjach przed 0.4.12 ma podatność w implementacji serwera HTTP, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) poprzez wyczerpanie pamięci. Funkcja HttpServer::Request::content odczytuje nagłówek Content-Length i przekazuje jego wartość bezpośrednio do std::string::resize() bez walidacji górnej granicy, co przy dużych wartościach powoduje próbę alokacji gigabajtów pamięci i awarię procesu. Dodatkowo podanie znaków nienumerycznych w nagłówku prowadzi do niezdefiniowanego zachowania.

GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.