Katalog podatności CVE

W sterowniku HID mcp2221 funkcja mcp2221_raw_event() nie sprawdzała rozmiaru przychodzących raportów HID. W ścieżce MCP2221_I2C_GET_DATA ufała bajtowi data[3] jako długości kopiowania, co mogło prowadzić do odczytu poza buforem raportu.

W jądrze Linux sterownik HID intel-quickspi nie sprawdza rozmiaru raportu przed skopiowaniem go do bufora report_buf. Bufor jest alokowany na podstawie deskryptora urządzenia (max_report_len), ale długość raportu pochodzącego z ioctl hidraw nie jest ograniczana, co pozwala na przepełnienie bufora sterownika danymi kontrolowanymi przez atakującego.

W jądrze Linux funkcja quickspi_get_report() w sterowniku HID intel-quickspi kopiuje całą odpowiedź urządzenia do bufora wywołującego bez sprawdzenia jego długości. Odpowiedź większa niż rozmiar bufora wywołującego powoduje przepełnienie danymi kontrolowanymi przez urządzenie.

W jądrze Linux funkcja init_ei() w eventfs nie inicjalizuje list_headów eventfs_inode. Gdy eventfs_create_dir() zawiedzie z powodu braku pamięci, free_ei() sprawdza listę dzieci, która nie została zainicjalizowana, co powoduje fałszywe ostrzeżenie.

W jądrze Linux sterownik fs/ntfs3 nie waliduje tablicy dirty page table podczas odtwarzania dziennika. Podrobiony wpis DIR_PAGE_ENTRY z nieprawidłowym polem lcns_follow pozwala na wyjście poza wpis podczas konwersji v0->v1 i późniejszego odtwarzania.

W jądrze Linux funkcja ni_read_frame() w fs/ntfs3 ufa wartości zwracanej przez decompress_lznt(), która może być mniejsza niż rozmiar ramki. Niezapisane bajty pozostają w stronach vmapped i są zwracane do użytkownika, ujawniając niezainicjalizowaną pamięć jądra.

W jądrze Linux pętle copy_lcns i redo shorten w fs/ntfs3 indeksują page_lcns[] na podstawie liczby lcns_follow z rekordu dziennika, która nie jest sprawdzana względem docelowego wpisu. Spreparowany rekord może przepełnić page_lcns[] prawidłowego wpisu.

W jądrze Linux sterownik ntfs ogranicza skanowanie bitmapy wolnych klastrów na podstawie rozmiaru $Bitmap, a nie liczby klastrów wolumenu. Obraz z $Bitmap obejmującą więcej klastrów niż wolumen pozwala na indeksowanie poza tablicą lcn_empty_bits_per_page.

W jądrze Linux sterownik ntfs nie odrzuca atrybutów z pustymi mapping pairs, jeśli mają niespójne highest VCN i rozmiar. Brak walidacji może prowadzić do nieprawidłowego przetwarzania.

W jądrze Linux funkcja parse_ntfs_boot_sector() dekoduje 64-bitowe LCN sektora rozruchowego NTFS do typu s64. Spreparowana wartość z wysokim bitem staje się ujemna i przechodzi sprawdzenie górnej granicy, co prowadzi do dostępu poza granicami tablicy lcn_empty_bits_per_page.

W jądrze Linux funkcja ntfs_attr_update_meta() nie waliduje przesunięcia nazwy atrybutu podczas konwersji między atrybutami niesparsowanymi i sparowanymi. Złośliwy rekord MFT może ustawić name_offset tak, że nazwa wykracza poza granice atrybutu lub nakłada się na mapping pairs.

W jądrze Linux w dekoderze par mapowania systemu plików NTFS brakowało sprawdzenia, czy długość zakresu nie wykracza poza granicę wolumenu. Złośliwy obraz NTFS mógł spowodować dostęp do pamięci poza granicą wolumenu, prowadząc do uszkodzenia pamięci i eskalacji uprawnień.

W jądrze Linux funkcja ecryptfs_exorcise_daemon() usuwała zakolejkowane wiadomości z kończącego się demona bez trzymania blokady ecryptfs_msg_ctx_lists_mux, której wymaga ecryptfs_msg_ctx_alloc_to_free(). Powodowało to wyścig z innymi użytkownikami globalnej listy kontekstów wiadomości.

W jądrze Linux funkcja ecryptfs_parse_packet_set() obliczała rozmiar bufora pozostałych pakietów jako PAGE_SIZE - 8, mimo że dla nagłówków w wersji 1 zestaw pakietów zaczyna się później w nagłówku. Mogło to zawyżać dostępny bufor i prowadzić do błędów w parsowaniu.

W jądrze Linux w funkcji parse_tag_3_packet() podatność polega na braku ograniczenia wartości encrypted_key_size do rozmiaru ECRYPTFS_MAX_KEY_BYTES (64 bajtów). Gdy encrypted_key_size przekracza 64, funkcja decrypt_passphrase_encrypted_session_key() wykonuje dwa zapisy poza granicami bufora, co prowadzi do uszkodzenia pamięci struktur ecryptfs_auth_tok i ecryptfs_crypt_stat. Problem dotyczy wyłącznie szyfru AES-192 (kod 0x08), który ustawia crypt_stat->key_size = 24 niezależnie od encrypted_key_size.

W jądrze Linux funkcja ecryptfs_parse_tag_70_packet() odejmowała stałe pola metadanych od rozmiaru ciała pakietu, aby wyznaczyć rozmiar zaszyfrowanej nazwy pliku. Złośliwy pakiet o zbyt małym ciele mógł spowodować niedomiar w tym obliczeniu.

W jądrze Linux funkcja ecryptfs_send_message_locked() przenosiła kontekst wiadomości z listy wolnych na listę przydzielonych przed wysłaniem żądania do demona w przestrzeni użytkownika. Jeśli ecryptfs_send_miscdev() zawiodło, kontekst pozostawał na liście przydzielonych i nie mógł być ponownie użyty.

W jądrze Linux funkcja statfs() na punkcie montowania efivarfs może być wywoływana przez nieuprzywilejowanych użytkowników, co może skutkować zalewem wywołań usługi czasu wykonania QueryVariableInfo(). Na systemach x86, gdzie magazyn zmiennych jest obsługiwany przez SMM, każde wejście SMM wymaga spotkania wszystkich procesorów, co jest kosztowne.

To CVE zostało odrzucone lub wycofane przez organizację numerującą CVE. Brak dalszych informacji o podatności.

W jądrze Linux w systemie plików erofs zmienna z_erofs_gbuf_nrpages jest zwiększana dopiero po powiększeniu wszystkich buforów globalnych. Jeśli zmiana rozmiaru nie powiedzie się po powiększeniu niektórych buforów, ponowna próba odwiedza już powiększone bufory, co może prowadzić do błędów alokacji lub przepełnienia tablicy wskaźników.