Katalog podatności CVE

W jądrze Linux funkcje ext2_setsize() i ext2_xattr_set2() zawierały konstrukcję, która dla i-węzłów IS_SYNC wywoływała sync_inode_metadata() zamiast oznaczenia i-węzła jako brudny. Ponieważ sync_inode_metadata() działa tylko jeśli i-węzeł jest już brudny, aktualizacje i-węzła mogły zostać utracone.

W jądrze Linux występuje błąd use-after-free w podsystemie fanotify dotyczący informacji o zakresie pliku. Wskaźnik do pozycji zakresu przechowywanej na stosie zadania wywołującego jest zapisywany w zdarzeniu uprawnień na stercie, a gdy sygnał przerwie zadanie wywołujące, ramka stosu jest zwalniana, podczas gdy czytelnik zdarzenia nadal odwołuje się do tego wskaźnika. Prowadzi to do odczytu nieaktualnej wartości ze stosu i skopiowania jej do przestrzeni użytkownika.

W jądrze Linux w sterowniku fbdev omapfb panel-dsi-cm mutex ddata->lock jest inicjalizowany po zarejestrowaniu wyświetlacza. Po opublikowaniu wyświetlacza przez omapdss_register_display() inny konsument może wywołać funkcję zwrotną dsicm, która próbuje użyć niezainicjalizowanego mutexa. Może to prowadzić do nieprawidłowego działania lub awarii.

W jądrze Linux sterownik fbdev ssd1307fb wywoływał synchroniczne transfery I2C z callbacków uszkodzenia (damage callbacks), które mogą być uruchamiane z fbcon w kontekście atomowym (z wyłączonym wywłaszczaniem przez printk). Prowadziło to do błędu "scheduling while atomic" i ostrzeżeń jądra na systemach takich jak RK3566. Problem został rozwiązany poprzez odroczenie transferów I2C z callbacków uszkodzenia.

W jądrze Linux w sterowniku fbdev uvesafb funkcja uvesafb_init() rejestruje funkcję zwrotną złącza v86d przed zarejestrowaniem sterownika platformowego. Jeśli platform_driver_register() zakończy się niepowodzeniem, funkcja zwraca błąd bez wyrejestrowania funkcji zwrotnej złącza, pozostawiając ją zarejestrowaną. Późniejsza ścieżka błędu urządzenia platformowego już wykonuje takie wyrejestrowanie.

W sterowniku forcedeth jądra Linux pętle w nv_suspend() i nv_resume() używają warunku 'i <= register_size/sizeof(u32)', co powoduje jedną iterację za dużo i dostęp poza granice tablicy saved_config_space. Na urządzeniach VER3 ostatnia iteracja sięga poza tablicę, wykonując odczyt MMIO oraz — przy wznowieniu — zapis MMIO jeden dword poza zmapowanym zakresem rejestrów. Błąd wykrywany jest przez UBSAN, a przy CONFIG_UBSAN_TRAP=y powoduje przerwanie działania jądra.

W jądrze Linux naprawiono błąd wyścigu w podsystemie fsnotify dotyczący aktualizacji masek zdarzeń dla znaczników (mark). Równoległe aktualizacje różnych znaczników na tym samym obiekcie mogły prowadzić do pozostawienia nieaktualnej maski obiektu, przez co zdarzenia takie jak FAN_MODIFY lub IN_MODIFY mogły nie być zgłaszane mimo poprawnej konfiguracji. Problem występował m.in. w fanotify i inotify.

W jądrze Linux sterownik hsi omap_ssi_core używa syntetycznego urządzenia kontrolera HSI przydzielonego przez hsi_alloc_controller(), które nie przechodzi normalnej ścieżki inicjalizacji urządzenia OF/platform. W rezultacie osadzona struktura device nie ma domyślnie zainicjalizowanej maski DMA. Po ostatnich zmianach wzmacniających API DMA funkcje dma_map_sg() i pokrewne wymagają prawidłowej dma_mask, w przeciwnym razie sterownik może się zawiesić lub wywołać ostrzeżenia.

W jądrze Linux w podsystemie hugetlb funkcja __unmap_hugepage_range może dostosowywać rezerwacje od czasu zmiany df7a6d1f6405. Gdy folio jest zmapowane zarówno w rodzicu, jak i w dziecku, a rodzic najpierw odmapuje zakres, dostosowanie rezerwacji powoduje niedomiar licznika rezerwacji. Po odmapowaniu zakresu przez dziecko licznik zostaje przywrócony. Poprawka sprawdza mapcount przed dostosowaniem rezerwacji.

W jądrze Linux sterownik accel/rocket w funkcji rocket_job_push() przydziela tymczasową tablicę na wskaźniki obiektów GEM wejściowych i wyjściowych. Występują dwa błędy: brak sprawdzenia NULL po nieudanej alokacji kvmalloc_array() powodujący dereferencję NULL oraz przepełnienie liczb całkowitych przy sumowaniu in_bo_count i out_bo_count (typy u32), które mogą się zawinąć, prowadząc do zbyt małej alokacji i późniejszych dostępów poza granicami tablicy.

W jądrze Linux sterownik accel/rocket funkcja rocket_ioctl_submit_job() zwalnia rjob przez rocket_job_put() na ścieżkach błędów alokacji. Funkcja rocket_job_cleanup() bezwarunkowo wywołuje rocket_iommu_domain_put(job->domain), ale job->domain jest przypisywane dopiero po kopiowaniu zadań i wyszukiwaniu BO. Awaria przed tym przypisaniem może spowodować czyszczenie zadania z wskaźnikiem domain równym NULL. Dodatkowo rjob->tasks nie jest czyszczone po zwolnieniu w rocket_copy_tasks(), co może prowadzić do podwójnego zwolnienia.

W jądrze Linux w funkcji rocket_job_run() sterownika accel/rocket występują błędy w obsłudze ścieżek błędów. Nie zwalniane są referencje do fence (job->done_fence), a pm_runtime_get_sync() zwiększa licznik użycia nawet przy błędzie, co uniemożliwia uśpienie NPU. Dodatkowo do schedulera DRM zwracany jest niezsygnalizowany fence, co wywołuje ostrzeżenie WARN.

W jądrze Linux występuje zakleszczenie w obsłudze błędów CXL CPER w module acpi/apei/ghes. Blokady cxl_cper_work_lock i cxl_cper_prot_err_work_lock były używane jako zwykłe spinlocki, co przy przerwaniu GHES na tym samym CPU prowadziło do zakleszczenia. Problem rozwiązano przez zmianę na raw_spinlock_t, dodanie WARN_ONCE oraz uporządkowanie funkcji wyrejestrowujących.

W jądrze Linux w funkcji ghes_handle_arm_hw_error() (ACPI APEI GHES) po pominięciu nagłówka cper_sec_proc_arm pozostała długość jest zmniejszana o sizeof(err) (rozmiar wskaźnika) zamiast sizeof(*err) (rozmiar struktury). Powoduje to przeszacowanie dostępnych bajtów i może doprowadzić do odczytu poza sekcją CPER, gdy err_info_num jest wystarczająco duże.

W jądrze Linux w funkcji query_capability() (ACPI pfr_update) kopiowane są cztery obiekty bufora ACPI zwracane przez firmware _DSM do pól u8[16] w strukturze pfru_update_cap_info za pomocą memcpy z długością dostarczoną przez firmware. Jeśli firmware zwróci buffer.length > 16, memcpy zapisuje poza docelową tablicą, powodując przepełnienie bufora na stosie.

W jądrze Linux występuje błąd w funkcji ata_format_dsm_trim_descr(), która buduje deskryptor polecenia ATA TRIM w buforze o rozmiarze 2048 bajtów. Na urządzeniach z logicznym rozmiarem sektora większym niż 2048 bajtów (np. 4Kn, sektor 4096 bajtów) funkcja nigdy nie zwraca oczekiwanego rozmiaru sektora, przez co każde polecenie TRIM jest odrzucane z błędem długości listy parametrów i generuje ostrzeżenia WARN_ON().

W jądrze Linux w sterowniku auxdisplay charlcd, przy włączonej opcji CONFIG_CHARLCD_BL_FLASH, funkcja charlcd_init() planuje bl_work przed wywołaniem charlcd_register(). Jeśli rejestracja się nie powiedzie, obiekt charlcd jest zwalniany, podczas gdy opóźniona praca nadal zawiera jego adres, co prowadzi do use-after-free.

W jądrze Linux nie walidowano wyrównania wektorów przestrzeni użytkownika podczas budowania bio z iov_iter. Sterowniki blokowe oparte na bio nie sprawdzały podziału przy niezgodności wyrównania, co mogło prowadzić do błędnego działania. Poprawka waliduje wektory względem dma_alignment urządzenia i odrzuca niezgodne z -EINVAL.

W jądrze Linux funkcja eir_get_service_data() w module Bluetooth EIR zawiera błąd odczytu poza buforem (OOB read). Nieprawidłowe przeliczanie eir_len przy pomijaniu pól powoduje, że wskaźnik wykracza poza bufor le_per_adv_data[] i odczytuje dane z reszty struktury hci_conn. Poprawka przelicza eir_len od końca bufora w każdej iteracji.

W jądrze Linux sterownik bnx2x zawiera błąd podwójnego zwolnienia pamięci w ścieżce błędów funkcji bnx2x_init_firmware(). Wskaźniki init_ops, init_data i init_ops_offsets nie są ustawiane na NULL po zwolnieniu, więc późniejsze wywołanie bnx2x_release_firmware() zwalnia je ponownie. Poprawka ustawia każdy wskaźnik na NULL po kfree().