Katalog podatności CVE

W jądrze Linux występuje podatność polegająca na braku sprawdzenia wartości NULL dla wskaźnika idev w funkcji ipv6_rpl_srh_rcv(). Gdy MTU interfejsu spadnie poniżej IPV6_MIN_MTU, addrconf_ifdown() czyści dev->ip6_ptr, a pakiet, który przeszedł wcześniejszą weryfikację, może dotrzeć do ipv6_rpl_srh_rcv() z już wyczyszczonym wskaźnikiem, powodując dereferencję NULL.

W jądrze Linux naprawiono lukę w mechanizmie Landlock dotyczącą tworzenia obiektów whiteout używanych przez OverlayFS. Tworzenie whiteout przez mknod(2) z S_IFCHR i makedev(0,0) oraz przez renameat2(2) z RENAME_WHITEOUT nie było prawidłowo kontrolowane przez uprawnienia Landlock, co pozwalało na obejście ograniczeń. Wprowadzono wymóg posiadania uprawnienia LANDLOCK_ACCESS_FS_MAKE_REG dla obu tych przypadków.

W jądrze Linux funkcja __nd_label_validate() w libnvdimm/labels zawiera przepełnienie liczb całkowitych. Pole nslot (u32) jest mnożone przez rozmiar etykiety w 32-bitach, co może spowodować zawinięcie i ominięcie sprawdzenia granic, prowadząc do zapisu poza buforem w nd_label_data_init().

W jądrze Linux w funkcji raid10_sync_request() zmienna still_degraded została odwrócona (przypisano false zamiast true) podczas konwersji z int na bool. Powoduje to, że podczas odbudowy urządzenia przy jednoczesnym braku innego dysku lustrzanego bitmapa jest czyszczona nieprawidłowo, co prowadzi do cichego uszkodzenia danych po ponownym dodaniu brakującego dysku.

W jądrze Linux w funkcji super_1_load() modułu md nie sprawdzano zakresu wartości sb->bblog_shift wczytywanej z superbloku na dysku. Wartość ta (0-255) jest używana jako przesunięcie bitowe przy obliczaniu sektora i liczby bloków, co przy nieprawidłowej wartości może doprowadzić do przepełnienia zmiennej 64-bitowej i błędu w funkcji badblocks_set() w block/badblocks.c.

W jądrze Linux funkcje elf_validity_cache_secstrings i elf_validity_cache_index_str uzyskują dostęp do nagłówków tabeli nazw sekcji (.shstrtab) i tabeli łańcuchów symboli (.strtab) bez uprzedniego sprawdzenia, czy ich typ to SHT_STRTAB. Jeśli typ sekcji to SHT_NULL lub SHT_NOBITS, sh_offset nie został zwalidowany i może wskazywać poza granice pamięci, powodując odczyt poza buforem.

W jądrze Linux funkcja mpls_select_multipath() buforuje wskaźnik hdr do nagłówka MPLS, a następnie wywołuje pskb_may_pull(), która może zastąpić nagłówek skb i zwolnić stary, pozostawiając hdr wskazujący na zwolnioną pamięć. Prowadzi to do use-after-free podczas odczytu wewnętrznego nagłówka IP.

W jądrze Linux funkcja mptcp_token_join_cookie_init_state() nie przywraca pola local_id z zapisanego wpisu cookie podczas odtwarzania gniazda żądania dla MP_JOIN obsługiwanego przez SYN cookies. Niezainicjalizowane pole jest następnie odczytywane przez subflow_ulp_clone() i zapisywane jako address-ID podłączonego podprzepływu, co może być wpływane przez zdalnego atakującego wysyłającego równoległe SYN-y MP_JOIN.

W jądrze Linux w sterowniku nouveau/gem występuje wyścig w ścieżce nie-uvmm między wyszukiwaniem vma w ioctl info a zamknięciem vma w ścieżce zamknięcia gem. Prowadzi to do użycia zwolnionej pamięci (use-after-free).

W jądrze Linux funkcja param_set_charp() zwalnia poprzednią wartość parametru przed udaną alokacją nowej, co w przypadku niepowodzenia kmalloc_parameter() pozostawia parametr jako NULL. Może to później wywołać NULL pointer dereference, np. podczas nieudanej aktualizacji kompresora zswap przed inicjalizacją zswap.

W jądrze Linux funkcja xdr_buf_trim() nie ogranicza odejmowania od buf->len, co przy wartości buf->len mniejszej niż suma iov_lens prowadzi do niedomiaru (underflow) i zawinięcia do wartości bliskiej UINT_MAX. Stan ten jest osiągalny przez gss_krb5_unwrap_v2(), a zawinięta wartość propaguje się do wszystkich niższych dekoderów XDR.

W jądrze Linux w funkcji svcauth_gss_unwrap_priv() sprawdzana była tylko górna granica długości tokenu dostarczonego przez sieć, bez minimalnej długości. Token krótszy lub równy 16 bajtów (rozmiar nagłówka RFC 4121) trafiał do gss_krb5_unwrap_v2(), gdzie odczyt nagłówka wykraczał poza bufor, a funkcja rotate_left() mogła doprowadzić do dzielenia przez zero. Podatność naprawiono dodając sprawdzenie minimalnej długości tokenu przed przekazaniem go do mechanizmu unwrap.

W jądrze Linux funkcja svc_pool_for_cpu() może wybrać pulę bez wątków, gdy usługa ma mniej wątków niż pul (np. nfsd w trybie pernode/percpu z mniejszą liczbą wątków niż węzłów NUMA). Transport zakolejkowany w takiej puli nigdy nie zostanie obsłużony, co prowadzi do zawieszenia połączenia.

W jądrze Linux funkcja sunrpc_destroy_cache_detail() anuluje globalny cache_cleaner tylko gdy cache_list jest pusty, co nie ma miejsca podczas sprzątania per-netns. Prowadzi to do use-after-free, gdy cache_clean() używa wskaźnika do zwolnionego cache_detail.

W jądrze Linux funkcja __svc_create() ignorowała wartości zwracane przez percpu_counter_init() przy inicjalizacji trzech liczników statystyk puli RPC. Gdy alokacja per-CPU pamięci nie powiedzie się (np. przy presji pamięciowej), usługa RPC (nfsd, lockd, callback NFS) jest uruchamiana z niepoprawnie zainicjalizowanymi licznikami, których wskaźnik per-CPU ma wartość NULL. Powoduje to cichą korupcję danych w obszarze per-CPU bieżącego procesora oraz zwracanie błędnych wartości w /proc/fs/nfsd/pool_stats.

W jądrze Linux występuje wyścig podczas odbioru backchannel, gdy usługa callback NFS jest niszczona. xprt_enqueue_bc_request() może pominąć zakolejkowanie lub zwolnienie żądania, jeśli xprt->bc_serv zostało już wyczyszczone, prowadząc do wycieku lub użycia zwolnionej struktury.

W jądrze Linux funkcja svc_rqst_free() zwalnia rq_argp i rq_resp synchronicznie, podczas gdy struktura rqstp jest zwalniana przez kfree_rcu(). Powoduje to okno, w którym czytelnicy RCU mogą uzyskać dostęp do już zwolnionych pól, prowadząc do use-after-free.

W jądrze Linux naprawiono cztery powiązane błędy w dekoderze tablicy opcji gssx (SUNRPC). Błędy powodowały dereferencję NULL w funkcji wywołującej, wyciek licznika referencji obiektu group_info oraz potencjalne użycie zwolnionej pamięci (use-after-free).

W jądrze Linux występuje podatność use-after-free w funkcjach __rpc_clnt_handle_event i __rpc_clnt_remove_pipedir w podsystemie sunrpc. Pole clnt->pipefs_sb nie jest odświeżane przy zdarzeniach montowania ani czyszczone przy odmontowaniu, co prowadzi do porównania z nieaktualnym wskaźnikiem i pominięcia sprzątania. W efekcie wpisy pipefs mogą wskazywać na zwolnioną strukturę rpc_clnt, co powoduje use-after-free podczas późniejszych wywołań rpc_info_open() lub rpc_show_info().

W jądrze Linux naprawiono podatność w funkcji gss_krb5_unwrap_v2() modułu SUNRPC, która przed walidacją długości tokenu odczytywała pola nagłówka EC i RRC poza granicami bufora. Błędna arytmetyka na liczbach bez znaku (underflow) mogła prowadzić do memmove o rozmiarze bliskim UINT_MAX, a w przypadku zerowej długości bufora do dzielenia przez zero. Dodano cztery zabezpieczenia walidujące długość tokenu i bufora.