Katalog podatności CVE

W jądrze Linux w schedulerze (sched/core) funkcja pick_next_task() core scheduling przestaje działać poprawnie, gdy implementacja ->pick_task() może zwolnić blokadę rq. Stan wyboru ustalony na wejściu jest ważny tylko przy ciągłym trzymaniu blokady; gdy pick może ją zwolnić, przeplatający się wybór może unieważnić ten stan, prowadząc do błędnego zatwierdzenia wyboru lub zaburzenia rozliczania forceidle.

W jądrze Linux w schedulerze (sched/core) funkcja pick_next_task() core scheduling działa na wszystkich bliźniaczych rq pod jedną akwizycją wspólnej blokady core-wide. Gdy ->pick_task() zwalnia blokadę rq, każdy bliźniaczy __lock staje się chwilowo wolny, pozwalając __sched_core_flip(false) zakończyć się w trakcie wyboru i przepiąć rq_lockp() pod nim. Wybór wznawia się na rozdzielonych blokadach, dotykając stanu bliźniaczego, którego już nie chroni, a __schedule() ostatecznie zwalnia blokadę, która nigdy nie została wzięta, jednocześnie wyciekając tę, która została wzięta.

W jądrze Linux w schedulerze sched_ext flaga SCX_RQ_BAL_KEEP informuje pick o kontynuowaniu poprzedniego zadania, co jest pozostałością z czasów, gdy balansowanie i wybieranie były osobnymi operacjami. Flaga na poziomie rq działa tylko, gdy dispatche i picki łączą się jeden do jednego, co łamie core scheduling: wybory przeplatają się przez zwolnienia blokady dispatch, a pick może zużyć nieaktualną flagę, zachowując zadanie, które zostało już usunięte z kolejki.

W jądrze Linux naprawiono błąd w schedulerze sched_ext dotyczący funkcji dispatch kfuncs. W przypadku core scheduling funkcja ops.dispatch() może być wykonywana na innym CPU niż docelowe rq, co prowadziło do błędnych założeń w kilku ścieżkach kfunc, w tym do potencjalnego zakleszczenia (deadlock) w scx_dsq_move() oraz nieprawidłowego rozwiązywania SCX_DSQ_LOCAL.

W jądrze Linux naprawiono błąd w schedulerze sched_ext dotyczący korupcji stanu rq->core_pick podczas core scheduling. Gdy wybór zadania zwalniał blokadę rq (podczas dispatchu), równoległe wybory na tym samym rdzeniu SMT wzajemnie niszczyły swój stan, co prowadziło do NULL deref lub deadlocka i twardych zawieszeń systemu. Poprawka wymusza zwracanie RETRY_TASK, gdy dispatch zwolnił blokadę, tak aby wybór zatwierdzał tylko decyzje podjęte przy ciągle trzymanej blokadzie.

W jądrze Linux w schedulerze sched_ext funkcja scx_bpf_dsq_reenq() kolejkuje odroczone ponowne wstawienie (dru), które uruchamia się z run_deferred(), a nie ops.dispatch(). Jeśli DSQ zostanie zniszczone przed uruchomieniem dru, process_deferred_reenq_users() widzi dsq->id == SCX_DSQ_INVALID i trafia na BUG_ON. destroy_dsq() nie opróżnia oczekujących drus, więc wystarczy pominąć.

W jądrze Linux występuje podatność w podsystemie SCSI, gdzie w funkcji scsi_alloc_sgtables() bajty dopełnienia DMA (pad_len) dla ostatniego nie wyrównanego elementu scatterlisty pozostają niezainicjalizowane. Prowadzi to do odczytu niezainicjalizowanej pamięci (wykrytego przez KMSAN) podczas operacji DMA, co może skutkować wyciekiem danych lub niestabilnością systemu.

W jądrze Linux sterownik fnic (SCSI/FCoE) wywołuje alokację deskryptora VLAN z flagą GFP_KERNEL, trzymając jednocześnie spinlock vlans_lock. Alokacja GFP_KERNEL może usypiać, co jest niedozwolone w kontekście atomowym i może prowadzić do ostrzeżenia o uśpieniu w nieprawidłowym kontekście lub zakleszczenia.

W jądrze Linux w komponencie KVM dla architektury RISC-V występuje przepełnienie rozmiaru tablicy informacji o zdarzeniach PMU. Wartość num_events kontrolowana przez gościa jest mnożona przez sizeof(*einfo) i zapisywana w 32-bitowej zmiennej, co przy dużych wartościach powoduje obcięcie rozmiaru i alokację zbyt małego bufora. Następnie pętla iteruje po oryginalnej liczbie zdarzeń, co prowadzi do odczytów i zapisów poza granicami zaalokowanej pamięci.

W jądrze Linux w podsystemie remoteproc (sterownik SCP) występuje wyciek referencji do urządzenia przy nieudanym wyszukaniu danych sterownika przed jego powiązaniem. Referencja pobrana do urządzenia SCP nie jest zwalniana w przypadku niepowodzenia wyszukiwania.

W jądrze Linux sterownik qede (karta sieciowa QLogic FastLinQ) zawiera błąd, w którym pod presją pamięciową dochodzi do dereferencji wskaźnika NULL podczas przetwarzania fragmentów kontynuacji TPA. Z powodu braku przypisania tpa_info->buffer.data w qede_tpa_start() do pierścienia Rx trafia „widmowy" bufor z prawidłowym mapowaniem DMA, ale wskaźnikiem danych NULL, co powoduje panikę jądra w qede_fill_frag_skb().

W jądrze Linux w sterowniku RDMA/cxgb4 funkcja c4iw_remove() może zwolnić ctx->dev, podczas gdy zakolejkowana praca reg_work (rejestrująca urządzenie RDMA) jest wciąż oczekująca lub wykonywana. Prowadzi to do tego, że c4iw_register_device() uzyskuje dostęp do zwolnionego urządzenia.

W jądrze Linux sterownik RDMA/ionic nie został dostosowany do wymogu osadzania struktury rdma_counter w strukturze specyficznej dla sterownika i rejestrowania jej rozmiaru przez INIT_RDMA_OBJ_SIZE. Powoduje to, że rdma_zalloc_drv_obj() alokuje zero bajtów, co prowadzi do dereferencji wskaźnika NULL w alloc_and_bind().

W jądrze Linux w funkcji ucma_set_ib_path() brakowało blokady handlera podczas wywołania ucma_event_handler() z ścieżki write(). Równoległe wywołanie ucma_migrate_id() mogło zmienić ctx->file, powodując operacje na liście zdarzeń innego pliku bez odpowiedniego mutexa, co prowadziło do use-after-free (wykryte przez KASAN).

W jądrze Linux występuje luka w module RDMA/ucma polegająca na braku blokady handlera w funkcji ucma_write_cm_event(). Podczas gdy ucma_migrate_id() przenosi kontekst do innego pliku, wskaźnik ctx->file może zostać zmieniony w trakcie sekwencji operacji, co prowadzi do uszkodzenia listy, trwałego zablokowania muteksa i zawieszenia procesu w stanie D. Luka jest osiągalna dla nieuprzywilejowanego użytkownika przez /dev/infiniband/rdma_cm.

W jądrze Linux w podsystemie RDMA/uverbs metoda UVERBS_METHOD_REG_MR nie zawiera atrybutu UVERBS_ATTR_UHW, mimo że trzy sterowniki (mthca, irdma, siw) mają dane UHW powiązane z reg_mr i zakładają, że udata nie może być NULL. Złośliwy proces w przestrzeni użytkownika może wywołać dereferencję NULL udata w tych sterownikach.

W jądrze Linux w podsystemie RDMA/uverbs starsza ścieżka write() przekazuje do kodu dostawcy pakiet uverbs_attr_bundle bez elementu metody ioctl. Jeśli błędne dane wejściowe dostawcy spowodują wygenerowanie komunikatu błędu przez wspólny kod walidacji, funkcja uverbs_get_handler_fn() dereferencjonuje niezainicjalizowany wskaźnik method_elm.

W funkcji as3722_get_regulator_dt_data() jądra Linux wywołanie of_get_child_by_name() pozyskuje referencję do węzła, która jest przypisywana do pdev->dev.of_node, ale zaraz potem of_node_put(np) zwalnia tę referencję, pozostawiając wiszący wskaźnik. Usunięcie tego wywołania pozwala urządzeniu utrzymać referencję.

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_alloc_read_page() jest podatna na wyścig z ring_buffer_subbuf_order_set, mogąc przydzielić stronę czytnika z nieaktualnym rozmiarem (order). Jeśli subbuf_order zmieni się w trakcie alokacji, bpage->order może nie odpowiadać rzeczywistej pamięci.

W podsystemie ring-buffer jądra Linux, gdy podbufory używają rozmiaru (order) większego niż 0, cpu_buffer->free_page jest przydzielana z użyciem subbuf_order. Poprawka zapewnia użycie właściwego rozmiaru dla cpu_buffer->free_page.