Katalog podatności CVE

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_subbuf_order_set() może wyczyścić cpu_buffer->free_page, co powoduje wyścigi z ring_buffer_alloc_read_page() i ring_buffer_free_read_page(). Poprawka polega na trzymaniu cpu_buffer->lock podczas zmiany rozmiaru podbufora.

W podsystemie ring-buffer jądra Linux odrzucenie buforowanej strony czytnika po równoczesnej zmianie rozmiaru bufora używa nowego globalnego subbuf_order w wywołaniu free_pages(), co może prowadzić do awarii jądra lub wycieku pamięci. Poprawka zapisuje rzeczywisty rozmiar strony wraz z jej adresem, czyniąc free_page strukturą buffer_data_read_page.

W podsystemie ring-buffer jądra Linux funkcja __rb_get_reader_page_from_remote() kontynuuje działanie mimo niepowodzenia callbacku swap_reader_page (zwracającego -EBUSY), co może prowadzić do nieprawidłowego przetwarzania listy stron. Poprawka traktuje błąd callbacku jako odzyskiwalny, loguje go przez pr_warn_ratelimited() i zwraca NULL.

W systemie plików orangefs jądra Linux funkcja orangefs_devreq_write_iter() zwalnia op->downcall.trailer_buf przez vfree() przy niepowodzeniu copy_from_iter_full(), ale nie czyści wskaźnika przed goto Efault. Powoduje to podwójne zwolnienie tego samego wskaźnika po stronie readdir, gdy klient wyśle downcall z trailer_size większym niż dostarczone dane.

W systemie plików orangefs jądra Linux funkcja orangefs_prepare_cdm_array() rozmiaruje bufor słowa kluczowego za pomocą strcspn(cds_head, " "), ale parsuje je przez %s, który pomija wiodące białe znaki. Jeśli wpis debugowania klienta zaczyna się od spacji, alokacja może być za mała, a sscanf() zapisze poza buforem.

W jądrze Linux w systemie plików ocfs2 występuje wyciek pamięci podczas operacji copy-on-write wywoływanych przez copy_file_range() w obrębie tego samego systemu plików. Problem został wykryty przez fuzzing i polega na tym, że zwalnianie bloków (deallocs) nie jest zawsze uruchamiane po zakończeniu copy-on-write, co prowadzi do nieodwołanych alokacji pamięci.

W jądrze Linux w module ocfs2 (o2dlm) procedura obsługi komunikatu DLM_MIGRATE_REQUEST ufała długości nazwy (namelen) podanej przez węzeł nadawcy bez sprawdzenia jej rozmiaru. Funkcja dlm_init_mle() kopiowała tę długość do stałego bufora mname[] o rozmiarze 32 bajtów w obiekcie slab o2dlm_mle, co pozwalało na zapis poza granicami sterty do około 215 bajtów danych kontrolowanych przez atakującego.

W jądrze Linux w module ocfs2 funkcja dlm_mig_lockres_handler ufała polom num_locks i lockname_len z wiadomości DLM_MIG_LOCKRES bez ich walidacji. Prowadziło to do odczytu poza granicami bufora (panic BUG_ON) oraz zapisu poza granicami sterty przy kopiowaniu nazwy blokady do 32-bajtowego obiektu. Podatność może wykorzystać dowolny węzeł w domenie.

W jądrze Linux w module ocfs2 brakowało walidacji pól rl_used i rl_count w bloku refcount. Złośliwy lub uszkodzony obraz ocfs2 z rl_used ustawionym na 0xffff powoduje odczyt poza zakresem bloku metadanych, a następnie memmove poza bufor podczas operacji reflink (FICLONE). Podatność wymaga lokalnego dostępu (CAP_SYS_ADMIN przy montowaniu obrazu lub zapis do urządzenia blokowego).

W jądrze Linux w module ocfs2 wykryto lukę polegającą na braku walidacji liczby wpisów w indeksie katalogu podczas odczytu metadanych. Funkcje ocfs2_validate_dx_leaf() i ocfs2_validate_dx_root() nie sprawdzają, czy pola de_num_used i de_count mieszczą się w pojemności bloku, co pozwala spreparowanemu obrazowi dysku ustawić je na 0xffff i doprowadzić do odczytu poza granicami bloku metadanych 4KB. Luka jest osiągalna przy każdej operacji wyszukiwania ścieżki, stat() lub open() na zaindeksowanym katalogu po zamontowaniu obrazu.

W jądrze Linux naprawiono podatność w module ocfs2/cluster, w funkcji o2hb_region_pin(). Funkcja ta była wywoływana z trzymaną blokadą spinlock o2hb_live_lock, jednocześnie wywołując śpiącą funkcję configfs_depend_item(), co powodowało błąd BUG przy włączonej opcji CONFIG_DEBUG_ATOMIC_SLEEP, inwersję kolejności blokad prowadzącą do zakleszczenia oraz wyciek licznika o2hb_dependent_users przy częściowym niepowodzeniu przypinania regionów.

W jądrze Linux w module ocfs2 funkcja ocfs2_dir_foreach_blk_el() na 32-bitowych jądrach błędnie obliczała maskę pozycji katalogu, co powodowało wyzerowanie górnych 32 bitów pozycji. Przy przekroczeniu granicy 4 GiB podczas readdir() pozycja była resetowana, co prowadziło do nieskończonego ponownego wyliczania tych samych wpisów katalogu.

W jądrze Linux na architekturze OpenRISC wywołanie systemowe sys_or1k_atomic (nr 244) nie sprawdzało wskaźników użytkownika za pomocą access_ok() przed wykonaniem operacji atomowej w asemblerze. Umożliwiało to nieuprzywilejowanemu procesowi podanie adresu jądra i bezpośredni odczyt/zapis pamięci jądra.

W jądrze Linux w module openvswitch występuje błąd use-after-free związany z limitem CT (conntrack). Wskaźnik limitu CT nie był usuwany przed zwolnieniem pamięci ani chroniony okresem karencji RCU, przez co przetwarzanie pakietów mogło odwołać się do zwolnionego stanu podczas niszczenia przestrzeni nazw sieci. Nieuprzywilejowany użytkownik może wywołać ten błąd z poziomu przestrzeni nazw użytkownika i sieci.

W jądrze Linux w module openvswitch funkcja queue_userspace_packet() wywołuje skb_tx_error() na pakiecie, który nie jest własnością tej funkcji i jest dalej przekazywany. Powoduje to usunięcie flagi SKBFL_SHARED_FRAG z aktywnego skb, co przy dostarczaniu ESP-in-UDP prowadzi do odszyfrowania w miejscu na stronach pamięci należących do nadawcy. Umożliwia to nieuprzywilejowany zapis do page cache (prymityw "Fragnesia").

W jądrze Linux w podsystemie IPMI występuje błąd use-after-free w funkcji _ipmi_destroy_user(). Usunięcie synchronize_rcu() między odłączeniem odbiorników poleceń z listy intf->cmd_rcvrs a ich zwolnieniem pozwala czytelnikowi wciąż używać wskaźnika do zwolnionego obiektu cmd_rcvr. Lista cmd_rcvrs jest nadal przeglądana w zwykłym RCU, więc brak okresu karencji powoduje użycie po zwolnieniu.

W jądrze Linux w podsystemie lockd funkcja nlm_traverse_files() przypina bieżący plik przez f_count++ na czas zwolnienia mutexa, ale nie przypina zapisanego wskaźnika next. Współbieżne nlm_release_file() może zwolnić next w oknie bez blokady, a iterator odwołuje się do zwolnionej pamięci w następnej iteracji. Poprawka przypina oba pliki i zwalnia je po zakończeniu iteracji.

W jądrze Linux w podsystemie lockd funkcja nlmclnt_locks_init_private() instaluje operacje blokad NLM nawet gdy nlmclnt_find_lockowner() nie zdoła przydzielić właściciela blokady. VFS nadal niszczy częściowo zainicjowany file_lock i wywołuje locks_release_private(), co powoduje dereferencję fl->fl_u.nfs_fl.owner i awarię (NULL dereference). Poprawka czyści fl_ops przed inicjalizacją i instaluje operacje NLM dopiero po pomyślnym przydzieleniu właściciela.

W jądrze Linux naprawiono podatność w sterowniku NVMe, gdzie funkcja nvme_setup_discard() przy nieudanej alokacji pamięci używała strony ctrl->discard_page, która nie była zerowana. W wyniku tego do kontrolera NVMe wysyłane były niezainicjalizowane dane (do 4080 bajtów) pochodzące z wcześniejszej zawartości strony pamięci.

W jądrze Linux w sterowniku nvme-tcp występuje luka polegająca na tym, że odbiór danych C2HData był weryfikowany wyłącznie na podstawie blk_rq_payload_bytes(), bez sprawdzenia req->data_len. Dla operacji WRITE_ZEROES, która nie ma segmentów fizycznych, ale ma niezerowe blk_rq_bytes(), prowadzi to do kopiowania danych do niezainicjalizowanego iteratora i błędu wild-memory-access (KASAN) w _copy_to_iter().