Katalog podatności CVE

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_handle_r2t() nie sprawdza kierunku żądania, którego dotyczy R2T. Złośliwy kontroler może wysłać R2T dla polecenia READ, a host odpowie, wysyłając bufor docelowy odczytu (zawierający stare dane jądra) do kontrolera. Luka ujawnia pamięć jądra, w tym wskaźniki struct page.

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_recv_data() kończy żądanie po odebraniu bieżącego PDU C2HData, nie porównując łącznej liczby odebranych bajtów z długością żądaną przez polecenie. Złośliwy kontroler może odpowiedzieć na odczyt 4096 bajtów tylko 512 bajtami, a żądanie zostanie zgłoszone jako zakończone, ujawniając użytkownikowi 3584 bajty starych danych ze strony. Poprawka zlicza odebrane bajty i odmawia zakończenia niepełnego odczytu.

W jądrze Linux występuje podatność use-after-free w obsłudze protokołu SCTP. Zdalny peer może w jednym pakiecie połączyć chunki COOKIE ECHO, SHUTDOWN i SHUTDOWN ACK, co prowadzi do zwolnienia asocjacji i jej transportów, a następnie do zapisu do zwolnionej pamięci w pętli endpointu. Problem występuje, gdy pakiet jest przetwarzany z kolejki backlogu gniazda w kontekście zadania.

W jądrze Linux w funkcji sctp_rcv() transport jest przypisywany do chunka i pozostaje w nim do momentu przetworzenia. Uwierzytelniony pakiet ASCONF DEL-IP może w międzyczasie usunąć ten transport z asocjacji i zwolnić go przez RCU, a następnie kolejny opóźniony SACK odczytuje stan już zwolnionego transportu. Podatność prowadzi do use-after-free.

W jądrze Linux występuje podatność typu NULL pointer dereference w implementacji SCTP, związana z zakończeniem żądania rekonfiguracji strumienia, które nie zostało jeszcze wysłane. Gdy żądanie jest już opublikowane w asoc->strreset_chunk, ale nie ma przypisanego transportu (chunk->transport == NULL), próba zatrzymania timera powoduje odwołanie do NULL i panikę jądra. Problem można wywołać lokalnie przez nieuprzywilejowany proces lub zdalnie przez spreparowany pakiet RECONF.

W jądrze Linux w stosie SCTP zbuforowany chunk RECONF może zawierać więcej niż jeden parametr żądania. Zduplikowana odpowiedź może ponownie przetworzyć to samo żądanie ADD_OUT, co powoduje dwukrotne cofnięcie licznika outcnt i jego niedomknięcie (underflow). Poprawka śledzi typy oczekujących żądań jako bity i ignoruje późniejsze odpowiedzi.

W jądrze Linux w sterowniku power: supply: bq24257 przerwanie STAT-pin jest zarządzane przez devm, więc pozostaje aktywne do momentu sprzątania po remove(). Funkcja remove() anuluje pracę bq->iilimit_setup_work, ale wątek obsługi przerwania może ją ponownie zaplanować i odwołać się do zwolnionej pamięci bq. Poprawka używa devm_delayed_work_autocancel() i rejestruje pracę przed żądaniem przerwania.

W jądrze Linux w sterowniku power: supply: bq256xx notyfikator USB-PHY kolejkuje usb_work, którego handler wywołuje power_supply_changed(bq->charger). Akcja reset devm rejestrowana jest przed zasilaczami, więc devm zwalnia bq->charger przed jej uruchomieniem, a zakolejkowana praca może odwołać się do zwolnionej pamięci. Poprawka rejestruje akcję reset po zasilaczach i inicjalizuje usb_work przed notyfikatorami.

W jądrze Linux w sterowniku power: supply: bq25890 funkcja bq25890_fw_probe() pozyskuje referencję do dodatkowego zasilacza przez power_supply_get_by_name(), ale nie zwalnia jej przy późniejszych błędach sondowania ani przy odłączaniu sterownika. Poprawka rejestruje akcję sprzątania zarządzaną przez urządzenie natychmiast po pozyskaniu referencji.

W jądrze Linux w module charger-manager (power: supply) występuje luka use-after-free. Regulatorzy są zwalniani (regulator_put) przed wyrejestrowaniem wpisów sysfs (power_supply_unregister), a jednocześnie wpisy sysfs są rejestrowane przed pozyskaniem regulatorów, co pozwala na wyścig i dostęp do zwolnionych uchwytów.

W jądrze Linux w sterowniku power: supply: cros_usbpd-charger funkcja cros_usbpd_charger_probe() odczytuje z EC dwie liczby portów i używa num_charger_ports jako granicy pętli wypełniającej tablicę ports[] o stałym rozmiarze 8 elementów. Brak walidacji względem EC_USB_PD_MAX_PORTS pozwala wadliwemu lub złośliwemu EC zgłosić wartość do 255, co powoduje zapis poza granicami tablicy (slab out-of-bounds write). Poprawka odrzuca liczbę portów większą niż rozmiar tablicy.

W jądrze Linux w sterowniku power: supply: cros_usbpd-charger funkcja sondowania iteruje na podstawie surowej liczby portów zwróconej przez kontroler EC. Jedynym sprawdzeniem jest porównanie z liczbą portów USB PD również zdefiniowaną przez EC, więc złośliwy EC może zwrócić niedokładną liczbę (do 255), powodując zapis poza granicami i uszkodzenie pamięci. Poprawka ogranicza liczbę portów do EC_USB_PD_MAX_PORTS.

W jądrze Linux w sterowniku power: supply: lp8727 funkcja lp8727_release_irq() anuluje pracę pchg->work przed zwolnieniem przerwania, więc przerwanie dostarczone w międzyczasie może ponownie uzbroić pracę przez wątek obsługi. Po powrocie z .remove warstwa devm zwalnia pchg, a lp8727_delayed_func() może wciąż działać i odwołać się do zwolnionej pamięci. Poprawka najpierw zwalnia przerwanie, a następnie anuluje pracę.

W jądrze Linux w sterowniku ładowarki lp8788-charger występuje błąd use-after-free podczas usuwania urządzenia. Funkcja lp8788_charger_remove() opróżnia kolejkę pracy przed wyrejestrowaniem przerwań IRQ, przez co wątek IRQ może zakolejkować pracę po zakończeniu flush_work(), a następnie praca ta odwołuje się do zwolnionej pamięci pchg.

W jądrze Linux w sterowniku qcom_battmgr występuje błąd use-after-free. Funkcja qcom_battmgr_pdr_notify() kolejkuje enable_work, gdy usługa PMIC GLINK startuje, a klient PMIC GLINK pozostaje na liście klientów do momentu zwolnienia przez devres, co pozwala powiadomieniu PDR wielokrotnie kolejkować pracę i uzyskać dostęp do zwolnionej pamięci battmgr.

W jądrze Linux w sterowniku qcom_battmgr funkcja qcom_battmgr_sc8280xp_strcpy() kopiuje ciągi znaków z firmware bez gwarancji terminatora, gdy firmware nie używa formatu Pascal. Pola model_number, serial_number i oem_info mogą nie być zakończone znakiem null, co powoduje odczyt poza granice bufora przy wyświetlaniu ich w przestrzeni użytkownika.

W jądrze Linux w sterowniku ładowarki rt9455 występuje błąd use-after-free. Podczas usuwania sterownika (rt9455_remove) kolejność anulowania zadań opóźnionych jest nieprawidłowa — batt_presence_work może zakolejkować max_charging_time_work po jego anulowaniu, co prowadzi do odwołania się do zwolnionej struktury rt9455_info. Problem występuje również w ścieżce błędu funkcji probe, gdy rt9455_hw_init() zawiedzie po zarejestrowaniu przerwania.

W jądrze Linux w sterowniku twl4030_charger występuje błąd use-after-free. Funkcja twl4030_bci_remove() nie anuluje dwóch workerów (bci->work i bci->current_worker), które odwołują się do struktury bci alokowanej przez devm, co może prowadzić do dostępu do zwolnionej pamięci po usunięciu urządzenia.

W jądrze Linux w sterowniku ucs1002 występuje błąd use-after-free podczas usuwania urządzenia. Sterownik nie ma funkcji remove, więc odłączenie odbywa się przez devm, ale devm zwalnia przerwanie alert IRQ bez anulowania opóźnionej pracy health_poll, która może następnie odwołać się do zwolnionej pamięci.

W jądrze Linux w sterowniku max17040 funkcje max17040_get_vcell() i max17040_get_soc() ignorują błędy zwracane przez regmap_read(). Gdy transfer I2C zawiedzie, niezainicjalizowana wartość rejestru jest konwertowana i raportowana do przestrzeni użytkownika jako prawidłowe napięcie lub stan naładowania, a worker może zastąpić buforowany stan naładowania błędną wartością.