Katalog podatności CVE

W jądrze Linux sterownik mmc via-sdmmc nie anuluje pracy carddet_work przy usuwaniu urządzenia; praca już zakolejkowana może wykonać się po zwolnieniu hosta, powodując użycie zwolnionej pamięci. Poprawka anuluje carddet_work po zwolnieniu IRQ i przed anulowaniem finish_bh_work.

W jądrze Linux sterownik mmc via-sdmmc rejestruje i włącza przerwanie card-detect przed mmc_add_host(); jeśli mmc_add_host() zawiedzie, przerwanie pozostaje zarejestrowane i obsługuje zwolniony host, powodując użycie zwolnionej pamięci. Poprawka dodaje ścieżkę błędu, która wyłącza i zwalnia przerwanie oraz anuluje carddet_work.

W jądrze Linux w ISST brakowało sprawdzenia NULL dla isst_common.sst_inst[] przy nieudanym ładowaniu gniazda, co mogło prowadzić do dereferencji NULL. Poprawka dodaje sprawdzenie NULL dla spójności z innymi miejscami.

W jądrze Linux w sterowniku platform/x86 ISST brakowało walidacji identyfikatora logicznego CPU oraz poziomu CLOS ID używanych w funkcji zarządzania mocą rdzeni. Wartości przekraczające obsługiwane maksimum nie były odrzucane, mimo że służą do obliczania offsetu MMIO.

W jądrze Linux w sterowniku platform/x86 int1092 pamięć przydzielona dla device_mode_info w parse_package() nie była zwalniana w niektórych ścieżkach błędów funkcji sar_probe(). Powodowało to wyciek pamięci.

W jądrze Linux w sterowniku panasonic-laptop występuje błąd przepełnienia bufora poza granice tablicy pcc->sinf[]. Funkcja acpi_pcc_retrieve_biosdata() zapisuje wartość sentinela pod indeksem równym liczbie elementów pakietu SINF, co przy num_sifr równym tej liczbie powoduje zapis jednego elementu poza zaalokowaną tablicą (4-bajtowe przepełnienie sterty). Problem ujawnia się na sprzęcie, gdzie HKEY.SQTY zwraca 37, a pakiet HKEY.SINF() ma 38 elementów.

Funkcja Kiro Powers w Amazon Kiro IDE przed wersją 0.8.135 pozwala na włączenie funkcjonalności z niezaufanej strefy kontroli. Złośliwa zawartość repozytorium może zmodyfikować plik ustawień workspace, przekierowując żądanie rejestru Kiro Powers do punktu końcowego kontrolowanego przez atakującego i wysyłając dane workspace po otwarciu panelu Powers.

Concrete CMS przed wersją 9.5.3 sprawdzał autoryzację dla zgłoszenia wpisu Express względem encji opublikowanego formularza, a nie encji zidentyfikowanej przez trasę dashboardu. Użytkownik uprawniony do dodawania wpisów w jednym obiekcie Express mógł tworzyć wpisy w innym obiekcie Express poza swoim zakresem uprawnień.

Concrete CMS poniżej wersji 9.5.3 nie wykonuje sprawdzenia autoryzacji na poziomie obiektu podczas aktualizacji typu strony. Kontroler Types::submit() ładował i zapisywał typ strony zidentyfikowany przez ptID dostarczony przez użytkownika bez wywołania canEditPageType(), umożliwiając zalogowanemu użytkownikowi dashboardu modyfikację konfiguracji typów stron poza jego granicami uprawnień.

Concrete CMS w wersjach od 9.5.0 do 9.5.2 jest podatny na otwarte przekierowanie poprzez parametr rcURL. Atakujący może stworzyć link w domenie witryny, który po uwierzytelnieniu przekierowuje użytkownika na dowolną zewnętrzną stronę, ułatwiając phishing i kradzież danych uwierzytelniających. Ten sam mechanizm występuje w procesie rejestracji.

Concrete CMS przed wersją 9.5.3 jest podatny na Cross-Site Request Forgery w funkcji Move Multiple Groups. Endpoint dashboard/users/groups/bulkupdate/confirm() przenosił wybrane węzły drzewa grup bez walidacji tokenu akcji, umożliwiając zmianę stanu grupy dla uwierzytelnionego użytkownika, który jej nie zainicjował. Przeniesienie grupy pod nowego rodzica powoduje dziedziczenie uprawnień rodzica przez członków grupy.

Concrete CMS w wersjach od 9.0.0 do 9.5.2 jest podatny na trwały XSS w oknie dialogowym Board Custom Slot. Endpoint custom_slot save_template autoryzuje żądanie tylko względem docelowej instancji board i zapisuje dostarczony przez klienta selectedTemplateOption[collection] bez weryfikacji, umożliwiając użytkownikowi z uprawnieniami do edycji zawartości boardu zapisanie złośliwego obiektu podsumowania z ładunkiem JavaScript w polu opisu. Domyślny szablon podsumowania renderuje to pole bez kodowania wyjściowego.

W jądrze Linux w sterowniku platform/x86 think-lmi obsługa wielu certyfikatów pozwala obiektowi uwierzytelniania systemu przechowywać pola ->signature i ->save_signature, które nie są zwalniane przy usuwaniu sterownika. Powoduje to wyciek pamięci.

W jądrze Linux w sterowniku platform/chrome sensorhub numer czujnika raportowany przez EC (in->sensor_num) nie był walidowany w cros_ec_sensorhub_ring_handler(). Wartość większa lub równa sensor_num prowadziła do odczytu i zapisu poza granicami tablicy batch_state[].

W jądrze Linux w sterowniku platform/x86/amd/pmc funkcja amd_stb_s2d_init() ignorowała wartości zwracane przez kilka poleceń SMU S2D oraz wartości S2D_PHYS_ADDR_LOW/HIGH. W przypadku błędu adres fizyczny pozostawał niezainicjalizowany i był przekazywany do devm_ioremap(), co mogło mapować adres fizyczny 0.

W jądrze Linux w sterowniku platform/x86/amd/pmc funkcja amd_pmc_probe() rejestrowała handler LPS0 s2idle oraz tworzyła katalog debugfs przed wywołaniem amd_stb_s2d_init(). Gdy ta ostatnia funkcja zawiodła, ścieżka błędu nie wyrejestrowywała handlera ani nie usuwała katalogu debugfs, co prowadziło do uszkodzenia listy i błędu jądra przy ponownym ładowaniu modułu.

W jądrze Linux w sterowniku platform/x86 hp-bioscfg funkcje sk_store() i kek_store() usuwały końcowy znak nowej linii przed alokacją bufora klucza, ale do hp_wmi_perform_query() przekazywały oryginalny rozmiar count zamiast length. Powodowało to odczyt jednego bajtu poza zaalokowanym buforem.

W jądrze Linux w sterowniku platform/x86 hp-bioscfg funkcja validate_password_input() obliczała length = strlen(buf) i sprawdzała buf[length - 1] bez uprzedniego upewnienia się, że length jest niezerowe. Zapis pustego łańcucha (samego '\n') do current_password lub new_password powodował odczyt buf[-1], czyli jednego bajtu przed alokacją sterty.

W jądrze Linux w sterowniku platform/x86 hp-bioscfg funkcja hp_get_string_from_buffer() porównywała długość konwertowanego łańcucha z rozmiarem bufora docelowego za pomocą warunku "size > dst_size". Gdy długość była równa dst_size, bezwarunkowy zapis terminatora NUL trafiał jeden bajt poza bufor docelowy.

W jądrze Linux w module platform/x86 hp-bioscfg parsery pakietów ACPI otrzymywały błędną liczbę elementów — zamiast zwalidowanej wartości obj->package.count przekazywały długość pola NAME (typu string), co wynikało z unii acpi_object. Obecnie jest to bezpieczne, ponieważ funkcja hp_init_bios_package_attribute() odrzuca pakiety o zbyt małej liczbie elementów, ale planowane złagodzenie tego sprawdzenia doprowadziłoby do odczytu poza granicami sterty (out-of-bounds heap read). Poprawka przekazuje prawidłową, zwalidowaną liczbę elementów do parserów.