Katalog podatności CVE

Sterownik ALSA aloop w jądrze Linux bez weryfikacji ufa wartości devptr->id podczas probe, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Przy ręcznym powiązaniu urządzenia przez sysfs wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów.

W jądrze Linux w sterowniku ALSA bcd2000 funkcja zwalniająca zasoby USB nie zerowała wskaźników do struktur URB po ich zwolnieniu. Otwarty strumień rawmidi mógł po odłączeniu urządzenia odwołać się do zwolnionej pamięci (use-after-free), co prowadziło do uszkodzenia pamięci jądra.

W jądrze Linux w funkcji fcp_ioctl_init() sterownika ALSA FCP bufor odpowiedzi był alokowany przez kmalloc() bez wyzerowania i kopiowany w całości do przestrzeni użytkownika. Krótki lub zerowy transfer USB (step 0) był akceptowany jako sukces, przez co niezinicjalizowane bajty pamięci jądra trafiały do aplikacji użytkownika. Luka została naprawiona poprzez wyzerowanie bufora i wymuszenie pełnego transferu step 0.

Sterownik ALSA mpu401 w jądrze Linux bez weryfikacji ufa wartości devptr->id podczas probe, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Przy ręcznym powiązaniu urządzenia przez sysfs wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów.

Sterownik ALSA mts64 w jądrze Linux sprawdza wartość devptr->id, ale nie weryfikuje wartości ujemnych, które są często przekazywane jako "none" przy powiązaniu urządzenia przez sysfs. Może to prowadzić do dostępu poza zakresem tablicy index[] i innych parametrów.

Funkcja pcxhr_probe() w jądrze Linux wywołuje pcxhr_threaded_irq() przed zainicjalizowaniem mutexa mgr->lock, mimo że wątek obsługi przerwania używa tego mutexa. Wczesne przerwanie może więc działać na niezainicjalizowanym stanie mutexa podczas probe.

Sterownik ALSA portman2x4 w jądrze Linux sprawdza wartość devptr->id, ale nie weryfikuje wartości ujemnych, które są często przekazywane jako "none" przy powiązaniu urządzenia przez sysfs. Może to prowadzić do dostępu poza zakresem tablicy index[] i innych parametrów.

W jądrze Linux sterownik ALSA serial-u16550 bez weryfikacji ufa wartości devptr->id, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Gdy urządzenie jest podpinane ręcznie przez sysfs, wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów. Dodano sprawdzenie poprawności indeksu karty z ostrzeżeniem i korektą wartości spoza zakresu.

W jądrze Linux sterownik ALSA virmidi bez weryfikacji ufa wartości devptr->id, zakładając, że mieści się ona w prawidłowym zakresie indeksu karty. Gdy urządzenie jest podpinane ręcznie przez sysfs, wartość ta może wynosić -1 ("none"), co prowadzi do dostępu poza zakresem tablicy index[] i innych parametrów. Dodano sprawdzenie poprawności indeksu karty z ostrzeżeniem i korektą wartości spoza zakresu.

W jądrze Linux w module dm-stats występuje błąd polegający na tym, że gdy alokacja danych per-CPU (dm_kvzalloc) się nie powiedzie, kod wywołuje dm_stat_free, która odwołuje się do wskaźnika s->stat_percpu[cpu] bez sprawdzenia NULL. Prowadzi to do dereferencji NULL i awarii jądra. Poprawka dodaje sprawdzenie NULL przed użyciem wskaźnika.

W jądrze Linux moduł dm-pcache nie waliduje pól geometrii (n_segs i id segmentu) pochodzących z metadanych cache_info na dysku. Funkcja cache_segs_init() iteruje n_segs razy, indeksując tablicę cache->segments[], która ma rozmiar wynikający z geometrii urządzenia. Ponieważ metadane są chronione jedynie CRC z publicznym ziarnem, osoba dostarczająca urządzenie cache (CAP_SYS_ADMIN) może podać zbyt duże n_segs lub identyfikator spoza zakresu, powodując odczyt i zapis poza zakresem. Poprawka odrzuca nieprawidłowe wartości przed użyciem.

W jądrze Linux moduł dm-pcache nie ogranicza pola key_num w ksecie ani granic wewnątrz segmentu. key_num steruje funkcją cache_kset_crc() i pętlą odtwarzania w cache_replay(), a ponieważ sprawdzane są tylko magic i CRC z publicznym ziarnem, nieprawidłowy key_num może spowodować odczyt poza buforem PCACHE_KSET_KEYS_MAX. Dodatkowo przesunięcie i długość klucza w cache_key_decode() są przyjmowane bez weryfikacji, co pozwala na odczyt poza segmentem i wyciek danych do przestrzeni użytkownika. Poprawka dodaje walidację key_num i granic klucza.

W jądrze Linux moduł dm-pcache nie waliduje pola seg_num pochodzącego z superbloku chronionego tylko crc32c. seg_num określa rozmiar tablicy cache->segments[] i jest używany do ograniczania identyfikatorów segmentów, ale nigdy nie jest sprawdzany względem rozmiaru urządzenia. Osoba dostarczająca urządzenie cache (CAP_SYS_ADMIN) może podać zbyt duże seg_num, co prowadzi do zapisu poza zakresem (memset 12 KiB) w pamięci jądra podczas ładowania tabeli. Poprawka odrzuca seg_num równy zero, większy niż urządzenie może pomieścić lub większy niż PCACHE_CACHE_SEGS_MAX.

W jądrze Linux moduł dm-pcache nie ogranicza przesunięcia seg_off w funkcji cache_pos_decode(), która pobiera zapisane wartości key_tail i dirty_tail z urządzenia cache. Wartość seg_off równa lub większa niż rozmiar danych segmentu (data_size), kontrolowana przez osobę dostarczającą urządzenie (CAP_SYS_ADMIN), powoduje odczyt poza segmentem. Poprawka odrzuca zdekodowane seg_off, które nie jest mniejsze niż data_size segmentu.

W jądrze Linux moduł dm-pcache w funkcji cache_replay(), wątku zapisu zwrotnego i wątku GC ogranicza długość odczytu tail-kset przez PCACHE_SEG_SIZE - seg_off, czyli surowy rozmiar segmentu, a nie region danych. Odczyt tail blisko końca segmentu wykracza poza dane segmentu do następującego obszaru kontrolnego. Poprawka ogranicza odczyt do cache_seg_remain(), czyli regionu danych.

W jądrze Linux moduł dm-pcache w funkcji cache_replay() podąża za łańcuchem last-kset z metadanych przez next_cache_seg_id bez wywołania cond_resched(). Spreparowany łańcuch wskazujący z powrotem na już odwiedzony segment powoduje nieskończoną pętlę odtwarzania. Poprawka ogranicza liczbę przeskoków last-kset do cache->n_segs, ponieważ prawidłowy łańcuch odwiedza każdy segment co najwyżej raz.

W jądrze Linux moduł dm-pcache w funkcji get_cache_segment() skanuje mapę segmentów do cache->n_segs (fizyczna liczba segmentów urządzenia), ale cache_segs_init() inicjalizuje tylko pierwsze cache_info->n_segs segmentów. Spreparowany obraz z mniejszym cache_info->n_segs pozostawia pozostałe struktury pcache_cache_segment wyzerowane (segment.data == NULL), a alokator może przekazać taki segment do cache_kset_close(), która zapisuje przez wskaźnik data bez sprawdzenia NULL. Poprawka ogranicza wyszukiwanie alokatora do cache_info->n_segs.

W jądrze Linux w funkcji kset_replay() modułu dm-pcache występuje błąd use-after-free oraz nieprawidłowe operacje na segmentach. Gdy klucz ma nieaktualny seg_gen, pamięć klucza jest zwalniana, a następnie odwołuje się do niej wywołanie cache_seg_get(). Dodatkowo dla wygasłych nieprawidłowych kluczy niepotrzebnie ustawiany jest bit w seg_map i wywoływane cache_seg_get().

W jądrze Linux funkcja i3c_device_get_supported_xfer_mode() odwołuje się do dev->desc bez trzymania blokady bus->lock, co jest niedozwolone. Funkcja potrzebuje jedynie kontrolera nadrzędnego powiązanego z magistralą urządzenia, więc należy użyć dev->bus, które jest zawsze ważne przez cały czas życia urządzenia.

W jądrze Linux sterownik adi_i3c_master_probe() żąda przerwania i odmaskowuje REG_IRQ_PENDING_CMDR przed zainicjalizowaniem stanu IBI, listy kolejki transferów i blokady kolejki transferów. Oczekujące przerwanie CMDR może wywołać adi_i3c_master_irq() i użyć niezainicjalizowanej blokady, co wykrył Lockdep.