Katalog podatności CVE

W jądrze Linux w sterowniku graficznym V3D (drm/v3d) wykryto podatność związaną z brakiem serializacji procedur obsługi limitów czasu (timeout) dla różnych kolejek sprzętowych (BIN, RENDER, TFU, CSD). Ponieważ reset jest globalny, równoczesne obsługiwanie timeoutów w różnych kolejkach może prowadzić do niespójności liczników zadań, co skutkuje zawieszeniem GPU i interfejsu użytkownika.

W jądrze Linux wykryto podatność use-after-free w podsystemie perf, związaną z nieprawidłowym odłączaniem zdarzeń potomnych od grupy. Gdy zdarzenie potomne jest odłączane od grupy (np. podczas hot-unplug CPU), jego wskaźnik group_leader pozostaje wskazujący na starego lidera, który może zostać zwolniony, co prowadzi do dereferencji zwolnionej pamięci podczas wywołania ioctl PERF_IOC_FLAG_GROUP. Problem został zaobserwowany przez fuzzer zdarzeń perf, hotplug CPU i obciążenie systemu.

W jądrze Linux wykryto wyścig (race condition) między funkcjami event_define_fields() i update_event_fields() podczas jednoczesnego ładowania modułów. Brak ochrony listy pól zdarzeń przez event_mutex w trace_event_update_all() może prowadzić do paniki jądra.

W jądrze Linux w sterowniku fbdev funkcja bit_cursor() nie sprawdzała poprawności indeksu glifu odczytanego z bufora ekranu, co mogło prowadzić do odczytu poza zakresem pamięci. Problem został zgłoszony przez narzędzie Syzkaller i dotyczy ścieżki zapisu do /dev/vcsa.

W jądrze Linuxa funkcja ring_buffer_subbuf_order_set() zwalnia strony bufora, co jest niedozwolone, gdy zmiana rozmiaru jest wyłączona. Nieczytający konsument może doświadczyć użycia po zwolnieniu (use-after-free) w rb_advance_iter(). Funkcja zwraca teraz -EBUSY, gdy resize_disabled jest ustawione, zgodnie z zachowaniem ring_buffer_resize().

W jądrze Linuxa w module tracingu występuje błąd prowadzący do dereferencji wskaźnika NULL podczas usuwania zdarzeń z pamięci podręcznej modułu. Filtr zdarzeń specyficzny dla modułu, taki jak ':mod:foo', jest buforowany z wskaźnikiem NULL, gdy moduł nie został załadowany. Późniejsza próba usunięcia konkretnego dopasowania z tego samego modułu przekazuje ten NULL do strcmp(), powodując dereferencję NULL.

W jądrze Linux wykryto subtelny wyścig (race condition) w implementacji strony huge_zero_folio, który może prowadzić do błędnej identyfikacji strony jako zwykłej strony THP. Problem dotyczy sytuacji, gdy shrinker nadpisuje wskaźnik huge_zero_pfn wartością ~0UL w trakcie równoczesnego dostępu z get_huge_zero_folio(). Skutkiem może być nieprawidłowe dzielenie strony huge zero i inne błędne operacje.

W jądrze Linuxa w funkcji smc_rx_splice() występuje błąd braku równowagi w czasie życia wpisów splice. Funkcja przekazuje strony do splice_to_pipe() przed pobraniem referencji, co może prowadzić do użycia po zwolnieniu (use-after-free) z powodu niedomiaru licznika referencji.

W jądrze Linuxa funkcja in6_dev_get() może wskrzesić obiekt inet6_dev po jego zwolnieniu. Odczytuje dev->ip6_ptr pod RCU, a następnie bezwarunkowo zwiększa licznik referencji. Jeśli teardown urządzenia wyczyści wskaźnik i zwolni ostatnią referencję między tymi operacjami, inkrementacja może wskrzesić obiekt, którego zwolnienie RCU już zostało zaplanowane, prowadząc do użycia po zwolnieniu.

W jądrze Linuxa w module net/dibs występuje problem z podwójnym zwolnieniem i użyciem po zwolnieniu (UAF) w dmb_clientid_arr. Obsługa przerwań może być aktywna po dibs_dev_del() i nadal uzyskiwać dostęp do tablicy. W przypadku błędu w dibs_dev_add() tablica jest zwalniana dwukrotnie.

W jądrze Linuxa w protokole X.25 występuje błąd użycia po zwolnieniu (use-after-free) gniazda przez jego timery. Timery są uzbrajane za pomocą mod_timer() i anulowane za pomocą timer_delete(), więc oczekujący timer nie trzyma referencji na gniazdo, a anulowanie nie czeka na wywołanie zwrotne już działające na innym CPU. x25_heartbeat_expiry() również bezwarunkowo ponownie uzbraja timer, co może prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w funkcji zerocopy_fill_skb_from_devmem() brakuje zabezpieczenia przed mieszaniem fragmentów net_iov i stron w jednym pakiecie sieciowym (skb). Taka mieszanka może prowadzić do awarii stosu sieciowego.

W jądrze Linuxa w sterowniku ntb_netdev funkcja ntb_netdev_rx_handler() przekazuje odebrany skb do stosu sieciowego przed przydzieleniem jego następcy. Jeśli alokacja się nie powiedzie, bufor nie jest ponownie wysyłany, co stopniowo opróżnia kolejkę RX i może zatrzymać odbiór pakietów.

W jądrze Linuxa w podsystemie netfilter bridge, gdy reguła nftables ustawia strefę ct, szablon conntrack może zostać dołączony do skb przed przetworzeniem przez nf_ct_bridge_pre(). Dla nie-IP typów EtherType funkcja nadpisuje stan conntrack bez zwolnienia referencji do szablonu, co prowadzi do wycieku pamięci.

W jądrze Linuxa w netfilter nf_conntrack, ścieżki TCP i SCTP mogą generować logi o nieprawidłowych pakietach, gdy trzymają blokadę ct->lock. Jeśli logowanie jest kierowane do nfnetlink_log i eksport conntrack jest włączony, może dojść do zakleszczenia.

W jądrze Linuxa w sterowniku atlantic, podczas deinicjalizacji pierścieni TX, funkcja aq_vec_deinit() czyści tylko ograniczoną liczbę deskryptorów i zatrzymuje się na hw_head, pozostawiając wiele buforów (skb lub xdp_frame) niezwolnionych. Prowadzi to do wycieku pamięci przy każdym wyłączeniu interfejsu, a w przypadku page_pool może zablokować jego zniszczenie.

W jądrze Linuxa w sterowniku atlantic, funkcja aq_ring_rx_deinit() przegląda tylko zakres [sw_head, sw_tail), pomijając bufory, które zostały zużyte, ale nie zostały jeszcze uzupełnione. Powoduje to wyciek stron i mapowań DMA przy każdym wyłączeniu interfejsu.

W jądrze Linux wykryto podatność w module net/sched/act_ct, która powoduje wyciek pamięci sk_buff. Gdy funkcja tcf_ct_handle_fragments() odrzuca pakiet z powodu błędów w nagłówkach (np. -EINVAL, -ENOMEM, -EPROTO), pakiet nie jest zwalniany, a akcja zwraca TC_ACT_CONSUMED, co prowadzi do trwałego wycieku pamięci. Problem został zaobserwowany na wersji v7.2-rc6, gdzie każdy nieprawidłowy pakiet powoduje wyciek obiektu skbuff_head_cache (232 bajty) oraz bufora danych (704 bajty).

W jądrze Linux wykryto podatność w modułach net/sched: act_gact i act_police. Brakuje walidacji zakresu dla zapasowej akcji sterującej (fallback control action) dostarczanej przez użytkownika, co pozwala na ustawienie wartości TC_ACT_CONSUMED (spoza dozwolonego zakresu UAPI). Powoduje to wyciek pamięci (sk_buff i bufora danych) dla każdego pakietu przechodzącego przez filtr, bez ograniczeń, w tym dla pakietów generowanych przez jądro.

W jądrze Linux wykryto podatność w systemie plików OverlayFS. Nieuprzywilejowany użytkownik może wywołać ostrzeżenie WARN_ON w ovl_fill_super(), co może doprowadzić do zanieczyszczenia jądra, zalania logów, a nawet paniki systemu (jeśli włączono panic_on_warn). Problem wynika z możliwości dokończenia montowania przez proces z innej przestrzeni nazw użytkownika.