Katalog podatności CVE

W jądrze Linux w generycznym XDP po dostosowaniu fragmentów skb, skb->len nie jest aktualizowany, co powoduje, że skb_headlen() jest większe niż rzeczywisty obszar liniowy. W ścieżce odbioru UDP może to prowadzić do kopiowania danych poza obszar liniowy do przestrzeni użytkownika.

W jądrze Linux w Open vSwitch (openvswitch) podczas aktualizacji przepływu, gdy żądanie z UFID nie znajdzie przepływu i użyje klucza, wstępnie przydzielona odpowiedź może być za mała. Może to prowadzić do błędu -EMSGSIZE i wywołania BUG_ON w ścieżce aktualizacji.

W jądrze Linux w podsystemie net/sched zbyt głębokie hierarchie qdisc mogą prowadzić do nadmiernej rekurencji i wyczerpania stosu jądra. Istniejący mechanizm wykrywania pętli nie obejmuje ścieżki tworzenia i szczepienia, co pozwala na rozszerzanie hierarchii.

W jądrze Linux w funkcji inet_frag_create() timer kolejki fragmentów jest uzbrajany przed opublikowaniem kolejki w tablicy haszującej. Jeśli limit czasu fragmentacji jest zerowy lub ujemny, timer może zadziałać przed publikacją, co prowadzi do wyścigu i pozostawienia nieaktualnego węzła w tablicy.

W jądrze Linux w podsystemie mac802154 worker beacon odczytuje local->beacon_req pod RCU, ale po opuszczeniu sekcji RCU nadal używa sdata i wpan_dev. Może to prowadzić do użycia po zwolnieniu po zakończeniu interfejsu.

W jądrze Linux wykryto podatność w module netfilter ebt_nflog, która prowadzi do użycia po zwolnieniu (use-after-free). Problem wynika z braku utrzymania referencji do modułu logującego NFLOG, co pozwala na wywołanie reguły ebtables po zwolnieniu per-net danych przez nfnetlink_log. Atakujący może wykorzystać tę wadę do naruszenia integralności pamięci jądra.

W jądrze Linux w podsystemie bridge MRP funkcja br_mrp_alloc_test_skb() tworzy ramki testowe MRP na skb z dev_alloc_skb(), które nie czyści obszaru danych. W gałęzi ring-role MRA trzy bajty pozostają niezainicjalizowane w każdej ramce MRP_Test.

W jądrze Linux wykryto podatność w mechanizmie futex, dotyczącą wyścigu podczas wychodzenia z procesu z użyciem robust futex. Poprzednia poprawka (ca16d5bee598) była niewystarczająca, co pozwalało na utratę powiadomienia o wybudzeniu, gdy inny wątek przejął futex szybką ścieżką. W rezultacie oczekujące wątki mogły zasnąć na zawsze, mimo że futex był wolny.

W jądrze Linux w funkcji fib_nlmsg_size() błędnie szacowano rozmiar przestrzeni dla nexthopów, zakładając, że każdy gateway jest kodowany jako atrybut IPv4 RTA_GATEWAY. Trasy IPv4 mogą jednak zawierać gateway IPv6, który jest zrzucany jako RTA_VIA, co prowadzi do zbyt małej alokacji skb i błędów -EMSGSIZE, a przy włączonym panic_on_warn do paniki jądra.

W jądrze Linux wykryto podatność use-after-free w funkcji fib_nhc_update_mtu() dla IPv4. Problem wynika z braku synchronizacji przeglądania tabeli wyjątków PMTU z aktualizacjami, co może prowadzić do dostępu do zwolnionej pamięci. Atakujący może wykorzystać tę wadę do naruszenia integralności systemu.

W sterowniku UART qcom-geni w jądrze Linux występuje problem z opróżnianiem bufora DMA podczas transmisji, co powoduje zawieszenie UART i nieskończone powtarzanie uszkodzonych ramek TX DMA. Brakuje wywołania zwrotnego flush_buffer w trybie DMA, a ścieżka zatrzymania jest uszkodzona, co prowadzi do zakleszczenia.

W sterowniku 8250_dma w jądrze Linux, funkcja serial8250_release_dma() kończy RX DMA i zwalnia kanał, ale pozostawia ustawioną flagę rx_running. Przy ponownym otwarciu portu, przestarzały stan powoduje przekazanie NULL do dmaengine_pause(), co prowadzi do kernel Oops.

W jądrze Linux wykryto podatność w sterowniku szeregowym 8250_of dla układu NXP LPC32xx. UART może zgłaszać przerwanie przekroczenia czasu odbioru (RX timeout) przy pustym buforze FIFO, co nie jest automatycznie czyszczone. Powoduje to burzę przerwań, która na jednordzeniowym ARM926 może zablokować działanie procesora (livelock).

W sterowniku amba-pl011 w jądrze Linux, timery hrtimer RS485 są osadzone w zarządzanym przez devm porcie i mogą się uruchomić po jego zwolnieniu. Obsługa przerwań może uzbroić timer, dlatego należy najpierw zwolnić IRQ, a następnie anulować oba timery.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_get_wpa_ie() odczytuje bajty na stałych offsetach z elementu informacyjnego specyficznego dla dostawcy bez sprawdzania, czy element jest wystarczająco długi, co powoduje odczyt poza zakresem dla krótkiego elementu IE.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja WMM_param_handler() kopiuje element parametrów WMM o stałym rozmiarze z odebranego elementu informacyjnego bez sprawdzania, czy element jest wystarczająco długi, co powoduje odczyt poza zakresem dla krótkiego elementu WMM IE.

W sterowniku staging rtl8723bs w jądrze Linux, procedura uwierzytelniania WEP shared-key używa długości elementu challenge-text kontrolowanej przez atakującego bez sprawdzania jej względem stałego bufora 128-bajtowego chg_txt, co może prowadzić do przepełnienia lub niedopełnienia bufora.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_cfg80211_monitor_if_xmit_entry() usuwa nagłówek radiotap i odczytuje pole kontrolne ramki 802.11 bez sprawdzania, czy pozostał podstawowy nagłówek 802.11, co może prowadzić do odczytów poza zakresem lub niewystarczających danych.

W jądrze Linux w module fastrpc występuje potencjalny wyścig podczas operacji unmap bufora. Bufor jest usuwany z listy dopiero po zakończeniu operacji unmap, co może prowadzić do problemów przy równoczesnym wywołaniu unmap przez wiele wątków. Poprawka przenosi usunięcie z listy przed operacją unmap, a w przypadku niepowodzenia bufor jest ponownie dodawany.

W jądrze Linux w module fastrpc brakuje blokady fl->lock podczas przenoszenia mapowań pamięci po przerwaniu wywołania invoke. Operacje list_del() i list_add_tail() są wykonywane bez tej blokady, co może prowadzić do wyścigu z innymi operacjami na liście mmaps. Poprawka dodaje blokadę wokół przenoszenia.