Katalog podatności CVE

W jądrze Linux w podsystemie eventfs wykryto problem z użyciem pola listy jako głowy RCU oraz brak barier pamięci. Może to prowadzić do odczytu uszkodzonych danych podczas iteracji po liście dzieci.

W jądrze Linux w sterowniku termicznym hwmon cofnięto commit, który wprowadził błąd use-after-free w ścieżce błędów funkcji thermal_add_hwmon_sysfs(). Poprawka przywraca usuniętą walidację.

W jądrze Linux w sterowniku ptp_ocp wykryto błąd odczytu poza zakresem pola ID płyty z EEPROM. Pole to nie jest zakończone znakiem NUL, co może prowadzić do odczytu pamięci poza buforem.

W jądrze Linux w podsystemie ring-buffer wykryto brak inicjalizacji pola order w strukturze bpage. Może to prowadzić do nieprawidłowego zwalniania buforów o rozmiarze większym niż strona.

W jądrze Linux wykryto podatność w mechanizmie ring-buffer, gdzie funkcja ring_buffer_swap_cpu() może zamienić bufory per-CPU w trakcie trwającej operacji zapisu. Licznik committing może chwilowo spaść do zera, co pozwala na niebezpieczną zamianę buforów i prowadzi do niespójności stanu oraz ostrzeżenia RB_WARN_ON. Poprawka zastępuje sprawdzanie licznika kontrolą current_context, która jest ustawiana na początku operacji i pozostaje ważna przez cały czas jej trwania.

W jądrze Linux w mechanizmie page_table_check stwierdzono podatność polegającą na nieprawidłowym uwzględnianiu specjalnych mapowań zerowych (shared zero-page i huge zero PMD) jako stron plikowych. Nieuprzywilejowany proces może utworzyć wystarczająco dużo takich mapowań, aby przepełnić licznik file_map_count i wywołać BUG_ON().

W jądrze Linux w mechanizmie ptdump stwierdzono wyścig (race condition) z procesem zwalniania tablic stron jądra. Poprzednie poprawki zabezpieczały tylko ptdump dla init_mm, ale na architekturach x86 i arm64 ptdump może działać na innych mm, co pozostawia lukę. Poprawka polega na zablokowaniu init_mm przed wykonaniem ptdump.

W jądrze Linux w funkcji rt6_route_rcv() stwierdzono błędną walidację długości opcji Route Information (RFC 4191). Z powodu błędu off-by-one, jądro może odczytać do 8 bajtów poza końcem opcji, co może ujawnić dane z sąsiednich obszarów pamięci w trasach widocznych dla użytkownika.

W jądrze Linux w funkcji ip6ip6_err() stwierdzono, że klon skb (skb2) przenosi metadane zewnętrznego pakietu IPv6 (w tym wskaźnik dsthao) do odpowiedzi ICMPv6. Może to prowadzić do odczytu poza zakresem cytowanego pakietu wewnętrznego i uszkodzenia struktury skb_shared_info.

W jądrze Linux w funkcji setattr_prepare() stwierdzono zbędne sprawdzenie, czy fs-verity jest włączone. To sprawdzenie nie jest konieczne, a jego obecność może powodować, że operacja truncate na plikach fsverity zakończy się sukcesem, co jest niepożądane.

W jądrze Linux w funkcji fscrypt_ioctl_set_policy() stwierdzono, że sprawdzenie właściciela pliku używa nop_mnt_idmap zamiast idmap zamontowanego systemu plików. Na systemach plików wspierających idmapped mounts (np. ext4, f2fs) może to prowadzić do błędnego odmówienia dostępu prawowitemu właścicielowi lub przyznania dostępu niepowołanej osobie.

W jądrze Linux wykryto podatność w mechanizmie PSI (Pressure Stall Information) dla grup cgroup. Wyścig między funkcjami psi_schedule_rtpoll_work() a psi_trigger_destroy() może doprowadzić do ponownego uzbrojenia timera po jego usunięciu, a następnie do użycia po zwolnieniu pamięci (use-after-free) podczas wyzwalania timera na zwolnionej strukturze grupy.

W jądrze Linux w mechanizmie sched_ext stwierdzono potencjalny zakleszczenie (deadlock) spowodowane kolejnością blokad w scx_cgroup_lock(). Funkcja najpierw blokuje scx_cgroup_ops_rwsem, a następnie cgroup_lock(), co może prowadzić do zakleszczenia z operacjami cgroup rmdir i zapisami cpu.weight.

W jądrze Linux w mechanizmie IMA stwierdzono brak natychmiastowego resetowania flag akcji (IMA_DONE_MASK) podczas operacji truncate. Poprawka instaluje haki file_truncate i path_truncate, aby wymusić ponowne zbieranie, mierzenie, audyt i ocenę pliku przy następnym dostępie.

W jądrze Linux wykryto podatność w funkcji __filemap_add_folio() w module mm/filemap. Podczas ponawiania próby wstawienia strony (folio) do xarray, indeks nie był przywracany do pierwotnej wartości, co mogło prowadzić do umieszczenia folio pod błędnym (zaokrąglonym w dół) indeksem. Problem objawiał się rzadkimi błędami SIGILL i SIGSEGV w produkcji, gdyż kod wykonywalny znajdował się w niewłaściwej stronie pamięci.

W jądrze Linuxa w funkcji bpf_get_fsverity_digest() występuje problem z założeniami dotyczącymi dynptr. Mimo że weryfikator BPF i abstrakcja dynptr zapewniają ważność pamięci, nie gwarantują stabilności jej zawartości. Funkcja mogła ulec awarii, jeśli arg->digest_size został współbieżnie zmodyfikowany. Poprawka polega na użyciu znanej, poprawnej wartości hash_alg->digest_size oraz poszerzeniu typów zmiennych do u64.

W jądrze Linux wykryto podatność use-after-free w mechanizmie BPF sockmap podczas przetwarzania werdyktu wysyłki. Problem polega na tym, że funkcja tcp_bpf_send_verdict() kopiuje wskaźnik do gniazda docelowego bez zwiększania licznika referencji, co przy współbieżnym dostępie może prowadzić do użycia zwolnionej pamięci. Atakujący może wykorzystać tę wadę do eskalacji uprawnień lub wywołania awarii systemu.

W jądrze Linuxa w protokole SCTP występuje błąd polegający na tym, że chunk nie jest aktualizowany przy przenoszeniu na listę innego transportu. Może to prowadzić do użycia po zwolnieniu (use-after-free), gdy transport zostanie usunięty, a wskaźnik chunk->transport pozostanie nieaktualny. Poprawka ustawia chunk->transport podczas przenoszenia.

W jądrze Linuxa w protokole SCTP występuje podatność na użycie po zwolnieniu (use-after-free) w mechanizmie ASCONF. Zbuforowany chunk ASCONF nie jest poprawnie czyszczony po zwolnieniu, co może prowadzić do dostępu do nieaktualnej pamięci. Poprawka czyści wskaźnik addip_last_asconf po zwolnieniu i zabezpiecza przed wyścigiem z wygaśnięciem timera T4.

W jądrze Linux w podsystemie SCTP wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Zdalny, uwierzytelniony peer SCTP może w jednym żądaniu ASCONF dodać i usunąć transport, pozostawiając wskaźnik new_transport wskazujący na usunięty obiekt. Późniejsze operacje (np. wysyłka HEARTBEAT) mogą odczytać zwolnioną pamięć, co w raporcie KASAN objawia się jako slab-use-after-free w funkcji sctp_outq_select_transport.