Katalog podatności CVE

W bibliotece DBI dla Perla przed wersją 1.652 występuje podatność na zapis poza zakresem pamięci sterty (heap out-of-bounds write) spowodowany niezweryfikowanym numerycznym placeholderem, który ustawia licznik bindowania w funkcji preparse. Specjalnie spreparowane zapytanie może doprowadzić do zapisu poza przydzielony bufor.

W bibliotece DBI dla Perla przed wersją 1.652 występuje podatność na zapis poza zakresem pamięci sterty na 32-bitowym Perlu, spowodowana zawinięciem liczby całkowitej przy obliczaniu rozmiaru bufora wyjściowego w funkcji preparse. Bardzo długie zapytanie może spowodować zapis poza przydzielony bufor.

Wtyczka TrueBooker dla WordPressa do wersji 1.2.6 włącznie jest podatna na przejęcie konta. Dzieje się tak, ponieważ procedura AJAX add_front_user_update() jest dostępna dla niezalogowanych użytkowników i akceptuje dowolną wartość truebooker_wp_user_id, która jest przekazywana do wp_update_user() bez weryfikacji uwierzytelnienia lub własności. Umożliwia to niezalogowanym atakującym zmianę adresu e-mail dowolnego konta użytkownika, w tym administratora, a następnie wykorzystanie natywnego mechanizmu resetowania hasła do przejęcia konta.

Wtyczka User Profile Builder dla WordPressa do wersji 3.16.4 włącznie jest podatna na obejście uwierzytelniania przez pomylenie typów. Funkcja wppb_log_in_user() wywołuje absint() na wyniku wp_insert_user() przed sprawdzeniem is_wp_error(). Gdy rejestracja zawiera nazwę użytkownika o długości 61–70 znaków, WordPress odrzuca ją obiektem WP_Error, ale absint() zamienia ten obiekt na liczbę 1, co powoduje, że wtyczka tworzy i zwraca tymczasowy nonce do automatycznego logowania powiązany z ID użytkownika 1. Umożliwia to niezalogowanym atakującym zalogowanie się jako administrator (ID 1) i pełne przejęcie witryny.

W jądrze Linux w podsystemie iommu/vt-d podczas usuwania wpisu kontekstu w trybie skalowalnym bit Present nie jest najpierw wyczyszczony, co stwarza okno, w którym sprzęt może pobrać uszkodzony wpis, prowadząc do nieprzewidywalnego zachowania lub fałszywych błędów. Problem dotyczy funkcji device_pasid_table_teardown(), która nie została dostosowana do wcześniejszej poprawki.

W jądrze Linux w podsystemie rxrpc brak synchronizacji między funkcją rxrpc_kernel_charge_accept a zamykaniem gniazda może prowadzić do użycia zwolnionej pamięci. Równoczesne wywołanie rxrpc_discard_prealloc może zwolnić strukturę rxrpc_backlog, podczas gdy pracownik prealokacji nadal jej używa.

W jądrze Linux w podsystemie rxrpc podczas odczytu wiadomości OOB z flagą MSG_PEEK wiadomość jest przenoszona na kolejkę pending_oobq, mimo że nie powinna być usuwana z kolejki. Prowadzi to do podwójnego zwolnienia pamięci i użycia po zwolnieniu, co może powodować uszkodzenie pamięci.

W jądrze Linux w podsystemie rxrpc funkcja rxgk_issue_challenge() zwalnia stronę zawierającą treść wyzwania po wywołaniu tracepointu, ale wskaźnik whdr przekazany do tracepointu wskazuje na tę stronę, co prowadzi do użycia po zwolnieniu.

W jądrze Linuxa w podsystemie rxrpc naprawiono podwójne odblokowanie (double unlock) w funkcji rxrpc_recvmsg() podczas obsługi komunikatów OOB (out-of-band).

W jądrze Linuxa w podsystemie AFS naprawiono problem z zamykaniem przestrzeni nazw sieciowych (netns), aby anulować ładowanie wstępnie przydzielonych zasobów. Funkcja afs_charge_preallocation() pomija ładowanie, gdy net->live jest fałszywe, a afs_rx_new_call() unika ponownego kolejkowania.

W jądrze Linux w funkcji vxlan_gro_prepare_receive() istnieje ryzyko odwołania do wskaźnika NULL, gdy sk_user_data zostanie ustawione na NULL podczas działania funkcji. Może to prowadzić do awarii systemu.

W jądrze Linux w module DLM występuje problem z kolejnością dodawania wiadomości do kolejki send_queue, co może prowadzić do błędów refcounting i użycia po zwolnieniu. Atakujący może wykorzystać tę podatność do awarii systemu.

W jądrze Linuxa funkcja addrconf_dad_failure() w IPv6 mogła nadpisać stan DEAD na ERRDAD, co prowadziło do użycia po zwolnieniu (use-after-free) i awarii systemu. Poprawka polega na sprawdzeniu stanu przed przejściem do ERRDAD i wykonaniu operacji w jednej sekcji krytycznej.

W jądrze Linuxa w sterowniku RDMA/srpt funkcja sprawdzająca długość danych natychmiastowych nie sprawdzała przepełnienia liczby całkowitej, co pozwalało złośliwemu inicjatorowi na obejście kontroli granic i przekazanie ~4GB długości do sg_init_one(). Poprawka używa check_add_overflow().

W jądrze Linux wykryto podatność w sterowniku nvme-multipath. Struktura nvme_ns_head zawiera elastyczną tablicę current_path[], która jest indeksowana numerem węzła NUMA. Alokacja pamięci używała liczby możliwych węzłów (num_possible_nodes), co na systemach z rzadkimi identyfikatorami NUMA (np. POWER9) prowadzi do odczytu/zapisu poza zakresem pamięci (slab-out-of-bounds).

W jądrze Linux w sterowniku md/raid10 naprawiono problem z resetowaniem read_slot podczas ponownego użycia r10bio dla operacji discard. Jeśli r10bio był wcześniej używany do odczytu, read_slot mógł być nieujemny, co powodowało pominięcie zwolnienia repl_bio.

W jądrze Linux naprawiono podatność w sterowniku NVMe, dotyczącą nieprawidłowego sprawdzania granic dla indeksu fdpcidx w mechanizmie FDP (Flexible Data Placement). Błąd polegał na użyciu operatora > zamiast >=, co pozwalało na akceptację nieprawidłowego indeksu równego NUMFDPC + 1.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji szybkich dowiązań symbolicznych (fast symlink) podczas odczytu i-węzła. Uszkodzony i-węzeł z dowiązaniem o zerowej liczbie klastrów może prowadzić do odczytu poza buforem bloku i-węzła, co skutkuje błędem użycia po zwolnieniu pamięci (use-after-free).

W jądrze Linux naprawiono podatność w sterowniku RDMA/siw, która powodowała użycie po zwolnieniu (UAF) podczas rozłączania gniazda od punktu końcowego. Problem występował podczas przetwarzania nieprawidłowego żądania MPA, co mogło prowadzić do zamknięcia nowego punktu końcowego i dostępu do zwolnionej pamięci.

W jądrze Linux w usłudze lockd funkcja nlm4svc_lookup_file() używa niezainicjalizowanych bajtów w funkcji file_hash(), gdy długość uchwytu pliku jest mniejsza niż LOCKD_FH_HASH_SIZE. To powoduje, że ten sam uchwyt może być hashowany do różnych zasobników, co prowadzi do niepowodzenia wyszukiwania. Poprawka zeruje tylko końcowe bajty, które są używane przez file_hash().