Katalog podatności CVE

W jądrze Linux w module xfrm (ESP-in-TCP) występuje problem z pakietami, które nie mają urządzenia wejściowego (ingress device). Gdy urządzenie wejściowe zostanie usunięte, dev_get_by_index_rcu() zwraca NULL, co prowadzi do dereferencji NULL w ścieżce wejściowej XFRM. Poprawka odrzuca takie pakiety.

W jądrze Linuxa wykryto podatność na zakleszczenie (deadlock) w mechanizmie keepalive dla NAT w podsystemie xfrm. Funkcja nat_keepalive_work() przegląda tabelę stanów, trzymając blokadę xfrm_state_lock, a następnie w wywołaniu zwrotnym próbuje uzyskać blokadę x->lock. Ścieżka usuwania stanu (xfrm_state_delete) blokuje te same zamki w odwrotnej kolejności, co prowadzi do zakleszczenia AB-BA. Problem został rozwiązany poprzez podzielenie przeglądania na dwie fazy: najpierw zbieranie kandydatów z referencją, a potem przetwarzanie bez zagnieżdżania blokad.

W jądrze Linuxa w podsystemie AH6 (IPsec) występuje podatność na odczyt poza zakresem pamięci. Funkcja ipv6_rearrange_rthdr() zakłada, że pole segments_left w nagłówku routingu nie przekracza liczby adresów opisanych przez hdrlen. Jednak dla surowych pakietów IPv6 (HDRINCL) można wysłać pakiet z hdrlen=2 (opisujący jeden adres) i segments_left=255, co powoduje przesunięcie wskaźnika o 4064 bajty wstecz i przekazanie długości 4064 bajtów do memmove(), prowadząc do dostępu poza pamięć. Poprawka dodaje walidację tego niezmiennika przed modyfikacją nagłówka.

W jądrze Linuxa w funkcji xfrm_state_construct() występuje wyciek pamięci związany z algorytmem uwierzytelniania. Funkcja attach_auth_trunc() może przydzielić pamięć dla x->aalg, ale nie ustawia x->props.aalgo, gdy wybrany algorytm nie ma identyfikatora sadb_alg_id (np. cmac(aes)). Następnie xfrm_state_construct() traktuje zerową wartość x->props.aalgo jako brak algorytmu i wywołuje attach_auth(), co nadpisuje wskaźnik x->aalg i traci pierwotną alokację. Poprawka sprawdza, czy x->aalg jest już ustawiony, zamiast wnioskować na podstawie x->props.aalgo.

W jądrze Linux wykryto podatność use-after-free w kodzie mostkowania multicast (bridge mcast) dla VLAN-ów nadrzędnych (master VLAN). Problem polega na tym, że podczas usuwania VLAN-u nadrzędnego flaga BR_VLFLAG_MCAST_ENABLED nie jest czyszczona pod blokadą, co pozwala czytelnikom (transmisja mostka) na ponowne uzbrojenie kontekstu multicast po jego deinicjalizacji i zwolnieniu pamięci, prowadząc do dostępu do zwolnionej pamięci.

W jądrze Linuxa w podsystemie AF_PACKET naprawiono podatność związaną z buforami pierścieniowymi TX_RING. Problem polegał na tym, że deskryptory skb przechowywały surowy wskaźnik do ramki pierścienia, który mógł wskazywać na nieistniejące już mapowanie vmalloc po zwolnieniu pg_vec. Naprawa opóźnia zwolnienie referencji do momentu po zapisie znacznika czasu i statusu ramki oraz dodaje dodatkowe sprawdzenie przed wymianą pierścienia.

W jądrze Linux w module Segment Routing IPv6 (seg6) podczas dekapsulacji IPIP (End.DX4, End.DT4) nie jest czyszczony blok sterowania IPv4 (IPCB). Skutkuje to użyciem starych danych IP6CB przez IPv4, co może prowadzić do odczytu poza zakresem w funkcji __ip_options_echo() i potencjalnego naruszenia pamięci (KASAN: slab-out-of-bounds).

W jądrze Linuxa w module batman-adv występuje podatność na odczyt poza zakresem pamięci. Funkcja batadv_tvlv_call_handler() ustawia pola network_header i transport_header w strukturze sk_buff na podstawie odebranego multicast TVLV, bez sprawdzenia, czy końcowy offset jest reprezentowalny w 16-bitowym polu. Jeśli offset przekracza zakres, skb_set_transport_header() obcina go, co powoduje, że nagłówek transportowy znajduje się przed nagłówkiem sieciowym, a skb_network_header_len() zwraca dużą wartość u32. Funkcja batadv_mcast_forw_packet() akceptuje wtedy zbyt duży multicast tracker i uzyskuje dostęp do pamięci poza danymi skb. Poprawka dodaje funkcję skb_set_transport_header_careful() i odrzuca niereprezentowalne TVLV.

W jądrze Linuxa w module vxlan występuje podatność na użycie nieprawidłowego wskaźnika (invalid pointer) podczas czyszczenia wpisów FDB. Gdy filtrowane masowe czyszczenie usuwa wszystkie remote'y z wpisu FDB, ostatni remote jest odłączany w funkcji vxlan_fdb_dst_destroy(), a dopiero potem niszczony jest wpis nadrzędny. W tym czasie czytelnik RCU może znaleźć wpis nadrzędny, a funkcja first_remote_rcu() zastosuje list_entry_rcu() do pustej listy, tworząc nieprawidłowy wskaźnik remote, który może być używany w ścieżce uczenia się. Poprawka pozostawia ostatni remote podłączony i prosi wywołującego o zniszczenie całego wpisu FDB.

W jądrze Linux w podsystemie netfilter/nf_tables występuje podatność polegająca na wyścigu (race condition) podczas kolejkowania powiadomień o obiektach z ścieżki pakietów. Funkcja nft_obj_notify() wywoływana z ścieżki pakietów (np. przez nft_quota_obj_eval) dodaje powiadomienie do listy notify_list bez odpowiedniego blokowania, co może prowadzić do użycia po zwolnieniu (use-after-free) sk_buff. Problem pojawił się po zmianie 67cc570edaa0, która zmieniła sposób wysyłania powiadomień.

W jądrze Linuxa w module crypto virtio występuje podatność na odczyt poza zakresem pamięci. Funkcja virtio_crypto_dataq_akcipher_callback() ustawia długość wyniku na podstawie długości zgłoszonej przez urządzenie, bez ograniczenia do rozmiaru bufora docelowego, który został przydzielony dla pierwotnej długości żądania. Funkcja sg_copy_from_buffer() czyta wtedy tę liczbę bajtów z bufora docelowego; backend zgłaszający większą długość odczytuje sąsiedni obszar sterty jądra do scatterlist wywołującego (odczyt poza zakresem). Poprawka ogranicza zgłoszoną długość do pierwotnie żądanej długości docelowej.

W jądrze Linux usunięto interfejs crypto_rng z sterownika qcom-rng, ponieważ był on zbędny i powodował błędy. Sterownik udostępniał ten sam sprzęt przez dwa osobne interfejsy, co mogło prowadzić do jednoczesnego dostępu do rejestrów i generowania nieprawidłowych wartości losowych. Interfejs hwrng pozostaje aktywny i jest tym właściwym.

W jądrze Linux usunięto interfejs crypto_rng z sterownika sun8i-ce, ponieważ był nieużywany i zbędny. Sterownik zawierał podatność use-after-free w funkcji ->generate() z powodu nieprawidłowej obsługi przerwania operacji DMA. Wsparcie dla hwrng pozostaje nietknięte.

W jądrze Linux usunięto interfejs crypto_rng z sterownika sun8i-ss, ponieważ był nieużywany i zbędny. Sterownik zawierał podatność use-after-free w funkcji ->generate() oraz błąd nadmiernego odczytu bufora w linii memcpy(ctx->seed, d + dlen, ctx->slen). Wsparcie dla hwrng pozostaje.

W jądrze Linux w sterowniku crypto: qce występuje błąd niedostatecznej alokacji bufora AAD w funkcji qce_aead_ccm_prepare_buf_assoclen(). Bufor może być mniejszy niż długość później programowana do listy DMA, co prowadzi do odczytu poza przydzielony obszar przez sprzęt QCE podczas obliczania CBC-MAC. Poprawka polega na dodaniu maksymalnej długości nagłówka AAD przed wyrównaniem.

W jądrze Linux w sterowniku crypto: mxs-dcp funkcja mxs_dcp_aes_block_crypt() używa sg_dma_len() bez wcześniejszego mapowania listy scatterlist przez dma_map_sg(). Może to prowadzić do nieprawidłowej długości przetwarzanych danych podczas szyfrowania i deszyfrowania, gdy włączona jest opcja CONFIG_NEED_SG_DMA_LENGTH=y. Poprawka polega na użyciu oryginalnej długości scatterlist.

W jądrze Linux w podsystemie USB dodano blokadę (spin lock) do funkcji usb_wakeup_notification(), aby zapobiec wyścigowi związanemu z dereferencją zwolnionej pamięci. Problem mógł wystąpić, gdy sterownik xHCI wywoływał tę funkcję z przerwania, konkurując z funkcją hub_disconnect().

W jądrze Linux w sterowniku ALSA: usb-audio występuje podatność zapisu poza zakresem (OOB write) w funkcji snd_usbmidi_novation_output(). Złośliwe urządzenie USB może zadeklarować wMaxPacketSize=1, co prowadzi do ujemnej długości przesyłania i zapisu poza bufor. Poprawka dodaje sprawdzenie, czy endpoint może pomieścić nagłówek i co najmniej jeden bajt danych.

W jądrze Linux w sterowniku ALSA usb-audio wykryto podatność związaną z niepełnym czyszczeniem stanu po błędzie podczas wznawiania systemu (system resume). Nieudane wznowienie może pozostawić kartę dźwiękową w stanie uniemożliwiającym jej użycie do czasu restartu, a licznik zawieszonych interfejsów pozostaje niespójny, co zaburza kolejne cykle zawieszenia i wznowienia.

W jądrze Linux w sterowniku USB: serial: option występuje podatność odczytu poza zakresem (slab OOB read) w funkcji callback przerwania URB. Bufor przerywań jest alokowany na podstawie wMaxPacketSize, a gdy urządzenie wyśle krótki pakiet, kod odczytuje dane poza przydzielonym buforem. Poprawka dodaje brakujące sprawdzenie granic przed dostępem do danych.