Katalog podatności CVE

W jądrze Linux w podsystemie NVMe over Fabrics (nvmet) dla kontrolerów PCIe Endpoint (pci-epf) wykryto podatność use-after-free. Funkcja nvmet_pci_epf_exec_iod_work() po wywołaniu req->execute() odczytuje pola iod->data_len i iod->dma_dir, ale w przypadku komend bez transferu danych z urządzenia do hosta, iod może zostać zwolniony asynchronicznie na innym CPU, zanim te pola zostaną odczytane, co prowadzi do użycia po zwolnieniu.

W jądrze Linux w podsystemie fbdev odkryto brak spójności w obsłudze zmian trybu wyświetlania. Niektóre ścieżki wywołań (np. przez sysfs) nie aktualizowały stanu fbcon, co mogło prowadzić do nieprawidłowego działania konsoli. Wprowadzono funkcję pomocniczą fb_set_var_from_user(), która centralizuje obsługę zmian trybu, w tym aktualizację fbcon.

W jądrze Linux w podsystemie fbdev wykryto brak synchronizacji dostępu do listy modeli (modelist) i bieżącego trybu (mode) w operacjach sysfs. Równoczesny odczyt/zapis mógł prowadzić do użycia po zwolnieniu (use-after-free) lub przechowywania zwolnionego wskaźnika. Poprawka polega na dodaniu blokady lock_fb_info() w funkcjach show_mode(), show_modes() i store_mode().

W jądrze Linux wykryto podatność w podsystemie MPTCP (MultiPath TCP) dotyczącą wycieku pamięci podczas wyścigu między operacją zamykania gniazda a równoczesnym przetwarzaniem żądania ANNOUNCE od menedżera polityki (PM) w przestrzeni użytkownika. Problem wynika z nieprawidłowej synchronizacji między funkcją mptcp_pm_destroy() a ścieżkami alokacji, co prowadzi do utraty wpisów z list i wycieku pamięci.

W jądrze Linux w sterowniku HID magicmouse odkryto podatność na nieograniczoną rekurencję w funkcji magicmouse_raw_event(). Złośliwe urządzenie HID może wysłać raport z sekwencją [0xf7, 0x00], co prowadzi do tysięcy zagnieżdżonych wywołań i przepełnienia stosu jądra. Poprawka ogranicza głębokość rekurencji do dwóch poziomów.

W jądrze Linux w sterowniku HID magicmouse odkryto podatność polegającą na przechowywaniu wskaźnika do zwolnionej pamięci (use-after-free). Jeśli rejestracja urządzenia wejściowego nie powiedzie się, wskaźnik msc->input pozostaje niezerowy, co prowadzi do dereferencji zwolnionej pamięci przy kolejnych raportach. Poprawka czyści wskaźnik, gdy urządzenie wejściowe nie zostało zarejestrowane.

W jądrze Linux w podsystemie HID wykryto podatność polegającą na odczycie poza zakresem pamięci (OOB read) w funkcji hid_set_field(). Problem wynika z wywołania hid_dump_input() przed sprawdzeniem granic offsetu, co przy włączonym CONFIG_DEBUG_FS może prowadzić do odczytu poza przydzieloną tablicą usage[]. Błąd został zgłoszony przez XBOW i dotyczy m.in. sterownika picolcd.

W jądrze Linuxa w sterowniku HID PIDFF (hid_pidff) występuje podatność polegająca na zapisie poza granicami pamięci (OOB write), gdy lista hid->inputs jest pusta. Funkcja hid_pidff_init_with_quirks() pobiera wskaźnik do struktury hid_input bez sprawdzenia, czy lista nie jest pusta, co prowadzi do użycia typu-confused wskaźnika i zapisu poza obiektem. Atakujący może wywołać podatność poprzez podłączenie złośliwego urządzenia USB, bez konieczności logowania użytkownika.

W jądrze Linux w sterowniku net/ionic występuje podatność polegająca na odczycie poza zakresem tablicy podczas wyszukiwania partnera TX dla dedykowanej kolejki RX znaczników czasowych sprzętu. Kolejka ta ma indeks równy liczbie zwykłych par kolejek, co powoduje odczyt poza tablicą txqcqs i zapis przez pochodny wskaźnik. Poprawka polega na nieparowaniu tej kolejki i bezpiecznym przerywaniu ścieżki XDP_TX, gdy brak partnera TX.

W jądrze Linux w mechanizmie futex/pi występuje podatność polegająca na akceptowaniu właściciela prywatnego futexa z innej przestrzeni adresowej. Prywatny klucz futexa pożycza mm oczekującego bez zwiększania referencji mm_users, a attach_to_pi_owner() kopiuje klucz do stanu PI właściciela. Gdy właściciel kończy działanie, może dojść do użycia po zwolnieniu hasza, jeśli mm oczekującego zostanie zwolnione współbieżnie. Poprawka dodaje walidację, że dla prywatnych futexów mm właściciela i mm oczekującego są takie same.

W jądrze Linux w mechanizmie futex/pi występuje luka związana z wyścigiem podczas exec() dla prywatnych futexów. Istnieje okno czasowe między ustawieniem exit_state na OK a zmianą wskaźnika mm, w którym sprawdzenie zgodności mm jest błędne, co może prowadzić do użycia po zwolnieniu. Poprawka ustawia exit_state na FUTEX_STATE_DEAD w futex_exec_release() i dopiero po zmianie mm na FUTEX_STATE_OK.

W jądrze Linux wykryto wyścig w funkcji futex_pivot_pending() podczas prywatnej zmiany rozmiaru tablicy haszującej futex. Zadanie wykonujące zmianę rozmiaru może pozostać w nieprzerywalnym śnie na czas nieokreślony, co prowadzi do wykrycia zawieszenia i paniki jądra.

W jądrze Linux wykryto wyścig w alokacji początkowej licznika mm->futex.phash.ref. W pewnych scenariuszach zagnieżdżonego vfork, dwa procesy w tej samej przestrzeni adresowej mogą jednocześnie alokować i nadpisywać ten licznik, co prowadzi do użycia po zwolnieniu (use-after-free) w futex_q_lock().

W jądrze Linux w sterowniku HID dla urządzeń ASUS brakuje sprawdzenia hid_is_usb() przed użyciem to_usb_interface(). Może to prowadzić do nieprawidłowego dostępu do pamięci, gdy urządzenie HID nie ma rzeczywistego rodzica USB, co może wywołać błąd jądra (kernel splat). Poprawka dodaje odpowiednie sprawdzenie.

W jądrze Linux w sterowniku HID dla urządzeń Huawei brakuje sprawdzenia hid_is_usb() przed użyciem to_usb_interface(). Może to prowadzić do nieprawidłowego dostępu do pamięci, gdy urządzenie HID nie ma rzeczywistego rodzica USB, co może wywołać błąd jądra (kernel splat). Poprawka dodaje odpowiednie sprawdzenie.

W jądrze Linux w sterowniku HID dla konsoli Nintendo występuje podatność odczytu poza zakresem w funkcji joycon_ctlr_read_handler(). Funkcja ta rzutuje raport HID na strukturę joycon_input_report, sprawdzając tylko długość 12 bajtów, podczas gdy struktura ma 49 bajtów. Dla raportu IMU o długości dokładnie 12 bajtów może dojść do odczytu poza zadeklarowaną długością, a dane są przekazywane do przestrzeni użytkownika, co prowadzi do wycieku pamięci wewnętrznej sterownika. Poprawka stosuje pełne sprawdzenie rozmiaru struktury.

W jądrze Linux w sterowniku HID dla konsoli Nintendo występuje podatność polegająca na rejestracji urządzenia wejściowego przed skonfigurowaniem wszystkich możliwości. input_register_device() wystawia urządzenie do przestrzeni użytkownika natychmiast, a wywołanie przed skonfigurowaniem FF_RUMBLE może prowadzić do wyłuskania NULL w przypadku równoczesnego EVIOCSFF. Poprawka przenosi rejestrację na koniec funkcji joycon_input_create(), po skonfigurowaniu wszystkich możliwości.

W jądrze Linux w sterowniku HID dla konsoli Nintendo występuje podatność use-after-free podczas nieudanego procesu inicjalizacji. Funkcja nintendo_hid_probe() wywołuje hid_device_io_start() przed joycon_init() i joycon_leds_create(). Jeśli któraś z tych funkcji zakończy się błędem, ścieżka błędu wywołuje hid_hw_close()/hid_hw_stop() bez uprzedniego wywołania hid_device_io_stop(), co pozwala na dalsze przetwarzanie raportów HID i dostęp do zwalnianych danych. Poprawka dodaje etykietę err_io_stop, która wywołuje hid_device_io_stop() przed hid_hw_close().

W jądrze Linux w sterowniku HID rapoo brakowało sprawdzenia hid_is_usb() przed użyciem to_usb_interface(). Urządzenia uhid mogą być identyfikowane jako USB, ale nie mieć rodzica USB, co prowadzi do awarii jądra.

W jądrze Linux w sterowniku HID ft260 występuje błąd użycia po zwolnieniu stosu (stack-use-after-return) podczas operacji I2C read. Konkurencja między ścieżką odczytu a funkcją ft260_raw_event() może prowadzić do zapisu do zwolnionej pamięci stosu.