Katalog podatności CVE

W jądrze Linux stwierdzono podatność polegającą na próbie konfiguracji klatek SFP sterowanych przez sterownik PHY podczas korzystania z ogólnego sterownika genphy. Prowadzi to do zakleszczenia (deadlock) na blokadzie RTNL, ponieważ dla genphy proces wykrywania PHY działa pod RTNL, co nie ma miejsca w przypadku innych sterowników.

W jądrze Linuxa w sterowniku mlx5 wykryto podatność na odczyt poza dozwolonym obszarem pamięci (slab-out-of-bounds) w funkcji mlx5_query_nic_vport_mac_list. Problem występuje, gdy bufor poleceń firmware'u jest alokowany na podstawie możliwości PF, a zapytanie dotyczy VF z większą konfiguracją, co prowadzi do przepełnienia bufora odpowiedzi.

W sterowniku mlx5e dla kart sieciowych Mellanox wykryto wyciek pamięci DMA i ramek XDP. Podczas wysyłania pakietu XDP_TX w trybie XSK, jeśli kolejka sprzętowa jest pełna, funkcja nie zwalnia zaalokowanej ramki ani nie usuwa mapowania DMA, co prowadzi do wycieku zasobów.

W jądrze Linuxa w module SIT (Simple Internet Transition) dla IPv6 wykryto podatność polegającą na użyciu nieaktualnego wskaźnika do wewnętrznego nagłówka IPv6 po operacjach GSO (Generic Segmentation Offload). Funkcja ipip6_tunnel_xmit() przechowuje wskaźnik na początku działania, a po wywołaniu iptunnel_handle_offloads() może dojść do przesunięcia bufora skb, co prowadzi do odczytu z już zwolnionej pamięci.

W jądrze Linux w module Open vSwitch (openvswitch) występuje podatność polegająca na możliwości wywołania kfree_skb na wskaźniku ERR_PTR. Problem pojawia się, gdy alokacja bufora odpowiedzi (reply) następuje po zamknięciu mutexa, a w przypadku błędu wskaźnik nie jest zerowany, co prowadzi do próby zwolnienia nieprawidłowego wskaźnika.

W sterowniku GPIO dla układów Rockchip w jądrze Linux wykryto wyciek pamięci związany z ogólnymi układami IRQ. Podczas usuwania sterownika nie są one zwalniane, co może prowadzić do użycia po zwolnieniu (use-after-free) i awarii systemu.

W jądrze Linux wykryto podatność w funkcji __sctp_rcv_asconf_lookup() w stosie SCTP. Nieuwierzytelniony peer może wysłać obcięty pakiet ASCONF, który deklaruje adres IPv6, ale kończy się po nagłówku parametru, co powoduje odczyt niezainicjalizowanych danych z pamięci.

W jądrze Linuxa w funkcji sctp_unpack_cookie() brakowało walidacji długości osadzonego fragmentu INIT oraz listy adresów w ciasteczku SCTP. Niekompletny INIT lub zawyżona długość listy adresów mogą prowadzić do odczytu poza dozwolonym obszarem pamięci.

W jądrze Linux wykryto podatność w mechanizmie znaczników czasu (timestamp cmsgs) dla gniazd AF_PACKET. Błędne założenie, że znacznik PACKET_OUTGOING jednoznacznie identyfikuje pakiety z kolejki błędów, pozwala na odczytanie stanu bufora sterującego AF_PACKET jako struktury sock_exterr_skb, co może prowadzić do ujawnienia danych z pamięci lub wywołania paniki jądra.

W jądrze Linux w sterowniku ptp_ocp wykryto podatność polegającą na błędnej kolejności zwalniania zasobów. Zasoby pinów są zwalniane przed wywołaniem ptp_clock_unregister(), co prowadzi do użycia po zwolnieniu (use-after-free) podczas usuwania sterownika.

W jądrze Linuxa w funkcji vti6_tnl_lookup() wykryto błąd polegający na nieprawidłowym dopasowywaniu tuneli IP6_VTI. Podczas wyszukiwania tuneli z symbolami wieloznacznymi (wildcard) brakowało sprawdzenia, czy kandydat rzeczywiście ma adres wildcard, co prowadziło do błędnego dopasowania w przypadku kolizji hash.

W jądrze Linux wykryto podatność w module netfilter, gdzie funkcja ebt_redirect_tg() nie sprawdzała wartości NULL zwracanej przez br_port_get_rcu(). Może to prowadzić do paniki jądra, gdy port mostka zostanie usunięty między wywołaniem haka a reiniekcją NFQUEUE. Dodatkowo, użytkownik może przenieść urządzenie do innego wirtualnego interfejsu, co wymaga porzucenia pakietu.

W jądrze Linux w podsystemie netfilter/x_tables wykryto podatność umożliwiającą wyciek wskaźnika do liczników per-CPU. Podczas kopiowania reguł do przestrzeni użytkownika, w przypadku błędu stronicowania (page fault) może dojść do pozostawienia surowego wskaźnika pamięci per-CPU w buforze użytkownika.

W jądrze Linux wykryto podatność w module netfilter nft_exthdr, gdzie funkcja nft_exthdr_init() oznacza w bitmapie rejestru więcej bajtów niż faktycznie zapisywane przy użyciu flagi F_PRESENT. Gdy długość danych (priv->len) przekracza 4 bajty, rejestry poza pierwszym nie są zapisywane, co prowadzi do wycieku niezainicjalizowanych danych ze stosu.

W jądrze Linuxa w sterowniku mvpp2 wykryto błąd synchronizacji DMA dla odebranych pakietów. Funkcja synchronizująca dane dla CPU rozpoczynała się od nieprawidłowego przesunięcia, pomijając część danych na końcu ramki i synchronizując nieużywany nagłówek. Na systemach bez spójności pamięci cache może to prowadzić do odczytu nieaktualnych danych przez CPU.

W jądrze Linux w sterowniku mvpp2 wykryto podatność polegającą na nieprawidłowym inicjowaniu rozmiaru ramki XDP (frame_sz) wartością PAGE_SIZE zamiast rzeczywistego rozmiaru bufora z puli BM. Powoduje to, że funkcja bpf_xdp_adjust_tail() może rozszerzyć pakiet poza przydzielony bufor, prowadząc do uszkodzenia pamięci.

W jądrze Linux wykryto podatność w sterowniku mvpp2, gdzie bufor RX może zostać zwrócony do puli BM po przekazaniu go do XDP lub skb, co prowadzi do użycia pamięci po zwolnieniu. Problem został rozwiązany przez zmianę kolejności operacji: najpierw uzupełnienie puli BM, a dopiero potem przekazanie bufora do XDP lub skb.

W jądrze Linux wykryto podatność w funkcji cleanup_prefix_route() dla IPv6. Funkcja addrconf_get_prefix_route() może zwrócić wpis fib6_null_entry z pustym wskaźnikiem fib6_table, co przy próbie ustawienia czasu wygaśnięcia trasy prowadzi do wyłuskania pustego wskaźnika (NPD). Problem został załatany przez dodanie sprawdzenia przed operacją na wpisie.

W sterowniku DRM vc4 jądra Linux wykryto wyciek pamięci związany z nieprawidłowym użyciem funkcji krealloc(). Bezpośrednie nadpisywanie oryginalnego wskaźnika bez sprawdzenia, czy zwrócona wartość nie jest NULL, powoduje utratę referencji do wcześniej zaalokowanej pamięci w przypadku niepowodzenia realokacji.

W jądrze Linux wykryto podatność use-after-free w module nft_tunnel. Funkcja nft_tunnel_obj_destroy() wywołuje metadata_dst_free(), które bezpośrednio zwalnia pamięć metadata_dst, ignorując licznik odwołań dst_entry. Pakiety, które przechowują referencję przez dst_hold() w nft_tunnel_obj_eval() i są nadal w kolejce (np. w netem qdisc), pozostają z wiszącym wskaźnikiem, co prowadzi do użycia po zwolnieniu przy ich dalszym przetwarzaniu.