Katalog podatności CVE

W jądrze Linux programy BPF LSM mogą obecnie podłączać się do haka xfrm_decode_session(), który może zwracać błąd, ale security_skb_classify_flow() wywołuje go w kontekście void i wywołuje BUG_ON() przy błędzie. Poprawka wyłącza możliwość podłączania BPF do tego haka, aby zapobiec panice systemu.

W jądrze Linuxa w podsystemie netfilter (nf_conntrack_expect) zastąpiono mechanizm timerów dla oczekiwań (expectations) pracą wątku GC (garbage collector). Zmiana eliminuje wyścig, w którym oczekiwanie mogło uzyskać dostęp do zwolnionego wskaźnika exp->master, oraz dodaje flagę NF_CT_EXPECT_DEAD do bezpiecznego usuwania oczekiwań.

W jądrze Linux w sterowniku mlx5 dla LAG i MPESW brakowało wywołania complete() w ścieżce błędu, gdy mlx5_lag_get_devcom_comp() zwracało NULL. Proces czekający na zakończenie pracy mógł zablokować się na zawsze. Poprawka kieruje wczesny powrót przez etykietę 'complete', aby zawsze budzić oczekującego.

W jądrze Linux wykryto podatność w podsystemie Bluetooth SCO, powodującą zakleszczenie (deadlock) w funkcji sco_sock_timeout(). Problem wynika z podwójnego przejęcia tego samego zamka (lock_sock) podczas zamykania gniazda, gdy timer działa asynchronicznie. Naprawa polega na przeniesieniu wywołania disable_delayed_work_sync() poza sekcję chronioną zamkiem.

W jądrze Linux w KVM dla architektury ARM64 (arm64) w trybie zagnieżdżonej wirtualizacji (nVHE) funkcja kvm_handle_vncr_abort() zakładała, że błąd -EFAULT z kvm_translate_vncr() zawsze oznacza przerwanie (abort). Jednak możliwe są 'późne' błędy na wyjściu translacji S1, np. GFN poza memslotami. Poprawka przygotowuje zewnętrzne przerwanie przed zwróceniem z kvm_translate_vncr() i usuwa BUG_ON() w ścieżce wstrzykiwania błędów.

W jądrze Linux w netfilter xt_nat, handlery SNAT i DNAT zakładają obecność stanu conntrack dla rodziny IP i mogą wyłuskać pusty wskaźnik, gdy są instancjonowane z nieobsługiwanej rodziny przez nft_compat. Reguła mostkowa (bridge-family) może wywołać wyłuskanie NULL w nf_nat_setup_info(). Poprawka odrzuca nie-IP rodziny w xt_nat_checkentry(), aby nie można było zainstalować nieobsługiwanych celów, pozostawiając NFPROTO_INET dozwolone.

W jądrze Linux w narzędziu intel-speed-select (tools/power/x86) demon używa stałej ścieżki pliku pid w /tmp. Lokalny nieuprzywilejowany użytkownik może wcześniej utworzyć dowiązanie symboliczne w tej ścieżce i spowodować, że demon działający z uprawnieniami roota zapisze do wybranego przez atakującego pliku. Poprawka otwiera plik pid z flagą O_NOFOLLOW i waliduje go przez fstat() przed blokadą/zapisem.

W jądrze Linux wykryto podatność w podsystemie CXL, gdzie stała CXL_HEADERLOG_SIZE była zdefiniowana jako 512 bajtów, podczas gdy rzeczywisty rozmiar rejestru Header Log w strukturze RAS Capability wynosi 64 bajty. Powodowało to odczyt poza mapowaną pamięcią (o 448 bajtów) podczas kopiowania danych, a w przypadku wywołania przez CPER prowadziło do wycieku 448 bajtów pamięci stosu jądra do bufora pierścieniowego zdarzeń trace, skąd użytkownik mógł je odczytać przez tracefs.

W jądrze Linux w sterowniku UFS core, zdarzenia śledzenia (trace events) w drivers/ufs/core/ufs_trace.h używały wskaźnika do struktury hba w TP_printk(), co jest niedozwolone, ponieważ TP_printk() jest wykonywane podczas odczytu pliku trace, co może nastąpić znacznie później, gdy wskaźnik może być już nieaktualny. Poprawka zapisuje nazwę urządzenia w momencie wywołania tracepointu i umieszcza ją w buforze pierścieniowym, eliminując ryzyko wyłuskania zwolnionego wskaźnika.

W jądrze Linux wykryto podatność w podsystemie hwmon (OCC), polegającą na odwróceniu kolejności blokad (lock ordering) między mutexem OCC a wywołaniami sysfs podczas rejestracji i usuwania urządzeń hwmon. Może to prowadzić do zakleszczenia (deadlock) systemu. Problem został znaleziony przez narzędzie analizy statycznej i potwierdzony przez raport lockdep.

W jądrze Linux w sterowniku MMC vub300 wykryto zakleszczenie (deadlock) spowodowane rekurencyjnym przejęciem mutexu cmd_mutex podczas resetowania urządzenia USB po przekroczeniu limitu czasu oczekiwania na odpowiedź. Problem został rozwiązany przez odroczenie resetu do momentu zwolnienia mutexu.

W jądrze Linux w sterowniku DRM dla Rockchip (dw_dp), funkcja dw_dp_remove() próbuje uzyskać dostęp do danych sterownika przez platform_get_drvdata(), co może prowadzić do wyłuskania pustego wskaźnika, jeśli callback bind() nie został wykonany. Poprawka usuwa zbędne wywołanie platform_get_drvdata() i zamiast tego odwołuje się do struktury urządzenia przez platform_device.

W jądrze Linux w sterowniku accel/amdxdna brakowało sprawdzenia na NULL przed użyciem wskaźnika do kanału skrzynki zarządzania. Funkcje czyszczące mogły być wywoływane po zniszczeniu kanału, co prowadziło do dereferencji wskaźnika NULL. Dodano odpowiednie sprawdzenia, aby bezpiecznie zakończyć operację.

W jądrze Linux w systemie plików HFS+ brakowało walidacji rozmiaru węzła drzewa B. Uszkodzony obraz HFS+ z nieprawidłowym rozmiarem węzła mógł prowadzić do odczytu niezainicjalizowanej pamięci podczas montowania. Dodano sprawdzenie zgodności z specyfikacją techniczną.

W jądrze Linux w sterowniku soc: xilinx występował wyścig podczas rejestracji zdarzeń. Struktury robocze były inicjalizowane po rejestracji, co mogło prowadzić do dereferencji wskaźnika NULL, gdy firmware wywoła zdarzenie natychmiast po rejestracji. Poprawka inicjalizuje struktury przed rejestracją.

W jądrze Linux w sterowniku soc: xilinx występował błąd w usuwaniu kanału mailbox rx. Z powodu błędnego warunku kanał nie był zamykany ani zwalniany, co prowadziło do użycia po zwolnieniu (use-after-free). Poprawka sprawdza poprawnie zmienną rx_chan.

W jądrze Linux w sterowniku scsi: hisi_sas brakowało interfejsu slave_destroy, co powodowało ostrzeżenia podczas jednoczesnego resetu łącza i usuwania modułu. Poprawka dodaje ten interfejs, aby zapewnić poprawne usunięcie łącza po zakończeniu prac.

W jądrze Linuxa w sterowniku crypto CCP (AMD) podczas eksportu PDH (Platform Diffie-Hellman) bufor łańcucha certyfikatów o zerowej długości nie był poprawnie obsługiwany. Zamiast potraktować go jako zapytanie o długości blobów, system próbował uzyskać adres fizyczny wskaźnika ZERO_SIZE_PTR, co powodowało BUG_ON() przy włączonej opcji CONFIG_DEBUG_VIRTUAL=y. Błąd prowadzi do paniki jądra (kernel oops) i może być wywołany przez nieuprzywilejowanego użytkownika przez ioctl.

W jądrze Linux w sterowniku crypto: ccp/sev-dev-tsm występował błąd dereferencji wskaźnika NULL, gdy pdev->bus jest NULL. Funkcja dsm_create() sprawdzała warunek, ale później używała wskaźnika bez sprawdzenia, co mogło powodować awarię. Poprawka wcześniej zwraca błąd -ENODEV.

W jądrze Linux w sterowniku media: atomisp: gc2235 występowały błędy w obsłudze ścieżek błędów, prowadzące do użycia po zwolnieniu (UAF) i wycieku pamięci. Poprawka zastępuje wywołania gc2235_remove() w ścieżkach błędów jawnymi etykietami unwind, które zwalniają tylko zainicjalizowane zasoby.