Katalog podatności CVE

W sterowniku staging rtl8723bs w jądrze Linux, procedura uwierzytelniania WEP shared-key używa długości elementu challenge-text kontrolowanej przez atakującego bez sprawdzania jej względem stałego bufora 128-bajtowego chg_txt, co może prowadzić do przepełnienia lub niedopełnienia bufora.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_cfg80211_monitor_if_xmit_entry() usuwa nagłówek radiotap i odczytuje pole kontrolne ramki 802.11 bez sprawdzania, czy pozostał podstawowy nagłówek 802.11, co może prowadzić do odczytów poza zakresem lub niewystarczających danych.

W jądrze Linux w module fastrpc występuje potencjalny wyścig podczas operacji unmap bufora. Bufor jest usuwany z listy dopiero po zakończeniu operacji unmap, co może prowadzić do problemów przy równoczesnym wywołaniu unmap przez wiele wątków. Poprawka przenosi usunięcie z listy przed operacją unmap, a w przypadku niepowodzenia bufor jest ponownie dodawany.

W jądrze Linux w module fastrpc brakuje blokady fl->lock podczas przenoszenia mapowań pamięci po przerwaniu wywołania invoke. Operacje list_del() i list_add_tail() są wykonywane bez tej blokady, co może prowadzić do wyścigu z innymi operacjami na liście mmaps. Poprawka dodaje blokadę wokół przenoszenia.

W jądrze Linux w module DAMON_LRU_SORT istnieje podatność na dzielenie przez zero, gdy parametr active_mem_bp jest ustawiony na wartość większą niż 10000. Wartość docelowa dla zimnej pamięci jest obliczana jako '10000 - active_mem_bp + 2', co przy wartości 10002 daje zero, prowadząc do błędu dzielenia. Poprawka zwraca błąd przy próbie uruchomienia DAMON z wartością >10000.

W jądrze Linux w module DAMON występuje problem z folio, gdy cel migracji jest nieprawidłowy (np. NUMA_NO_NODE). Funkcje damon_pa_migrate() i damos_va_migrate() izolują folio, ale gdy target_nid jest nieprawidłowy, folio nie są zwracane do LRU, co prowadzi do wycieku referencji i pozostawienia stron poza LRU. Poprawka dodaje zwracanie folio na ścieżce nieprawidłowego nid.

W jądrze Linux wykryto podatność w module przykładowym DAMON_SAMPLE_MTIER, która pozwala użytkownikowi na wywołanie dzielenia przez zero w funkcji damos_quota_score(). Problem występuje, gdy parametr node0_mem_free_bp lub node0_mem_used_bp zostanie ustawiony na zero, co prowadzi do błędu krytycznego (Oops) i awarii systemu.

W jądrze Linux w sterowniku ALSA USB występuje podatność use-after-free (UAF) przy opóźnionym zwalnianiu punktów końcowych MIDI2. Poprzednia poprawka dla UAF w ump_to_endpoint() powoduje kolejny UAF, ponieważ próbuje dereferencjonować obiekt punktu końcowego UMP, który może być już zwolniony w kontekście opóźnionym. Poprawka dodaje private_free do wyczyszczenia powiązanych danych.

W jądrze Linux w sterowniku ALSA usx2y (dla kart dźwiękowych USB US-X2Y) brakuje walidacji offsetu w funkcji mmap dla interfejsu hwdep. Atakujący może podać dowolny offset, co prowadzi do uzyskania dostępu do pamięci jądra poza przydzielonym obszarem, a w skrajnych przypadkach do oopsa systemu.

W jądrze Linux wykryto podatność w sterowniku ALSA FCP, polegającą na zapisie poza zakresem pamięci (OOB write) w funkcji fcp_meter_ctl_get(). Problem wynika z nieprawidłowego ograniczenia rozmiaru mapy poziomów (do 255 zamiast 128), co pozwala na zapis danych poza przydzielony bufor. Atakujący z uprawnieniami CAP_SYS_RAWIO może zainstalować zbyt dużą mapę, a następnie każdy proces z dostępem do /dev/snd/controlC0 może wywołać zapis poza pamięcią.

W jądrze Linuxa w sterowniku ALSA dla urządzenia us144mkii występuje podatność polegająca na użyciu po zwolnieniu (use-after-free). Podczas ponownego przesyłania pakietów URB w funkcji capture_urb_complete() nie kotwiczono ich ponownie, co powodowało, że po pierwszym zakończeniu przesyłania lista zakotwiczonych URB była pusta. W rezultacie funkcje usuwające, takie jak tascam_free_urbs(), nie mogły poprawnie zatrzymać URB, co prowadziło do zapisu do zwolnionej pamięci i dereferencji zwolnionego obiektu.

W jądrze Linux w sterowniku graficznym V3D (drm/v3d) wykryto podatność związaną z brakiem serializacji procedur obsługi limitów czasu (timeout) dla różnych kolejek sprzętowych (BIN, RENDER, TFU, CSD). Ponieważ reset jest globalny, równoczesne obsługiwanie timeoutów w różnych kolejkach może prowadzić do niespójności liczników zadań, co skutkuje zawieszeniem GPU i interfejsu użytkownika.

W jądrze Linux wykryto podatność use-after-free w podsystemie perf, związaną z nieprawidłowym odłączaniem zdarzeń potomnych od grupy. Gdy zdarzenie potomne jest odłączane od grupy (np. podczas hot-unplug CPU), jego wskaźnik group_leader pozostaje wskazujący na starego lidera, który może zostać zwolniony, co prowadzi do dereferencji zwolnionej pamięci podczas wywołania ioctl PERF_IOC_FLAG_GROUP. Problem został zaobserwowany przez fuzzer zdarzeń perf, hotplug CPU i obciążenie systemu.

W jądrze Linux wykryto wyścig (race condition) między funkcjami event_define_fields() i update_event_fields() podczas jednoczesnego ładowania modułów. Brak ochrony listy pól zdarzeń przez event_mutex w trace_event_update_all() może prowadzić do paniki jądra.

W jądrze Linux w sterowniku fbdev funkcja bit_cursor() nie sprawdzała poprawności indeksu glifu odczytanego z bufora ekranu, co mogło prowadzić do odczytu poza zakresem pamięci. Problem został zgłoszony przez narzędzie Syzkaller i dotyczy ścieżki zapisu do /dev/vcsa.

W jądrze Linuxa funkcja ring_buffer_subbuf_order_set() zwalnia strony bufora, co jest niedozwolone, gdy zmiana rozmiaru jest wyłączona. Nieczytający konsument może doświadczyć użycia po zwolnieniu (use-after-free) w rb_advance_iter(). Funkcja zwraca teraz -EBUSY, gdy resize_disabled jest ustawione, zgodnie z zachowaniem ring_buffer_resize().

W jądrze Linuxa w module tracingu występuje błąd prowadzący do dereferencji wskaźnika NULL podczas usuwania zdarzeń z pamięci podręcznej modułu. Filtr zdarzeń specyficzny dla modułu, taki jak ':mod:foo', jest buforowany z wskaźnikiem NULL, gdy moduł nie został załadowany. Późniejsza próba usunięcia konkretnego dopasowania z tego samego modułu przekazuje ten NULL do strcmp(), powodując dereferencję NULL.

W jądrze Linux wykryto subtelny wyścig (race condition) w implementacji strony huge_zero_folio, który może prowadzić do błędnej identyfikacji strony jako zwykłej strony THP. Problem dotyczy sytuacji, gdy shrinker nadpisuje wskaźnik huge_zero_pfn wartością ~0UL w trakcie równoczesnego dostępu z get_huge_zero_folio(). Skutkiem może być nieprawidłowe dzielenie strony huge zero i inne błędne operacje.

W jądrze Linuxa w funkcji smc_rx_splice() występuje błąd braku równowagi w czasie życia wpisów splice. Funkcja przekazuje strony do splice_to_pipe() przed pobraniem referencji, co może prowadzić do użycia po zwolnieniu (use-after-free) z powodu niedomiaru licznika referencji.

W jądrze Linuxa funkcja in6_dev_get() może wskrzesić obiekt inet6_dev po jego zwolnieniu. Odczytuje dev->ip6_ptr pod RCU, a następnie bezwarunkowo zwiększa licznik referencji. Jeśli teardown urządzenia wyczyści wskaźnik i zwolni ostatnią referencję między tymi operacjami, inkrementacja może wskrzesić obiekt, którego zwolnienie RCU już zostało zaplanowane, prowadząc do użycia po zwolnieniu.