Katalog podatności CVE

W jądrze Linux dla architektury RISC-V wykryto podatność polegającą na wyjściu poza zakres podczas usuwania pamięci (memory hot-remove). Funkcje remove_pud_mapping() i remove_p4d_mapping() uzyskują bazę tabeli podrzędnej z offsetem 0, a następnie dodają indeks dla adresu. Przy składaniu poziomów tabel stron (page-table folding) może to prowadzić do przejścia poza tabelę nadrzędną i przekazania nieprawidłowej strony do __free_pages(), co powoduje BUG w jądrze.

W sterowniku qede jądra Linux wykryto zakleszczenie (deadlock) podczas odzyskiwania po przekroczeniu limitu czasu transmisji (TX timeout) na kartach sieciowych z skonfigurowanymi tunelami VXLAN/GENEVE. Proces odzyskiwania próbuje ponownie zablokować ten sam mutex (qede_lock), co prowadzi do zablokowania całej płaszczyzny sterowania rtnetlink i zawieszenia wielu usług systemowych.

W jądrze Linux w serwerze SMB (ksmbd) wykryto podatność use-after-free w funkcji __close_file_table_ids(). Obiekt ksmbd_file może pozostać aktywny po logicznym zamknięciu, gdy inna sesja posiada tymczasowe odniesienie. Przy finalnym zwolnieniu przez obcą sesję obiekt jest usuwany bez usunięcia go z idr właściciela, co prowadzi do odwołania do zwolnionej pamięci podczas zamykania tabeli plików.

W jądrze Linux w serwerze SMB (ksmbd) wykryto podatność polegającą na nieprawidłowym porównywaniu identyfikatorów ClientGUID. ClientGUID jest binarną wartością o stałym rozmiarze i może zawierać wbudowane bajty NUL. Użycie strncmp() powoduje zatrzymanie porównania na pierwszym bajcie NUL, co może prowadzić do błędnego uznania różnych identyfikatorów za równe.

W jądrze Linux w podsystemie iommu/iommufd wykryto podatność use-after-free dotyczącą własności grup IOPF. Grupy IOPF są dodawane do listy oczekujących przed wywołaniem handlera fault, a po zaakceptowaniu są również dodawane do listy dostarczania IOMMUFD bez usunięcia z listy ogólnej. Przy odłączeniu urządzenia lub wymianie HWPT, gdy licznik odniesień spadnie do zera, grupy mogą zostać zwolnione, a późniejszy dostęp do nich prowadzi do UAF.

W jądrze Linux w podsystemie pinctrl dla devicetree wykryto podatność polegającą na zwalnianiu niezainicjalizowanej nazwy urządzenia (dev_name) na ścieżce błędu. Funkcja dt_remember_or_free_map() duplikuje dev_name dla każdego wpisu mapy. Jeśli kstrdup_const() zawiedzie, dt_free_map() zwalnia dev_name we wszystkich wpisach, w tym tych niezainicjalizowanych, co prowadzi do podwójnego zwolnienia (double-free).

W jądrze Linux wykryto podatność w mechanizmie hugetlb, powodującą uszkodzenie listy w funkcji allocate_file_region_entries(). Problem wynika z użycia list_splice() zamiast list_splice_init(), co przy współbieżnym dostępie do współdzielonego mapowania może prowadzić do uszkodzenia pamięci lub paniki systemu.

W jądrze Linux wykryto podatność w KVM dla architektury x86, polegającą na opóźnionym przetwarzaniu EOI (End of Interrupt) kontrolera I/O APIC. Jeśli opóźnione zadanie EOI zostanie przetworzone po zniszczeniu vCPU, dochodzi do użycia po zwolnieniu (UAF), co może prowadzić do awarii systemu lub potencjalnego wykonania kodu.

W jądrze Linux wykryto podatność w KVM/SVM, gdzie przy dezaktywacji AVIC podczas aktywnego L2 nie są aktualizowane przechwyty MSR x2APIC dla L1. Skutkuje to możliwością odczytu stanu APIC hosta, wysyłania dowolnych przerwań i zmiany priorytetu zadań, co może prowadzić do ataku DoS na host.

W jądrze Linux w podsystemie KVM dla architektury s390 w obsłudze PCI wykryto podatność polegającą na braku odrzucenia żądania włączenia przekazywania przerwań, jeśli jest ono już włączone dla danego urządzenia zPCI. Instrukcja MPCIFC nie pozwala na ponowną rejestrację przerwań bez uprzedniego wyrejestrowania. Poprawka dodaje odpowiednie sprawdzenie, co zapobiega nadpisaniu i wyciekowi zasobów przy wielokrotnym wywołaniu ioctl dla tego samego urządzenia.

W jądrze Linux w podsystemie KVM dla architektury s390 w obsłudze PCI wykryto problem z rozliczaniem pamięci dla stron przypiętych i odpiętych. Funkcje account_mem() i unaccount_mem() wywołują get_uid(), które zwiększa licznik referencji struktury user_struct przy każdym wywołaniu, ale nie jest wywoływane free_uid() w celu jego zmniejszenia. Dodatkowo rozliczanie odbywa się względem current->mm, co może być nieprawidłowe, gdy unaccount_mem() jest wywoływane z innego kontekstu procesu niż ten, który pierwotnie przypiął strony. Poprawka przechowuje user_struct i mm_struct procesu przypinającego, a następnie zwalnia te zasoby przy odpinaniu.

W jądrze Linuxa wykryto podatność use-after-free w warstwie dibs, dotyczącą operacji attach/detach/unregister dla węzłów dmb_node w trybie loopback. Problem wynika z wyścigu między wyszukiwaniem węzła w tablicy haszującej a operacją na liczniku referencji, co może prowadzić do użycia zwolnionej pamięci. Poprawka polega na wykonaniu operacji na liczniku referencji i usunięciu z tablicy haszującej w jednej sekcji krytycznej z blokadą zapisu.

W jądrze Linux w module audit wykryto potencjalną podatność use-after-free w funkcji audit_del_rule(). Funkcja ta niszczy e->rule.exe przez audit_remove_mark_rule() przed odłączeniem reguły z list filtrów widocznych dla RCU i oczekiwaniem na okres przejściowy. Równocześni czytelnicy w audit_filter() i audit_filter_rules() nadal dereferencjonują e->rule.exe, podczas gdy znacznik fsnotify może być zwolniony na niezależnej ścieżce życia. Poprawka polega na odłączeniu reguły z list RCU i wywołaniu synchronize_rcu() przed wywołaniem audit_remove_mark_rule() i innych pomocników usuwania reguł.

Ten identyfikator CVE został odrzucony lub wycofany przez jego CVE Numbering Authority.

W jądrze Linux w podsystemie Bluetooth (mgmt) wykryto podatność use-after-free w anulowaniu polecenia pary. Funkcje zwrotne zakończenia parowania i nieudanego uwierzytelnienia wyszukują oczekujące polecenie MGMT_OP_PAIR_DEVICE, przeglądając hdev->mgmt_pending, ale bez utrzymywania zamka mgmt_pending_lock podczas późniejszego użycia i usunięcia. Równoczesne żądanie MGMT_OP_CANCEL_PAIR_DEVICE może usunąć i zwolnić to samo polecenie przed użyciem go przez funkcję zwrotną. Poprawka przenosi własność polecenia przez usunięcie go z listy hdev->mgmt_pending przytrzymując blokadę, a funkcje zwrotne i ścieżka anulowania kończą i zwalniają polecenie bezpośrednio.

W jądrze Linuxa wykryto podatność use-after-free w podsystemie Bluetooth (hci_sync). Funkcja hci_find_adv_instance() zwraca wskaźnik do danych reklamowych, który jest ważny tylko przy trzymanym zamku hdev->lock, ale ścieżki synchronizacji komend HCI używają go bez tego zamku, co może prowadzić do użycia zwolnionej pamięci podczas obsługi zdarzenia zakończenia reklamy.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność polegającą na odczycie danych przed sprawdzeniem, czy ramka zawiera nagłówek transakcji. Funkcje hidp_recv_ctrl_frame() i hidp_recv_intr_frame() czytają skb->data[0] przed sprawdzeniem, czy SDU L2CAP zawiera nagłówek transakcji. Połączony peer HIDP może wysłać pustą ramkę w trybie podstawowym, co prowadzi do użycia niezainicjalizowanego bajtu. Poprawka polega na pobraniu nagłówka transakcji przez skb_pull_data() i odrzuceniu ramek, które go nie zawierają.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność polegającą na braku walidacji ładunku numerowanych raportów. Gdy hidp_get_raw_report() oczekuje na numerowany raport, hidp_process_data() porównuje oczekiwany numer raportu z skb->data[0]. Połączony peer HIDP może odpowiedzieć tylko nagłówkiem transakcji DATA, pozostawiając skb pusty po usunięciu nagłówka. Poprawka wymaga bajtu ładunku przed porównaniem numerowanego ID raportu; raporty nienumerowane nadal akceptują pusty ładunek.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji afs_make_call() w systemie plików AFS. Problem wynika z wyścigu między wysyłaniem asynchronicznych wywołań a ich zniszczeniem, co może prowadzić do odwołania do zwolnionej pamięci. Błąd został zgłoszony przez KASAN podczas testów z losowym wyłączaniem procesorów.

W jądrze Linux w sterowniku ALSA 6fire podczas obsługi błędów w fazie wykrywania urządzenia nie anulowano oczekującego URB przed zwolnieniem zasobów, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na wykonaniu podobnego czyszczenia jak w normalnej fazie rozłączenia.