Katalog podatności CVE

W jądrze Linux w usłudze lockd funkcja nlm4svc_lookup_file() używa niezainicjalizowanych bajtów w funkcji file_hash(), gdy długość uchwytu pliku jest mniejsza niż LOCKD_FH_HASH_SIZE. To powoduje, że ten sam uchwyt może być hashowany do różnych zasobników, co prowadzi do niepowodzenia wyszukiwania. Poprawka zeruje tylko końcowe bajty, które są używane przez file_hash().

W jądrze Linuxa odkryto podatność w mechanizmie BPF dotyczącą recyklingu wartości w mapach. Podczas aktualizacji lub usuwania wpisu, pola specjalne (np. timery, kolejki pracy) były usuwane w kontekście operacji, co mogło być niebezpieczne w kontekście NMI. Wprowadzono nową funkcję anulującą, która wykonuje tylko bezpieczne operacje w kontekście NMI, a pełne usunięcie pozostawia do końcowego czyszczenia.

W jądrze Linux w funkcji vduse_dev_open() występuje wyścig (race condition) między wyszukiwaniem obiektu w IDR a przejęciem blokady urządzenia. Atakujący może wykorzystać okno czasowe, w którym operacja VDUSE_DESTROY_DEV usuwa i zwalnia obiekt, zanim ścieżka otwarcia go zablokuje, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcjach vhost_vdpa_mmap() i vhost_vdpa_fault() indeks kolejki wirtualnej (virtqueue) nie jest poprawnie walidowany przed użyciem w wywołaniu get_vq_notification(). Brak sprawdzenia, czy indeks jest mniejszy niż v->nvqs, pozwala na przekazanie nieprawidłowego indeksu do sterownika, co może prowadzić do dostępu poza zakresem i awarii systemu.

W jądrze Linux w sterowniku virtio:rtc podczas przywracania urządzenia (restore) nie są usuwane stare kolejki wirtualne przed ich ponowną inicjalizacją. Jeśli inicjalizacja nie powiedzie się, może dojść do wyłuskania pustego wskaźnika w vp_del_vq(), co powoduje awarię jądra gościa.

W jądrze Linuxa wykryto podatność w vhost-net, gdzie zerocopy ubufs mogą być finalizowane wielokrotnie. Klonowanie skb przez stos sieciowy (np. batman-adv) zwiększa licznik referencji ubuf_info, ale vhost_zerocopy_complete() traktuje każde wywołanie zwrotne jako zakończenie deskryptora, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux w sterowniku vdpa/octeon_ep w procedurze obsługi przerwań (interrupt handler) indeks IRQ jest wyszukiwany w tablicy oct_hw->irqs zamiast zakładać, że jest to irq - irqs[0]. Poprawka obsługuje nieciągłe numery IRQ i zapobiega błędnemu indeksowaniu pierścieni.

W jądrze Linux w systemie plików ext4, gdy używana jest opcja montowania data=journal, funkcja ext4_journalled_write_end() nieprawidłowo wywołuje ext4_write_inline_data_end() bez sprawdzenia flagi EXT4_STATE_MAY_INLINE_DATA. Może to prowadzić do wywołania BUG_ON w ext4_write_inline_data(), powodując awarię jądra.

W jądrze Linux wykryto podatność w systemie plików ext4 związaną z operacją EXT4_IOC_MOVE_EXT. Walidacja pliku dawcy (donor) była wykonywana zbyt późno, po przejęciu blokad, co przy jednoczesnym zamrożeniu systemu plików mogło prowadzić do zakleszczenia (deadlock). Poprawka przenosi sprawdzenie przynależności pliku dawcy do tego samego superbloku przed jakiekolwiek operacje blokujące.

W jądrze Linux w sterowniku vfio/qat funkcja qat_vf_resume_write() sprawdza pozycję pliku (f_pos) przed przejęciem blokady migf->lock, ale kopiuje dane po przejęciu blokady i ponownym odczycie pozycji. Dwa równoczesne zapisy mogą ominąć sprawdzenie granic i zapisać poza buforem stanu migracji.

W jądrze Linux w mechanizmie BPF, sprawdzanie zgodności cookie dla tablic programów jest niedostateczne. Program bez magazynu cgroup może być uznany za zgodny z dowolnym cookie, co pozwala na pomostowanie łańcucha tail call między programem wejściowym a programem korzystającym z magazynu, co prowadzi do nieprawidłowego dostępu do magazynu lokalnego cgroup.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje błąd polegający na wyłuskaniu wskaźnika NULL w funkcji qca_setup() dla urządzeń niekorzystających z serdev. hu->serdev jest NULL, a funkcja bezwarunkowo wywołuje serdev_device_get_drvdata(hu->serdev), co prowadzi do awarii. Poprawka dodaje sprawdzenie NULL przed wyłuskaniem.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje błąd wyłuskania wskaźnika NULL w funkcji qca_dmp_hdr() dla urządzeń niekorzystających z serdev. hu->serdev jest NULL, a funkcja bezwarunkowo wyłuskuje hu->serdev->dev.driver->name, co prowadzi do awarii. Poprawka dodaje sprawdzenie NULL i używa domyślnej nazwy "hci_ldisc_qca".

W jądrze Linux w podsystemie Bluetooth hci_core występuje podatność use-after-free w funkcji hci_unregister_dev(). Funkcja nie wyłącza timerów cmd_timer i ncmd_timer przed zwolnieniem struktury hci_dev. Jeśli timer wygaśnie podczas usuwania urządzenia, wywołanie zwrotne odwołuje się do zwolnionej pamięci, co prowadzi do użycia po zwolnieniu. Poprawka dodaje wywołania disable_delayed_work_sync() obok istniejących disable_work_sync().

W jądrze Linux w sterowniku Bluetooth btmtk występuje wyciek URB w ścieżce błędu funkcji alloc_mtk_intr_urb. Gdy funkcja btmtk_isopkt_pad() zawiedzie, wcześniej przydzielony URB nie jest zwalniany, co prowadzi do wycieku pamięci. Poprawka dodaje wywołanie usb_free_urb() przed zwróceniem błędu.

W jądrze Linux w podsystemie Bluetooth hci występuje podatność polegająca na nieprawidłowej walidacji długości elementu capabilities w odpowiedzi kontrolera. Funkcja hci_read_codec_capabilities() sprawdza tylko długość payloadu, ale nie uwzględnia bajtu długości, co pozwala na odczyt poza zakresem. Poprawka waliduje pełny rozmiar elementu, włączając bajt długości.

W jądrze Linux w podsystemie RDMA/core występuje błąd w przepływie błędu podczas przenoszenia uchwytów FRMR między kolejkami. Gdy przeniesienie do niepustej kolejki nieaktywnej zawiedzie z powodu braku alokacji strony, uchwyt nie jest obsługiwany i dochodzi do wycieku mkey. Poprawka wprowadza funkcję push_queue_to_queue_locked(), która nie wymaga alokacji i upraszcza obsługę błędów.

W jądrze Linux w podsystemie RDMA/core występuje błąd w ścieżce błędu podczas ustawiania FRMR jako przypiętego. Gdy przeniesienie do puli zawiedzie, uchwyty FRMR nie są niszczone, co prowadzi do wycieku zasobów. Poprawka dodaje niszczenie uchwytów FRMR w przypadku niepowodzenia przeniesienia.

W jądrze Linux w sterowniku RDMA/mlx5 występuje niezdefiniowane przesunięcie bitowe rozmiaru WQE dla kolejki RQ. Funkcja set_rq_size() oblicza rozmiar jako "1 << rq_wqe_shift" na podstawie wartości podanej przez użytkownika, która jest tylko sprawdzana, czy jest większa niż 32, więc przesunięcia o 32 są nadal akceptowane. Przesunięcie o 31 również powoduje przepełnienie liczby całkowitej ze znakiem, co prowadzi do niezdefiniowanego zachowania. Poprawka używa check_shl_overflow() do obliczenia rozmiaru i odrzuca nieprawidłowe wartości.

W jądrze Linux w sterowniku RDMA/mlx5 występuje błąd polegający na zwalnianiu indeksu UAR dostarczonego przez oprogramowanie zamiast indeksu dostarczonego przez sprzęt. Poprawka polega na zwalnianiu indeksu UAR zwróconego przez sprzęt.