Katalog podatności CVE

W jądrze Linuxa w funkcji tipc_l2_send_msg() występuje podatność use-after-free (UAF). Problem wynika z wywołania synchronize_net() w tipc_disable_l2_media() podczas gdy wskaźnik media_ptr jest nadal ważny, co pozwala równoległym czytelnikom RCU uzyskać wskaźnik do urządzenia po zakończeniu synchronizacji, a następnie urządzenie może zostać zwolnione, gdy jest nadal używane.

W jądrze Linuxa w protokole TCP dla IPv6, funkcja ip6_default_advmss() może zwracać wartość IPV6_MAXPLEN (65535), która jest interpretowana jako mss_clamp, pozwalając MSS osiągnąć 65535. Jednak wartość 0xFFFF jest również używana jako magiczna wartość GSO_BY_FRAGS, co może prowadzić do dereferencji wskaźnika NULL podczas segmentacji pakietów TCP.

W jądrze Linuxa w sterowniku RDMA bnxt_re, zmienna dpi jest inicjalizowana tylko dla przypadku BNXT_RE_ALLOC_WC_PAGE, ale jest kopiowana dla wszystkich przypadków. Brak inicjalizacji może prowadzić do użycia niezainicjalizowanej wartości.

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla SRQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_srq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla CQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_cq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, podczas zrzucania informacji o MR za pomocą narzędzia rdma, wyświetlany jest wskaźnik jądra mr_hwq. Nie ma potrzeby ujawniania tej wartości użytkownikowi końcowemu, więc została usunięta.

W jądrze Linuxa w sterowniku RDMA bnxt_re, brakuje sprawdzenia maksymalnej liczby slotów dla SQ. Tryb zmiennej WQE musi być walidowany względem maksymalnej liczby slotów obsługiwanych przez sprzęt (maks. 64K). Dodano sprawdzenie maksymalnej i minimalnej wartości, aby odrzucić wartości większe niż maksymalna i równe zero.

W jądrze Linux w sterowniku RDMA/bnxt_re funkcja bnxt_qplib_alloc_dpi zwraca sukces nawet gdy wywołanie ioremap zawiedzie. Dodano prawidłowe wycofanie zmian (rollback) w przypadku błędu ioremap oraz zwracanie statusu -ENOMEM.

W jądrze Linux w sterowniku RDMA/bnxt_re aplikacje mogą żądać wielu stron WC dla tego samego ucontext, ale obecnie obsługiwana jest tylko jedna strona WC na ucontext. Dodano blokadę zapobiegającą równoczesnemu dostępowi oraz sprawdzenie odrzucające powtarzające się żądania. Dodatkowo, jeśli wstawienie wpisu mmap dla WC zawiedzie, zwalniany jest indeks strony Doorbell zmapowany dla strony WC.

W jądrze Linux w sterowniku RDMA/irdma zastąpiono kolejkę oczekiwania (waitqueue) i flagę request_done mechanizmem completion. Poprzednie użycie flagi bez odpowiednich barier pamięciowych mogło prowadzić do problemów ze współbieżnością. Zastosowanie completion rozwiązuje ten problem w sposób przeznaczony do tego celu.

W jądrze Linux w funkcji enqueue_to_backlog() występuje wyścig (TOCTOU) związany z bezblokowym sprawdzaniem netif_running(). Przeniesiono to sprawdzenie wewnątrz blokady kolejki, co serializuje je z operacją opróżniania kolejki i zapobiega użyciu po zwolnieniu (UAF) zgłoszonemu przez syzbot.

W jądrze Linux w module ksmbd funkcja same_client_has_lease() zwraca wskaźnik opinfo z listy ci->m_op_list po zwolnieniu blokady m_lock bez przejęcia referencji. Może to prowadzić do użycia po zwolnieniu (UAF) podczas równoczesnego zamykania. Dodano przejmowanie referencji i jej zwalnianie po skopiowaniu stanu dzierżawy.

W jądrze Linuxa wykryto wyścig (race condition) w sterowniku 9p/RDMA (trans_rdma.c) dotyczący pola rdma->state. Pole to jest modyfikowane bez blokady req_lock w funkcjach recv_done() i p9_cm_event_handler(), podczas gdy rdma_request() używa tej blokady. Może to prowadzić do utraty przejść stanu, uszkodzenia maszyny stanów połączenia i użycia-po-zwolnieniu (use-after-free) obiektów żądań RDMA podczas zamykania.

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_aes_decrypt zawierała nieprawidłowe sprawdzenie wskaźnika stainfo, które zwracało _FAIL dla prawidłowego wskaźnika. Odwrócono warunek, aby zwracał _FAIL tylko dla nieprawidłowego wskaźnika.

W jądrze Linux w sterowniku staging nvec funkcja nvec_rx_completed() zawiera błąd użycia po zwolnieniu (UAF). Po wywołaniu nvec_msg_free() kod nadal odczytuje nvec->rx->data[0], co może być już nadpisane przez równoczesne wywołanie nvec_msg_alloc(). Poprawka zapisuje bajt typu wiadomości przed zwolnieniem i używa zapisanej wartości.

W jądrze Linux w podsystemie soundwire funkcja sdw_add_element_group_count zawierała błąd powodujący dostęp poza zakres pamięci w pętli for, gdy i == num. Poprawka dodaje sprawdzenie istniejących wpisów rate/lane przed ich dodaniem, bez zmian funkcjonalnych poza tą poprawką.

W jądrze Linux w podsystemie PCI funkcja pci_get_rom_size może powodować awarię z powodu dostępu poza zakres pamięci ROM lub nieprawidłowego wyrównania adresu struktury danych. Dodano sprawdzanie nagłówka obrazu i adresu struktury danych oraz sprawdzanie wyrównania, aby zapobiec awariom na architekturach x86_64 i arm64.

W jądrze Linuxa w sterowniku mailbox mtk-adsp występuje podatność use-after-free podczas wyłączania urządzenia. Gdy inicjalizacja sterownika audio SOF nie powiedzie się, obiekt snd_sof_dev jest zwalniany, a późne przerwanie może wywołać procedurę obsługi po zwolnieniu kanału, prowadząc do dostępu do zwolnionej pamięci. Naprawa polega na użyciu disable_irq() i IRQF_NO_AUTOEN, aby zapobiec wyzwalaniu przerwań w nieodpowiednim momencie.

W jądrze Linuxa w podsystemie coresight platform występuje problem z licznikiem połączeń, który jest zwiększany przed udaną alokacją pamięci. Jeśli alokacja się nie powiedzie, licznik pozostaje zwiększony, a funkcja sprzątająca może odwoływać się do nieprawidłowych wskaźników, powodując panikę jądra. Poprawka przenosi zwiększenie licznika po wszystkich udanych alokacjach.

W jądrze Linuxa w sterowniku most: video występuje podwójne zwolnienie pamięci (double free) podczas nieudanej rejestracji urządzenia wideo. Funkcja comp_register_videodev() zwalnia video_device, ale ścieżka błędu w __video_register_device() również go zwalnia, co prowadzi do podwójnego zwolnienia. Poprawka używa video_device_release_empty() podczas rejestracji, aby uniknąć podwójnego zwolnienia.