Katalog podatności CVE

W jądrze Linuxa w sterowniku USB host max3421 występuje podatność przesunięcia poza zakres (shift-out-of-bounds) w funkcji max3421_hub_control(). Niezaufany proces użytkownika może wysłać żądanie USBDEVFS_CONTROL z wartością wValue większą lub równą 32, co powoduje przesunięcie bitowe poza zakres i uszkodzenie port_status, w tym bitów niezmiennych. Poprawka odrzuca żądania z wartością przekraczającą szerokość przesunięcia.

W jądrze Linuxa w sterowniku gpib występuje podwójne zmniejszenie licznika descriptor_busy w funkcji command_ioctl(). Ścieżka błędu wewnątrz pętli zmniejsza licznik i przerywa, ale potem następuje bezwarunkowe zmniejszenie po pętli, co prowadzi do niedomiaru licznika. To ponownie umożliwia use-after-free, które pierwotna poprawka miała zapobiec. Poprawka usuwa wczesne zmniejszenie ze ścieżki błędu.

W jądrze Linuxa w sterowniku iio: magnetometer ak8975 występuje potencjalny wyciek pamięci stosu jądra. Jeśli funkcja i2c_smbus_read_i2c_block_data_or_emulated() zwróci mniej bajtów niż rozmiar bufora, niezainicjalizowane bajty pozostają w buforze i są przekazywane do buforów IIO, co może ujawnić pamięć jądra użytkownikowi. Poprawka dodaje sprawdzenie, czy zwracana wartość jest równa rozmiarowi bufora.

W jądrze Linuxa w sterowniku iio: adc xilinx-ams występuje podatność odczytu poza zakresem w funkcji ams_event_to_channel(). Funkcja może zwrócić wskaźnik poza koniec tablicy dev->channels, gdy nie zostanie znaleziony pasujący scan_index, co prowadzi do nieprawidłowego dostępu do pamięci w ams_handle_event(). Poprawka dodaje sprawdzenie granic i zwraca NULL, gdy kanał nie zostanie znaleziony.

W jądrze Linuxa w sterowniku iio: accel mma8452 występuje problem z obsługą błędów odczytu I2C w funkcji mma8452_read(). Jeśli odczyt I2C się nie powiedzie, ale funkcja mma8452_set_runtime_pm_state() zakończy się sukcesem, funkcja zwraca 0, co powoduje, że wywołujący używa niezainicjalizowanej pamięci stosu. Poprawka dodaje sprawdzenie wartości zwracanej i propaguje błędy do wywołującego.

W jądrze Linuxa w systemie plików NTFS3 występuje podatność odczytu poza zakresem w funkcji run_get_highest_vcn(). Funkcja analizuje bufor mapowania par bez ograniczenia długości, polegając tylko na terminatorze 0x00. Specjalnie spreparowany rekord $LogFile UpdateMappingPairs może spowodować odczyt poza przydzieloną pamięcią, wywołując błąd KASAN podczas montowania. Poprawka dodaje parametr run_buf_size i odrzuca nagłówki, których dane wykraczają poza bufor.

W jądrze Linuxa w systemie plików NTFS3 występuje problem z obsługą błędów podczas zmiany nazwy pliku. Zamiast wywoływać _ntfs_bad_inode() w przypadku niepowodzenia zmiany nazwy, sterownik używa WARN_ON, co nie zapobiega dalszym operacjom na niespójnym i-węźle. Poprawka zastępuje WARN_ON wywołaniem _ntfs_bad_inode(), aby zapobiec dalszym operacjom na uszkodzonym i-węźle.

W jądrze Linux w funkcji dma_release_channel() występuje podatność na użycie po zwolnieniu (use-after-free). Sprawdzenie licznika privatecnt odbywa się po wywołaniu dma_chan_put(), które może zwolnić ostatnie odniesienie do urządzenia, jeśli dostawca DMA już nie istnieje, prowadząc do zwolnienia pamięci. Poprawka przenosi wywołanie dma_chan_put() przed sprawdzenie.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z niepełnym zwolnieniem struktury axi_dmac_desc. W ścieżce błędu po wywołaniu axi_dmac_alloc_desc() w axi_dmac_prep_peripheral_dma_vec() nie jest używana funkcja axi_dmac_free_desc(), co prowadzi do wycieku pamięci lub niepełnego zwolnienia.

W jądrze Linux w sterowniku dma-axi-dmac występuje problem z zarządzaniem deskryptorami DMA. Użycie dma_alloc_coherent() może powodować remapowanie pamięci (vmalloc) na architekturach takich jak Microblaze lub arm64, co prowadzi do BUG() podczas wywołania dma_free_coherent() z kontekstu softirq. Poprawka wykorzystuje pulę DMA do zarządzania deskryptorami, unikając bezpośredniego wywołania dma_free_coherent() w kontekście przerwania.

W jądrze Linuxa w podsystemie xprtrdma odkryto podatność związaną z nieprawidłowym zarządzaniem cyklem życia żądań RPC. Problem polegał na tym, że pojedynczy licznik referencji (rl_kref) obsługiwał dwa różne cykle życia, co mogło prowadzić do zwolnienia bufora wysyłki, podczas gdy kontroler DMA (HCA) nadal z niego czytał. Poprawka rozdziela te cykle, dodając osobne referencje dla warstwy RPC i strony wysyłającej, oraz zapewnia, że żądanie wraca do puli dopiero po zakończeniu obu właścicieli.

W jądrze Linuxa wykryto podatność w podsystemie NFS dotyczącą ochrony listy blokad plików. Problem polega na niewłaściwym użyciu blokady flc_lock podczas iteracji po liście blokad, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na zastosowaniu nfsi->rwsem do ochrony tych operacji oraz przeniesieniu wywołania locks_lock_inode_wait w celu uniknięcia zakleszczeń.

W jądrze Linux w systemie plików NTFS3 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej lcn. Gdy poszukiwany VCN nie zostanie znaleziony w runs[0], funkcja run_lookup() zwraca false, co prowadzi do przedwczesnego wyjścia z attr_data_get_block_locked() bez inicjalizacji lcn, wywołując błąd KMSAN. Poprawka przenosi sprawdzenie clen przed sprawdzenie lcn w ni_seek_data_or_hole().

W jądrze Linux w systemie plików NTFS3 (fs/ntfs3) występuje podatność polegająca na przepełnieniu bufora. Podczas montowania brudnego woluminu NTFS, funkcja log_replay() alokuje bufor one_page_buf o rozmiarze strony hosta, a następnie, gdy odnajdzie obszar restartu, może przyjąć większy rozmiar strony z dysku. Jeśli rozmiar strony na dysku jest większy niż początkowo zaalokowany, bufor pozostaje za mały, a późniejszy odczyt log->page_size bajtów do tego bufora powoduje przepełnienie.

W jądrze Linuxa w podsystemie xprtrdma wykryto podatność polegającą na braku równowagi w liczniku referencji (kref) podczas obsługi zdarzenia ADDR_CHANGE. Gdy zdarzenie to pojawi się przed ESTABLISHED, wywoływane jest ep_put bez odpowiadającego ep_get, co prowadzi do niedomiaru licznika i użycia zwolnionej pamięci (use-after-free) podczas rozłączania.

W jądrze Linux w module xprtrdma występuje podatność na wyścig (race condition) podczas inicjalizacji re_id. rpcrdma_create_id() rejestruje ep->re_rn zanim rpcrdma_ep_create() przypisze ep->re_id, co pozwala lokalnemu administratorowi na wywołanie usunięcia urządzenia RDMA w tym oknie, prowadząc do wyłuskania NULL w trace_xprtrdma_device_removal(). Poprawka przypisuje re_id przed publikacją re_rn.

W jądrze Linux w module xprtrdma występuje podatność polegająca na ignorowaniu wyniku funkcji frwr_wp_create() podczas nawiązywania połączenia. Jeśli funkcja zawiedzie, ep->re_write_pad_mr pozostaje NULL, a połączenie jest nadal uznawane za udane, co prowadzi do wyłuskania NULL podczas kodowania listy zapisu. Poprawka sprawdza wartość zwracaną i kończy połączenie z błędem -ENOTCONN.

W jądrze Linux w module xprtrdma wykryto podatność powodującą wyciek bufora odbiorczego i wyczerpanie kolejki Receive. Błędna dekodacja krótkich lub uszkodzonych odpowiedzi może prowadzić do błędnej klasyfikacji ramki jako wywołania zwrotnego (backchannel), co skutkuje utratą bufora i brakiem ponownego opublikowania slotu odbiorczego.

W jądrze Linux w podsystemie xprtrdma stwierdzono podatność polegającą na braku ograniczenia wartości kredytu odpowiedzi (credit grant) przed jej użyciem. Złośliwy peer może wysłać odpowiedź z nieznanym XID i zawyżonym kredytem, co prowadzi do nadmiernej alokacji i wysyłania Receive WR, przekraczając limit re_max_requests.

W jądrze Linux w podsystemie xprtrdma wykryto podatność, która pozwala zdalnemu przeciwnikowi na wyczerpanie kolejki odebranych pakietów (Receive queue) klienta poprzez wysyłanie ciągłego strumienia nieprawidłowych odpowiedzi (zbyt krótkich lub z nieznaną wersją RPC/RDMA). Każda taka odpowiedź zużywa jeden wpis w kolejce bez jego uzupełnienia, co po opróżnieniu kolejki prowadzi do zatrzymania transportu do czasu ponownego połączenia.