Katalog podatności CVE

W jądrze Linux wykryto podatność w sterowniku ALSA USB-audio dotyczącą MIDI 2.0. Podczas błędu konfiguracji, URB (żądania USB) wejściowe MIDI 2.0 nie są zatrzymywane przed zwolnieniem pamięci punktów końcowych, co prowadzi do użycia po zwolnieniu (use-after-free) w funkcji input_urb_complete(). Problem został zaobserwowany jako błąd KASAN.

W jądrze Linux w module netfilter flowtable występuje podatność związana z obsługą tuneli IP6IP6. Funkcja nf_flow_ip6_tunnel_proto() używa skb_header_pointer() zamiast pskb_may_pull(), co może prowadzić do nieprawidłowego przetwarzania pakietów. Ponadto uproszczono obsługę nagłówków rozszerzeń, co może wpływać na poprawność działania.

W jądrze Linux wykryto podatność powodującą wyciek niezainicjalizowanych danych ze stosu do przestrzeni użytkownika w funkcji dgram_recvmsg() dla protokołu IEEE 802.15.4. Problem wynika z niezerowania pola pan_id w strukturze adresu, gdy tryb adresowania to IEEE802154_ADDR_NONE, co prowadzi do ujawnienia zawartości stosu jądra.

W jądrze Linux w module md/raid1 występuje podatność polegająca na wycieku referencji writes_pending i bariery w przypadku niepowodzenia zapisu. Niektóre ścieżki błędów w raid1_write_request() kończą bio bez wywołania md_write_end(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid10 występuje podatność polegająca na wycieku referencji writes_pending w przypadku niepowodzenia żądania zapisu. Niektóre ścieżki błędów w raid10_write_request() kończą bio bez wywołania md_write_end(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid10 występuje podatność polegająca na wycieku referencji writes_pending i bariery w przypadku niepowodzenia operacji discard. Niektóre ścieżki błędów w raid10_handle_discard() kończą bio bez wywołania md_write_end() lub allow_barrier(), co prowadzi do niezbalansowania liczników.

W jądrze Linux w module md/raid1 występuje podatność polegająca na wycieku struktury r1_bio w przypadku, gdy odczyt z flagą REQ_NOWAIT napotka blokadę podczas ponownej próby. Gdy wait_read_barrier() nie powiedzie się, bio jest kończone, ale wcześniej przydzielony r1_bio nie jest zwalniany.

W jądrze Linux w module netfilter/ipset w typach hash używano test_bit() w bezzamkowych czytelnikach RCU, co jest operacją atomową bez gwarancji barier pamięci. Zastąpiono ją test_bit_acquire() tam, gdzie operacja może działać równolegle z add/del/gc.

W jądrze Linux w module netfilter/ipset podczas obsługi rozszerzenia komentarza wywołano kfree_rcu() przed rcu_assign_pointer(), co jest nieprawidłową kolejnością. Poprawiono kolejność, aby rcu_assign_pointer() było wywoływane jako pierwsze.

W jądrze Linux w module netfilter/ipset podczas niszczenia zbioru wywoływano cancel_delayed_work_sync(), podczas gdy gc nieprzerwanie wywołuje queue_delayed_work(), co może uniemożliwić prawidłowe zatrzymanie gc. Poprawiono to.

W jądrze Linux w module nft_meta_bridge występuje wyciek danych ze stosu w NFT_META_BRI_IIFPVID. Poprawka wymaga sprawdzenia niezerowej wartości zwracanej.

W jądrze Linux w sterowniku tpm_crb brakowało sprawdzenia ACPI_COMPANION() przeciwko NULL podczas inicjalizacji. Dodano to sprawdzenie, aby zapobiec problemom, gdy urządzenie nie ma towarzyszącego obiektu ACPI.

W jądrze Linux w mechanizmie alloc_tag występuje use-after-free w /proc/allocinfo po wyładowaniu modułu. Iterator nie jest poprawnie reinitializowany, co prowadzi do odwołań do zwolnionej pamięci modułu.

W jądrze Linux w module net/sched: act_ct występuje wyciek nf_connlabels na dwóch ścieżkach błędów. Funkcja tcf_ct_fill_params() wywołuje nf_connlabels_get(), ale dwa późniejsze miejsca błędów używają zwykłego return zamiast goto err, pomijając oczyszczanie nf_connlabels_put().

W jądrze Linux w ipv6: ioam występuje problem typu confusion dst_entry. IOAM używa fikcyjnego dst_entry (null_dst) do oznaczenia, że miejsce docelowe nie powinno być zmieniane, ale to dst jest przechowywane w stanie IOAM lwt i może być przekazane do dst_cache_set_ip6(), co prowadzi do nieprawidłowego rzutowania i potencjalnego nieprawidłowego dostępu do pamięci.

W jądrze Linux w BPF występuje błąd indeksu slotu stosu w kontrolach nospec. check_stack_write_fixed_off() oblicza slot bajtowy jako -off - 1, ale pre-check sanitizacji Spectre v4 używa slot_type[i] zamiast tego, co może prowadzić do pominięcia sanitizacji dla niektórych zapisów.

W jądrze Linux w BPF występuje błąd indeksu efektywnej tablicy programów z flagą BPF_F_PREORDER. replace_effective_prog() i purge_effective_progs() lokalizowały slot w tablicy efektywnej poprzez liniowe zliczanie wpisów na liście hlist, co nie zgadza się z układem tablicy, gdy obecny jest program preorder.

W jądrze Linuxa w mechanizmie BPF podczas czyszczenia martwych slotów stosu w połowach 4-bajtowych, gdy górna połowa slotu typu STACK_SPILL jest martwa, a dolna pozostaje żywa, konwersja dolnej połowy do STACK_MISC lub STACK_ZERO czyści metadane spilled_ptr. Jest to bezpieczne tylko dla skalarnych spillów, ale dla spillów wskaźnikowych umożliwia późniejszy 32-bitowy odczyt z żywej połowy, który omija normalną kontrolę i jest traktowany jako zwykły odczyt skalarny. Poprawka pozostawia nie-skalarne sloty spill w tym stanie, co jest konserwatywne dla przycinania i zachowuje istniejącą ścieżkę odrzucania częściowych odczytów ze spillów wskaźnikowych.

W jądrze Linuxa w sterowniku ice występuje wyciek zasobów CTRL VSI podczas resetowania wszystkich VF (funkcji wirtualnych) z włączonymi filtrami FDIR. Funkcja ice_reset_all_vfs() tylko unieważnia CTRL VSI, ale ich nie zwalnia, co prowadzi do wycieku zasobów. Poprawka polega na użyciu ice_vf_ctrl_vsi_release() zamiast ice_vf_ctrl_invalidate_vsi(), co jest zgodne z zachowaniem funkcji ice_reset_vf().

W jądrze Linuxa w sterowniku RTC msc313 występuje błąd prowadzący do wyłuskania pustego wskaźnika (NULL deref) w wspólnym handlerze przerwań podczas inicjalizacji. Funkcja msc313_rtc_probe() wywołuje devm_request_irq() z IRQF_SHARED i przekazuje &pdev->dev jako cookie, ale platform_set_drvdata() jest wywoływane dopiero później. Jeśli inne urządzenie na tej samej linii przerwań wywoła handler w tym oknie, handler wykonuje dev_get_drvdata() na cookie, otrzymuje NULL i dereferencjonuje priv->rtc_base w kontekście przerwania. Poprawka polega na przekazaniu priv jako cookie bezpośrednio, aby handler czytał go z dev_id bez wyszukiwania.