Katalog podatności CVE

W jądrze Linux w sterowniku i2c imx, występuje wyścig (race) podczas rejestracji slave oraz błąd w obsłudze błędów. Przypisanie wskaźnika slave przed pm_runtime_resume_and_get() może pozostawić go niezerowym po błędzie, a także może wystąpić wyścig z przerwaniem, prowadzący do dereferencji NULL. Poprawka przenosi przypisanie po udanym resume i wewnątrz sekcji krytycznej slave_lock.

W jądrze Linux w funkcji dev_has_sync_state() pole dev->driver jest odczytywane dwukrotnie bez trzymania blokady device_lock(), co może prowadzić do wyścigu podczas równoległego odpinania urządzenia. Poprawka polega na jednokrotnym odczycie z użyciem READ_ONCE(), co synchronizuje się z WRITE_ONCE() w device_set_driver().

W jądrze Linux w sterownikach Hyper-V (vmbus) pole driver_override jest dostępne bez blokady podczas wywołania match() z __driver_attach(), co może prowadzić do użycia po zwolnieniu (UAF). Poprawka wykorzystuje ogólną infrastrukturę driver_override, która zapewnia odpowiednie blokowanie.

W libbpf w podpisanym loaderze brakuje sprawdzenia, czy mapa jest wyłączna (exclusive) przed walidacją skrótu map->sha. Bez tego inny program BPF z dostępem do mapy może zmutować jej zawartość po zamrożeniu, co pozwala na sprawdzenie na nieaktualnych danych. Poprawka dodaje sprawdzenie wyłączności.

W jądrze Linuxa odkryto podatność w systemie plików NTFS. Atrybuty listy atrybutów (attribute list) dla węzłów bazowych nie były poprawnie walidowane, gdy były rezydentne, co pozwalało na odczyt poza zakresem bufora. Dodano funkcję walidującą wpisy listy atrybutów, która sprawdza poprawność nagłówków i długości przed użyciem.

W jądrze Linux w systemie plików NTFS funkcja ntfs_external_attr_find() podczas przeszukiwania listy atrybutów nieprawidłowo sprawdza granice następnego wpisu, co może prowadzić do odczytu poza zakresem bufora (slab out-of-bounds read) przy specjalnie spreparowanym dysku. Poprawka dodaje walidację wpisu przed jego użyciem.

W jądrze Linux w sterowniku NTFS wykryto podatność polegającą na obcięciu długości obszaru restartu do typu u16, co pozwala na ominięcie kontroli mieszczenia się danych w stronie systemowej. Specjalnie spreparowany obraz NTFS może doprowadzić do odczytu poza przydzielonym buforem podczas montowania systemu plików.

W narzędziu perf sched w jądrze Linux funkcja register_pid() ma kilka problemów przy przetwarzaniu niezaufanego pliku perf.data: przepełnienie liczby całkowitej, przepełnienie bufora przez strcpy, BUG_ON przy błędzie alokacji oraz wyciek pamięci przy realloc. Poprawka ogranicza pid, używa strlcpy, dodaje sprawdzenia NULL i bezpieczne wzorce realloc.

W narzędziu perf w jądrze Linux funkcja machine__resolve() nie sprawdza poprawności indeksu CPU z niezaufanego pliku perf.data przed dostępem do tablicy env->cpu, co może prowadzić do odczytu poza zakresem sterty. Poprawka używa funkcji perf_env__get_cpu_topology() i dodaje sprawdzenie granic.

W jądrze Linux programy BPF LSM mogą obecnie podłączać się do haka xfrm_decode_session(), który może zwracać błąd, ale security_skb_classify_flow() wywołuje go w kontekście void i wywołuje BUG_ON() przy błędzie. Poprawka wyłącza możliwość podłączania BPF do tego haka, aby zapobiec panice systemu.

W jądrze Linuxa w podsystemie netfilter (nf_conntrack_expect) zastąpiono mechanizm timerów dla oczekiwań (expectations) pracą wątku GC (garbage collector). Zmiana eliminuje wyścig, w którym oczekiwanie mogło uzyskać dostęp do zwolnionego wskaźnika exp->master, oraz dodaje flagę NF_CT_EXPECT_DEAD do bezpiecznego usuwania oczekiwań.

W jądrze Linux w sterowniku mlx5 dla LAG i MPESW brakowało wywołania complete() w ścieżce błędu, gdy mlx5_lag_get_devcom_comp() zwracało NULL. Proces czekający na zakończenie pracy mógł zablokować się na zawsze. Poprawka kieruje wczesny powrót przez etykietę 'complete', aby zawsze budzić oczekującego.

W jądrze Linux wykryto podatność w podsystemie Bluetooth SCO, powodującą zakleszczenie (deadlock) w funkcji sco_sock_timeout(). Problem wynika z podwójnego przejęcia tego samego zamka (lock_sock) podczas zamykania gniazda, gdy timer działa asynchronicznie. Naprawa polega na przeniesieniu wywołania disable_delayed_work_sync() poza sekcję chronioną zamkiem.

W jądrze Linux w KVM dla architektury ARM64 (arm64) w trybie zagnieżdżonej wirtualizacji (nVHE) funkcja kvm_handle_vncr_abort() zakładała, że błąd -EFAULT z kvm_translate_vncr() zawsze oznacza przerwanie (abort). Jednak możliwe są 'późne' błędy na wyjściu translacji S1, np. GFN poza memslotami. Poprawka przygotowuje zewnętrzne przerwanie przed zwróceniem z kvm_translate_vncr() i usuwa BUG_ON() w ścieżce wstrzykiwania błędów.

W jądrze Linux w netfilter xt_nat, handlery SNAT i DNAT zakładają obecność stanu conntrack dla rodziny IP i mogą wyłuskać pusty wskaźnik, gdy są instancjonowane z nieobsługiwanej rodziny przez nft_compat. Reguła mostkowa (bridge-family) może wywołać wyłuskanie NULL w nf_nat_setup_info(). Poprawka odrzuca nie-IP rodziny w xt_nat_checkentry(), aby nie można było zainstalować nieobsługiwanych celów, pozostawiając NFPROTO_INET dozwolone.

W jądrze Linux w narzędziu intel-speed-select (tools/power/x86) demon używa stałej ścieżki pliku pid w /tmp. Lokalny nieuprzywilejowany użytkownik może wcześniej utworzyć dowiązanie symboliczne w tej ścieżce i spowodować, że demon działający z uprawnieniami roota zapisze do wybranego przez atakującego pliku. Poprawka otwiera plik pid z flagą O_NOFOLLOW i waliduje go przez fstat() przed blokadą/zapisem.

W jądrze Linux wykryto podatność w podsystemie CXL, gdzie stała CXL_HEADERLOG_SIZE była zdefiniowana jako 512 bajtów, podczas gdy rzeczywisty rozmiar rejestru Header Log w strukturze RAS Capability wynosi 64 bajty. Powodowało to odczyt poza mapowaną pamięcią (o 448 bajtów) podczas kopiowania danych, a w przypadku wywołania przez CPER prowadziło do wycieku 448 bajtów pamięci stosu jądra do bufora pierścieniowego zdarzeń trace, skąd użytkownik mógł je odczytać przez tracefs.

W jądrze Linux w sterowniku UFS core, zdarzenia śledzenia (trace events) w drivers/ufs/core/ufs_trace.h używały wskaźnika do struktury hba w TP_printk(), co jest niedozwolone, ponieważ TP_printk() jest wykonywane podczas odczytu pliku trace, co może nastąpić znacznie później, gdy wskaźnik może być już nieaktualny. Poprawka zapisuje nazwę urządzenia w momencie wywołania tracepointu i umieszcza ją w buforze pierścieniowym, eliminując ryzyko wyłuskania zwolnionego wskaźnika.

W jądrze Linux wykryto podatność w podsystemie hwmon (OCC), polegającą na odwróceniu kolejności blokad (lock ordering) między mutexem OCC a wywołaniami sysfs podczas rejestracji i usuwania urządzeń hwmon. Może to prowadzić do zakleszczenia (deadlock) systemu. Problem został znaleziony przez narzędzie analizy statycznej i potwierdzony przez raport lockdep.

W jądrze Linux w sterowniku MMC vub300 wykryto zakleszczenie (deadlock) spowodowane rekurencyjnym przejęciem mutexu cmd_mutex podczas resetowania urządzenia USB po przekroczeniu limitu czasu oczekiwania na odpowiedź. Problem został rozwiązany przez odroczenie resetu do momentu zwolnienia mutexu.