Katalog podatności CVE

W jądrze Linux w funkcji enqueue_to_backlog() występuje wyścig (TOCTOU) związany z bezblokowym sprawdzaniem netif_running(). Przeniesiono to sprawdzenie wewnątrz blokady kolejki, co serializuje je z operacją opróżniania kolejki i zapobiega użyciu po zwolnieniu (UAF) zgłoszonemu przez syzbot.

W jądrze Linuxa wykryto wyścig (race condition) w sterowniku 9p/RDMA (trans_rdma.c) dotyczący pola rdma->state. Pole to jest modyfikowane bez blokady req_lock w funkcjach recv_done() i p9_cm_event_handler(), podczas gdy rdma_request() używa tej blokady. Może to prowadzić do utraty przejść stanu, uszkodzenia maszyny stanów połączenia i użycia-po-zwolnieniu (use-after-free) obiektów żądań RDMA podczas zamykania.

W jądrze Linuxa w systemie plików NTFS3 występuje problem z obsługą błędów podczas zmiany nazwy pliku. Zamiast wywoływać _ntfs_bad_inode() w przypadku niepowodzenia zmiany nazwy, sterownik używa WARN_ON, co nie zapobiega dalszym operacjom na niespójnym i-węźle. Poprawka zastępuje WARN_ON wywołaniem _ntfs_bad_inode(), aby zapobiec dalszym operacjom na uszkodzonym i-węźle.

W jądrze Linuxa w podsystemie xprtrdma odkryto podatność związaną z nieprawidłowym zarządzaniem cyklem życia żądań RPC. Problem polegał na tym, że pojedynczy licznik referencji (rl_kref) obsługiwał dwa różne cykle życia, co mogło prowadzić do zwolnienia bufora wysyłki, podczas gdy kontroler DMA (HCA) nadal z niego czytał. Poprawka rozdziela te cykle, dodając osobne referencje dla warstwy RPC i strony wysyłającej, oraz zapewnia, że żądanie wraca do puli dopiero po zakończeniu obu właścicieli.

W jądrze Linuxa wykryto podatność w podsystemie NFS dotyczącą ochrony listy blokad plików. Problem polega na niewłaściwym użyciu blokady flc_lock podczas iteracji po liście blokad, co może prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na zastosowaniu nfsi->rwsem do ochrony tych operacji oraz przeniesieniu wywołania locks_lock_inode_wait w celu uniknięcia zakleszczeń.

W jądrze Linux w module xprtrdma wykryto podatność powodującą wyciek bufora odbiorczego i wyczerpanie kolejki Receive. Błędna dekodacja krótkich lub uszkodzonych odpowiedzi może prowadzić do błędnej klasyfikacji ramki jako wywołania zwrotnego (backchannel), co skutkuje utratą bufora i brakiem ponownego opublikowania slotu odbiorczego.

W jądrze Linux w podsystemie xfrm występuje podatność use-after-free podczas asynchronicznego wznawiania przetwarzania. Funkcja xfrm_rcv_cb może zmienić skb->dev na urządzenie tunelowe bez przejęcia referencji, a późniejsze wznawianie zmniejsza licznik referencji urządzenia tunelowego, co prowadzi do użycia po zwolnieniu i wycieku referencji.

W jądrze Linux w module xfrm występuje wyścig podczas wstawiania stanu do cache. Walidacja stanu odbywa się przed uzyskaniem globalnego zamka xfrm_state_lock, co pozwala na wstawienie martwego stanu do cache.

W jądrze Linux w module netfilter flowtable występuje podatność związana z obsługą tuneli IP6IP6. Funkcja nf_flow_ip6_tunnel_proto() używa skb_header_pointer() zamiast pskb_may_pull(), co może prowadzić do nieprawidłowego przetwarzania pakietów. Ponadto uproszczono obsługę nagłówków rozszerzeń, co może wpływać na poprawność działania.

W jądrze Linux w module netfilter/ipset w typach hash używano test_bit() w bezzamkowych czytelnikach RCU, co jest operacją atomową bez gwarancji barier pamięci. Zastąpiono ją test_bit_acquire() tam, gdzie operacja może działać równolegle z add/del/gc.

W jądrze Linux w ipv6: ioam występuje problem typu confusion dst_entry. IOAM używa fikcyjnego dst_entry (null_dst) do oznaczenia, że miejsce docelowe nie powinno być zmieniane, ale to dst jest przechowywane w stanie IOAM lwt i może być przekazane do dst_cache_set_ip6(), co prowadzi do nieprawidłowego rzutowania i potencjalnego nieprawidłowego dostępu do pamięci.

W jądrze Linuxa w module ksmbd (serwer SMB) wykryto podatność use-after-free w strukturze conn->preauth_info podczas równoczesnych żądań SMB2 NEGOTIATE. Jeden wątek może zwolnić pamięć, podczas gdy inny wątek w ścieżce wysyłania odpowiedzi nadal jej używa, co prowadzi do odczytu po zwolnieniu (potwierdzone przez KASAN).

W jądrze Linuxa w IPv4 FIB, gdy CONFIG_IP_MULTIPLE_TABLES jest włączone, ale nie dodano żadnej reguły, funkcja fib_lookup() wykonuje wyszukiwanie trasy bezpośrednio w dwóch tabelach. Ponieważ pierwsze wyszukiwanie nie kończy się poprawnie, wynik trasy błędu w połączonej tabeli local/main może zostać nadpisany przez inną trasę w tabeli domyślnej. Poprawka naprawia tę niespójność, aby trasa błędu była respektowana.

W jądrze Linuxa w netfilter flowtable funkcja nf_flow_ip4_tunnel_proto() nie sprawdza poprawności pola iph->ihl przed użyciem go do obliczenia rozmiaru nagłówka, co może prowadzić do odczytu poza zakresem przy złośliwych nagłówkach IP. Poprawka dodaje walidację pola ihl oraz używa iph->protocol zamiast stałej IPPROTO_IPIP przy ustawianiu ctx->tun.proto, a także odnosi się do ctx->tun.hdr_size przy aktualizacji ctx->offset.

W jądrze Linux w architekturze s390/mm występuje problem z bitem _PAGE_UNUSED. Bit ten nie jest czyszczony w niektórych ścieżkach ustawiania pte, co może prowadzić do uszkodzenia pamięci gościa.

W jądrze Linux w podsystemie geneve naprawiono podatność polegającą na tym, że funkcja geneve_gro_complete() nie sprawdzała flagi gs->gro_hint, co pozwalało atakującemu na dostarczenie spreparowanego pakietu z opcją hint, prowadząc do odczytu poza granicami bufora (KASAN: slab-out-of-bounds). Poprawka polega na uwzględnieniu flagi gs->gro_hint również w ścieżce complete.

W jądrze Linux w podsystemie geneve naprawiono podatność polegającą na tym, że funkcja geneve_gro_complete() nie walidowała wewnętrznego przesunięcia sieciowego, co mogło prowadzić do odczytu poza granicami bufora. Poprawka dodaje sprawdzenie, czy obliczone przesunięcie nie przekracza zarejestrowanego wewnętrznego nagłówka sieciowego.

W jądrze Linux w sterowniku enetc nie sprawdzana jest liczba fragmentów (BD) potrzebnych dla xdp_frame. Tablica xdp_redirect_arr ma rozmiar ENETC_MAX_SKB_FRAGS, ale liczba fragmentów w xdp_frame może być większa lub równa tej wartości, co prowadzi do odczytu poza granicami tablicy.

W jądrze Linux w protokole SCTP, gdy uwierzytelnianie cookie jest wyłączone, INIT po rozpakowaniu z cookie nie jest ponownie weryfikowany. Może to pozwolić na przetworzenie sfałszowanych danych. Dodano weryfikację INIT po rozpakowaniu oraz sprawdzenie typu fragmentu w cookie.

W jądrze Linux w sterowniku fbnic, funkcja fbnic_tx_lso() wywołuje skb_cow_head(), która może ponownie przydzielić skb, w tym współdzielone informacje. Wskaźnik obliczony przed wywołaniem staje się nieaktualny, co prowadzi do użycia po zwolnieniu (use-after-free).