Katalog podatności CVE

W jądrze Linux wykryto podatność use-after-free w funkcji binder_free_transaction() sterownika Binder. Problem występuje, ponieważ wskaźnik do procesu docelowego (t->to_proc) jest odczytywany pod blokadą, ale po jej zwolnieniu proces może zostać usunięty, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w sterowniku rust_binder podczas czyszczenia tablicy offsetów używany jest nieprawidłowy krok (usize zamiast u64). Na 32-bitowych jądrach prowadzi to do nadmiernego dekrementowania licznika referencji i uszkodzenia księgowości referencji.

W sterowniku TCPCI rt1711h w jądrze Linux brakuje wyrejestrowania portu TCPCI w przypadku niepowodzenia późniejszych kroków w funkcji probe(). Port pozostaje zarejestrowany, co może prowadzić do problemów przy próbie ponownej inicjalizacji lub odłączeniu sterownika.

W jądrze Linux w funkcji sriov_restore_vf_rebar_state() występuje dostęp poza zakresem tablicy barsz[], gdy odczyt rejestru VF Resizable BAR Control zwraca PCI_ERROR_RESPONSE. Może to prowadzić do naruszenia pamięci i niestabilności systemu.

W sterowniku hwrng virtio w jądrze Linux wykryto podatność na odczyt poza zakresem bufora. Złośliwe lub uszkodzone urządzenie zaplecza virtio-rng może zgłosić zawyżoną wartość used.len, co prowadzi do memcpy() poza tablicę vi->data do sąsiednich danych sterty.

W jądrze Linuksa w stosie 6LoWPAN występuje wyścig w funkcji lowpan_nhc_do_uncompression(), gdzie po zwolnieniu blokady może dojść do użycia po zwolnieniu deskryptora NHC. Problem został zgłoszony przez KASAN jako use-after-free.

W jądrze Linux w sterowniku vme_user (staging) brakowało walidacji rozmiaru kopiowanych danych względem bufora kern_buf (128 KiB). Funkcje pomocnicze buffer_to_user() i buffer_from_user() nie sprawdzały, czy offset + liczba bajtów nie przekracza rozmiaru bufora, co prowadziło do odczytu/zapisu poza przydzieloną pamięcią.

W jądrze Linux w kliencie SMB (cifs) stwierdzono podatność polegającą na błędnym stosowaniu wyjątku +1 bajta dla odpowiedzi z obszarem danych. Funkcja smb2_check_message() akceptuje odpowiedzi o jeden bajt dłuższe niż odebrane, co przy obecności obszaru danych prowadzi do odczytu poza przydzielonym buforem. Problem jest osiągalny podczas negocjacji i ustanawiania sesji SMB, przed pełnym uwierzytelnieniem.

W sterownikach ipu7_isys_init() i ipu7_psys_init() w jądrze Linux występuje podwójne zwolnienie pamięci (double-free) oraz użycie po zwolnieniu (use-after-free). Błąd pojawia się, gdy po nieudanej inicjalizacji urządzenia funkcja kfree(pdata) jest wywoływana ponownie, mimo że pamięć została już zwolniona przez ipu7_bus_release(). Dodatkowo, przed put_device() nie zapisano kodu błędu, co prowadzi do dereferencji już zwolnionego wskaźnika adev w ERR_CAST().

W sterowniku rtl8723bs w jądrze Linux występuje niedomiar długości (underflow) i odczyt poza zakresem (OOB read) w funkcji OnAuth(). Gdy ramka uwierzytelniania jest zbyt krótka, obliczenia długości w rtw_wep_decrypt() dają wartość ujemną, która po konwersji na size_t powoduje odczyt poza buforem. Ponadto, w przypadku odpowiedzi seq=3, funkcja memcmp zawsze czyta 128 bajtów niezależnie od rzeczywistej długości IE.

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w pętli IE w funkcji OnAssocRsp(). Gdy złośliwy punkt dostępowy wyśle ramkę AssocResponse, w której ostatni IE ma tylko jeden bajt, pętla odczytuje pIE->length spoza przydzielonego bufora. Ponadto, nawet gdy nagłówek jest w granicach, deklarowana długość IE może wykraczać poza bufor.

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w pętli IE w funkcji update_beacon_info(). Gdy złośliwy punkt dostępowy wyśle ramkę Beacon, w której ostatni IE ma tylko jeden bajt, pętla odczytuje pIE->length spoza przydzielonego bufora. Ponadto, deklarowana długość IE może wykraczać poza bufor.

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w pętlach IE w funkcjach issue_assocreq() i join_cmd_hdl(). Gdy dane IE kończą się tylko bajtem element_id bez bajtu długości, pIE->length jest odczytywane spoza bufora. Bufor jest wypełniany z ramek Beacon i Probe Response, więc złośliwy punkt dostępowy może wywołać problem.

W sterowniku rtl8723bs w jądrze Linux występuje odczyt poza zakresem (OOB read) w funkcjach rtw_get_sec_ie(), rtw_get_wapi_ie() i rtw_get_wps_attr(). Brakuje w nich sprawdzenia granic przed odczytem nagłówków IE/atrybutów oraz przed porównaniem wielobajtowych identyfikatorów OUI.

W sterowniku rtl8723bs w jądrze Linux występuje zapis poza zakresem (OOB write) w funkcji HT_caps_handler(). Funkcja iteruje po pIE->length bajtach i zapisuje do 26-bajtowej tablicy HT_caps.u.HT_cap[]. Ponieważ pIE->length pochodzi z ramki AssocResponse i nie jest walidowany, złośliwy punkt dostępowy może ustawić go na 255, powodując zapis do 229 bajtów poza zakresem.

W jądrze Linuxa w sterowniku Intel QAT wykryto podatność use-after-free podczas wyłączania SR-IOV. Funkcja adf_disable_sriov() niszczy struktury per-VF bez zatrzymywania lub synchronizacji z pracownikami VF2PF, co prowadzi do dereferencji zwolnionej pamięci. Problem został rozwiązany przez dodanie flagi vf2pf_disabled oraz synchronizację przerwań i kolejki prac.

W jądrze Linux wykryto podatność use-after-free w module ksmbd. Problem występuje, gdy po zamknięciu uchwytu blokady (SMB2_CLOSE) wysłane zostanie żądanie anulowania (SMB2_CANCEL) dla tego samego identyfikatora AsyncId. W wyniku tego zwolniona struktura file_lock jest ponownie używana, co prowadzi do naruszenia pamięci.

W jądrze Linux w funkcji pfkey_msg2xfrm_state() podczas obsługi stanów IPComp (SADB_X_SATYPE_IPCOMP) nie inicjalizowano pola alg_key_len w strukturze x->calg. Powoduje to pozostawienie niezainicjalizowanych danych z pamięci podręcznej, które są później używane przez xfrm_algo_clone() podczas migracji stanu (XFRM_MSG_MIGRATE), co prowadzi do odczytu poza zakresem alokacji (slab-out-of-bounds) i potencjalnego błędu KASAN.

W jądrze Linuxa wykryto wyścigi danych (data races) przy odczycie długości kolejki audit_queue przez funkcję skb_queue_len(). Wiele wątków czyta to pole bez blokady, podczas gdy zapis jest chroniony spinlockiem, co prowadzi do niespójnych odczytów.

W jądrze Linuxa w stosie Bluetooth L2CAP wykryto podatność use-after-free (UAF) w funkcji l2cap_chan_timeout(). Gdy kanał L2CAP ma ustawiony limit czasu, a połączenie zostanie zerwane przed wygaśnięciem timera, funkcja timeoutu próbuje uzyskać dostęp do już zwolnionej struktury połączenia (l2cap_conn), co prowadzi do naruszenia pamięci. Problem został rozwiązany przez dodanie mechanizmu utrzymywania referencji do połączenia przez cały czas życia kanału.