Katalog podatności CVE

W jądrze Linux występuje problem w funkcji __dev_change_net_namespace(), gdzie konfliktujące alternatywne nazwy (altnames) urządzeń sieciowych nie są usuwane przy zmianie przestrzeni nazw sieci. Prowadzi to do ostrzeżenia w cfg80211_pernet_exit() podczas usuwania nie-rootowej przestrzeni nazw, gdy dwa urządzenia mają przypisaną tę samą altname. Podatność dotyczy sytuacji, w której urządzenie w init_net ma konfliktującą altname z urządzeniem w usuwanej przestrzeni nazw.

W jądrze Linux naprawiono podatność w module net/rds. Funkcja rds_tcp_reset_callbacks() wyciszała ścieżkę transmisji, oczekując na zwolnienie flagi RDS_IN_XMIT, zamiast przejąć blokadę, co na architekturach ze słabym uporządkowaniem pamięci mogło prowadzić do równoczesnego działania transmisji i resetu stanu cp_xmit_*.

W jądrze Linux naprawiono błąd w net/rds, gdzie funkcja rds_conn_shutdown() jedynie sprawdzała, czy flagi RDS_IN_XMIT i RDS_RECV_REFILL są wyczyszczone, zamiast przejąć ich blokady. Na architekturach ze słabym uporządkowaniem pamięci ścieżka transmisji mogła wznowić działanie równolegle z demontażem połączenia, prowadząc do wyścigu i uszkodzenia stanu. Poprawka polega na przejęciu obu blokad fastpath przed zamknięciem transportu i przywróceniu ich po zakończeniu resetu ścieżki.

W jądrze Linux funkcja nvme_scan_ns_list() usuwa nieaktualne przestrzenie nazw w każdej luce raportowanej listy NSID po jednym NSID na raz, wywołując nvme_find_get_ns() w każdej iteracji. Ponieważ NSID są 32-bitowe, rzadka przestrzeń NSID może spowodować, że pojedyncza luka wykona miliardy iteracji bez niczego do usunięcia, prowadząc do soft lockup. Poprawka zmienia nvme_remove_invalid_namespaces() na nvme_remove_nsid_range() z otwartym zakresem (start, end) NSID, co ogranicza pracę do rzeczywiście obecnych przestrzeni nazw.

W jądrze Linux w sterowniku sieciowym bcmasp funkcja bcmasp_xmit() ustawiała txcb->last = true tylko dla ostatniego fragmentu SKB, pozostawiając pole niezmienione dla wcześniejszych fragmentów. Jeśli slot deskryptora został ponownie użyty z nieaktualną wartością true z poprzedniego SKB, bcmasp_tx_reclaim() mogło przedwcześnie zwolnić sk_buff, podczas gdy jego pozostałe fragmenty były jeszcze w locie.

W jądrze Linux w sterowniku mlxsw (moduł spectrum_ptp) funkcja zbierająca śmieci PTP wywoływała napi_gro_receive() z kontekstu workqueue zamiast z kontekstu NAPI. Powodowało to równoczesną modyfikację listy GRO przez dwa wątki (GC i wątek NAPI na innym CPU), co prowadziło do uszkodzenia listy i paniki jądra. Problem naprawiono, wprowadzając ścieżkę dostarczania pakietów używającą netif_receive_skb() zamiast napi_gro_receive().

W jądrze Linux weryfikator BPF błędnie przewidywał wynik porównania wskaźnika z zerem w instrukcjach JMP32, nie odróżniając porównań BPF_JMP od BPF_JMP32. Prowadziło to do nieprawidłowego wnioskowania o zawsze wykonanym skoku.

W jądrze Linux naprawiono podatność w sterowniku DSA bcm_sf2 dotyczącą braku ograniczenia zrzutu reguł CFP rozmiarem bufora wywołującego. Funkcja bcm_sf2_cfp_rule_get_all() przechodzi przez całą bitmapę cfp.unique bez uwzględnienia nfc->rule_cnt, co pozwala na wyjście poza alokację. Luka jest dostępna bez uprawnień CAP_NET_ADMIN.

W jądrze Linux sterownik nfp (ethernet) zrzuca reguły ntuple do bufora bez sprawdzania rozmiaru bufora podanego przez wywołującego. Funkcja nfp_net_get_fs_loc() zapisuje wszystkie wpisy nn->fs.list do rule_locs[] ignorując cmd->rule_cnt, co pozwala użytkownikowi bez uprawnień CAP_NET_ADMIN wywołać ETHTOOL_GRXCLSRLALL z mniejszą liczbą slotów niż liczba reguł i wyjść poza alokację; rule_cnt równy 0 pozostawia wskaźnik NULL i powoduje dereferencję.

W jądrze Linux sterownik DSA mv88e6xxx zrzuca reguły polityki do bufora bez sprawdzania jego rozmiaru. Funkcja mv88e6xxx_get_rxnfc() używa rxnfc->rule_cnt jako indeksu zapisu, nadpisując wartość wejściową oznaczającą liczbę dostępnych slotów, co pozwala użytkownikowi bez CAP_NET_ADMIN wywołać ETHTOOL_GRXCLSRLALL z mniejszą liczbą slotów niż liczba reguł i wyjść poza alokację; rule_cnt równy 0 pozostawia wskaźnik NULL i powoduje dereferencję.

W jądrze Linux wykryto podatność w sterowniku VXLAN, która pozwala na konfigurację dynamicznych wpisów FDB odwołujących się do identyfikatora nexthop. Taka konfiguracja jest nieprawidłowa i może prowadzić do uszkodzenia listy powiązanej, wyścigu oraz użycia po zwolnieniu (use-after-free). Problem został naprawiony poprzez odrzucanie takich wpisów podczas tworzenia i aktualizacji.

W jądrze Linux żądanie RTM_NEWQDISC mogło spowodować, że clsact powiązał współdzielony blok ingress podczas ->init(), publikując mini_Qdisc dla czytających bez blokad. Jeśli to samo żądanie miało nieprawidłowy TCA_RATE, konfiguracja estymatora kończyła się niepowodzeniem po ->init(), a ścieżka wycofania zwalniała qdisc synchronicznie, podczas gdy tc_run() mógł wciąż go używać — prowadząc do use-after-free.

W jądrze Linux w sterowniku iommu/amd funkcja amd_iommu_pdom_id_alloc() zwraca int (ID domeny lub ujemny errno), ale amd_iommu_alloc_domain_nested() przypisuje wynik do pola u32 gdom_info->hdom_id, tracąc znak. W efekcie -ENOSPC staje się 0xffffffe4 i test "<= 0" nigdy nie zadziała, więc domena zagnieżdżona jest tworzona z nieprzydzielonym ID. Poprawka przechowuje wartość w int, testuje ją i zapisuje dopiero po walidacji.

W jądrze Linux w module vdpa_sim_blk występuje błąd polegający na akceptowaniu początkowych sektorów poza zakresem. vdpasim_blk_check_range() rejestruje nieprawidłowy sektor początkowy, ale kontynuuje walidację żądania; kolejne odejmowanie pojemności bez znaku może spowodować niedomiar i pozwolić nieprawidłowemu przesunięciu bufora dotrzeć do ścieżki danych. Prowadzi to do zapisu poza granicami (VIRTIO_BLK_T_OUT, VIRTIO_BLK_T_WRITE_ZEROES) lub odczytu poza granicami (VIRTIO_BLK_T_IN).

W jądrze Linux w module vdpa_sim_net występuje błąd polegający na braku sprawdzenia wyniku pobrania TX przed kopiowaniem RX. vringh_iov_pull_iotlb() zwraca liczbę bajtów ze znakiem; nieudane pobranie TX jest obecnie dodawane do licznika bajtów bez znaku, a następnie przekazywane jako długość size_t do receive_filter() i vringh_iov_push_iotlb(). Ujemny błąd może więc stać się dużą długością w ścieżce RX.

W jądrze Linux wykryto błąd w mechanizmie listowania przestrzeni nazw (listns), gdzie funkcja legitimize_ns() pobiera referencję do przestrzeni nazw przed sprawdzeniem uprawnień may_list_ns(). W przypadku odmowy dostępu zwolnienie ostatniej referencji do przestrzeni nazw montowania następuje wewnątrz sekcji krytycznej RCU, co może prowadzić do uśpienia w niedozwolonym miejscu i ostrzeżenia jądra.

W jądrze Linux w sterowniku hinic występuje przepełnienie bufora sterty w funkcji sprawdzającej segmenty skrzynki pocztowej. Ostatni segment może przenosić pełny 48-bajtowy ładunek, co powoduje zapis poza 2048-bajtowy bufor odbiorczy o 16 bajtów. Poprawka ogranicza długość ostatniego segmentu do pozostałego miejsca w buforze.

W jądrze Linux w sterowniku stmmac występuje problem z dostępnością deskryptorów TX dla ruchu TSO. Szacowanie liczby wolnych deskryptorów jest niedokładne, co może prowadzić do zapisu poza dostępne deskryptory i uszkodzenia pierścienia TX. Poprawka dodaje funkcję obliczającą dokładną liczbę potrzebnych deskryptorów.

W jądrze Linux występuje błąd wyścigu (race condition) w funkcji __slab_try_return_freelist() w mm/slab. Funkcja zakładała, że jeśli freelist jest NULL i cmpxchg się powiedzie, to żaden inny CPU nie zwolnił obiektu do slab, co prowadzi do klasycznego problemu ABA i uszkodzenia listy. Skutkuje to paniką jądra (kernel panic) i odmową usługi (DoS).

W jądrze Linux w podsystemie IPv6 występuje podatność use-after-free w iteratorze fib6 walker podczas zatrzymania sekwencji. Walker może zostać przeniesiony do stanu FWS_U, który jest błędnie traktowany jako odłączony, co prowadzi do zwolnienia obiektu seq, który nadal znajduje się na liście fib6_walkers, a późniejsze usuwanie tras używa zwolnionego walkera.