Katalog podatności CVE

W jądrze Linux występuje błąd use-after-free w mechanizmie ftrace podczas tworzenia procesu potomnego. Stan function graph jest inicjalizowany zbyt późno — po copy_exec_state() — więc gdy alokacja task_exec_state się nie powiedzie, funkcja free_task() zwalnia stos powrotów (ret_stack) należący do procesu nadrzędnego, który następnie odwołuje się do zwolnionej pamięci.

W jądrze Linux sterownik ALSA us122l nie czyścił flagi VM_MAYWRITE dla mapowań bufora odczytu utworzonych z PROT_READ. Proces z dostępem O_RDWR do węzła hwdep mógł później użyć mprotect(), aby uczynić mapowanie zapisywalnym, a następnie zmodyfikować pole read_size i uzyskać dostęp do stron poza alokacją. Poprawka usuwa VM_MAYWRITE dla mapowań bufora odczytu.

W jądrze Linux system plików UFS kopiował indeks grupy cylindrów i pozycje rotorów z dysku bez walidacji, a następnie używał ich jako indeksów przy alokacji i zwalnianiu. Spreparowany obraz mógł ustawić dowolne wartości, powodując zapis poza alokacją s_csp lub skanowanie bitmapy daleko poza bufory grupy cylindrów. Poprawka odrzuca grupy cylindrów z niezgodnym indeksem lub rotorami poza grupą.

W jądrze Linux w sterowniku accel: ethosu, użytkownik może ustawić rozmiar SRAM zadania na 0, ale nadal mieć dostęp do SRAM w strumieniu poleceń. Gdy rozmiar SRAM zadania wynosi 0, pomijane jest ustawienie rejestru bazowego regionu, co prowadzi do użycia nieaktualnego adresu bazowego z poprzedniego zadania.

W jądrze Linux w sterowniku ASoC dla platformy Spreadtrum (sprd) wykryto podatność polegającą na braku walidacji rozmiarów buforów kompresji względem stałych alokacji pamięci. Użytkownik lokalny może skonfigurować logiczny bufor do ~4 GB, co prowadzi do przepełnienia bufora IRAM (32K) lub DDR (2M) podczas operacji kopiowania z przestrzeni użytkownika.

W jądrze Linux występuje podatność use-after-free w funkcji proc_flush_pid() wywoływanej podczas kończenia procesu. W wyniku błędnego założenia o utrzymaniu referencji do thread_pid, PID może zostać zwolniony przez callback RCU, zanim proc_flush_pid() zakończy działanie. Podatność może być wywołana przez nieuprzywilejowanego użytkownika poprzez wyścig między wait4(-1) a setsid().

HTTP API Rojo "rojo serve" (domyślny port 34872) nie waliduje nagłówków Host/Origin, co czyni go podatnym na atak DNS rebinding. Złośliwa strona internetowa może odczytać cały kod źródłowy projektu, zapisać złośliwy kod do plików na dysku i uruchomić lokalne programy poprzez opener::open() bez interakcji użytkownika poza odwiedzeniem strony.

W jądrze Linuxa wykryto podatność w obsłudze MPLS, gdzie pole inner_protocol nie jest czyszczone po zdjęciu ostatniej etykiety MPLS. Może to prowadzić do ujemnego przesunięcia nagłówka sieciowego, co w Open vSwitch powoduje ogromną kopię pamięci (memcpy) poza bufor, prowadząc do awarii systemu (page fault).

W jądrze Linuxa w module Open vSwitch występuje podatność use-after-free dotycząca tablicy masek przepływu. Funkcja tbl_mask_array_realloc() wycofuje starą tablicę przed jej całkowitym wycofaniem z użycia, co w pewnym oknie czasowym pozwala na odczyt po zwolnieniu pamięci. Poprawka polega na opublikowaniu nowej tablicy przed wycofaniem starej.

W jądrze Linux wykryto podatność use-after-free w module netfilter cttimeout podczas odłączania modułu. Funkcja nf_ct_set_timeout() chroni dostęp do haka i zasad przez rcu_read_lock(), ale cttimeout_exit() najpierw usuwa struktury per-net, zanim wyczyści hak, co pozwala na użycie zwolnionej pamięci. Problem zgłoszony przez KASAN jako slab-use-after-free w ctnl_timeout_find_get.

W jądrze Linuxa wykryto podatność w module netfilter nf_log, dotyczącą wyścigu (race condition) podczas wyrejestrowywania loggerów. Kolejność operacji powoduje, że po wyczyszczeniu stanu per-net, ale przed wyrejestrowaniem globalnego backendu, możliwe jest ponowne powiązanie loggera przez sysctl lub netlink, co prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux wykryto podatność w mechanizmie fragmentacji pakietów IPv6 (inet: frags). Nieprawidłowe opróżnianie kolejek fragmentów przed ich usunięciem może prowadzić do użycia nieaktualnych metadanych, co skutkuje dostępem poza pamięć (out-of-bounds) i uszkodzeniem sterty. Atakujący z dostępem do nieuprzywilejowanych przestrzeni nazw sieciowych może wykorzystać tę wadę do lokalnej eskalacji uprawnień.

W jądrze Linux w podsystemie mac802154 wykryto podatność use-after-free (użycie po zwolnieniu) związaną z kolejką ramek RX. Miękkie przerwanie (softirq) dodaje ramki beacon i MAC-command do list bez blokady, a pracownik (worker) przetwarza je po ewentualnym usunięciu interfejsu, co prowadzi do odwołań do zwolnionej pamięci (sdata). Problem został potwierdzony przez KASAN.

W jądrze Linux wykryto podatność use-after-free w module Landlock, dotyczącą funkcji current_check_refer_path(). Podczas przetwarzania operacji linkat() moduł odwołuje się do rodzica katalogu źródłowego bez trzymania referencji ani blokady, co pozwala równoczesnemu rename(2) i rmdir(2) na zwolnienie pamięci i jej ponowne wykorzystanie. Problem został naprawiony przez dodanie odpowiedniego trzymania referencji na dentry rodzica.

W jądrze Linux w podsystemie s390/crypto występuje błędny kod zwrotny w asynchronicznych callbackach silnika kryptograficznego. Gdy crypto_finalize_hash_request() lub crypto_finalize_skcipher_request() jawnie kończy żądanie, callback do_one_request musi zwrócić 0, a zwracanie kodu błędu powoduje podwójne zakończenie żądania.

W jądrze Linux w funkcji afs_lookup_server() występuje nieprawidłowe zwolnienie pamięci podczas czyszczenia kandydata. Funkcja zwalnia stan punktu końcowego istniejącego serwera, mimo że kandydat nie ma jeszcze takiego stanu.

W jądrze Linux w podsystemie AFS (Andrew File System) wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Problem wynika z nieprawidłowego czyszczenia danych aplikacji peerów podczas aktualizacji listy adresów serwera, co może doprowadzić do odwołania do zwolnionej pamięci.

W jądrze Linux w sterowniku rkvdec dla HEVC pętle nad kafelkami i identyfikator PPS nie są ograniczone do pojemności tablic. Funkcje compute_tiles_uniform() i compute_tiles_non_uniform() oraz assemble_hw_pps() mogą zapisywać poza tablice.

W jądrze Linux w sterowniku mediatek vcodec dla AV1 kopiowanie początków kafelków nie jest ograniczone do pojemności tablic. Funkcja vdec_av1_slice_setup_tile() kopiuje wpisy do tablic mi_col_starts[] i mi_row_starts[] bez sprawdzenia granic.

W jądrze Linux w sterowniku Verisilicon Rockchip dla VPU981 AV1 dzielenie przez zero i zapis do bufora kafelków nie są zabezpieczone. Funkcja rockchip_vpu981_av1_dec_set_tile_info() dzieli przez tile_cols, które może być zero, i zapisuje deskryptory bez ograniczenia do pojemności bufora.