Katalog podatności CVE

W jądrze Linux w sterowniku RDMA/bnxt_re wywołania zwrotne niszczenia zerują wyjście udata po zniszczeniu zasobów sterownika. Jeśli dostęp do przestrzeni użytkownika zawiedzie, uverbs zachowuje uobject i pozwala na ponowne wykonanie wywołania zwrotnego niszczenia, mimo że zasób sterownika został już zwolniony. Poprawka przenosi ib_no_udata_io() przed zniszczenie oraz ib_respond_empty_udata() na początek przepływów tworzenia i modyfikacji.

W jądrze Linux w sterowniku PCI/pwrctrl tc9563 parsowanie obu funkcji zintegrowanego endpointu Ethernet MAC pod DSP3 powodowało dostęp poza granice tablicy tc9563_pwrctrl->cfg. Poprawka polega na parsowaniu węzła endpointu pod DSP3 zamiast obu funkcji.

W jądrze Linux w module md/raid5-ppl funkcja ppl_do_flush() kontynuuje iterację pętli po wywołaniu ppl_io_unit_finished(), która zwalnia pamięć obiektu io. Późniejszy dostęp do pola io->pending_flushes prowadzi do użycia po zwolnieniu (use-after-free).

W jądrze Linux dla architektury powerpc w podsystemie XIVE, gdy funkcja xive_init_ipis() zakończy się błędem, globalna tablica xive_ipis jest zwalniana. Jednak xive_smp_probe() wcześniej ignorowała ten błąd i wywoływała xive_setup_cpu_ipi(), która używała już zwolnionego wskaźnika, prowadząc do użycia po zwolnieniu.

W jądrze Linuxa odkryto podatność use-after-free w funkcji vxlan_mdb_flush() w mechanizmie VXLAN MDB. Błąd pozwala na zwolnienie pamięci jednego wpisu MDB podczas przetwarzania innego, co przy operacjach usuwania może prowadzić do zapisu do zwolnionej pamięci.

W jądrze Linux dla architektury LoongArch brakuje definicji DIRECT_MAP_PHYSMEM_END, co powoduje, że funkcje get_free_mem_region() i mhp_get_pluggable_range() mogą zwracać regiony ZONE_DEVICE poza obszarem vmemmap. Może to prowadzić do uszkodzenia tablic stron lub awarii systemu, zwłaszcza na procesorach z mniejszą liczbą bitów adresu fizycznego, takich jak seria Loongson-2K.

W serwerze NFS (nfsd) brakuje bariery pamięci odczytu (read barrier) w funkcji rpc_status_get dumpit. Na architekturach o słabym uporządkowaniu pamięci (ARM, POWER) może to prowadzić do nieskutecznego mechanizmu ponawiania i odczytu niespójnych danych. Poprawka dodaje smp_rmb() przed drugim sprawdzeniem licznika.

W sterowniku phy (fsl-imx8mq-usb) występuje wyciek przełącznika typec w przypadku błędu podczas inicjalizacji (probe). Poprawka polega na użyciu devm_add_action_or_reset(), aby zapewnić sprzątanie zarówno przy błędzie, jak i przy usuwaniu sterownika.

W jądrze Linux naprawiono błąd w module svcrdma, gdzie przy nieudanej akceptacji połączenia wywoływano rpcrdma_rn_unregister() bez wcześniejszej rejestracji. Prowadziło to do usunięcia cudzego wpisu w tablicy XArray oraz niezrównoważonego zwolnienia referencji urządzenia, a także do wycieku pamięci struktury svcxprt_rdma przy każdym nieudanym połączeniu.

W jądrze Linux występuje wyścig (race condition) w strukturze nfsd_net, gdzie pole logiczne grace_ended jest odczytywane i zapisywane bez synchronizacji z wielu wątków. Dwa równoczesne wywołania nfsd4_end_grace() mogą jednocześnie przejść do nfsd4_record_grace_done(), co prowadzi do podwójnego zwolnienia pamięci (double-free) i uszkodzenia listy reclaim_str_hashtbl. Podatność została naprawiona poprzez zastąpienie pól logicznych słowem flag i użycie atomowej operacji test_and_set_bit().

Biblioteka jsmn w commicie 25647e6 jest podatna na przepełnienie bufora (buffer overflow) w funkcji dump() w pliku example/jsondump.c.

NanoSVG w commicie 239e102ec zawiera podatność nieprawidłowej konwersji numerycznej w funkcji nsvg__addActive() rasteryzatora. Specjalnie spreparowany dokument SVG z wystarczająco dużymi współrzędnymi geometrii może spowodować, że współrzędne krawędzi skalowane stałoprzecinkowo przekroczą zakres reprezentowalny przez typ int.

NanoSVG w commicie 239e102ec zawiera podatność nieprawidłowej konwersji numerycznej w funkcji nsvg__pathArcTo() podczas parsowania poleceń łuku SVG. Specjalnie spreparowany dokument SVG z ekstremalnymi wartościami promienia łuku może spowodować, że pośrednie obliczenia łuku wygenerują kąt delta o wartości NaN.

MuJS w commicie e892c9fdb zawiera podatność nieprawidłowej konwersji numerycznej w funkcji jsR_isindex() w pliku jsrun.c. Specjalnie spreparowane wejście JavaScript zawierające nadmiernie duży indeks tablicy numerycznej może spowodować konwersję wartości zmiennoprzecinkowej poza zakresem do liczby całkowitej bez odpowiedniej walidacji zakresu.

SumatraPDF 3.6.1 zawiera podatność na przepełnienie liczby całkowitej w funkcji EngineMupdf::BuildPageLabelRec() podczas parsowania wpisów /Nums w PageLabels pliku PDF.

nDPI 5.1.0 zawiera problem z dostępem do pamięci w kodzie deserializacji dyssektora DNS. Specjalnie spreparowane dane sieciowe mogą powodować rzutowanie adresów bufora na nieparzystych offsetach na wskaźniki uint16_t lub szersze i bezpośrednie dereferencjonowanie bez sprawdzania wyrównania.

W tinyexpr (commit 4a7456e) istnieje podatność na nieprawidłowe obliczenie rozmiaru bufora w funkcji new_expr(). Dla węzłów wyrażeń o arności 0, w tym stałych, zmiennych i funkcji bezargumentowych, funkcja alokuje mniej pamięci niż sizeof(te_expr), ale traktuje zwróconą alokację jako pełny obiekt te_expr.

BentoPDF w wersji 2.8.6 i wcześniejszych ma podatność w proxy CORS dla certyfikatów i znaczników czasu w cloudflare/cors-proxy-worker.js, które używa isPrivateOrReservedHost() do walidacji nazwy hosta oddzielnie od rozwiązywania DNS używanego przez fetch(targetUrl), co pozwala na rozwiązanie nazwy hosta do wewnętrznego lub zastrzeżonego miejsca po walidacji. Ścieżka podobna do certyfikatu może spełnić ALLOWED_PATH_PATTERNS, a bezpośredni klienci mogą sfałszować nagłówek Origin. Wdrożenia bez PROXY_SECRET pomijają opcjonalną kontrolę podpisu.

Kontrola dostępu do drzwi na statku Norwegian Cruise Line przyznaje dostęp wyłącznie na podstawie statycznego 7-bajtowego UID zapisanego na chipie NFC NTAG212. UID to numer seryjny producenta, wysyłany jawnie przy każdym odczycie i nie jest przeznaczony do celów uwierzytelniania.

RabbitMQ w wersjach przed 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.1 pozwala użytkownikowi z tagiem monitorowania usuwać lub restartować dowolne dynamiczne shovel w każdym vhost, który widzi. Endpoint zarządzania shovel deleguje autoryzację do sprawdzenia monitorującego, mimo że operacja DELETE powinna być ograniczona do roli policymaker. Problem naprawiono w wymienionych wersjach.