Katalog podatności CVE

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_plane_drm_plane_reset() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_crtc_reset_state() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w sterowniku dmaengine: xilinx_dma występował wyścig w procedurach obsługi przerwań AXIDMA i MCDMA. Kanał mógł zostać błędnie oznaczony jako bezczynny i rozpocząć zbędne transfery, gdy deskryptory były wciąż przetwarzane, co prowadziło do korupcji deskryptorów lub pominiętych ukończeń.

W jądrze Linux w module platform/chrome sensorhub wartości max_response i sensor_num pochodzą z różnych poleceń EC. Przy wadliwym firmware EC liczba odczytanych bajtów może być mniejsza niż oczekiwana, co powoduje przepełnienie odczytu (overread) bufora resp->fifo_info w funkcji cros_ec_sensorhub_ring_handler(). Poprawka sprawdza wartość zwracaną przez cros_ec_cmd_xfer_status() i przerywa działanie przy niezgodności długości.

W jądrze Linux sterownik RDMA/irdma nie zabezpieczał rejestrów pamięci (MR) stojących za pierścieniami QP/CQ/SRQ przed wyrejestrowaniem z przestrzeni użytkownika. Poprawka dodaje zliczanie referencji do MR-ów użytkownika poprzez zwiększenie licznika przy kojarzeniu.

W jądrze Linux występuje wyciek zasobów w module nvmet-rdma. Gdy cel NVMe z transportem RDMA jest usuwany podczas trwających operacji I/O, odpowiedź może zostać wysłana, ale jej potwierdzenie wysłania nigdy nie dociera przed zerwaniem połączenia, przez co funkcje nvmet_rdma_send_done() i nvmet_rdma_release_rsp() nie są wywoływane i dochodzi do wycieku kontekstu RDMA oraz SGL żądań.

W jądrze Linux w mechanizmie BPF występuje podatność pozwalająca na dostęp do pamięci poza granicami obiektu dla wskaźników MEM_ALLOC BTF. Podczas przeglądania struktury BTF, dla obiektów przydzielonych statycznie, nie jest odpowiednio egzekwowane ograniczenie rozmiaru, co może prowadzić do odczytu/zapisu poza przydzielonym obszarem.

W jądrze Linux w podsystemie BPF dla architektury s390 występuje problem z instrukcją 'ly', która nie zeruje górnych bitów rejestru 64-bitowego przy ładowaniu 32-bitowej wartości. Zamiast tego należy użyć instrukcji 'llgf', która poprawnie zeruje górne bity.

W jądrze Linux w mechanizmie BPF występuje podatność pozwalająca na zapis przez niezaufane wskaźniki BTF, co omija politykę tylko do odczytu dla wskaźników utworzonych przez helpery takie jak bpf_rdonly_cast(). Brakuje odrzucenia zapisów na wspólnym etapie wejścia.

W jądrze Linux w funkcji bpf_get_btf_vmlinux() występuje wyścig podczas publikowania wyniku parsowania BTF vmlinux. Wynik jest publikowany przez zwykłe zapisanie, a odczytywany bez blokady, co na architekturach o słabym modelu pamięci może pozwolić na obserwację wskaźnika przed widocznością zainicjalizowanych danych. Poprawka wprowadza bariery pamięci (smp_store_release/smp_load_acquire).

W jądrze Linux funkcja bpf_find_vma() odczytuje task->mm i wywołuje mmap_read_trylock() bez trzymania referencji do mm_struct. W przypadku obcego zadania, równoczesne exit_mm() może zwolnić mm_struct między odczytem a próbą zamka, prowadząc do use-after-free. Poprawka przypina mm pod task->alloc_lock i używa mmput_async(), odrzucając konteksty z wyłączonymi przerwaniami i !CONFIG_MMU.

W jądrze Linux w podsystemie BPF występuje błąd weryfikatora przy wypełnianiu stosu zwężającymi odczytami rozszerzającymi znak. Współdzielony identyfikator skalara nie jest usuwany, przez co dwa rejestry mogą dzielić ten sam identyfikator mimo różnych wartości, co pozwala weryfikatorowi wywnioskować nieprawidłowe ograniczenia i doprowadzić do dostępu poza granicami.

W jądrze Linux w podsystemie BPF występuje błąd walidacji argumentów kfunc rdonly_buf_size i rdwr_buf_size. Wartości przekraczające U32_MAX nie są odrzucane, lecz obcinane przy przypisaniu do pola mem_size typu u32, przez co weryfikator rejestruje nieprawidłowe ograniczenie rozmiaru pamięci.

W jądrze Linux w module USB gadget (funkcja UAC1/UAC2) atrybuty configfs rate-list nie sprawdzały długości listy przed zapisem do tablic o stałym rozmiarze UAC_MAX_RATES (10 elementów). Podanie więcej niż dziesięciu wartości powodowało zapis poza granicami tablicy p_srates[] lub c_srates[], co prowadzi do uszkodzenia pamięci. Dodatkowo nieprawidłowe zwalnianie wskaźnika po strsep() powodowało wyciek pamięci lub zwolnienie wskaźnika wewnętrznego.

W jądrze Linux w funkcji ffs_dmabuf_transfer() sterownika USB gadget f_fs ścieżki błędów (ESHUTDOWN, ENOMEM) wywoływały dma_fence_put() na obiekcie fence, który został jedynie przydzielony przez kmalloc, bez wcześniejszego dma_fence_init(). Wywołanie dma_fence_put() na niezainicjalizowanym obiekcie prowadzi do niezdefiniowanego zachowania. Poprawka zastępuje to wywołanie funkcją kfree().

W jądrze Linux w funkcji asus_wmi_add() sterownika platform/x86 asus-wmi etykiety ścieżek błędów są w niewłaściwej kolejności względem sekwencji rejestracji podsystemów. W efekcie niepowodzenie asus_wmi_custom_fan_curve_init() lub asus_screenpad_init() pomija wywołania czyszczące dla wcześniej zarejestrowanych zasobów, powodując ich wyciek. Poprawka zmienia kolejność etykiet na odwrotną względem alokacji.

W jądrze Linux funkcja bpf_cpumask_populate() zapisuje do celu za pomocą bitmap_copy(), ale cel jest typowany jako struct cpumask *. Pozwala to weryfikatorowi BPF zaakceptować wskaźniki cpumask zwracane przez read-only kfuncs (np. scx_bpf_get_online_cpumask()) jako zapisywalny cel. Poprawka zmienia typ celu na struct bpf_cpumask *, aby funkcja przestrzegała reguł własności jak inne mutujące kfuncs.

W jądrze Linux link tracing_multi nie ustawia flagi ftrace_managed, co powoduje że nie udaje się zwolnić linku tracing_multi przy dołączaniu linku tracing_multi, a następnie linku fentry. Prowadzi to do ostrzeżenia w bpf_trampoline_multi_detach i potencjalnego wycieku zasobów. Poprawka ustawia 'ftrace_managed = true' w register_fentry_multi().

W jądrze Linux w module RDMA/rxe wykryto błąd, który powoduje wielokrotne przetwarzanie tego samego pakietu po przejściu kolejki QP w stan błędu. Gdy QP przechodzi w stan błędu podczas odbierania pakietu (np. rozłączenie rdma_cm w trakcie przetwarzania), maszyna stanów respondera zapętla się i wielokrotnie wysyła to samo ukończenie IB_WC_SUCCESS, a po wyczerpaniu RQ następuje dereferencja NULL i panika jądra. Duplikaty ukończeń są nierozróżnialne od prawdziwych odbiorów, co łamie gwarancję dokładnie jednokrotnego dostarczenia w RC.

W jądrze Linux funkcja esp_ssg_unref() zwalnia referencje do stron źródłowego scatterlist po zakończeniu operacji AEAD. Wywołuje skb_page_unref() na każdej stronie fragmentu dla transformacji out-of-place oraz w ścieżce błędów esp_output_tail(). Jest to błędne gdy skb przenosi managed frags (SKBFL_MANAGED_FRAG_REFS), które są własnością zerocopy ubuf i skb nie posiada referencji do stron. Brak zabezpieczenia powoduje underflow licznika referencji strony i zwolnienie strony wciąż używanej.