Katalog podatności CVE

W jądrze Linux w module USB gadget (funkcja UAC1/UAC2) atrybuty configfs rate-list nie sprawdzały długości listy przed zapisem do tablic o stałym rozmiarze UAC_MAX_RATES (10 elementów). Podanie więcej niż dziesięciu wartości powodowało zapis poza granicami tablicy p_srates[] lub c_srates[], co prowadzi do uszkodzenia pamięci. Dodatkowo nieprawidłowe zwalnianie wskaźnika po strsep() powodowało wyciek pamięci lub zwolnienie wskaźnika wewnętrznego.

W jądrze Linux w funkcji ffs_dmabuf_transfer() sterownika USB gadget f_fs ścieżki błędów (ESHUTDOWN, ENOMEM) wywoływały dma_fence_put() na obiekcie fence, który został jedynie przydzielony przez kmalloc, bez wcześniejszego dma_fence_init(). Wywołanie dma_fence_put() na niezainicjalizowanym obiekcie prowadzi do niezdefiniowanego zachowania. Poprawka zastępuje to wywołanie funkcją kfree().

W jądrze Linux w funkcji asus_wmi_add() sterownika platform/x86 asus-wmi etykiety ścieżek błędów są w niewłaściwej kolejności względem sekwencji rejestracji podsystemów. W efekcie niepowodzenie asus_wmi_custom_fan_curve_init() lub asus_screenpad_init() pomija wywołania czyszczące dla wcześniej zarejestrowanych zasobów, powodując ich wyciek. Poprawka zmienia kolejność etykiet na odwrotną względem alokacji.

W jądrze Linux funkcja bpf_cpumask_populate() zapisuje do celu za pomocą bitmap_copy(), ale cel jest typowany jako struct cpumask *. Pozwala to weryfikatorowi BPF zaakceptować wskaźniki cpumask zwracane przez read-only kfuncs (np. scx_bpf_get_online_cpumask()) jako zapisywalny cel. Poprawka zmienia typ celu na struct bpf_cpumask *, aby funkcja przestrzegała reguł własności jak inne mutujące kfuncs.

W jądrze Linux link tracing_multi nie ustawia flagi ftrace_managed, co powoduje że nie udaje się zwolnić linku tracing_multi przy dołączaniu linku tracing_multi, a następnie linku fentry. Prowadzi to do ostrzeżenia w bpf_trampoline_multi_detach i potencjalnego wycieku zasobów. Poprawka ustawia 'ftrace_managed = true' w register_fentry_multi().

W jądrze Linux w module RDMA/rxe wykryto błąd, który powoduje wielokrotne przetwarzanie tego samego pakietu po przejściu kolejki QP w stan błędu. Gdy QP przechodzi w stan błędu podczas odbierania pakietu (np. rozłączenie rdma_cm w trakcie przetwarzania), maszyna stanów respondera zapętla się i wielokrotnie wysyła to samo ukończenie IB_WC_SUCCESS, a po wyczerpaniu RQ następuje dereferencja NULL i panika jądra. Duplikaty ukończeń są nierozróżnialne od prawdziwych odbiorów, co łamie gwarancję dokładnie jednokrotnego dostarczenia w RC.

W jądrze Linux funkcja esp_ssg_unref() zwalnia referencje do stron źródłowego scatterlist po zakończeniu operacji AEAD. Wywołuje skb_page_unref() na każdej stronie fragmentu dla transformacji out-of-place oraz w ścieżce błędów esp_output_tail(). Jest to błędne gdy skb przenosi managed frags (SKBFL_MANAGED_FRAG_REFS), które są własnością zerocopy ubuf i skb nie posiada referencji do stron. Brak zabezpieczenia powoduje underflow licznika referencji strony i zwolnienie strony wciąż używanej.

Podatność w systemie plików HFS+ w jądrze Linuxa dotyczy braku walidacji rekordu wątku przed odbudową klucza usuwania. Gdy hfsplus_delete_cat() jest wywoływane z str == NULL, rekonstruuje klucz z thread.nodeName bez sprawdzenia, czy rekord jest prawidłowy. Uszkodzony obraz może podać zbyt długą długość nazwy, co prowadzi do zapisu poza przydzieloną pamięcią. Poprawka używa hfsplus_brec_read_cat(), która ogranicza odczyt i weryfikuje rozmiar rekordu.

W jądrze Linux w module cxl/features funkcja cxlctl_get_feature() rozmiar bufora wyjściowego wyznacza z fwctl_rpc.out_len, ale urządzeniu nakazuje zapisać cxl_mbox_get_feat_in.count bajtów, gdzie count jest osobną wartością kontrolowaną przez użytkownika. Brak ograniczenia count względem out_len pozwala na przepełnienie bufora przydzielonego przez kvzalloc() i zapis poza zakresem sterty.

W jądrze Linux w module dax/fsdev funkcja __fsdev_dax_direct_access() używa virt_addr + linear_offset zamiast __va(phys) do zwrócenia kaddr. Dla urządzeń wielozakresowych z fizycznymi przerwami między zakresami ta liniowa arytmetyka przekracza przerwę i zwraca błędny adres wirtualny jądra.

W jądrze Linux sterownik media ipu6 zwalniał pamięć pdata po inicjalizacji urządzenia pomocniczego, co mogło prowadzić do podwójnego zwolnienia tego samego obiektu. Ścieżki błędów już wywołują put_device() i auxiliary_device_uninit(), które uruchamiają zwolnienie przez ipu6_bus_release().

W jądrze Linux w sterowniku wifi iwlwifi mei nie sprawdzano długości komunikatu SAP przed jego odczytem. Brak weryfikacji rozmiaru mógł prowadzić do przepełnienia bufora.

W jądrze Linux w sterowniku uio występuje problem z nieaktualnym wskaźnikiem info w ścieżce nieudanej rejestracji. Po device_add() urządzenie UIO jest widoczne dla użytkownika i można otworzyć /dev/uioX. Jeśli późniejszy krok zawiedzie, __uio_register_device() wycofuje urządzenie, ale pozostawia idev->info wskazujący na struct uio_info należący do wywołującego. To jest niebezpieczne, gdy otwarcie konkuruje z nieudaną rejestracją, prowadząc do użycia po zwolnieniu. Poprawka obsługuje błędy po device_add() jak przy wyrejestrowaniu: usuwa atrybuty UIO, czyści idev->info pod info_lock i budzi oczekujących przed usunięciem urządzenia.

W jądrze Linux funkcja software_node_get_reference_args() nieprawidłowo sprawdzała zakres indeksu, gdy przekazano wartość UINT_MAX, co prowadziło do dostępu poza zakresem tablicy właściwości. Poprawka rozszerza sprawdzenie zakresu, aby obejmowało również przypadek UINT_MAX.

W jądrze Linux funkcja bpf_arena_free_pages() akceptowała adresy aren poniżej bazowego adresu areny, co po zamaskowaniu do dolnych 32 bitów i rekonstrukcji adresu użytkownika prowadziło do zwolnienia zakresu poza mapowaniem areny. Poprawka odrzuca takie zwolnienia przed obliczeniem przyciętego zakresu.

W jądrze Linux sterownik dmaengine dw-edma wywoływał vchan_cookie_complete() przy odroczonym STOP, co powodowało wywołanie callbacku dla aktywnego deskryptora i pozostawienie innych deskryptorów w kolejce. Późny callback po dmaengine_terminate_sync() mógł odwoływać się do zwolnionego stanu klienta, a pozostałe deskryptory mogły wznowić działanie na ponownie użytych buforach. Poprawka przenosi wszystkie wydane i zgłoszone deskryptory do listy zakończonych bez planowania callbacków.

W jądrze Linux w sterowniku ASoC meson funkcja meson_card_reallocate_links() powiększa tablice DAI link i danych prywatnych dwoma kolejnymi wywołaniami krealloc(), aktualizując wskaźniki dopiero po obu sukcesach. Gdy pierwszy krealloc() przeniesie dane, a drugi zawiedzie, card->dai_link wskazuje zwolniony blok, co prowadzi do use-after-free i podwójnego zwolnienia.

W jądrze Linux w sterowniku RDMA hfi1 funkcja set_txreq_header_ahg() ignoruje wartość zwracaną przez sdma_txinit_ahg(). Gdy inicjalizacja zawiedzie, tx->txreq nie jest zainicjowany, ale wywołujący kontynuuje przetwarzanie żądania tak, jakby się powiodło.

HortusFox-Web przed wersją 6.1 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW poprzez nadużycie funkcji Import/Export. Atakujący mogą wykorzystać funkcję Import/Export, przeznaczoną wyłącznie do przenoszenia danych, do wdrożenia i wykonania złośliwego kodu na hoście serwera aplikacji.

W jądrze Linux w sterowniku RDMA rxe funkcja rxe_requester() nie waliduje pól num_sge/cur_sge dla WQE pochodzących z kolejki użytkownika. Lokalny nieuprzywilejowany użytkownik może zakolejkować WQE z poza zakresem cur_sge lub zbyt dużym num_sge, wymuszając odczyt poza zakresem tablicy sge w copy_data() (vmalloc OOB read).