Katalog podatności CVE

W jądrze Linux w module ACPI processor wyszukiwanie hotplug IOAPIC parsuje rekordy MADT i _MAT bez pełnej walidacji granic. Wcześniej używano zadeklarowanej długości podtablicy do przesuwania kursora po zlokalizowaniu jedynie nagłówka generycznego, a ścieżka _MAT przekazywała nagłówek generyczny do funkcji pomocniczej IOAPIC.

W jądrze Linux dla RISC-V z włączoną opcją CFI_CLANG, podczas tailcall w BPF występuje uszkodzenie stosu jądra. Z powodu podwójnego pomijania instrukcji kcfi, skok przeskakuje o dodatkowe 4 bajty, pomijając korektę wskaźnika stosu. Poprawka usuwa to podwójne uwzględnienie.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_destroy_cq_user(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co CQ pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_destroy_srq_user(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co SRQ pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_free_cq(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co CQ pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w podsystemie RDMA/core występuje potencjalny błąd use-after-free w funkcji ib_dealloc_pd_user(). Wywołanie rdma_restrack_del() następuje zbyt późno, przez co PD pozostaje dostępna przez restrack, gdy powiązane zasoby specyficzne dla dostawcy są już zwalniane.

W jądrze Linux w sterowniku thermal intel int3400 funkcja evaluate_odvp() tworzy pliki sysfs ODVP przed zarejestrowaniem strefy termicznej i innych zasobów. Ścieżka sprzątania po błędzie wywołuje cleanup_odvp() tylko w późnym przypadku awarii sysfs, przez co błędy występujące po evaluate_odvp(), w tym awarie thermal_tripless_zone_device_register(), pozostawiają pliki i pamięć ODVP. Poprawka przenosi sprzątanie ODVP do wspólnej ścieżki ART/TRT i czyści buforowane wskaźniki ODVP.

W jądrze Linux sterownik RDMA/erdma w funkcjach erdma_destroy_qp(), erdma_destroy_cq(), erdma_dereg_mr() i erdma_destroy_ah() zwraca wcześnie, gdy erdma_post_cmd_wait() zawiedzie, co powoduje wyciek buforów kolejek, MTT, doorbells oraz identyfikatorów STAG, QPN, CQN i AHN.

W jądrze Linux w funkcji bpf_tracing_link_release występuje ostrzeżenie spowodowane nadpisaniem flag tr->flags przez 'tr->flags = BPF_TRAMP_F_TAIL_CALL_CTX' w weryfikatorze. Prowadzi to do uszkodzenia trampoliny i niepowodzenia przywrócenia instrukcji nop.

W jądrze Linux funkcja set_user_buf_size() w sterowniku RDMA/mlx5 oblicza rozmiar bufora QP przez przesunięcie w lewo dostarczonych przez użytkownika wartości rq.wqe_cnt i rq.wqe_shift jako liczb całkowitych ze znakiem. Duże rq.wqe_cnt powoduje przepełnienie ze znakiem, dając mały lub ujemny buf_size, przez co ib_umem_get() mapuje bufor mniejszy niż sprzęt faktycznie zapisze.

W jądrze Linux w komponencie iommu/tegra241-cmdqv występuje błąd synchronizacji między procedurą obsługi przerwania błędu (ISR) a inicjalizacją i deinicjalizacją VINTF. Brak odpowiedniego uporządkowania pamięci i synchronizacji może prowadzić do odwołania do wskaźnika NULL lub użycia zwolnionej pamięci (use-after-free) podczas równoczesnego błędu. Podatność została naprawiona poprzez zastosowanie barier pamięci smp_store_release/smp_load_acquire oraz synchronize_irq().

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja __tegra241_cmdqv_probe() używała devm_krealloc() do powiększenia @smmu, co zwalniało oryginalny wskaźnik po relokacji. Błąd po tej operacji zwracał NULL, a wywołujący dereferencjonował zwolniony @smmu na ścieżce awaryjnej.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja tegra241_vintf_init_vsid() mapowała gościnny vSID na pojedynczy fizyczny Stream ID z master->streams[0], jedynie ostrzegając gdy urządzenie nie miało dokładnie jednego strumienia. Urządzenie z wieloma strumieniami miało mapowany tylko pierwszy, a urządzenie bez strumieni powodowało odczyt poza zakresem (ZERO_SIZE_PTR).

W jądrze Linux w module RDMA/rxe występuje użycie po zwolnieniu (UAF) na ścieżce obsługi błędów inicjalizacji ODP. Gdy rxe_odp_init_pages() zawiedzie, wskaźnik mr->umem nie jest zerowany, co powoduje, że późniejsze wywołanie ib_umem_release() odczytuje już zwolnione pola.

W jądrze Linux w systemie plików nilfs2 występuje odczyt poza granicami bufora podczas parsowania bloku super-root. Rozmiar metadanych inode super-root jest zaufany przed wywołaniem nilfs_read_inode_common(), co pozwala złośliwemu obrazowi systemu plików na odczyt poza blokiem super-root.

W jądrze Linux sterownik wifi ath12k nie egzekwuje minimalnej długości struktury zdarzenia WMI_TAG_PDEV_CSA_SWITCH_COUNT_STATUS_EVENT, a pole num_vdevs pochodzące z firmware jest używane jako granica pętli bez walidacji. Może to prowadzić do odczytu poza granicami bufora. Poprawka dodaje wpis polityki TLV oraz funkcję pomocniczą ograniczającą num_vdevs.

W jądrze Linux sterownik wifi ath11k nie egzekwuje minimalnej długości struktury zdarzenia WMI_TAG_PDEV_CSA_SWITCH_COUNT_STATUS_EVENT, a pole num_vdevs pochodzące z firmware jest używane jako granica pętli bez walidacji. Może to prowadzić do odczytu poza granicami bufora. Poprawka dodaje wpis polityki TLV oraz funkcję pomocniczą ograniczającą num_vdevs.

W jądrze Linux w funkcji rtl_pci_probe() ostatnia ścieżka błędu pomija funkcje czyszczące z powodu błędnej etykiety goto. Dodatkowo nie są cofane udane wywołania rtl_init_rfkill(), ieee80211_register_hw() i rtl_debug_add_one().

W jądrze Linux funkcja mhi_register_controller() dodaje urządzenie kontrolera przed utworzeniem opcjonalnego pliku sysfs trigger_edl. Jeśli sysfs_create_file() zawiedzie, ścieżka błędu tylko zwalnia referencję urządzenia, pozostawiając je zarejestrowanym.

W jądrze Linux obsługa REQ_NOWAIT w osobowościach md raid1, raid10 i raid456 jest fundamentalnie niekompletna. Przy zapisach może wystąpić sytuacja, gdy jedno lustro się powiedzie, a inne zwróci -EAGAIN, przez co md nie potrafi odróżnić presji kolejki od awarii urządzenia i może doprowadzić do rozbieżności danych między lustrami.