Katalog podatności CVE

W sterowniku mt76 występuje wyścig w recyklingu buforów RXDMAD_C. Te bufory pochodzą z pul stron powiązanych z innym NAPI, co powoduje, że bezpośredni recykling może kolidować z właścicielem NAPI, prowadząc do błędów.

W jądrze Linux w sterowniku wifi mt76 (mt7996) funkcja mt7996_mac_reset_work() zatrzymywała wątek tx i wyłączała NAPI RX/TX przed pobraniem muteksu dev->mt76.mutex. Ponieważ mt76_worker_disable()/_enable() nie są zliczane referencyjnie, a __mt76_set_channel() przełącza ten sam wątek i bit MT76_RESET pod muteksem, wyścig między obsługą SER L1 a zmianą kanału mógł pozostawić wątek wznowiony i bit MT76_RESET wyczyszczony podczas resetowania pierścieni DMA, uszkadzając deskryptory lub tokeny.

W jądrze Linux funkcja btf_distill_func_proto() akceptuje argumenty funkcji do 16 bajtów, więc 128-bitowy typ __int128 trafia do trampoliny x86 z arg_size równym 16. Obecna implementacja zakłada jednak, że argument __int128 wymaga tylko jednego rejestru, przez co obszar zapisu rejestrów jest niedoszacowany, a save_args() nadpisuje sąsiednie sloty stosu.

W sterowniku wifi mt76 (mt7915) przepływ TWT jest dodawany do dev->twt_list przed wysłaniem umowy do firmware, ale ścieżka błędu pozostawia go na liście, mimo że flowid_mask nie jest ustawiany. Slot przepływu może zostać ponownie użyty i wyzerowany, gdy wciąż znajduje się na liście, co uszkadza twt_list, a usunięcie stacji pozostawia wiszący wpis.

W sterowniku wifi mt76 (mt7915) po udanym mt7915_register_ext_phy() awaria mt7915_init_debugfs() lub mt7915_coredump_register() dla głównego PHY powodowała odkręcenie przez free_phy2, które wywoływało ieee80211_free_hw() na ext PHY wciąż zarejestrowanym w mac80211, ponieważ mt76_unregister_device() wyrejestrowuje tylko główny hw.

W jądrze Linuksa dla architektury arm64 w mechanizmie ptrace występuje problem z synchronizacją wartości 'orig_x0' i x0 podczas wchodzenia do syscalla. Poprzednia poprawka nie aktualizowała 'orig_x0' podczas przetwarzania SECCOMP_RET_TRACE, co pozwalało tracertowi na modyfikację argumentu syscalla bez kontroli seccomp i audytu.

W jądrze Linuksa w cfg80211 stwierdzono brak zatrzymywania pomiarów PMSR przed wyłączeniem interfejsów P2P i NAN. Funkcje cfg80211_stop_p2p_device() i cfg80211_stop_nan() nie wywołują cfg80211_pmsr_wdev_down(), co może pozostawić nieaktualne żądania w sterowniku i prowadzić do niespójności.

W jądrze Linuksa w sterowniku coreboot stwierdzono brak walidacji granic tabeli. coreboot_table_probe() zastępuje długość zasobu platformy wartościami z firmware, co może prowadzić do przepełnienia przy dodawaniu rozmiaru 32-bitowego lub mapowania pamięci poza zasobem przez źle sformowaną tabelę.

W jądrze Linux w sterowniku PCI dwc ep występuje podatność polegająca na tym, że w ścieżce MSI nie ma odpowiednika flush dla zapisu MSI przed odmapowaniem wpisu iATU. Może to spowodować utratę lub błędne przekierowanie zapisu MSI, który jest w locie, gdy wpis iATU jest usuwany.

W jądrze Linux w podsystemie HID występuje podatność polegająca na tym, że hid_device_io_start() pozwala na równoległe wykonywanie raportów z probe. Jeśli probe zakończy się niepowodzeniem, __hid_device_probe() zwalnia zasoby sterownika i czyści hdev->driver bez wykluczania tych wywołań zwrotnych raportów, co może prowadzić do use-after-free, np. w hidraw_report_event().

W jądrze Linux w blk-cgroup występuje wyścig między aktywacją polityki (blkcg_activate_policy()) a niszczeniem blkg. Podczas przełączania harmonogramu IO blkcg_activate_policy() może wyścignąć się ze współbieżnym usuwaniem blkcg, prowadząc do use-after-free i wycieku pamięci. Dodatkowo blkg_free_workfn() zwalnia pd przed usunięciem blkg z q->blkg_list, co pozwala na alokację nowego pd dla niszczonego blkg.

W jądrze Linux w blk-cgroup funkcja blkcg_activate_policy() może wyścignąć się ze współbieżnym usuwaniem blkcg podczas przełączania harmonogramów IO, prowadząc do use-after-free w rcu_accelerate_cbs. Problem występuje gdy blkg jest w trakcie niszczenia, a blkcg_activate_policy() próbuje pobrać referencję do niego.

W jądrze Linux w module ublk funkcja import_ubuf() może zawieść, jeśli zakres adresów podany przez serwer ublk w przestrzeni użytkownika znajduje się poza dozwoloną przestrzenią adresową użytkownika. W takim przypadku przekazywana jest niezainicjalizowana struktura iov_iter do ublk_copy_user_pages().

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji granic atrybutów rozszerzonych (xattr) przechowywanych inline w bloku i-węzła. Uszkodzone metadane mogą prowadzić do odczytu poza zakresem pamięci (use-after-free) podczas wywołań getxattr() lub listxattr().

W jądrze Linux w systemie plików ocfs2 funkcja ocfs2_validate_xattr_block() sprawdza nagłówek bloku xattr, ale nie weryfikuje, czy xh_count i przesunięcia wpisów mieszczą się w bloku dla bloków nieindeksowanych. Zindeksowane kubełki również docierają do konsumentów list/get bez sprawdzenia granic wpisów, co prowadzi do use-after-free w ocfs2_xattr_list_entries().

W jądrze Linux w programach BPF typu sleepable spin lock może być jedyną ochroną RCU dla wskaźnika kptr. Po ostatnim bpf_spin_unlock() weryfikator pozostawia wskaźnik jako ważny, co pozwala innemu CPU zwolnić obiekt przed jego użyciem, prowadząc do use-after-free (np. w __bpf_get_task_stack()).

W jądrze Linux sterownik drm/omap DSI kopiował tablicę ISR, aby umożliwić wyrejestrowanie procedur obsługi przerwań. Ponieważ do tych ISR przekazywane są obiekty alokowane na stosie, istnieje ryzyko use-after-free, gdy przerwania są wyrejestrowywane w trakcie ich obsługi.

W jądrze Linuxa wykryto podatność w weryfikatorze BPF. Podczas obsługi operacji load-acquire, gdzie rejestr źródłowy i docelowy są takie same, weryfikator nie sprawdza poprawnie typu wskaźnika, co umożliwia dostęp do niekonwertowanych obiektów jądra i może prowadzić do ujawnienia danych lub pomyłki typów.

W jądrze Linux sterownik RDMA/erdma w obsłudze zdarzeń EQ wyszukuje CQ z dev->cq_xa i wywołuje callbacki poza blokadą xarray. Funkcja erdma_destroy_cq() może usunąć CQ i zwolnić jej bufor oraz rekord doorbell, gdy wcześniej zaplanowany handler EQ nadal używa CQ, co prowadzi do use-after-free.

W jądrze Linux w sterowniku RDMA/erdma występuje podatność use-after-free. Ścieżki obsługi zdarzeń krytycznych QP (AE) oraz iWARP CM pobierają wskaźniki QP z dev->qp_xa i używają ich poza blokadą xarray, przez co erdma_destroy_qp() może zwolnić zasoby QP w trakcie takiego odwołania. Poprawka dodaje funkcję erdma_qp_get_by_qpn() pobierającą referencję kref pod blokadą oraz usuwa QP z xarray przed zwolnieniem referencji niszczącej.