Katalog podatności CVE

W jądrze Linux w sterowniku RDMA/erdma występuje podatność use-after-free. Ścieżki obsługi zdarzeń krytycznych QP (AE) oraz iWARP CM pobierają wskaźniki QP z dev->qp_xa i używają ich poza blokadą xarray, przez co erdma_destroy_qp() może zwolnić zasoby QP w trakcie takiego odwołania. Poprawka dodaje funkcję erdma_qp_get_by_qpn() pobierającą referencję kref pod blokadą oraz usuwa QP z xarray przed zwolnieniem referencji niszczącej.

W jądrze Linux w module ocfs2 (o2hb) występuje błąd use-after-free związany z cyklem życia regionu heartbeat. Region jest publikowany w tabeli handlerów o2net zanim jego opóźnione prace (delayed work) zostaną zainicjalizowane, a przy zamykaniu nie ma pełnej synchronizacji z trwającymi wywołaniami zwrotnymi o2net. Prowadzi to do wyścigu i użycia zwolnionej pamięci (KASAN slab-use-after-free w __run_timers).

W jądrze Linux w podsystemie IB/isert występuje podatność polegająca na wysłaniu końcowej odpowiedzi logowania przed zarejestrowaniem sesji. Inicjator, który po otrzymaniu odpowiedzi natychmiast wysyła polecenie SCSI, może spowodować wykonanie go na sesji z niezainicjalizowanym wskaźnikiem se_tpg, co prowadzi do błędu NULL dereference i awarii systemu.

W jądrze Linux rozwiązano podatność w module IB/isert, gdzie bufory odbioru pełnej funkcjonalności były publikowane przed zarejestrowaniem sesji. Inicjator, który nie czekał na końcową odpowiedź Login Response, mógł spowodować wykonanie polecenia SCSI na sesji z pustym se_tpg, prowadząc do awarii jądra (oops) w target_submit. Poprawka przenosi publikowanie buforów do isert_get_rx_pdu() i wykonuje je przed wysłaniem odpowiedzi.

W jądrze Linux w module RDMA/siw funkcja siw_accept() wyszukuje QP podany przez przestrzeń użytkownika. Jeśli QP jest już w stanie RTS, funkcja przechodzi do sprzątania błędów przed powiązaniem przychodzącego CEP. Sprzątanie zakłada, że bieżące wywołanie zainstalowało powiązanie, ale qp->cep może wskazywać na CEP istniejącego połączenia, co prowadzi do zwolnienia przychodzącego CEP i use-after-free.

W jądrze Linux kod kmod dups używa RCU do zapewnienia, że instancja kmod_dup_req jest zwalniana dopiero gdy nie jest już referencjonowana. Jednak równolegli użytkownicy w kmod_dup_request_exists_wait() nie wchodzą w sekcję krytyczną odczytu RCU, co może prowadzić do use-after-free.

W jądrze Linux w sterowniku drm/amd/display stała AMDGPU_DM_MAX_DISPLAY_INDEX wynosi 31, co sugeruje maksymalnie 32 złącza, ale jest używana jak MAX_DISPLAY_COUNT. Powoduje to przesunięcie o jeden względem rdzenia DRM, który obsługuje maksymalnie 32 złącza. Poprawka zmienia nazwę stałej i zwiększa rozmiar tablic HDCP do 32.

W jądrze Linux w sterowniku PHY Renesas R-Car Gen2 występuje podwójne wywołanie of_node_put() w ścieżce błędu podczas tworzenia PHY. Makro for_each_child_of_node_scoped() automatycznie zwalnia referencję do węzła, a jawne wywołanie of_node_put() powoduje podwójne zwolnienie. Poprawka usuwa zbędne wywołanie, pozostawiając sprzątanie zakresowe.

W jądrze Linux w sterowniku DRM AMDGPU dla GFX6 brakuje użycia PFP (pre-fetch parser) na kolejkach obliczeniowych. Na GFX6 kolejki obliczeniowe używają tej samej ścieżki CP co grafika, ale bez obsługi komend rysowania. Poprawka dodaje użycie PFP do zapisów rejestrów, synchronizacji potoku i po VM flush, aby zapobiec problemom z wykonywaniem.

W jądrze Linux w sterowniku scsi: sd obsługa błędów w sd_probe() jest nieprawidłowa, gdy zawiedzie sd_large_pool_create() po udanym device_add(&sdkp->disk_dev). Ścieżka out_free_index wywołuje kfree() na już zarejestrowanym urządzeniu i wycieka wpis sysfs.

W jądrze Linux, w systemie plików btrfs na dyskach strefowych (zoned), funkcja btree_csum_one_bio() zerowała folio bufora ekstentowego przed wysłaniem, co niszczyło bufor w pamięci, gdy mógł być jeszcze używany. To prowadziło do uszkodzenia drzewa ekstentów. Poprawka zapisuje zera na dysk ze wspólnej strony zerowej, pozostawiając zawartość bufora nietkniętą.

W jądrze Linux, w Bluetooth L2CAP, pole hci_conn::l2cap_data jest dostępne bez blokad w l2cap_disconn_ind, co może prowadzić do użycia po zwolnieniu (UAF), jeśli l2cap_conn zostanie usunięty równocześnie. Poprawka używa proto_lock do ochrony l2cap_data.

W jądrze Linux, w Bluetooth hci_conn, kontekst SCO setup jest przydzielany z destruktorem NULL, co prowadzi do wycieku pamięci, gdy wpis jest anulowany. Dodatkowo kontekst przechowuje goły wskaźnik hci_conn, co może prowadzić do użycia po zwolnieniu. Poprawka trzyma połączenie i zwalnia je w destruktorze.

W jądrze Linux w module AppArmor wykryto podatność polegającą na przepełnieniu liczby całkowitej w funkcji verify_tags() podczas walidacji tabeli tagsetów z pakietu polityki. Atakujący może dostarczyć specjalnie spreparowaną politykę, która omija kontrolę granic i powoduje odczyt poza przydzieloną pamięcią. Problem jest osiągalny przez nieuprzywilejowanego użytkownika w zagnieżdżonej przestrzeni nazw, jeśli włączona jest opcja unprivileged_userns_apparmor_policy=1.

W jądrze Linux występuje błąd w podsystemie iommu/dma dotyczący braku blokady wokół listy msi_page_list. W przypadku gdy wiele urządzeń przypisanych do maszyny wirtualnej przez legacy kontener VFIO type1 współdzieli tę samą domenę IOMMU (np. ARM SMMU z IOMMU_RESV_SW_MSI), równoczesne wywołania iommu_dma_get_msi_page() mogą uszkodzić tę listę. Problem został rozwiązany poprzez przywrócenie statycznej blokady msi_prepare_lock.

W jądrze Linux w podsystemie iommu/vt-d występuje problem z czyszczeniem bitu Present przed zburzeniem skopiowanego wpisu kontekstu. Zerowanie wpisu przy ustawionym bicie Present pozostawia okno, w którym sprzęt może pobrać uszkodzony wpis, prowadząc do nieprzewidywalnego zachowania lub fałszywych błędów.

W jądrze Linux w podsystemie iommu/vt-d, podczas niepowodzenia inicjalizacji urządzenia, konteksty trybu skalowalnego nie są usuwane przed zwolnieniem tabeli PASID. Może to prowadzić do sytuacji, w której IOMMU odwołuje się do zwolnionej pamięci. Poprawka nakazuje wykonanie teardown przed zwolnieniem tabeli, analogicznie do ścieżki zwalniania urządzenia.

W jądrze Linux w podsystemie iommu/vt-d, podczas usuwania aliasów DMA, funkcja intel_context_flush_no_pasid() używa nieprawidłowego identyfikatora SID (zawsze requester ID urządzenia zamiast aliasu). Powoduje to, że wpisy kontekstu w pamięci podręcznej nie są unieważniane dla aliasów, co może prowadzić do użycia zwolnionej pamięci przez IOMMU.

W jądrze Linux naprawiono podatność w module netfilter nft_ct dotyczącą obsługi niestandardowych oczekiwań (expectations). Wcześniejsza implementacja mogła prowadzić do uszkodzenia listy oczekiwań poprzez nieprawidłowe wskaźniki po realokacji rozszerzeń conntracka. Poprawka przenosi obsługę oczekiwań do wewnętrznego helpera conntracka i wprowadza funkcję nf_conntrack_helper_release().

W jądrze Linux w podsystemie NFS, gdy klient nie może zarejestrować delegacji otrzymanej od serwera, nie wysyła DELEGRETURN. Powoduje to, że serwer myśli, że klient nadal trzyma delegację, co prowadzi do problemów z odwołaniem delegacji i pętli w menedżerze stanu klienta. Poprawka nakazuje zwrócenie delegacji w tych ścieżkach błędów.