Katalog podatności CVE

W jądrze Linux, w Bluetooth hci_conn, kontekst SCO setup jest przydzielany z destruktorem NULL, co prowadzi do wycieku pamięci, gdy wpis jest anulowany. Dodatkowo kontekst przechowuje goły wskaźnik hci_conn, co może prowadzić do użycia po zwolnieniu. Poprawka trzyma połączenie i zwalnia je w destruktorze.

W jądrze Linux w module AppArmor wykryto podatność polegającą na przepełnieniu liczby całkowitej w funkcji verify_tags() podczas walidacji tabeli tagsetów z pakietu polityki. Atakujący może dostarczyć specjalnie spreparowaną politykę, która omija kontrolę granic i powoduje odczyt poza przydzieloną pamięcią. Problem jest osiągalny przez nieuprzywilejowanego użytkownika w zagnieżdżonej przestrzeni nazw, jeśli włączona jest opcja unprivileged_userns_apparmor_policy=1.

W jądrze Linux występuje błąd w podsystemie iommu/dma dotyczący braku blokady wokół listy msi_page_list. W przypadku gdy wiele urządzeń przypisanych do maszyny wirtualnej przez legacy kontener VFIO type1 współdzieli tę samą domenę IOMMU (np. ARM SMMU z IOMMU_RESV_SW_MSI), równoczesne wywołania iommu_dma_get_msi_page() mogą uszkodzić tę listę. Problem został rozwiązany poprzez przywrócenie statycznej blokady msi_prepare_lock.

W jądrze Linux w podsystemie iommu/vt-d występuje problem z czyszczeniem bitu Present przed zburzeniem skopiowanego wpisu kontekstu. Zerowanie wpisu przy ustawionym bicie Present pozostawia okno, w którym sprzęt może pobrać uszkodzony wpis, prowadząc do nieprzewidywalnego zachowania lub fałszywych błędów.

W jądrze Linux w podsystemie iommu/vt-d, podczas niepowodzenia inicjalizacji urządzenia, konteksty trybu skalowalnego nie są usuwane przed zwolnieniem tabeli PASID. Może to prowadzić do sytuacji, w której IOMMU odwołuje się do zwolnionej pamięci. Poprawka nakazuje wykonanie teardown przed zwolnieniem tabeli, analogicznie do ścieżki zwalniania urządzenia.

W jądrze Linux w podsystemie iommu/vt-d, podczas usuwania aliasów DMA, funkcja intel_context_flush_no_pasid() używa nieprawidłowego identyfikatora SID (zawsze requester ID urządzenia zamiast aliasu). Powoduje to, że wpisy kontekstu w pamięci podręcznej nie są unieważniane dla aliasów, co może prowadzić do użycia zwolnionej pamięci przez IOMMU.

W jądrze Linux naprawiono podatność w module netfilter nft_ct dotyczącą obsługi niestandardowych oczekiwań (expectations). Wcześniejsza implementacja mogła prowadzić do uszkodzenia listy oczekiwań poprzez nieprawidłowe wskaźniki po realokacji rozszerzeń conntracka. Poprawka przenosi obsługę oczekiwań do wewnętrznego helpera conntracka i wprowadza funkcję nf_conntrack_helper_release().

W jądrze Linux w podsystemie NFS, gdy klient nie może zarejestrować delegacji otrzymanej od serwera, nie wysyła DELEGRETURN. Powoduje to, że serwer myśli, że klient nadal trzyma delegację, co prowadzi do problemów z odwołaniem delegacji i pętli w menedżerze stanu klienta. Poprawka nakazuje zwrócenie delegacji w tych ścieżkach błędów.

W jądrze Linux występuje błąd w mechanizmie AppArmor dotyczący ograniczenia przejścia do nieograniczonego profilu (unconfined) dla zadań już objętych stosem profili. Nieprawidłowe zastosowanie ograniczenia pozwala na ucieczkę z sandboxa, jeśli możliwe jest wykonanie dwóch przejść przez profil unconfined. Poprawka przenosi sprawdzenie do etapu budowania etykiety profilu, tak aby zawsze weryfikowano względem unconfined.

W sterowniku nvme-apple jądra Linux kolejka administracyjna alokowana przez blk_mq_alloc_queue() nie była zwalniana przy usuwaniu kontrolera. Prowadziło to do pozostawienia aktywnego timera timeout i workqueue na kolejce, która była zwalniana, co powodowało ostrzeżenie WARN, a następnie panikę jądra (oops) w funkcji blk_mq_timeout_work(). Problem występował tylko wtedy, gdy kontroler nie uruchomił się poprawnie i był natychmiast usuwany.

W podsystemie nvmet jądra Linux funkcja nvmet_execute_identify_ns_zns() wywołuje bdev_is_zoned() na wskaźniku req->ns->bdev, który dla przestrzeni nazw opartej na pliku jest NULL. Host może wysłać polecenie Identify z CNS 05h i CSI 02h, co prowadzi do dereferencji NULL i awarii jądra (oops). Poprawka odrzuca polecenie, gdy przestrzeń nazw nie jest oparta na urządzeniu blokowym.

W jądrze Linux polecenie NVME_IOCTL_SUBMIT_IO nie wywołuje funkcji nvme_cmd_allowed(), w przeciwieństwie do IO_CMD i IO64_CMD. Nieuprzywilejowany użytkownik może w ten sposób wykonywać operacje I/O na urządzeniu partycji lub zapisywać przez deskryptor pliku otwarty tylko do odczytu. Poprawka przekazuje flagi i open_for_write oraz odrzuca niedozwolone polecenia z błędem -EACCES.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_getsockopt() odczytuje wskaźnik llcp_sock->local przed założeniem blokady gniazda, a następnie używa go w sekcji krytycznej. Wyścig z równoległym wywołaniem bind() może spowodować użycie zwolnionego wskaźnika (use-after-free). Poprawka przenosi odczyt i sprawdzenie NULL do sekcji chronionej przez lock_sock().

W podsystemie NFC NCI jądra Linux funkcje nci_close_device() i nci_rx_work mogą równocześnie wywołać nci_data_exchange_complete(), co prowadzi do podwójnego wywołania sock_put() i niedomknięcia licznika referencji gniazda. Powoduje to zwolnienie gniazda będącego w użyciu (use-after-free). Poprawka zastępuje clear_bit() funkcją test_and_clear_bit(), dzięki czemu tylko pierwszy wywołujący kontynuuje.

W podsystemie NFC LLCP jądra Linux funkcja nfc_llcp_recv_snl() przetwarza listę TLV bez ograniczenia odczytów do rzeczywistych danych skb, co prowadzi do niedomknięcia długości, odczytu poza buforem i błędu w strncmp()/nfc_llcp_sock_from_sn(). Sąsiednie urządzenie NFC może to wykorzystać bez uwierzytelnienia, ponieważ aktywacja łącza LLCP następuje automatycznie po NFC-DEP. Poprawka przechodzi po TLV wskaźnikiem z ograniczeniem do skb_tail_pointer() i waliduje długości.

W jądrze Linux w weryfikatorze BPF porównywanie typów iteratorów podczas przycinania stanu nie rozróżnia stanów MEM_RCU i PTR_UNTRUSTED. Może to pozwolić weryfikatorowi na przycięcie niebezpiecznej ścieżki i zaakceptowanie niebezpiecznego programu BPF.

W jądrze Linux występuje błąd use-after-free w funkcji bpf_trampoline_multi_attach_free przy niepowodzeniu aktualizacji trampoliny BPF. Gdy bpf_trampoline_update() zawiedzie przed wywołaniem modify_fentry_multi()/unregister_fentry_multi(), cur_image pozostaje niezmienione i ftrace nadal do niego wywołuje, a zwolnienie old_image powoduje UAF. Poprawka zwalnia old_image tylko wtedy, gdy różni się od cur_image.

Podatność w jądrze Linux w ALSA sequencer MIDI rawmidi dotyczy wyścigu podczas zamykania podstrumienia rawmidi. Funkcja snd_midi_input_event() może działać równolegle z zamykaniem, co prowadzi do dereferencji wskaźnika NULL i awarii jądra. Problem występuje w ścieżce wejściowej i został naprawiony przez serializację zamykania z event_input przy użyciu RCU.

W jądrze Linux w systemie plików OCFS2 wykryto podatność polegającą na braku walidacji numeru slotu sierot (orphan slot) podczas odczytu i-węzła. Uszkodzony dinode z flagą OCFS2_ORPHANED_FL może zawierać nieprawidłowy numer slotu, co prowadzi do odczytu poza zakresem pamięci (use-after-free) podczas operacji wymazywania i-węzła.

W jądrze Linux w systemie plików ocfs2 występuje błąd use-after-free wynikający z braku walidacji pola i_dio_orphaned_slot podczas odczytu i-węzła. Uszkodzony dinode append-DIO może zawierać wartość spoza zakresu slotów zamontowanego systemu plików, co prowadzi do użycia nieprawidłowego wskaźnika i błędu UAF w ocfs2_get_system_file_inode(). Poprawka odrzuca aktywny i_dio_orphaned_slot spoza zakresu podczas walidacji dinode.