Katalog podatności CVE

W module NFSv4/flexfiles jądra Linux dwie ścieżki kodu zakładają, że klient serwera danych ma sesję, co nie jest prawdą dla NFSv4.0 (clp->cl_session jest NULL). Prowadzi to do dereferencji NULL w nfs4_init_ds_session() oraz ff_layout_async_handle_error_v4(), a także do zapętlenia nfs4_renew_state() z powodu zerowego cl_lease_time.

W jądrze Linux w podsystemach BPF i XDP przeniesiono sprawdzanie programów do funkcji dev_xdp_install(), aby uniemożliwić podmianę zwykłego programu XDP na program offloaded/device-bound przy użyciu BPF_LINK_UPDATE, który wcześniej omijał weryfikację i umożliwiał wykonanie takiego programu na ścieżce programowej.

W sterowniku sieciowym hinic3 w jądrze Linux naprawiono problem związany z linearyzacją skb i brakiem sprawdzania błędów w funkcji skb_checksum_help(). Błąd mógł prowadzić do odczytu poza obszar pamięci podczas operacji DMA lub błędów IOMMU, a także do wysyłania uszkodzonych pakietów z niekompletnymi sumami kontrolnymi.

W jądrze Linux w module KCM (Kernel Connection Multiplexer) brakowało ochrony RCU podczas uruchamiania programu BPF w parserze strparser, co mogło powodować ostrzeżenia jądra przy operacjach na mapach BPF. Poprawka polega na trzymaniu blokady RCU podczas wykonania programu.

W sterowniku virtio_net jądra Linux naprawiono błąd zmiany rozmiaru pierścienia RX w obecności gniazda AF_XDP, który powodował zapis poza koniec tablicy xsk_buffs, gdy rozmiar się zwiększał. Poprawka zapewnia odpowiednie przeskalowanie tablicy.

W jądrze Linux w module IPVS (IP Virtual Server) naprawiono przepełnienie liczby całkowitej w funkcji parsującej odpowiedzi FTP PASV/EPSV, które mogło prowadzić do zawinięcia wartości i użycia błędnego portu/adresu w połączeniu danych. Poprawka poszerza typ zmiennej na u32 i odrzuca wartości powyżej dozwolonych limitów.

W jądrze Linux w module hp-bioscfg (platform/x86) naprawiono brak sprawdzania granic przy parsowaniu kodowań haseł z pakietów ACPI, co mogło prowadzić do odczytu poza tablicą i przekazania nieprawidłowego wskaźnika do funkcji hp_convert_hexstr_to_str().

W jądrze Linux w funkcji ntfs_ir_to_ib() występuje błąd zapisu poza granicami bufora sterty (heap OOB write). Funkcja kopiuje wpisy z index_root do nowo przydzielonego bufora o rozmiarze index_block_size bez sprawdzenia, czy wpisy mieszczą się w dostępnej przestrzeni. Brak kontroli granic przed memcpy pozwala na zapis poza zaalokowanym obszarem.

W jądrze Linux w systemie plików NTFS nie odrzucano zapisu setxattr do zarezerwowanych atrybutów rozszerzonych $LXUID, $LXGID, $LXMOD i $LXDEV z przestrzeni użytkownika. Poprawka wymaga uprawnienia CAP_SYS_ADMIN do modyfikacji tych atrybutów.

W jądrze Linux w module NTFS funkcja ntfs_read_iomap_begin_resident() odczytuje rekord MFT bez blokady ni->mrec_lock, podczas gdy inne funkcje modyfikują ten sam bufor pod tą blokadą. Prowadzi to do wyścigu danych (data race) i możliwości odczytu niespójnych wartości pól długości i przesunięcia atrybutów. Problem został rozwiązany przez utrzymanie blokady mrec_lock od początku odczytu rezydentnego iomap aż do iomap_end().

W jądrze Linux funkcja gic_acpi_parse_iaffid() nie sprawdza wartości zwracanej przez get_logical_index(), która może wskazywać błąd, gdy wpis MADT GICC nie odpowiada rozpoznanemu procesorowi logicznemu. Może to prowadzić do indeksowania tablicy per_cpu poza zakresem i uszkodzenia pamięci.

W jądrze Linux funkcja ntfs_decompress() zawiera błąd o jeden w sprawdzaniu zakresu, gdzie dp_addr == dp_sb_end przechodzi do kopiowania symbolu i zapisuje jeden bajt poza stroną docelową. Uszkodzony atrybut $DATA może wywołać serię zapisów poza zakresem podczas odczytu pliku.

W jądrze Linux w podsystemie routingu multicast IPv6 (ip6mr) pakiety przychodzące otrzymują dst bez licznika referencji (NOREF) pod RCU. Gdy pakiet multicast nie trafi w wyszukiwanie MFC, trafia do kolejki nierozwiązanych, opuszczając okres karencji RCU. Jeśli trasa zostanie usunięta i zwolniona, a kolejka MFC zostanie później rozwiązana z błędnym interfejsem nadrzędnym, ip6mr_cache_report() wykonuje dst_clone() na zwolnionym wpisie dst, powodując use-after-free.

W jądrze Linux w implementacji NFSv4.2 występuje błąd wyczerpania bufora wysyłania LAYOUTSTATS. Makro encode_layoutstats_maxsz rezerwuje 256 bajtów, ale rekord flexfiles może tę wartość przekroczyć, ponieważ serwer kontroluje długość uchwytu pliku i adresu. Może to doprowadzić do przekroczenia bufora i trwałego zablokowania mutexa, gdy xdr_reserve_space() zwróci NULL.

W jądrze Linux w implementacji NFSv4/pnfs występuje błąd polegający na kluczowaniu pamięci podręcznej serwera danych wyłącznie na podstawie zestawu adresów multipath, bez uwzględnienia wersji NFS. Gdy dwa deviceidy na tym samym adresie mają różne wersje, współdzielą jeden nfs4_pnfs_ds, a pierwszy łączący się mirror przypisuje ds_clp do swojej wersji. Drugi mirror otrzymuje ten klient i wybiera rpc_call_ops dla nieobsługiwanej wersji, co prowadzi do dereferencji NULL.

W jądrze Linuxa naprawiono problem z bezpiecznym dostępem do pola chan->conn w funkcjach getsockopt/setsockopt dla Bluetooth L2CAP. Po zmianie wcześniejszej, chan->conn zachowuje referencję i pozostaje nie-NULL nawet po usunięciu skojarzonego hci_conn, ale dostęp do jego pól (np. hdev) jest nieprawidłowy i prowadzi do błędu zgłaszanego przez KASAN. Poprawka dodaje sprawdzenie, czy hci_conn jest nadal aktywny, oraz blokadę l2cap_chan_lock() w celu uniknięcia wyścigów.

W jądrze Linuxa naprawiono problem w Bluetooth L2CAP polegający na możliwości dodania nowego gniazda do kolejki akceptacji rodzica po zakończeniu działania l2cap_sock_cleanup_listen() i ustawieniu stanu BT_CLOSED, co mogło prowadzić do użycia po zwolnieniu (UAF). Poprawka polega na dodaniu sprawdzenia stanu sk_state == BT_LISTEN po uzyskaniu blokady sk w funkcji l2cap_sock_new_connection_cb() oraz dalszym zabezpieczeniu przed wyścigami.

W jądrze Linux występuje wyścig (race condition) w podsystemie Bluetooth L2CAP pomiędzy funkcjami l2cap_sock_cleanup_listen() a l2cap_sock_put_chan(). Niezsynchronizowany odczyt wskaźnika l2cap_pi(sk)->chan może zwrócić wartość NULL, co prowadzi do dereferencji wskaźnika NULL (null-ptr-deref) i awarii jądra. Problem został rozwiązany poprzez zastosowanie blokady lock_sock() w l2cap_sock_kill().

W jądrze Linux sterownik Bluetooth btnxpuart w funkcji nxp_process_fw_dump() odczytuje pola seq_num i buf_len ze struktury nagłówka zrzutu firmware umieszczonej pod skb->data, nie sprawdzając, czy ładunek ACL jest wystarczająco długi. Krótka ramka z uchwytem połączenia 0xfff powoduje odczyt poza odebranymi danymi, a wartość buf_len równa zero może przedwcześnie zakończyć zrzut i zresetować kontroler.

W jądrze Linux w module net/sched: sch_teql występuje podatność polegająca na tym, że funkcja teql_master_xmit() ustawia skb->dev na urządzenie podrzędne (slave) przed wywołaniem ndo_start_xmit(), ale nie przywraca go po nieudanej transmisji. To powoduje, że pakiet z nieaktualnym wskaźnikiem skb->dev trafia do kolejki ARP, a po usunięciu urządzenia podrzędnego dochodzi do użycia po zwolnieniu (UAF).