Katalog podatności CVE

W jądrze Linux w module zram bit blokady slotu jest ustawiany w niewłaściwej pozycji na systemach 64-bitowych big-endian. Zamiast w polu flags trafia w pole ac_time, co przy włączonym ZRAM_TRACK_ENTRY_ACTIME powoduje kasowanie blokady i pozwala innemu CPU przejąć ten sam slot. Wartość czasu dostępu z ustawionym bitem może sprawić, że slot pozostanie zablokowany na zawsze. Poprawka przenosi bit blokady do połowy flags na big-endian 64-bit.

W jądrze Linux sterownik HID sony nie usuwa kontrolera z listy urządzeń, gdy rejestracja urządzenia wejściowego w HID core zakończy się niepowodzeniem. Struktura sony_sc jest zwalniana przez devres, ale jej węzeł listy pozostaje podłączony, co prowadzi do użycia zwolnionej pamięci przy obsłudze kolejnego kontrolera.

W jądrze Linux w sterowniku media: usbtv występuje użycie zwolnionej pamięci. Wywołania zwrotne ALSA PCM przechowują stan sterownika w pcm->private_data, a otwarty plik PCM może przetrwać odłączenie USB, ponieważ usbtv_audio_free() używa snd_card_free_when_closed(). Ścieżka odłączenia może zwolnić strukturę usbtv przed zwolnieniem podstrumienia przez ALSA, co prowadzi do odwołania do zwolnionej pamięci w snd_usbtv_pcm_close().

W jądrze Linux w sterowniku usb: dwc3 występuje problem z bitem forceRM przy wydawaniu polecenia EndTransfer. W kontrolerach DWC_usb31 v2.00a i v2.10a z forceRM=1 transfer przerwany przez ep_dequeue pozostawał aktywny po zakończeniu EndTransfer, a kolejny StartTransfer powodował zapisy związane z przerwanym transferem, co skutkowało błędem SMMU, ponieważ bufor transferu został już odmapowany. Użycie forceRM=0 eliminuje problem.

W jądrze Linux w sterowniku usb: typec: qcom-pmic-typec występuje problem z opóźnioną pracą cc_debounce_dwork przy zatrzymaniu. cc_debounce_dwork jest kolejkowana z wywołań zwrotnych set_cc() i start_toggling(), a port_stop() zwraca przed zniszczeniem wątku roboczego TCPM. Opóźniona praca może uruchomić się po zwolnieniu pmic_typec_port przez devres. Poprawka używa disable_delayed_work_sync() w port_stop().

W jądrze Linux w sterowniku usb: typec: qcom-pmic występuje problem z anulowaniem reset_work przy zatrzymaniu. pdphy_stop() wyłącza przerwania, ale pozostawia reset_work w stanie oczekiwania. Jeśli procedura obsługi przerwania zaplanuje ją tuż przed disable_irq(), praca uruchomi się po zwolnieniu struktury przez remove() za pomocą devm. Poprawka wywołuje cancel_work_sync() po wyłączeniu przerwań.

W jądrze Linux w sterowniku usb: typec: ucsi: displayport występuje błąd indeksu tablicy altmode poza zakresem (OOB). Sterownik indeksuje tablicę altmode portu złącza odpowiedzią GET_CURRENT_CAM po sprawdzeniu, że nie jest równa 0xff. Tablica ma UCSI_MAX_ALTMODES elementów, więc jeśli PPM zwróci nieprawidłową odpowiedź powyżej UCSI_MAX_ALTMODES i różną od 0xff, jądro może ulec awarii z powodu błędu indeksu OOB.

W jądrze Linux w funkcji f_midi2_opts_str_show() sterownika USB gadget występuje use-after-free. Wywołujący odczytują wskaźnik opts->info.<pole> przed założeniem blokady, co wyściguje się z f_midi2_opts_str_store(), która zwalnia stary łańcuch pod blokadą. Współbieżny zapis atrybutu może spowodować odczyt zwolnionego wskaźnika.

W funkcji rtw_get_wps_attr() w sterowniku staging rtl8723bs jądra Linux występuje błąd polegający na braku weryfikacji długości atrybutu WPS pobranej z ramki zarządzającej siecią bezprzewodową. Długość ta jest kontrolowana przez atakującego i używana bez sprawdzenia jako rozmiar operacji memcpy(), co prowadzi do odczytu poza granicami bufora sterty oraz przepełnienia bufora stosu. Podatność można wykorzystać poprzez spreparowaną ramkę beacon lub probe response przetwarzaną podczas skanowania.

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_action_frame_parse() nie sprawdza parametru frame_len przed indeksowaniem ciała ramki. Odczyt frame_body[0] i frame_body[1] wymaga frame_len >= 26, więc krótsza ramka (np. 24 bajty) powoduje odczyt poza zakresem o 1-2 bajty. Jest to osiągalne z rtw_cfg80211_monitor_if_xmit_entry() i cfg80211_rtw_mgmt_tx().

W jądrze Linux w sterowniku staging rtl8723bs funkcja rtw_restruct_wmm_ie() skanuje bufor in_ie w poszukiwaniu WMM IE. Gdy sprawdzenie 'i + 5 < in_len' zawiedzie blisko końca bufora, wykonanie przechodzi do 'i += (in_ie[i + 1] + 2)', co przy i == in_len - 1 powoduje odczyt poza zakresem o 1 bajt. Poprzednia poprawka dodała zabezpieczenie tylko do warunku dopasowania, nie do przesunięcia.

W jądrze Linux nowe pliki show_event_filters i show_event_triggers nie pobierają referencji do trace_array, który wyświetlają. Bez tej referencji trace_array może zostać zwolniony przez 'rmdir' podczas odczytu pliku, co powoduje use-after-free. Poprawka sprawia, że otwarcie obu plików pobiera referencję przez trace_array_get().

W jądrze Linux wykryto podatność use-after-free w mechanizmie tracingu. Otwarcie pliku opcji nie zwiększało referencji do struktury trace_array, co mogło prowadzić do użycia zwolnionej pamięci, gdy jeden proces otwierał plik, a inny usuwał instancję. Problem rozwiązano przez dodanie funkcji trace_array_options_get(), która zwiększa referencję przed użyciem.

W jądrze Linux w podsystemie scsi bsg funkcja ukończenia kopiuje scmd->sense_len do bufora odpowiedzi użytkownika bez uwzględnienia max_response_len. Po prawidłowym sense midlayer ustawia sense_len na rzeczywistą długość (do SCSI_SENSE_BUFFERSIZE), co powoduje przepełnienie mniejszego bufora użytkownika.

W jądrze Linux w podsystemie scsi bsg funkcja scsi_bsg_uring_cmd() odczytuje bsg_uring_cmd ze współdzielonego mmap'd SQE, co pozwala użytkownikowi zmienić pole między sprawdzeniem a użyciem (TOCTOU). request_len może wzrosnąć poza sizeof(scmd->cmnd) po sprawdzeniu granic i przepełnić scmd->cmnd w copy_from_user().

W jądrze Linux w sterowniku megaraid_sas funkcja megasas_make_prp_nvme() buduje listę PRP w buforze cmd->sg_frame bez sprawdzania jego rozmiaru. Po zwiększeniu domyślnego limitu BLK_DEF_MAX_SECTORS_CAP do 4 MiB transfery NVMe wymagają więcej wpisów, niż mieści się w ramce, co prowadzi do zapisu poza buforem, błędu page fault lub cichego uszkodzenia sąsiedniego wpisu puli DMA.

W jądrze Linux w sterowniku scsi pm8001 funkcja pm8001_request_msix() przy niepowodzeniu request_irq() używa indeksu i zamiast j w pętli wycofywania, co powoduje przekazanie błędnej pary IRQ/dev_id do free_irq(). Wcześniej zarejestrowane handlery pozostają zainstalowane.

W jądrze Linux występuje błąd use-after-free w mechanizmie futex podczas operacji requeue PI na jądrze z włączonym PREEMPT_RT. Wyścig między wczesnym wybudzeniem oczekującego wątku a operacją requeue PI może spowodować, że zadanie requeue wywoła rcuwait_wake_up() na strukturze futex_q, która została już zwolniona ze stosu wątku oczekującego. Problem został rozwiązany poprzez pominięcie rcuwait_wake_up() w przypadku stanu Q_REQUEUE_PI_LOCKED.

W jądrze Linux występuje błąd use-after-free w podsystemie ftrace. Pliki set_ftrace_filter i set_ftrace_notrace dla instancji trace_array używają wskaźnika ftrace_ops z inode->private, który może zostać zwolniony równolegle przez rmdir instancji, co prowadzi do odwołania do zwolnionej pamięci i awarii jądra.

W jądrze Linux w mechanizmie HID BPF występuje wyścig (race condition) między ścieżką niszczenia urządzenia (__hid_bpf_ops_destroy_device) a wyrejestrowaniem (hid_bpf_unreg), które mogą zwolnić to samo odwołanie do urządzenia dwukrotnie. Prowadzi to do zwolnienia struktury hid_device, podczas gdy funkcja hid_destroy_device() wciąż z niej korzysta, co skutkuje użyciem zwolnionej pamięci (use-after-free). Poprawka serializuje decyzję o zwolnieniu odwołania pod blokadą prog_list_lock.