Katalog podatności CVE

W jądrze Linux w sterowniku HID RMI wykryto podatność prowadzącą do odczytu i zapisu poza przydzielonym buforem (OOB). Sterownik alokuje bufory na podstawie rozmiaru raportów zadeklarowanych przez urządzenie, ale bez minimalnego limitu, a następnie zapisuje i odczytuje dane pod stałymi offsetami, co może prowadzić do naruszenia pamięci. Dodatkowo pętla odczytu może się zapętlić, gdy urządzenie odpowiada zerową długością, blokując wątek probe.

OpenMeter przed wersją v1.0.0-beta.228 zawiera podatność na wstrzyknięcie SQL w definicjach liczników opartych na ClickHouse. Zdalny nieuwierzytelniony atakujący może uzyskać dostęp do danych pomiarowych lub je modyfikować, a także spowodować DoS.

W jądrze Linux w funkcji wacom_intuos_pro2_bt_irq() sterownika HID wacom nie sprawdzano długości odbieranego raportu przed jego przetwarzaniem. Złośliwe lub wadliwe urządzenie Bluetooth podające się za tablet Wacom może wysłać zbyt krótki raport, co powoduje odczyt poza granicami bufora i wyciek danych do przestrzeni użytkownika przez evdev.

W jądrze Linux występuje wyścig (race condition) w podsystemie device-mapper podczas jednoczesnego ładowania i zwalniania tabeli. Funkcja dm_setup_md_queue przechodzi po liście &md->table_devices bez blokady, co przy równoległym dm_table_destroy może prowadzić do dostępu do nieprawidłowej pamięci.

W jądrze Linux występuje wyścig (race condition) w podsystemie device-mapper między operacjami resume i remove. Jeśli użytkownik jednocześnie wywoła ioctl resume i remove, urządzenie może zostać wznowione po zawieszeniu w __dm_destroy, przez co tabela jest niszczona bez wywołania metody postsuspend, co łamie oczekiwania celów dm i może prowadzić do use-after-free (np. w dm-integrity).

W jądrze Linux funkcja dma_direct_alloc_from_pool() zwraca adres CPU zamiast wskaźnika struct page *, co jest niezgodne z oczekiwaniami funkcji dma_direct_alloc_pages(). Błąd wynika ze zmiany wprowadzonej w commicie 5b138c534fda i może prowadzić do nieprawidłowego działania lub awarii.

W jądrze Linux sterownik dmaengine fsl-edma w zdarzeniach tracingu przechowuje wskaźnik do struct fsl_edma_engine i dereferencjonuje go przy wypisywaniu wpisu logu, gdy wskaźnik może już być nieprawidłowy. Iniekcja zdarzeń (np. przez plik inject) może wywołać awarię jądra.

W jądrze Linux funkcja dt_idle_pd_alloc() przydziela pamięć na pełną ścieżkę węzła, a następnie ustawia pd->name na wskaźnik do basename() tej ścieżki. Funkcja dt_idle_pd_free() zwalnia pd->name, który nie wskazuje już na początek alokacji, co prowadzi do nieprawidłowego zwolnienia pamięci.

W jądrze Linux funkcja __within_kprobe_blacklist() przegląda listę kprobe_blacklist bez trzymania kprobe_mutex. Gdy moduł jest usuwany, wpisy są natychmiast zwalniane, co może prowadzić do użycia po zwolnieniu (use-after-free) w równoczesnym wywołaniu within_kprobe_blacklist().

W jądrze Linux funkcja alloc_pages_bulk_weighted_interleave() używa flagi GFP_KERNEL podczas alokacji tablicy wag, nawet gdy jest wywoływana w kontekście atomowym/RCU. Może to prowadzić do wywołania funkcji usypiającej w nieprawidłowym kontekście i ostrzeżenia might_alloc().

W jądrze Linux funkcja memcg_reparent_objcgs() zakłada, że objcg folio jest zgodny z węzłem folio. Migracja folio między węzłami łamie to założenie, prowadząc do niespójności i potencjalnego użycia niewłaściwej blokady LRU, co może skutkować uszkodzeniem danych lub awarią.

W jądrze Linuxa w sterowniku ALSA harmony występuje problem z inicjalizacją zamków (locków) przed rejestracją przerwania. Rejestracja IRQ odbywa się przed inicjalizacją h->lock i h->mixer_lock, co może prowadzić do użycia niezainicjalizowanych zamków przez procedurę obsługi przerwań.

W jądrze Linux występuje wyścig (race condition) między nieatomowymi operacjami ALSA PCM (hw_params, hw_free, prepare) a atomową operacją trigger-start. Podczas gdy jeden wątek wykonuje operację nieatomową, inny wątek może uruchomić strumień PCM, co prowadzi do niespójności stanu i ostrzeżeń ODEBUG zgłaszanych przez syzkaller. Poprawka blokuje trigger-start w trakcie trwania operacji nieatomowych poprzez sprawdzenie wartości runtime->buffer_accessing.

W jądrze Linuxa w podsystemie nvme-fc występuje podwójne zwolnienie pamięci opcji fabrics, gdy funkcja nvme_add_ctrl() zakończy się niepowodzeniem. Błąd został wprowadzony przez commit 1a9e218195a5 i może być wywołany przy braku pamięci lub wstrzykiwaniu błędów, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcji nvme_tcp_handle_c2h_data() brakowało sprawdzenia kierunku danych dla PDU typu C2HData. Złośliwy lub błędnie działający kontroler NVMe/TCP mógł odpowiedzieć na polecenie zapisu ramką C2HData, co prowadziło do ostrzeżenia jądra (WARN_ON_ONCE) i zresetowania kontrolera. Nie dochodzi do uszkodzenia pamięci, ponieważ żadne dane nie są kopiowane.

W jądrze Linux występuje luka w obsłudze błędów w sterowniku NVMe. Funkcja nvme_update_ns_info_block() sprawdza tylko ujemne kody błędów, pomijając dodatnie kody statusu NVMe zwracane przez nvme_query_zone_info(). Gdy urządzenie, firmware lub cel NVMe-oF nie wykona polecenia Identify, konfiguracja jest kontynuowana z wyzerowanymi informacjami o strefach, co prowadzi do przesunięcia o ujemny wykładnik (shift-out-of-bounds) i dalszego przesyłania I/O do kolejki strefowej z zerowym rozmiarem strefy.

W jądrze Linuxa wykryto podatność w podsystemie nvmet-tcp. Serwer NVMe-over-TCP akceptuje niechciane pakiety H2CData bez sprawdzenia, czy wysłano żądanie R2T dla danego polecenia. Zdalny atakujący może to wykorzystać, powodując podwójne dodanie polecenia do listy odpowiedzi, co prowadzi do zawieszenia systemu (soft-lockup) lub paniki jądra (kernel BUG).

W jądrze Linux funkcje migrate_device_range() i migrate_device_pfns() czyszczą wpisy po złożonym folio bez ograniczenia ich liczby do rozmiaru tablicy npages. Jeśli złożone folio wykracza poza koniec zakresu podanego przez wywołującego, pętle powodują zapis poza granicami tablicy.

W jądrze Linux pole nfree w bloku informacyjnym BTT jest odczytywane z nośnika bez walidacji. Funkcje btt_freelist_init() i btt_rtt_init() rozmiarują tablice freelist[] i rtt[] na podstawie nfree, ale ścieżka I/O indeksuje je numerem lane ograniczonym przez num_lanes, a nie przez nfree. Arena z nfree mniejszym niż liczba lane powoduje zapis poza granicami alokacji.

W jądrze Linux w funkcji vmemmap_populate_compound_pages() (architektura powerpc) zmienna addr_pfn była zwiększana ręcznie w sposób niezgodny z postępem pętli po adresach vmemmap. Powodowało to błędne wyliczenie pfn_offset i podejmowanie decyzji o mapowaniu head/tail dla niewłaściwej pozycji strony złożonej.