Katalog podatności CVE

W jądrze Linux w KVM na arm64 unieważnianie TLB zakresowe (TLBI Range) może kodować duże zakresy w małej liczbie bitów, co pozwala gościowi łatwo wygenerować przepełnienie, jeśli hipervisor naiwnie doda zakres do adresu bazowego. Poprawka ogranicza zakres do limitu wynikającego z bitu adresowego określającego zakres VA, a dla unieważniania IPA dodatkowo ignoruje górny zakres.

W jądrze Linux w KVM na architekturze LoongArch zmienna vector[] zadeklarowana na stosie w funkcji dmsintc_inject_irq() jest czasami używana bez inicjalizacji. Poprawka inicjalizuje tę zmienną, aby uniknąć użycia niezainicjalizowanych danych.

W jądrze Linux w KVM na architekturze LoongArch funkcja kvm_arch_prepare_memory_region() oblicza flagi arch dla memslotu tylko przy KVM_MR_CREATE i KVM_MR_MOVE, a przy KVM_MR_FLAGS_ONLY zwraca wcześnie. Ponieważ ogólny kod alokuje wyzerowany memslot, po aktualizacji KVM_MR_FLAGS_ONLY flagi arch są zerowane, co może prowadzić do mapowania pamięci gościa na niewłaściwe strony hosta. Poprawka przenosi flagi arch ze starego memslotu dla KVM_MR_FLAGS_ONLY.

W jądrze Linux w KVM na architekturze LoongArch funkcja pch_msi_set_irq() przekazuje e->msi.data bezpośrednio do eiointc_set_irq() jako numer przerwania, bez sprawdzenia względem EIOINTC_IRQS. Dane MSI pochodzą z przestrzeni użytkownika (KVM_SET_GSI_ROUTING lub KVM_SIGNAL_MSI), a wartość >= 256 powoduje odczyt i zapis pamięci poza tablicami, umożliwiając korupcję pamięci jądra. Poprawka odrzuca dane MSI spoza przestrzeni przerwań EIOINTC.

W jądrze Linux w architekturze LoongArch w podsystemie BPF stwierdzono błąd w obliczaniu przesunięcia skoku w wywołaniach ogonowych. Stary sposób obliczania oparty na makrach mógł prowadzić do błędnych przesunięć i zawieszeń systemu podczas dodatkowych przebiegów JIT. Poprawka polega na bezpośrednim obliczaniu przesunięcia względem celu absolutnego oraz dodaniu zabezpieczenia dla przypadku, gdy obraz jest pusty.

W jądrze Linux dla architektury LoongArch stwierdzono przepełnienie tablicy acpi_package_ids[] w przypadku maszyn wirtualnych z wieloma gniazdami. Przy typowej konfiguracji jednego rdzenia na gniazdo, liczba gniazd może osiągnąć 256, co powoduje przepełnienie tablicy. Poprawka zwiększa rozmiar tablicy do maksymalnej wartości MAX_PACKAGES i KVM_MAX_VCPUS.

W jądrze Linux na architekturze LoongArch trampolina rethook zapisywała i przywracała rejestr bazowy percpu ($r21) w swojej ramce. Jeśli zadanie w trakcie działania handlera zostało przeniesione na inny CPU, przywracany był nieaktualny wskaźnik bazowy percpu, co powodowało błędne odwołania this_cpu_*() i uszkodzenie stanu schedulera oraz timera.

W jądrze Linux dla architektury LoongArch stwierdzono podatność związaną z obsługą przerwań (break 11) w kontekście Kprobes. Użytkownik może wywołać tę samą instrukcję break, co prowadzi do wywołania kprobe_singlestep_handler() bez aktywnego probe, powodując niedomiar licznika preempt (preempt count underflow). Może to skutkować błędnym przypisaniem gniazd do cgroup root, omijając polityki BPF.

W jądrze Linux w podsystemie CEC stwierdzono problem z opóźnionym zadaniem (delayed work) podczas przerywanego przesyłania. Jeśli oczekiwanie na transmisję zostanie przerwane sygnałem, cancel_delayed_work_sync() może zostać wywołane przed uaktywnieniem pracy przez wątek CEC, co prowadzi do zwolnienia pamięci z wciąż oczekującą pracą. Poprawka używa disable_delayed_work_sync(), aby anulować i wyłączyć pracę, zapobiegając ponownemu jej uaktywnieniu.

W jądrze Linux w podsystemie CEC dla urządzenia Extron DA HD 4K Plus stwierdzono brak walidacji danych wejściowych, co może prowadzić do przepełnienia bufora msg.msg[] w przypadku nieprawidłowo sformułowanych danych. Poprawka dodaje odpowiedni test poprawności.

W jądrze Linux w podsystemie CEC stwierdzono problem z serializacją dostarczania wiadomości do wyłącznego obserwatora (exclusive follower). Funkcja cec_receive_notify() odczytuje wskaźnik obserwatora bez blokady, co może prowadzić do wyścigu z trybami zmian lub zwolnieniem. Poprawka serializuje sprawdzanie braku obserwatora i dostarczanie wiadomości.

W jądrze Linux w sterowniku cx231xx (media) wykryto lukę polegającą na tym, że zmiana formatu lub standardu wideo (vidioc_s_fmt_vid_cap, vidioc_s_std) była blokowana tylko gdy zajęta była kolejka wideo, a nie kolejka VBI. Ponieważ kolejka VBI korzysta z tej samej geometrii (dev->width, dev->norm), aplikacja mogła powiększyć szerokość lub zmienić standard na PAL w trakcie działania strumienia VBI, co prowadziło do zapisu poza zaalokowanym buforem (heap out-of-bounds write) w funkcji cx231xx_do_vbi_copy().

W sterowniku media cx23885 jądra Linux funkcja netup_ci_exit() zwalnia netup_ci_state, podczas gdy jego element roboczy netup_read_ci_status() może być wciąż oczekujący lub uruchomiony w systemowej kolejce roboczej. Worker uzyskuje stan przez container_of() i go dereferencjonuje, więc nie może przetrwać zwolnienia stanu.

W sterowniku media go7007 jądra Linux funkcja go7007_snd_init() pobiera referencję v4l2_device dla strony ALSA, ale go7007_snd_remove() zwalnia ją natychmiast po wywołaniu snd_card_free_when_closed(). Jest to zbyt wcześnie, gdy proces użytkownika wciąż ma otwarty PCM przechwytywania, co może prowadzić do use-after-free.

W sterowniku media i2c ov02a10 jądra Linux funkcja ov02a10_check_hwcfg() wywołuje fwnode_handle_put(ep) natychmiast po alokacji i parsowaniu endpointu, ale następnie używa tego samego uchwytu 'ep' w fwnode_property_read_u32(), co prowadzi do use-after-free. Dodatkowo odczyt opcjonalnej właściwości 'ovti,mipi-clock-voltage' nadpisywał zmienną 'ret', powodując niepowodzenie sondowania.

W sterowniku media i2c ov7740 jądra Linux funkcja ov7740_remove() miała poważny błąd kolejności niszczenia: niszczyła mutex sterownika przed zwolnieniem handlera kontrolek V4L2, który zależy od tego mutexa, co prowadziło do paniki jądra (use-after-destroy). Dodatkowo sterownik wywoływał v4l2_ctrl_handler_free() i mutex_destroy() sekwencyjnie, a następnie ov7740_free_controls(), który wywołuje je ponownie, powodując podwójne zwolnienie.

W jądrze Linux w sterowniku media platform mtk-mdp3 funkcja mdp_probe() nieprawidłowo zarządza licznikiem referencji urządzenia SCP. Ścieżka awaryjna zwalnia referencję uzyskaną przez __get_pdev_by_id() zbyt wcześnie, a następnie scp_put() zwalnia ją ponownie, co prowadzi do podwójnego zwolnienia referencji.

W jądrze Linux w sterowniku media rc sunxi-cir po udanej rejestracji urządzenia rc_register_device() ścieżki błędów próbkowania nie wyrejestrowują urządzenia. Wywoływane jest jedynie rc_free_device(), co pozostawia zarejestrowane urządzenie rc i powiązane zasoby.

W jądrze Linux w dekoderze media rkvdec HEVC funkcja st_ref_pic_set_prediction() oblicza indeks RPS jako st_rps_idx - (delta_idx_minus1 + 1) na typach u8. Gdy delta_idx_minus1 + 1 przekracza bieżący indeks, odejmowanie się zawija i dostęp do tablicy calculated_rps_st_sets[ref_rps_idx] następuje daleko poza granicami.

W jądrze Linux w sterowniku rtl2832_sdr funkcja rtl2832_sdr_start_streaming() przy błędzie alokacji lub wysyłania URB-ów nie zwalniała wcześniej przydzielonych buforów DMA ani struktur URB. Prowadziło to do wycieku pamięci DMA oraz do odczytu poza tablicą urb_list[] przy kolejnej próbie uruchomienia strumieniowania, co mogło skutkować użyciem nieprawidłowych wskaźników.