Katalog podatności CVE

W jądrze Linux występuje wyścig między częściowym niepowodzeniem drm_dev_register() a wywołaniem ioctl. Jeśli rejestracja minoru się nie powiedzie po zarejestrowaniu wcześniejszego minoru, przestrzeń użytkownika może wejść w sekcję krytyczną drm_dev_enter(), a ponieważ flaga unplugged nie została ustawiona, ioctl kontynuuje działanie podczas demontażu zasobów urządzenia.

W jądrze Linux w podsystemie DRM/AMD Display brakuje walidacji rozmiaru tablicy LUT dla per-plane degamma, co może prowadzić do dzielenia przez zero lub odczytu poza zakresem pamięci. Problem dotyczy właściwości AMD_PLANE_DEGAMMA_LUT, dostępnej tylko przy kompilacji z AMD_PRIVATE_COLOR.

W jądrze Linux w podsystemie DRM/AMDGPU VCN wykryto przepełnienie liczby całkowitej podczas sprawdzania liczby buforów w komunikacie dec_msg. Specjalnie spreparowana wartość może ominąć kontrolę granic i spowodować odczyt poza przydzielonym obszarem pamięci.

W jądrze Linux występuje błąd w module drm/ttm, gdzie po pomyślnym zakończeniu procesu przywracania (restore) w funkcji ttm_pool_restore_and_alloc() nie zwalniany jest wskaźnik tt->restore. Prowadzi to do tego, że kolejne operacje backup/restore widzą stan, jakby przywracanie już się zakończyło, podczas gdy uchwyty shmem pozostają zainstalowane w tt->pages, co powoduje ślad stosu i potencjalne uszkodzenie pamięci.

W jądrze Linux w podsystemie DRM/AMDGPU wykryto odczyt poza zakresem tablicy adev->isolation[] dla pierścieni nieprzypisanych do partycji. Indeks AMDGPU_XCP_NO_PARTITION (wartość ~0) powoduje dostęp poza tablicę, co wyzwala ostrzeżenia UBSAN.

W jądrze Linux w podsystemie DRM/AMDKFD brakuje flush TLB po ewakuacji/zawieszeniu kolejek MES, co może prowadzić do wyścigu i błędów stron podczas migracji pamięci SVM.

W jądrze Linux w sterowniku drm/amdkfd naprawiono błąd ścieżki obsługi błędów w funkcji svm_migrate_copy_to_ram. Gdy migracja strony z urządzenia do pamięci systemowej się nie powiedzie, sterownik używał adresu DMA zamiast adresu fizycznego strony (pfn) do zwolnienia i odblokowania stron, co jest niepoprawne przy włączonym IOMMU. Poprawka zwalnia strony na podstawie struct page* i wykonuje dma_unmap dla odpowiednich stron.

W jądrze Linux w sterowniku drm/amdkfd naprawiono przypadek, gdy zakres pamięci VM jest dziurą po stronie CPU podczas svm_migrate_copy_to_vram. Sterownik mimo to alokował strony urządzenia, a nie zainicjalizowana zmienna r mogła spowodować zwolnienie całego świeżo ustawionego VRAM. Poprawka inicjalizuje r i wywołuje ostatnią migrację tylko gdy j > 0.

W jądrze Linux w sterowniku drm/sysfb (ofdrm) naprawiono przepełnienie liczb całkowitych w obliczeniu rozmiaru bufora ramki fb_size = linebytes * height. Przy dużych wartościach (np. 46341 * 46341) mnożenie int * int powoduje niezdefiniowane zachowanie. Poprawka używa check_mul_overflow() do wykrywania i zapobiegania przepełnieniu.

W jądrze Linux naprawiono błąd w module drm/pagemap dotyczący funkcji drm_pagemap_migrate_populate_ram_pfn(). Podczas alokacji folio wyższego rzędu brakowało flagi __GFP_NOWARN i ścieżki awaryjnej, a w ścieżce błędu free_pages kolejność folio była obliczana po zwolnieniu referencji (put_page), co prowadziło do use-after-free. Dodatkowo poprawiono budowanie tablicy stron źródłowych, aby zapewnić pełne kopiowanie danych po degradacji do folio rzędu 0.

W jądrze Linux w sterowniku drm/nouveau/dmem naprawiono niedopasowany rozmiar DMA unmap dla dużych folio. Przy migracji THP mapowano bufory z page_size(), ale w dwóch miejscach (nouveau_dmem_migrate_to_ram i nouveau_dmem_migrate_copy_one) przekazywano PAGE_SIZE do dma_unmap_page(), co dla folio rzędu > 0 powodowało wyciek części mapowania IOMMU/IOVA. Poprawka używa zapisanego rozmiaru.

W jądrze Linux w sterowniku drm/nouveau funkcja nouveau_channel_del() najpierw niszczyła kontekst fence, a dopiero później anulowała subskrypcję zdarzenia channel-kill. Wąskie okno czasowe pozwalało na wywołanie nouveau_fence_context_kill() na już zwolnionym kontekście fence, co prowadziło do use-after-free. Poprawka anuluje subskrypcję przed zniszczeniem zależnych struktur.

W jądrze Linux w sterowniku drm/nouveau/uvmm naprawiono przedwczesne zwolnienie regionu przy nieudanej operacji OP_UNMAP_SPARSE. Dwie ścieżki błędów pozostawiały op->reg ustawione, co prowadziło do usunięcia i zwolnienia regionu, którego zadanie nie utworzyło, powodując use-after-free. Poprawka czyści op->reg na obu ścieżkach błędów.

W jądrze Linux w funkcji bpf_get_stackid wywołanie get_perf_callchain wymaga wyłączonego wywłaszczania, podobnie jak dostęp do zwróconego bufora wpisów śledzenia. Funkcja bpf_get_stackid_pe jest już wykonywana z wyłączonym wywłaszczaniem. Brak wyłączenia wywłaszczania w bpf_get_stackid może prowadzić do problemów ze spójnością danych.

W jądrze Linux rozwiązano podatność w podsystemie PCI dotyczącą systemów s390 korzystających z hipervisora na poziomie maszyny. Współdzielone przypisanie obiektu pci_slot do urządzeń wielofunkcyjnych powodowało, że reset funkcji przez sterownik hotplug resetował niewłaściwą funkcję oraz prowadził do wycieku pamięci. Dodano flagę umożliwiającą tworzenie slotów PCI dla poszczególnych funkcji zarządzanych przez hipervisor.

Brak weryfikacji podpisu pakietów aktualizacji oprogramowania w monitorach Wi-Fi VEO i VEO-XS przed wersją 01.48.001 pozwala atakującemu kontrolującemu dostarczanie aktualizacji na instalację nieautoryzowanego oprogramowania.

Kong API Gateway Enterprise zawiera podatność w weryfikacji podpisu JWT w komponentach MCP OAuth2 i DataKit. Nieprawidłowa walidacja algorytmu podpisu pozwala nieuwierzytelnionemu atakującemu na stworzenie sfałszowanego JWT, który jest akceptowany jako ważny.

W jądrze Linux funkcja ublk_ch_mmap() odrzuca żądania mmap z ustawionym VM_WRITE, ale nigdy nie czyści VM_MAYWRITE na wynikowym mapowaniu tylko do odczytu. Umożliwia to demonowi w przestrzeni użytkownika mmap bufora poleceń z PROT_READ, a następnie podniesienie go do PROT_WRITE przez mprotect(). Bufor poleceń zawiera wpisy struct ublksrv_io_desc zapisywane przez jądro, więc zapisywalne mapowanie pozwala procesowi bez uprawnień uszkodzić pola takie jak addr, op_flags, nr_sectors i start_sector.

Apache Airflow Apache Kafka provider w wersjach od 1.15.0 do 2.0.0 rozwiązuje łańcuchy ścieżek kropkowanych z pola extra połączenia Kafka na wywoływalne obiekty Pythona przez import_string bez listy dozwolonych i przekazuje je do klienta confluent-kafka. Wdrożenia z włączonym producentem zdarzeń Kafka budują klienta w procesie schedulera, więc użytkownik mogący edytować połączenia Airflow uzyskuje wykonanie dowolnego kodu w płaszczyźnie kontrolnej. Wdrożenia z Google Managed Kafka nie są podatne, ponieważ ta ścieżka nadpisuje oauth_cb.

Brak walidacji certyfikatu TLS podczas pobierania aktualizacji oprogramowania w monitorach Wi-Fi VEO i VEO-XS (w wersjach przed 01.48.001) umożliwia atakującemu przeprowadzenie ataku typu man-in-the-middle na kanale aktualizacji.