Katalog podatności CVE

W jądrze Linux w funkcji nfsd4_copy() występuje wyciek pamięci nfsd_file, gdy konfiguracja kopiowania między serwerami (inter-server COPY) zakończy się niepowodzeniem. Funkcja zwraca błąd bezpośrednio, pomijając etykietę out:, która zwolniłaby referencję do pliku. Każda nieudana operacja powoduje wyciek jednego obiektu nfsd_file, blokując plik, i-węzeł, dentry i punkt montowania.

W jądrze Linux w funkcji nfsd4_setattr() występuje dereferencja NULL, gdy żądanie SETATTR zawiera atrybuty czasu delegacji (FATTR4_WORD2_TIME_DELEG_ACCESS lub FATTR4_WORD2_TIME_DELEG_MODIFY) i klient poda specjalny stateid (wszystkie bajty 0xFF). Wskaźnik st pozostaje NULL, a następnie jest dereferencjonowany, powodując oops jądra. Podatność jest zdalnie wyzwalana przez dowolnego klienta NFSv4 bez uwierzytelnienia.

W jądrze Linux w funkcji nfsd_direct_write() występuje błąd wykrywania częściowego zapisu. Po wywołaniu vfs_iocb_iter_write() pole iter.count zawiera pozostałą liczbę bajtów, a nie oryginalną długość, więc warunek przerwania pętli jest nieprawidłowy. Krótkie zapisy kończące się między 50% a 99% segmentu nie są wykrywane, co prowadzi do zapisu kolejnego segmentu pod niewłaściwym przesunięciem i błędnego raportowania liczby bajtów do klienta NFS.

W jądrze Linux naprawiono podatność w module nfsd, gdzie funkcja nfsd_open_local_fh() odwoływała się do wskaźnika nfsd_file bez utrzymywania blokady RCU. Obiekt mógł zostać zwolniony i ponownie przydzielony przez inny wątek, co prowadziło do użycia zwolnionej pamięci (use-after-free). Poprawka polega na objęciu operacji cmpxchg i pobrania referencji sekcją rcu_read_lock().

W jądrze Linux w init_nfsd() funkcja nfsd_debugfs_init() jest wywoływana przed nfsd4_init_slabs(). Jeśli alokacja slab się nie powiedzie, wczesny return pomija nfsd_debugfs_exit(), pozostawiając osierocone pliki debugfs ze wskaźnikami fops do zwolnionej pamięci modułu.

W jądrze Linux w module nfsd występuje wyścig (race condition) między mechanizmami shrinker, GC oraz fsnotify/lease a zamykaniem sieci per-net w filecache. Plik nfsd_file może zostać usunięty z rhashtable i przeniesiony na listę dispose, zanim nfsd_file_cache_shutdown_net() zdąży go przetworzyć, co prowadzi do wycieku pliku i powiązanego stanu. Poprawka rozszerza zakres blokady nfsd_gc_lock na wszystkie trzy ścieżki wywołujące nfsd_file_dispose_list_delayed() oraz dodaje barierę spinlock w funkcji zamykającej sieć.

W jądrze Linux w dekoderze atrybutów NFSv2 (svcxdr_decode_sattr) wartość useconds z sieci jest mnożona przez 1000 i zapisywana do pola tv_nsec. Na architekturach 32-bitowych (ILP32) zbyt duża wartość useconds, np. 4294968, powoduje przepełnienie i zapisanie błędnej wartości tv_nsec (np. 704), która przechodzi późniejszą weryfikację zakresu. Podatność dotyczy operacji SETATTR i CREATE w NFSv2 i została naprawiona poprzez odrzucanie wartości useconds większych niż 1000000 już na etapie dekodowania.

W jądrze Linux w module nfsd występuje wyciek pamięci (referencji) obiektów posix_acl. Gdy klient NFS wysyła nieprawidłową operację OPEN zawierającą atrybuty POSIX ACL, funkcja nfsd4_open() nie jest wywoływana, przez co zaalokowane struktury posix_acl nie są zwalniane. Problem dotyczy również ścieżki odtwarzania (replay) operacji v4.0.

W jądrze Linux w module nfsd wykryto podatność use-after-free związaną ze stanami copy-notify (stateid). Funkcja _free_cpntf_state_locked() odłączała wpis z listy dopiero po osiągnięciu zera licznika referencji, więc ścieżki unieważniania (opróżnianie listy nadrzędnego stid, OFFLOAD_CANCEL oraz wygaśnięcie laundromat) mogły zwolnić referencję bez usunięcia wpisu, pozostawiając go widocznym dla równoczesnego czytelnika. Naprawa wprowadza revoke_cpntf_state_locked(), która najpierw usuwa wpis z IDR i sc_cp_list, a finalne zwolnienie odkłada do momentu zwolnienia referencji przez posiadacza.

W jądrze Linux w module libceph występuje podatność polegająca na braku walidacji map extentów OSD przed przesunięciem kursora. Funkcja osd_sparse_read() nie sprawdza, czy każdy extent jest monotoniczny i mieści się w zakresie żądania, co pozwala złośliwemu OSD na przesunięcie kursora poza bufor i wywołanie BUG_ON. Prowadzi to do awarii klienta Ceph.

W jądrze Linux naprawiono podatność w funkcji ceph_parse_deleg_inos() w kliencie Ceph. Złośliwy lub przejęty serwer MDS mógł przesłać odpowiedź z ogromną lub powtarzaną liczbą delegowanych numerów inode, co powodowało nieograniczone pętle i nadmierny wzrost struktury xarray w sesji klienta. Wprowadzono limit liczby delegowanych inode na sesję oraz limit łącznej długości interwału w pojedynczej odpowiedzi.

W jądrze Linux w podsystemie Ceph funkcja ceph_cap_reclaim_work() wielokrotnie się przekolejkowała, gdy ceph_trim_dentries() zwracało -EAGAIN, co prowadziło do zapętlenia zużywającego CPU bez postępu. Problem pogłębiało odświeżanie ważnych dzierżaw katalogów (TOUCH) zamiast ich pozostawiania (KEEP), co uniemożliwiało naturalne zakończenie skanowania. Poprawka zmienia logikę zwalniania dzierżaw i warunki zwracania -EAGAIN.

W jądrze Linux naprawiono wyciek referencji do i-węzła w systemie plików Ceph podczas przerywania zapisu przy odmontowywaniu. Gdy funkcja ceph_inc_osd_stopping_blocker() zawiedzie w trakcie odmontowywania, żądanie zapisu jest przerywane, a pobrana referencja bufora zapisu (i_wrbuffer_ref) nie jest zwalniana, przez co i-węzeł nie może zostać usunięty i pojawia się błąd jądra "Busy inodes after unmount of ceph".

W jądrze Linux w funkcji cifs_file_set_size() występuje use-after-free. Gdy gałąź else znajdzie uchwyt pliku do zapisu przez find_writable_file(), pożycza tcon i server z uchwytu, próbuje wykonać RPC set_file_size(), a następnie zwalnia uchwyt przez cifsFileInfo_put(). Jeśli set_file_size() zawiedzie, wykonanie przechodzi do ścieżki opartej na ścieżce, która ponownie używa pożyczonego tcon i server, mimo że cifsFileInfo_put() mógł zwolnić tcon. Poprawka ustawia tcon = NULL po cifsFileInfo_put(), aby wymusić bezpieczną ścieżkę cifs_sb_tlink().

W kliencie CIFS jądra Linux funkcja cifs_remap_file_range() przy wywołaniu z len == 0 (klonowanie do końca pliku) oblicza efektywną długość jako różnicę i_size - off. Gdy off jest większe niż rozmiar pliku, wynik jest ujemny, co psuje pole ByteCount w żądaniu FSCTL_DUPLICATE_EXTENTS_TO_FILE i odwraca zakres w filemap_write_and_wait_range(). Istniejąca kontrola off >= i_size wykonywana jest dopiero po wysłaniu ioctl.

W kliencie CIFS jądra Linux funkcja cifs_do_truncate() wywoływana z cifs_open() przy O_TRUNC nie może użyć cifs_resize_file_locked() z powodu braku blokady i_rwsem, więc nie wykonuje prawidłowej zmiany rozmiaru cookie fscache. Poprawka dodaje wywołanie cifs_invalidate_cache() po cifs_setsize(), które unieważnia pamięć podręczną bez potrzeby trzymania i_rwsem.

W kliencie SMB (cifs.ko) jądra Linux występuje luka, w której zapis do pliku z ustawionym bitem setuid/setgid nie usuwał tego bitu na serwerze przy montowaniu z opcjami cifsacl, modefromsid lub rozszerzeniami POSIX/Unix. VFS zgłaszał żądanie wyczyszczenia bitu, ale sterownik cifs bezwarunkowo pomijał zmianę trybu (ATTR_MODE), przez co wyczyszczony tryb nie był przesyłany do serwera.

W kliencie SMB jądra Linux funkcja reparse_buf_ptr() odczytuje pole ReparseDataLength z bufora przed sprawdzeniem, czy odebrane dane obejmują pełny nagłówek struktury. Gdy serwer zwróci OutputCount < 6, odczyt pod offsetem 4-5 wykracza poza koniec odebranych danych.

W sterowniku HID sensor custom funkcja hid_sensor_custom_add_attributes() nie usuwała wcześniej utworzonych grup sysfs, gdy kolejne wywołanie sysfs_create_group() zakończyło się błędem. Prowadziło to do pozostawienia nieprawidłowych struktur i potencjalnego dostępu do zwolnionej pamięci.

W jądrze Linux w funkcji universal_pidff_probe() sterownika HID universal-pidff urządzenie jest uruchamiane przez hid_hw_start(), ale w przypadku niepowodzenia inicjalizacji force-feedback błąd jest zwracany bez zatrzymania urządzenia. Powoduje to, że zarejestrowane urządzenie hidraw pozostaje aktywne mimo zwolnienia sterownika, co prowadzi do zapisu do zwolnionej pamięci (use-after-free) przy próbie otwarcia /dev/hidrawX.