Katalog podatności CVE

W sterowniku HID mcp2221 funkcja mcp_i2c_smbus_read() przechowywała wskaźnik bufora w mcp->rxbuf, ale nie czyściła go po zakończeniu transferu. Opóźniony lub fałszywy raport MCP2221_I2C_GET_DATA mógł zapisywać dane do zwolnionej pamięci.

W jądrze Linux sterownik HID intel-quickspi nie sprawdza rozmiaru raportu przed skopiowaniem go do bufora report_buf. Bufor jest alokowany na podstawie deskryptora urządzenia (max_report_len), ale długość raportu pochodzącego z ioctl hidraw nie jest ograniczana, co pozwala na przepełnienie bufora sterownika danymi kontrolowanymi przez atakującego.

W jądrze Linux funkcja quickspi_get_report() w sterowniku HID intel-quickspi kopiuje całą odpowiedź urządzenia do bufora wywołującego bez sprawdzenia jego długości. Odpowiedź większa niż rozmiar bufora wywołującego powoduje przepełnienie danymi kontrolowanymi przez urządzenie.

W jądrze Linux sterownik fs/ntfs3 nie waliduje tablicy dirty page table podczas odtwarzania dziennika. Podrobiony wpis DIR_PAGE_ENTRY z nieprawidłowym polem lcns_follow pozwala na wyjście poza wpis podczas konwersji v0->v1 i późniejszego odtwarzania.

W jądrze Linux funkcja ni_read_frame() w fs/ntfs3 ufa wartości zwracanej przez decompress_lznt(), która może być mniejsza niż rozmiar ramki. Niezapisane bajty pozostają w stronach vmapped i są zwracane do użytkownika, ujawniając niezainicjalizowaną pamięć jądra.

W jądrze Linux pętle copy_lcns i redo shorten w fs/ntfs3 indeksują page_lcns[] na podstawie liczby lcns_follow z rekordu dziennika, która nie jest sprawdzana względem docelowego wpisu. Spreparowany rekord może przepełnić page_lcns[] prawidłowego wpisu.

W jądrze Linux funkcja ecryptfs_exorcise_daemon() usuwała zakolejkowane wiadomości z kończącego się demona bez trzymania blokady ecryptfs_msg_ctx_lists_mux, której wymaga ecryptfs_msg_ctx_alloc_to_free(). Powodowało to wyścig z innymi użytkownikami globalnej listy kontekstów wiadomości.

W jądrze Linux funkcja ecryptfs_parse_packet_set() obliczała rozmiar bufora pozostałych pakietów jako PAGE_SIZE - 8, mimo że dla nagłówków w wersji 1 zestaw pakietów zaczyna się później w nagłówku. Mogło to zawyżać dostępny bufor i prowadzić do błędów w parsowaniu.

W jądrze Linux w funkcji parse_tag_3_packet() podatność polega na braku ograniczenia wartości encrypted_key_size do rozmiaru ECRYPTFS_MAX_KEY_BYTES (64 bajtów). Gdy encrypted_key_size przekracza 64, funkcja decrypt_passphrase_encrypted_session_key() wykonuje dwa zapisy poza granicami bufora, co prowadzi do uszkodzenia pamięci struktur ecryptfs_auth_tok i ecryptfs_crypt_stat. Problem dotyczy wyłącznie szyfru AES-192 (kod 0x08), który ustawia crypt_stat->key_size = 24 niezależnie od encrypted_key_size.

W jądrze Linux funkcja ecryptfs_parse_tag_70_packet() odejmowała stałe pola metadanych od rozmiaru ciała pakietu, aby wyznaczyć rozmiar zaszyfrowanej nazwy pliku. Złośliwy pakiet o zbyt małym ciele mógł spowodować niedomiar w tym obliczeniu.

W jądrze Linux funkcja ecryptfs_send_message_locked() przenosiła kontekst wiadomości z listy wolnych na listę przydzielonych przed wysłaniem żądania do demona w przestrzeni użytkownika. Jeśli ecryptfs_send_miscdev() zawiodło, kontekst pozostawał na liście przydzielonych i nie mógł być ponownie użyty.

W jądrze Linux w systemie plików erofs zmienna z_erofs_gbuf_nrpages jest zwiększana dopiero po powiększeniu wszystkich buforów globalnych. Jeśli zmiana rozmiaru nie powiedzie się po powiększeniu niektórych buforów, ponowna próba odwiedza już powiększone bufory, co może prowadzić do błędów alokacji lub przepełnienia tablicy wskaźników.

W jądrze Linux funkcje ext2_setsize() i ext2_xattr_set2() zawierały konstrukcję, która dla i-węzłów IS_SYNC wywoływała sync_inode_metadata() zamiast oznaczenia i-węzła jako brudny. Ponieważ sync_inode_metadata() działa tylko jeśli i-węzeł jest już brudny, aktualizacje i-węzła mogły zostać utracone.

W jądrze Linux występuje błąd use-after-free w podsystemie fanotify dotyczący informacji o zakresie pliku. Wskaźnik do pozycji zakresu przechowywanej na stosie zadania wywołującego jest zapisywany w zdarzeniu uprawnień na stercie, a gdy sygnał przerwie zadanie wywołujące, ramka stosu jest zwalniana, podczas gdy czytelnik zdarzenia nadal odwołuje się do tego wskaźnika. Prowadzi to do odczytu nieaktualnej wartości ze stosu i skopiowania jej do przestrzeni użytkownika.

W jądrze Linux w sterowniku fbdev omapfb panel-dsi-cm mutex ddata->lock jest inicjalizowany po zarejestrowaniu wyświetlacza. Po opublikowaniu wyświetlacza przez omapdss_register_display() inny konsument może wywołać funkcję zwrotną dsicm, która próbuje użyć niezainicjalizowanego mutexa. Może to prowadzić do nieprawidłowego działania lub awarii.

W jądrze Linux w sterowniku fbdev uvesafb funkcja uvesafb_init() rejestruje funkcję zwrotną złącza v86d przed zarejestrowaniem sterownika platformowego. Jeśli platform_driver_register() zakończy się niepowodzeniem, funkcja zwraca błąd bez wyrejestrowania funkcji zwrotnej złącza, pozostawiając ją zarejestrowaną. Późniejsza ścieżka błędu urządzenia platformowego już wykonuje takie wyrejestrowanie.

W sterowniku forcedeth jądra Linux pętle w nv_suspend() i nv_resume() używają warunku 'i <= register_size/sizeof(u32)', co powoduje jedną iterację za dużo i dostęp poza granice tablicy saved_config_space. Na urządzeniach VER3 ostatnia iteracja sięga poza tablicę, wykonując odczyt MMIO oraz — przy wznowieniu — zapis MMIO jeden dword poza zmapowanym zakresem rejestrów. Błąd wykrywany jest przez UBSAN, a przy CONFIG_UBSAN_TRAP=y powoduje przerwanie działania jądra.

W jądrze Linux sterownik hsi omap_ssi_core używa syntetycznego urządzenia kontrolera HSI przydzielonego przez hsi_alloc_controller(), które nie przechodzi normalnej ścieżki inicjalizacji urządzenia OF/platform. W rezultacie osadzona struktura device nie ma domyślnie zainicjalizowanej maski DMA. Po ostatnich zmianach wzmacniających API DMA funkcje dma_map_sg() i pokrewne wymagają prawidłowej dma_mask, w przeciwnym razie sterownik może się zawiesić lub wywołać ostrzeżenia.

W jądrze Linux w podsystemie hugetlb funkcja __unmap_hugepage_range może dostosowywać rezerwacje od czasu zmiany df7a6d1f6405. Gdy folio jest zmapowane zarówno w rodzicu, jak i w dziecku, a rodzic najpierw odmapuje zakres, dostosowanie rezerwacji powoduje niedomiar licznika rezerwacji. Po odmapowaniu zakresu przez dziecko licznik zostaje przywrócony. Poprawka sprawdza mapcount przed dostosowaniem rezerwacji.

W jądrze Linux w funkcji ghes_handle_arm_hw_error() (ACPI APEI GHES) po pominięciu nagłówka cper_sec_proc_arm pozostała długość jest zmniejszana o sizeof(err) (rozmiar wskaźnika) zamiast sizeof(*err) (rozmiar struktury). Powoduje to przeszacowanie dostępnych bajtów i może doprowadzić do odczytu poza sekcją CPER, gdy err_info_num jest wystarczająco duże.