Katalog podatności CVE

W jądrze Linux funkcja ecryptfs_exorcise_daemon() usuwała zakolejkowane wiadomości z kończącego się demona bez trzymania blokady ecryptfs_msg_ctx_lists_mux, której wymaga ecryptfs_msg_ctx_alloc_to_free(). Powodowało to wyścig z innymi użytkownikami globalnej listy kontekstów wiadomości.

W jądrze Linux funkcja ecryptfs_parse_packet_set() obliczała rozmiar bufora pozostałych pakietów jako PAGE_SIZE - 8, mimo że dla nagłówków w wersji 1 zestaw pakietów zaczyna się później w nagłówku. Mogło to zawyżać dostępny bufor i prowadzić do błędów w parsowaniu.

W jądrze Linux w funkcji parse_tag_3_packet() podatność polega na braku ograniczenia wartości encrypted_key_size do rozmiaru ECRYPTFS_MAX_KEY_BYTES (64 bajtów). Gdy encrypted_key_size przekracza 64, funkcja decrypt_passphrase_encrypted_session_key() wykonuje dwa zapisy poza granicami bufora, co prowadzi do uszkodzenia pamięci struktur ecryptfs_auth_tok i ecryptfs_crypt_stat. Problem dotyczy wyłącznie szyfru AES-192 (kod 0x08), który ustawia crypt_stat->key_size = 24 niezależnie od encrypted_key_size.

W jądrze Linux funkcja ecryptfs_parse_tag_70_packet() odejmowała stałe pola metadanych od rozmiaru ciała pakietu, aby wyznaczyć rozmiar zaszyfrowanej nazwy pliku. Złośliwy pakiet o zbyt małym ciele mógł spowodować niedomiar w tym obliczeniu.

W jądrze Linux funkcja ecryptfs_send_message_locked() przenosiła kontekst wiadomości z listy wolnych na listę przydzielonych przed wysłaniem żądania do demona w przestrzeni użytkownika. Jeśli ecryptfs_send_miscdev() zawiodło, kontekst pozostawał na liście przydzielonych i nie mógł być ponownie użyty.

W jądrze Linux w systemie plików erofs zmienna z_erofs_gbuf_nrpages jest zwiększana dopiero po powiększeniu wszystkich buforów globalnych. Jeśli zmiana rozmiaru nie powiedzie się po powiększeniu niektórych buforów, ponowna próba odwiedza już powiększone bufory, co może prowadzić do błędów alokacji lub przepełnienia tablicy wskaźników.

W jądrze Linux funkcje ext2_setsize() i ext2_xattr_set2() zawierały konstrukcję, która dla i-węzłów IS_SYNC wywoływała sync_inode_metadata() zamiast oznaczenia i-węzła jako brudny. Ponieważ sync_inode_metadata() działa tylko jeśli i-węzeł jest już brudny, aktualizacje i-węzła mogły zostać utracone.

W jądrze Linux występuje błąd use-after-free w podsystemie fanotify dotyczący informacji o zakresie pliku. Wskaźnik do pozycji zakresu przechowywanej na stosie zadania wywołującego jest zapisywany w zdarzeniu uprawnień na stercie, a gdy sygnał przerwie zadanie wywołujące, ramka stosu jest zwalniana, podczas gdy czytelnik zdarzenia nadal odwołuje się do tego wskaźnika. Prowadzi to do odczytu nieaktualnej wartości ze stosu i skopiowania jej do przestrzeni użytkownika.

W jądrze Linux w sterowniku fbdev omapfb panel-dsi-cm mutex ddata->lock jest inicjalizowany po zarejestrowaniu wyświetlacza. Po opublikowaniu wyświetlacza przez omapdss_register_display() inny konsument może wywołać funkcję zwrotną dsicm, która próbuje użyć niezainicjalizowanego mutexa. Może to prowadzić do nieprawidłowego działania lub awarii.

W jądrze Linux w sterowniku fbdev uvesafb funkcja uvesafb_init() rejestruje funkcję zwrotną złącza v86d przed zarejestrowaniem sterownika platformowego. Jeśli platform_driver_register() zakończy się niepowodzeniem, funkcja zwraca błąd bez wyrejestrowania funkcji zwrotnej złącza, pozostawiając ją zarejestrowaną. Późniejsza ścieżka błędu urządzenia platformowego już wykonuje takie wyrejestrowanie.

W sterowniku forcedeth jądra Linux pętle w nv_suspend() i nv_resume() używają warunku 'i <= register_size/sizeof(u32)', co powoduje jedną iterację za dużo i dostęp poza granice tablicy saved_config_space. Na urządzeniach VER3 ostatnia iteracja sięga poza tablicę, wykonując odczyt MMIO oraz — przy wznowieniu — zapis MMIO jeden dword poza zmapowanym zakresem rejestrów. Błąd wykrywany jest przez UBSAN, a przy CONFIG_UBSAN_TRAP=y powoduje przerwanie działania jądra.

W jądrze Linux sterownik hsi omap_ssi_core używa syntetycznego urządzenia kontrolera HSI przydzielonego przez hsi_alloc_controller(), które nie przechodzi normalnej ścieżki inicjalizacji urządzenia OF/platform. W rezultacie osadzona struktura device nie ma domyślnie zainicjalizowanej maski DMA. Po ostatnich zmianach wzmacniających API DMA funkcje dma_map_sg() i pokrewne wymagają prawidłowej dma_mask, w przeciwnym razie sterownik może się zawiesić lub wywołać ostrzeżenia.

W jądrze Linux w podsystemie hugetlb funkcja __unmap_hugepage_range może dostosowywać rezerwacje od czasu zmiany df7a6d1f6405. Gdy folio jest zmapowane zarówno w rodzicu, jak i w dziecku, a rodzic najpierw odmapuje zakres, dostosowanie rezerwacji powoduje niedomiar licznika rezerwacji. Po odmapowaniu zakresu przez dziecko licznik zostaje przywrócony. Poprawka sprawdza mapcount przed dostosowaniem rezerwacji.

W jądrze Linux w funkcji ghes_handle_arm_hw_error() (ACPI APEI GHES) po pominięciu nagłówka cper_sec_proc_arm pozostała długość jest zmniejszana o sizeof(err) (rozmiar wskaźnika) zamiast sizeof(*err) (rozmiar struktury). Powoduje to przeszacowanie dostępnych bajtów i może doprowadzić do odczytu poza sekcją CPER, gdy err_info_num jest wystarczająco duże.

W jądrze Linux w funkcji query_capability() (ACPI pfr_update) kopiowane są cztery obiekty bufora ACPI zwracane przez firmware _DSM do pól u8[16] w strukturze pfru_update_cap_info za pomocą memcpy z długością dostarczoną przez firmware. Jeśli firmware zwróci buffer.length > 16, memcpy zapisuje poza docelową tablicą, powodując przepełnienie bufora na stosie.

W jądrze Linux występuje błąd w funkcji ata_format_dsm_trim_descr(), która buduje deskryptor polecenia ATA TRIM w buforze o rozmiarze 2048 bajtów. Na urządzeniach z logicznym rozmiarem sektora większym niż 2048 bajtów (np. 4Kn, sektor 4096 bajtów) funkcja nigdy nie zwraca oczekiwanego rozmiaru sektora, przez co każde polecenie TRIM jest odrzucane z błędem długości listy parametrów i generuje ostrzeżenia WARN_ON().

W jądrze Linux w sterowniku auxdisplay charlcd, przy włączonej opcji CONFIG_CHARLCD_BL_FLASH, funkcja charlcd_init() planuje bl_work przed wywołaniem charlcd_register(). Jeśli rejestracja się nie powiedzie, obiekt charlcd jest zwalniany, podczas gdy opóźniona praca nadal zawiera jego adres, co prowadzi do use-after-free.

W jądrze Linux nie walidowano wyrównania wektorów przestrzeni użytkownika podczas budowania bio z iov_iter. Sterowniki blokowe oparte na bio nie sprawdzały podziału przy niezgodności wyrównania, co mogło prowadzić do błędnego działania. Poprawka waliduje wektory względem dma_alignment urządzenia i odrzuca niezgodne z -EINVAL.

W jądrze Linux funkcja eir_get_service_data() w module Bluetooth EIR zawiera błąd odczytu poza buforem (OOB read). Nieprawidłowe przeliczanie eir_len przy pomijaniu pól powoduje, że wskaźnik wykracza poza bufor le_per_adv_data[] i odczytuje dane z reszty struktury hci_conn. Poprawka przelicza eir_len od końca bufora w każdej iteracji.

W jądrze Linux naprawiono błąd w kompilatorze BPF dla architektury x86 dotyczący rozwiązywania adresów per-CPU do rejestru rozszerzonego. Prefiks REX był budowany z użyciem REX.B zamiast REX.R, przez co bit wysokiego rejestru był gubiony, a adres per-CPU trafiał do niewłaściwego rejestru (np. R5 zamiast R8). Prowadziło to do wyłuskania niepoprawnego wskaźnika i paniki jądra.