Katalog podatności CVE

W jądrze Linux w systemie plików erofs zmienna z_erofs_gbuf_nrpages jest zwiększana dopiero po powiększeniu wszystkich buforów globalnych. Jeśli zmiana rozmiaru nie powiedzie się po powiększeniu niektórych buforów, ponowna próba odwiedza już powiększone bufory, co może prowadzić do błędów alokacji lub przepełnienia tablicy wskaźników.

W jądrze Linux funkcje ext2_setsize() i ext2_xattr_set2() zawierały konstrukcję, która dla i-węzłów IS_SYNC wywoływała sync_inode_metadata() zamiast oznaczenia i-węzła jako brudny. Ponieważ sync_inode_metadata() działa tylko jeśli i-węzeł jest już brudny, aktualizacje i-węzła mogły zostać utracone.

W jądrze Linux występuje błąd use-after-free w podsystemie fanotify dotyczący informacji o zakresie pliku. Wskaźnik do pozycji zakresu przechowywanej na stosie zadania wywołującego jest zapisywany w zdarzeniu uprawnień na stercie, a gdy sygnał przerwie zadanie wywołujące, ramka stosu jest zwalniana, podczas gdy czytelnik zdarzenia nadal odwołuje się do tego wskaźnika. Prowadzi to do odczytu nieaktualnej wartości ze stosu i skopiowania jej do przestrzeni użytkownika.

W jądrze Linux w sterowniku fbdev omapfb panel-dsi-cm mutex ddata->lock jest inicjalizowany po zarejestrowaniu wyświetlacza. Po opublikowaniu wyświetlacza przez omapdss_register_display() inny konsument może wywołać funkcję zwrotną dsicm, która próbuje użyć niezainicjalizowanego mutexa. Może to prowadzić do nieprawidłowego działania lub awarii.

W jądrze Linux w sterowniku fbdev uvesafb funkcja uvesafb_init() rejestruje funkcję zwrotną złącza v86d przed zarejestrowaniem sterownika platformowego. Jeśli platform_driver_register() zakończy się niepowodzeniem, funkcja zwraca błąd bez wyrejestrowania funkcji zwrotnej złącza, pozostawiając ją zarejestrowaną. Późniejsza ścieżka błędu urządzenia platformowego już wykonuje takie wyrejestrowanie.

W sterowniku forcedeth jądra Linux pętle w nv_suspend() i nv_resume() używają warunku 'i <= register_size/sizeof(u32)', co powoduje jedną iterację za dużo i dostęp poza granice tablicy saved_config_space. Na urządzeniach VER3 ostatnia iteracja sięga poza tablicę, wykonując odczyt MMIO oraz — przy wznowieniu — zapis MMIO jeden dword poza zmapowanym zakresem rejestrów. Błąd wykrywany jest przez UBSAN, a przy CONFIG_UBSAN_TRAP=y powoduje przerwanie działania jądra.

W jądrze Linux sterownik hsi omap_ssi_core używa syntetycznego urządzenia kontrolera HSI przydzielonego przez hsi_alloc_controller(), które nie przechodzi normalnej ścieżki inicjalizacji urządzenia OF/platform. W rezultacie osadzona struktura device nie ma domyślnie zainicjalizowanej maski DMA. Po ostatnich zmianach wzmacniających API DMA funkcje dma_map_sg() i pokrewne wymagają prawidłowej dma_mask, w przeciwnym razie sterownik może się zawiesić lub wywołać ostrzeżenia.

W jądrze Linux w podsystemie hugetlb funkcja __unmap_hugepage_range może dostosowywać rezerwacje od czasu zmiany df7a6d1f6405. Gdy folio jest zmapowane zarówno w rodzicu, jak i w dziecku, a rodzic najpierw odmapuje zakres, dostosowanie rezerwacji powoduje niedomiar licznika rezerwacji. Po odmapowaniu zakresu przez dziecko licznik zostaje przywrócony. Poprawka sprawdza mapcount przed dostosowaniem rezerwacji.

W jądrze Linux w funkcji ghes_handle_arm_hw_error() (ACPI APEI GHES) po pominięciu nagłówka cper_sec_proc_arm pozostała długość jest zmniejszana o sizeof(err) (rozmiar wskaźnika) zamiast sizeof(*err) (rozmiar struktury). Powoduje to przeszacowanie dostępnych bajtów i może doprowadzić do odczytu poza sekcją CPER, gdy err_info_num jest wystarczająco duże.

W jądrze Linux w funkcji query_capability() (ACPI pfr_update) kopiowane są cztery obiekty bufora ACPI zwracane przez firmware _DSM do pól u8[16] w strukturze pfru_update_cap_info za pomocą memcpy z długością dostarczoną przez firmware. Jeśli firmware zwróci buffer.length > 16, memcpy zapisuje poza docelową tablicą, powodując przepełnienie bufora na stosie.

W jądrze Linux występuje błąd w funkcji ata_format_dsm_trim_descr(), która buduje deskryptor polecenia ATA TRIM w buforze o rozmiarze 2048 bajtów. Na urządzeniach z logicznym rozmiarem sektora większym niż 2048 bajtów (np. 4Kn, sektor 4096 bajtów) funkcja nigdy nie zwraca oczekiwanego rozmiaru sektora, przez co każde polecenie TRIM jest odrzucane z błędem długości listy parametrów i generuje ostrzeżenia WARN_ON().

W jądrze Linux w sterowniku auxdisplay charlcd, przy włączonej opcji CONFIG_CHARLCD_BL_FLASH, funkcja charlcd_init() planuje bl_work przed wywołaniem charlcd_register(). Jeśli rejestracja się nie powiedzie, obiekt charlcd jest zwalniany, podczas gdy opóźniona praca nadal zawiera jego adres, co prowadzi do use-after-free.

W jądrze Linux nie walidowano wyrównania wektorów przestrzeni użytkownika podczas budowania bio z iov_iter. Sterowniki blokowe oparte na bio nie sprawdzały podziału przy niezgodności wyrównania, co mogło prowadzić do błędnego działania. Poprawka waliduje wektory względem dma_alignment urządzenia i odrzuca niezgodne z -EINVAL.

W jądrze Linux funkcja eir_get_service_data() w module Bluetooth EIR zawiera błąd odczytu poza buforem (OOB read). Nieprawidłowe przeliczanie eir_len przy pomijaniu pól powoduje, że wskaźnik wykracza poza bufor le_per_adv_data[] i odczytuje dane z reszty struktury hci_conn. Poprawka przelicza eir_len od końca bufora w każdej iteracji.

W jądrze Linux naprawiono błąd w kompilatorze BPF dla architektury x86 dotyczący rozwiązywania adresów per-CPU do rejestru rozszerzonego. Prefiks REX był budowany z użyciem REX.B zamiast REX.R, przez co bit wysokiego rejestru był gubiony, a adres per-CPU trafiał do niewłaściwego rejestru (np. R5 zamiast R8). Prowadziło to do wyłuskania niepoprawnego wskaźnika i paniki jądra.

W jądrze Linux naprawiono podatność w funkcji __bpf_get_stack. Bufor perf_callchain_entry zwracany przez get_perf_callchain() jest współdzielony per-CPU i nie jest chroniony przed ponownym użyciem po zwróceniu, więc program BPF z możliwością wywłaszczenia może zostać przełączony między pobraniem bufora a kopiowaniem, a inny wątek na tym samym CPU nadpisze trace->nr większą wartością. Powoduje to wyliczenie zbyt dużego copy_len i zapis poza zakresem bufora w memcpy() oraz w ścieżce build_id.

W jądrze Linux naprawiono podatność w mechanizmie BPF dotyczącą obliczania rozmiaru i indeksowania filtra Bloom na jądrach 32-bitowych. Gdy bitmapa osiąga przypadek fallback U32_MAX, błąd arytmetyczny powoduje zbyt małą alokację pamięci, a ujemne przesunięcia bitów pozwalają na zapis poza przydzielonym obszarem. Umożliwia to lokalne podniesienie uprawnień na 32-bitowym jądrze x86 przez proces z uprawnieniem CAP_BPF.

W jądrze Linux funkcja array_block_check() w module dm-array walidowała jedynie numer bloku i sumę kontrolną, nie sprawdzając pól strukturalnych nagłówka bloku. Złośliwe metadane z liczbą wpisów większą niż pojemność bloku powodują wyjście poza bufor dm-bufio podczas odczytu, co jest wywoływane przy aktywacji pamięci podręcznej dm-cache.

W jądrze Linux funkcja array_block_check() w dm-array porównuje nagłówek tylko sam ze sobą, więc blok o value_size 4 i max_entries 1018 przechodzi walidację. Wskazanie korzenia mapowań dm-cache na blok podpowiedzi powoduje, że element_at() operuje krokiem 8 bajtów na 4-bajtowych wpisach i wychodzi poza 4096-bajtowy blok.

W jądrze Linux funkcja fwctl_cmd_rpc() kopiuje cmd->in_len bajtów do bufora, ale wywołanie zwrotne CXL cxlctl_fw_rpc() ignoruje in_len i nie sprawdza kontrolowanego przez użytkownika op_size. Przy małym in_len i dużym op_size pierwszy memcpy() czyta poza bufor, a dane są wysyłane do urządzenia; zbyt duży op_size może doprowadzić do oops jądra.