Katalog podatności CVE

W jądrze Linux notyfikator MCE dla CXL był rejestrowany per urządzenie pamięci i przechowywany w struct cxl_memdev_state, mimo że potrzebuje tylko stanu regionu. Powodowało to problemy z czasem życia obiektów prowadzące do dereferencji NULL i use-after-free w procedurze obsługi MCE. Poprawka przenosi notyfikator do struct cxl_region i rejestruje go z cxl_region_probe() tylko dla regionów z rozszerzonym liniowym cache.

W jądrze Linux występuje podatność use-after-free w funkcji rfcomm_security_cfm() w podsystemie Bluetooth RFCOMM. Funkcja przegląda listę sesji i DLC bez blokady rfcomm_mutex, przez co wątek krfcommd może jednocześnie zwolnić tę samą sesję i jej DLC. Prowadzi to do odczytu zwolnionej pamięci (KASAN: slab-use-after-free).

W jądrze Linux występuje podatność use-after-free w ścieżce przekazywania pakietów multicast IPv4/IPv6. Gdy pakiet multicast nie jest dostarczany lokalnie, skb zachowuje przypisanie skb->sk ustawione przez bpf_sk_assign() lub wczesny demux UDP, mimo że referencja do gniazda nie jest gwarantowana. Po zniszczeniu gniazda późniejsze zwolnienie skb wywołuje sock_pfree() i odwołuje się do nieaktualnego wskaźnika skb->sk.

W jądrze Linux funkcja ip6_tnl_xmit() używa skb_realloc_headroom(), która zastępuje skb będący własnością wywołującego i zachowuje nowy skb tylko w zmiennej lokalnej. Jeśli po realokacji wystąpi błąd (np. odrzucenie enkapsulacji w tunelach collect_md lub błąd ip6_tnl_encap()), wywołujący nadal posiada wskaźnik do oryginalnego skb, co prowadzi do podwójnego zwolnienia skb.

W jądrze Linux funkcja ip6gre_tnl_link_config_route() nieprawidłowo dodaje długość nagłówka sprzętowego urządzenia niższego warstwy do dev->hard_header_len dla tuneli NBMA ip6gre. Powoduje to błędne obliczenie długości nagłówka sprzętowego tunelu, co może prowadzić do problemów z transmisją pakietów.

W jądrze Linux występuje podatność polegająca na braku sprawdzenia wartości NULL dla wskaźnika idev w funkcji ipv6_rpl_srh_rcv(). Gdy MTU interfejsu spadnie poniżej IPV6_MIN_MTU, addrconf_ifdown() czyści dev->ip6_ptr, a pakiet, który przeszedł wcześniejszą weryfikację, może dotrzeć do ipv6_rpl_srh_rcv() z już wyczyszczonym wskaźnikiem, powodując dereferencję NULL.

W jądrze Linux naprawiono lukę w mechanizmie Landlock dotyczącą tworzenia obiektów whiteout używanych przez OverlayFS. Tworzenie whiteout przez mknod(2) z S_IFCHR i makedev(0,0) oraz przez renameat2(2) z RENAME_WHITEOUT nie było prawidłowo kontrolowane przez uprawnienia Landlock, co pozwalało na obejście ograniczeń. Wprowadzono wymóg posiadania uprawnienia LANDLOCK_ACCESS_FS_MAKE_REG dla obu tych przypadków.

W jądrze Linux funkcja __nd_label_validate() w libnvdimm/labels zawiera przepełnienie liczb całkowitych. Pole nslot (u32) jest mnożone przez rozmiar etykiety w 32-bitach, co może spowodować zawinięcie i ominięcie sprawdzenia granic, prowadząc do zapisu poza buforem w nd_label_data_init().

W jądrze Linux w funkcji super_1_load() modułu md nie sprawdzano zakresu wartości sb->bblog_shift wczytywanej z superbloku na dysku. Wartość ta (0-255) jest używana jako przesunięcie bitowe przy obliczaniu sektora i liczby bloków, co przy nieprawidłowej wartości może doprowadzić do przepełnienia zmiennej 64-bitowej i błędu w funkcji badblocks_set() w block/badblocks.c.

W jądrze Linux funkcja mptcp_token_join_cookie_init_state() nie przywraca pola local_id z zapisanego wpisu cookie podczas odtwarzania gniazda żądania dla MP_JOIN obsługiwanego przez SYN cookies. Niezainicjalizowane pole jest następnie odczytywane przez subflow_ulp_clone() i zapisywane jako address-ID podłączonego podprzepływu, co może być wpływane przez zdalnego atakującego wysyłającego równoległe SYN-y MP_JOIN.

W jądrze Linux w sterowniku nouveau/gem występuje wyścig w ścieżce nie-uvmm między wyszukiwaniem vma w ioctl info a zamknięciem vma w ścieżce zamknięcia gem. Prowadzi to do użycia zwolnionej pamięci (use-after-free).

W jądrze Linux funkcja svc_pool_for_cpu() może wybrać pulę bez wątków, gdy usługa ma mniej wątków niż pul (np. nfsd w trybie pernode/percpu z mniejszą liczbą wątków niż węzłów NUMA). Transport zakolejkowany w takiej puli nigdy nie zostanie obsłużony, co prowadzi do zawieszenia połączenia.

W jądrze Linux funkcja sunrpc_destroy_cache_detail() anuluje globalny cache_cleaner tylko gdy cache_list jest pusty, co nie ma miejsca podczas sprzątania per-netns. Prowadzi to do use-after-free, gdy cache_clean() używa wskaźnika do zwolnionego cache_detail.

W jądrze Linux funkcja __svc_create() ignorowała wartości zwracane przez percpu_counter_init() przy inicjalizacji trzech liczników statystyk puli RPC. Gdy alokacja per-CPU pamięci nie powiedzie się (np. przy presji pamięciowej), usługa RPC (nfsd, lockd, callback NFS) jest uruchamiana z niepoprawnie zainicjalizowanymi licznikami, których wskaźnik per-CPU ma wartość NULL. Powoduje to cichą korupcję danych w obszarze per-CPU bieżącego procesora oraz zwracanie błędnych wartości w /proc/fs/nfsd/pool_stats.

W jądrze Linux funkcja svc_rqst_free() zwalnia rq_argp i rq_resp synchronicznie, podczas gdy struktura rqstp jest zwalniana przez kfree_rcu(). Powoduje to okno, w którym czytelnicy RCU mogą uzyskać dostęp do już zwolnionych pól, prowadząc do use-after-free.

W jądrze Linux naprawiono cztery powiązane błędy w dekoderze tablicy opcji gssx (SUNRPC). Błędy powodowały dereferencję NULL w funkcji wywołującej, wyciek licznika referencji obiektu group_info oraz potencjalne użycie zwolnionej pamięci (use-after-free).

W jądrze Linux występuje wyścig (race condition) w module sunrpc. Wpis /proc/net/rpc/use-gss-proxy jest publikowany przez proc_create_data() zanim mutex sn->gssp_lock zostanie zainicjalizowany przez mutex_init(), co pozwala zapisującemu procesowi użyć niezainicjalizowanego muteksa.

W jądrze Linux w funkcji svc_rdma_free() podsystemu svcrdma występuje use-after-free wynikający z kolejności operacji. Funkcja rpcrdma_rn_unregister() jest wywoływana po rdma_destroy_id(), przez co wpis sc_rn pozostaje w rd_xa urządzenia po zwolnieniu cm_id. Równoległe przejście ib_unregister_device może wywołać svc_rdma_xprt_done() na zwolnionym sc_cm_id. Dodatkowo brak sprawdzenia NULL przy dereferencji sc_cm_id.

W jądrze Linux w module svcrdma, gdy obsługa zdarzenia ADDR_CHANGE tworzy zastępczy identyfikator połączenia (cm_id) i alokacja się nie powiedzie, wskaźnik sc_cm_id nadal wskazuje na stary cm_id, który rdzeń CM ma zniszczyć. Późniejsze użycie sc_cm_id, np. w wywołaniu rdma_disconnect() z svc_rdma_detach(), prowadzi do use-after-free.

W jądrze Linux w module svcrdma pojedyncze długości segmentów Read są walidowane podczas dekodowania, ale nic nie powstrzymuje klienta przed wysłaniem wielu segmentów, których łączna długość przekracza budżet tablicy rq_pages. Gdy jeden segment dokładnie wypełnia tablicę stron, zabezpieczenie w svc_rdma_build_read_segment() jest pomijane, ponieważ len osiąga zero, a kolejny segment sięga do slotu sentinela NULL w rq_pages[rq_maxpages], powodując dereferencję NULL podczas mapowania DMA.