Katalog podatności CVE

W jądrze Linux w funkcji super_1_load() modułu md nie sprawdzano zakresu wartości sb->bblog_shift wczytywanej z superbloku na dysku. Wartość ta (0-255) jest używana jako przesunięcie bitowe przy obliczaniu sektora i liczby bloków, co przy nieprawidłowej wartości może doprowadzić do przepełnienia zmiennej 64-bitowej i błędu w funkcji badblocks_set() w block/badblocks.c.

W jądrze Linux funkcja mptcp_token_join_cookie_init_state() nie przywraca pola local_id z zapisanego wpisu cookie podczas odtwarzania gniazda żądania dla MP_JOIN obsługiwanego przez SYN cookies. Niezainicjalizowane pole jest następnie odczytywane przez subflow_ulp_clone() i zapisywane jako address-ID podłączonego podprzepływu, co może być wpływane przez zdalnego atakującego wysyłającego równoległe SYN-y MP_JOIN.

W jądrze Linux w sterowniku nouveau/gem występuje wyścig w ścieżce nie-uvmm między wyszukiwaniem vma w ioctl info a zamknięciem vma w ścieżce zamknięcia gem. Prowadzi to do użycia zwolnionej pamięci (use-after-free).

W jądrze Linux funkcja svc_pool_for_cpu() może wybrać pulę bez wątków, gdy usługa ma mniej wątków niż pul (np. nfsd w trybie pernode/percpu z mniejszą liczbą wątków niż węzłów NUMA). Transport zakolejkowany w takiej puli nigdy nie zostanie obsłużony, co prowadzi do zawieszenia połączenia.

W jądrze Linux funkcja sunrpc_destroy_cache_detail() anuluje globalny cache_cleaner tylko gdy cache_list jest pusty, co nie ma miejsca podczas sprzątania per-netns. Prowadzi to do use-after-free, gdy cache_clean() używa wskaźnika do zwolnionego cache_detail.

W jądrze Linux funkcja __svc_create() ignorowała wartości zwracane przez percpu_counter_init() przy inicjalizacji trzech liczników statystyk puli RPC. Gdy alokacja per-CPU pamięci nie powiedzie się (np. przy presji pamięciowej), usługa RPC (nfsd, lockd, callback NFS) jest uruchamiana z niepoprawnie zainicjalizowanymi licznikami, których wskaźnik per-CPU ma wartość NULL. Powoduje to cichą korupcję danych w obszarze per-CPU bieżącego procesora oraz zwracanie błędnych wartości w /proc/fs/nfsd/pool_stats.

W jądrze Linux funkcja svc_rqst_free() zwalnia rq_argp i rq_resp synchronicznie, podczas gdy struktura rqstp jest zwalniana przez kfree_rcu(). Powoduje to okno, w którym czytelnicy RCU mogą uzyskać dostęp do już zwolnionych pól, prowadząc do use-after-free.

W jądrze Linux naprawiono cztery powiązane błędy w dekoderze tablicy opcji gssx (SUNRPC). Błędy powodowały dereferencję NULL w funkcji wywołującej, wyciek licznika referencji obiektu group_info oraz potencjalne użycie zwolnionej pamięci (use-after-free).

W jądrze Linux występuje wyścig (race condition) w module sunrpc. Wpis /proc/net/rpc/use-gss-proxy jest publikowany przez proc_create_data() zanim mutex sn->gssp_lock zostanie zainicjalizowany przez mutex_init(), co pozwala zapisującemu procesowi użyć niezainicjalizowanego muteksa.

W jądrze Linux w funkcji svc_rdma_free() podsystemu svcrdma występuje use-after-free wynikający z kolejności operacji. Funkcja rpcrdma_rn_unregister() jest wywoływana po rdma_destroy_id(), przez co wpis sc_rn pozostaje w rd_xa urządzenia po zwolnieniu cm_id. Równoległe przejście ib_unregister_device może wywołać svc_rdma_xprt_done() na zwolnionym sc_cm_id. Dodatkowo brak sprawdzenia NULL przy dereferencji sc_cm_id.

W jądrze Linux w module svcrdma, gdy obsługa zdarzenia ADDR_CHANGE tworzy zastępczy identyfikator połączenia (cm_id) i alokacja się nie powiedzie, wskaźnik sc_cm_id nadal wskazuje na stary cm_id, który rdzeń CM ma zniszczyć. Późniejsze użycie sc_cm_id, np. w wywołaniu rdma_disconnect() z svc_rdma_detach(), prowadzi do use-after-free.

W jądrze Linux w module svcrdma pojedyncze długości segmentów Read są walidowane podczas dekodowania, ale nic nie powstrzymuje klienta przed wysłaniem wielu segmentów, których łączna długość przekracza budżet tablicy rq_pages. Gdy jeden segment dokładnie wypełnia tablicę stron, zabezpieczenie w svc_rdma_build_read_segment() jest pomijane, ponieważ len osiąga zero, a kolejny segment sięga do slotu sentinela NULL w rq_pages[rq_maxpages], powodując dereferencję NULL podczas mapowania DMA.

W jądrze Linux w sterowniku wifi ath6kl funkcja ath6kl_cfg80211_connect_event() odejmuje stałe przesunięcia IE od długości assoc_req_len i assoc_resp_len (typu u8) bez sprawdzenia dolnej granicy. Gdy długość jest mniejsza niż przesunięcie, wartość u8 zawija się do około 250, a cfg80211_connect_result()/cfg80211_roamed() traktują ją jako długość IE i kopiują tyle bajtów z małego bufora assoc_info do przestrzeni użytkownika przez nl80211, ujawniając sąsiednią pamięć slab.

W jądrze Linux w sterowniku wifi mt76 (mt7925) oczekująca praca mlo_pm_work nie jest anulowana w ścieżkach resetu, zawieszenia i wyrejestrowania urządzenia. Jeśli urządzenie zostanie zresetowane, zawieszone lub wyrejestrowane w tym oknie, praca może nadal działać i uzyskiwać dostęp do już zwolnionych danych vif/bss lub wysyłać polecenia MCU, gdy firmware jest niedostępny.

W jądrze Linux w sterowniku media staging/ipu7 funkcja isys_register_devices() rejestruje asynchroniczny notifier V4L2, ale ścieżka błędu probe (isys_probe()) wywołuje tylko isys_unregister_devices(), która nie wyrejestrowuje ani nie czyści notifiera. W rezultacie notifier pozostaje na globalnej liście notifier_list, podczas gdy struktura ipu7_isys jest zwalniana przez devres, co prowadzi do uszkodzenia listy i use-after-free przy następnym przejściu po liście.

W jądrze Linux w schedulerze (sched/core) funkcja pick_next_task() core scheduling przestaje działać poprawnie, gdy implementacja ->pick_task() może zwolnić blokadę rq. Stan wyboru ustalony na wejściu jest ważny tylko przy ciągłym trzymaniu blokady; gdy pick może ją zwolnić, przeplatający się wybór może unieważnić ten stan, prowadząc do błędnego zatwierdzenia wyboru lub zaburzenia rozliczania forceidle.

W jądrze Linux w schedulerze (sched/core) funkcja pick_next_task() core scheduling działa na wszystkich bliźniaczych rq pod jedną akwizycją wspólnej blokady core-wide. Gdy ->pick_task() zwalnia blokadę rq, każdy bliźniaczy __lock staje się chwilowo wolny, pozwalając __sched_core_flip(false) zakończyć się w trakcie wyboru i przepiąć rq_lockp() pod nim. Wybór wznawia się na rozdzielonych blokadach, dotykając stanu bliźniaczego, którego już nie chroni, a __schedule() ostatecznie zwalnia blokadę, która nigdy nie została wzięta, jednocześnie wyciekając tę, która została wzięta.

W jądrze Linux w komponencie KVM dla architektury RISC-V występuje przepełnienie rozmiaru tablicy informacji o zdarzeniach PMU. Wartość num_events kontrolowana przez gościa jest mnożona przez sizeof(*einfo) i zapisywana w 32-bitowej zmiennej, co przy dużych wartościach powoduje obcięcie rozmiaru i alokację zbyt małego bufora. Następnie pętla iteruje po oryginalnej liczbie zdarzeń, co prowadzi do odczytów i zapisów poza granicami zaalokowanej pamięci.

W jądrze Linux sterownik qede (karta sieciowa QLogic FastLinQ) zawiera błąd, w którym pod presją pamięciową dochodzi do dereferencji wskaźnika NULL podczas przetwarzania fragmentów kontynuacji TPA. Z powodu braku przypisania tpa_info->buffer.data w qede_tpa_start() do pierścienia Rx trafia „widmowy" bufor z prawidłowym mapowaniem DMA, ale wskaźnikiem danych NULL, co powoduje panikę jądra w qede_fill_frag_skb().

W jądrze Linux w sterowniku RDMA/cxgb4 funkcja c4iw_remove() może zwolnić ctx->dev, podczas gdy zakolejkowana praca reg_work (rejestrująca urządzenie RDMA) jest wciąż oczekująca lub wykonywana. Prowadzi to do tego, że c4iw_register_device() uzyskuje dostęp do zwolnionego urządzenia.