Katalog podatności CVE

W jądrze Linux w funkcji ucma_set_ib_path() brakowało blokady handlera podczas wywołania ucma_event_handler() z ścieżki write(). Równoległe wywołanie ucma_migrate_id() mogło zmienić ctx->file, powodując operacje na liście zdarzeń innego pliku bez odpowiedniego mutexa, co prowadziło do use-after-free (wykryte przez KASAN).

W jądrze Linux występuje luka w module RDMA/ucma polegająca na braku blokady handlera w funkcji ucma_write_cm_event(). Podczas gdy ucma_migrate_id() przenosi kontekst do innego pliku, wskaźnik ctx->file może zostać zmieniony w trakcie sekwencji operacji, co prowadzi do uszkodzenia listy, trwałego zablokowania muteksa i zawieszenia procesu w stanie D. Luka jest osiągalna dla nieuprzywilejowanego użytkownika przez /dev/infiniband/rdma_cm.

W funkcji as3722_get_regulator_dt_data() jądra Linux wywołanie of_get_child_by_name() pozyskuje referencję do węzła, która jest przypisywana do pdev->dev.of_node, ale zaraz potem of_node_put(np) zwalnia tę referencję, pozostawiając wiszący wskaźnik. Usunięcie tego wywołania pozwala urządzeniu utrzymać referencję.

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_alloc_read_page() jest podatna na wyścig z ring_buffer_subbuf_order_set, mogąc przydzielić stronę czytnika z nieaktualnym rozmiarem (order). Jeśli subbuf_order zmieni się w trakcie alokacji, bpage->order może nie odpowiadać rzeczywistej pamięci.

W podsystemie ring-buffer jądra Linux funkcja ring_buffer_subbuf_order_set() może wyczyścić cpu_buffer->free_page, co powoduje wyścigi z ring_buffer_alloc_read_page() i ring_buffer_free_read_page(). Poprawka polega na trzymaniu cpu_buffer->lock podczas zmiany rozmiaru podbufora.

W podsystemie ring-buffer jądra Linux odrzucenie buforowanej strony czytnika po równoczesnej zmianie rozmiaru bufora używa nowego globalnego subbuf_order w wywołaniu free_pages(), co może prowadzić do awarii jądra lub wycieku pamięci. Poprawka zapisuje rzeczywisty rozmiar strony wraz z jej adresem, czyniąc free_page strukturą buffer_data_read_page.

W podsystemie ring-buffer jądra Linux funkcja __rb_get_reader_page_from_remote() kontynuuje działanie mimo niepowodzenia callbacku swap_reader_page (zwracającego -EBUSY), co może prowadzić do nieprawidłowego przetwarzania listy stron. Poprawka traktuje błąd callbacku jako odzyskiwalny, loguje go przez pr_warn_ratelimited() i zwraca NULL.

W systemie plików orangefs jądra Linux funkcja orangefs_prepare_cdm_array() rozmiaruje bufor słowa kluczowego za pomocą strcspn(cds_head, " "), ale parsuje je przez %s, który pomija wiodące białe znaki. Jeśli wpis debugowania klienta zaczyna się od spacji, alokacja może być za mała, a sscanf() zapisze poza buforem.

W jądrze Linux w module ocfs2 brakowało walidacji pól rl_used i rl_count w bloku refcount. Złośliwy lub uszkodzony obraz ocfs2 z rl_used ustawionym na 0xffff powoduje odczyt poza zakresem bloku metadanych, a następnie memmove poza bufor podczas operacji reflink (FICLONE). Podatność wymaga lokalnego dostępu (CAP_SYS_ADMIN przy montowaniu obrazu lub zapis do urządzenia blokowego).

W jądrze Linux na architekturze OpenRISC wywołanie systemowe sys_or1k_atomic (nr 244) nie sprawdzało wskaźników użytkownika za pomocą access_ok() przed wykonaniem operacji atomowej w asemblerze. Umożliwiało to nieuprzywilejowanemu procesowi podanie adresu jądra i bezpośredni odczyt/zapis pamięci jądra.

W jądrze Linux w module openvswitch występuje błąd use-after-free związany z limitem CT (conntrack). Wskaźnik limitu CT nie był usuwany przed zwolnieniem pamięci ani chroniony okresem karencji RCU, przez co przetwarzanie pakietów mogło odwołać się do zwolnionego stanu podczas niszczenia przestrzeni nazw sieci. Nieuprzywilejowany użytkownik może wywołać ten błąd z poziomu przestrzeni nazw użytkownika i sieci.

W jądrze Linux w module openvswitch funkcja queue_userspace_packet() wywołuje skb_tx_error() na pakiecie, który nie jest własnością tej funkcji i jest dalej przekazywany. Powoduje to usunięcie flagi SKBFL_SHARED_FRAG z aktywnego skb, co przy dostarczaniu ESP-in-UDP prowadzi do odszyfrowania w miejscu na stronach pamięci należących do nadawcy. Umożliwia to nieuprzywilejowany zapis do page cache (prymityw "Fragnesia").

W jądrze Linux w podsystemie IPMI występuje błąd use-after-free w funkcji _ipmi_destroy_user(). Usunięcie synchronize_rcu() między odłączeniem odbiorników poleceń z listy intf->cmd_rcvrs a ich zwolnieniem pozwala czytelnikowi wciąż używać wskaźnika do zwolnionego obiektu cmd_rcvr. Lista cmd_rcvrs jest nadal przeglądana w zwykłym RCU, więc brak okresu karencji powoduje użycie po zwolnieniu.

W jądrze Linux naprawiono podatność w sterowniku NVMe, gdzie funkcja nvme_setup_discard() przy nieudanej alokacji pamięci używała strony ctrl->discard_page, która nie była zerowana. W wyniku tego do kontrolera NVMe wysyłane były niezainicjalizowane dane (do 4080 bajtów) pochodzące z wcześniejszej zawartości strony pamięci.

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_handle_r2t() nie sprawdza kierunku żądania, którego dotyczy R2T. Złośliwy kontroler może wysłać R2T dla polecenia READ, a host odpowie, wysyłając bufor docelowy odczytu (zawierający stare dane jądra) do kontrolera. Luka ujawnia pamięć jądra, w tym wskaźniki struct page.

W jądrze Linux w sterowniku nvme-tcp funkcja nvme_tcp_recv_data() kończy żądanie po odebraniu bieżącego PDU C2HData, nie porównując łącznej liczby odebranych bajtów z długością żądaną przez polecenie. Złośliwy kontroler może odpowiedzieć na odczyt 4096 bajtów tylko 512 bajtami, a żądanie zostanie zgłoszone jako zakończone, ujawniając użytkownikowi 3584 bajty starych danych ze strony. Poprawka zlicza odebrane bajty i odmawia zakończenia niepełnego odczytu.

W jądrze Linux występuje podatność typu NULL pointer dereference w implementacji SCTP, związana z zakończeniem żądania rekonfiguracji strumienia, które nie zostało jeszcze wysłane. Gdy żądanie jest już opublikowane w asoc->strreset_chunk, ale nie ma przypisanego transportu (chunk->transport == NULL), próba zatrzymania timera powoduje odwołanie do NULL i panikę jądra. Problem można wywołać lokalnie przez nieuprzywilejowany proces lub zdalnie przez spreparowany pakiet RECONF.

W jądrze Linux w stosie SCTP zbuforowany chunk RECONF może zawierać więcej niż jeden parametr żądania. Zduplikowana odpowiedź może ponownie przetworzyć to samo żądanie ADD_OUT, co powoduje dwukrotne cofnięcie licznika outcnt i jego niedomknięcie (underflow). Poprawka śledzi typy oczekujących żądań jako bity i ignoruje późniejsze odpowiedzi.

W jądrze Linux w module charger-manager (power: supply) występuje luka use-after-free. Regulatorzy są zwalniani (regulator_put) przed wyrejestrowaniem wpisów sysfs (power_supply_unregister), a jednocześnie wpisy sysfs są rejestrowane przed pozyskaniem regulatorów, co pozwala na wyścig i dostęp do zwolnionych uchwytów.

W jądrze Linux w sterowniku power: supply: cros_usbpd-charger funkcja cros_usbpd_charger_probe() odczytuje z EC dwie liczby portów i używa num_charger_ports jako granicy pętli wypełniającej tablicę ports[] o stałym rozmiarze 8 elementów. Brak walidacji względem EC_USB_PD_MAX_PORTS pozwala wadliwemu lub złośliwemu EC zgłosić wartość do 255, co powoduje zapis poza granicami tablicy (slab out-of-bounds write). Poprawka odrzuca liczbę portów większą niż rozmiar tablicy.