Katalog podatności CVE

W jądrze Linux w sterowniku power: supply: lp8727 funkcja lp8727_release_irq() anuluje pracę pchg->work przed zwolnieniem przerwania, więc przerwanie dostarczone w międzyczasie może ponownie uzbroić pracę przez wątek obsługi. Po powrocie z .remove warstwa devm zwalnia pchg, a lp8727_delayed_func() może wciąż działać i odwołać się do zwolnionej pamięci. Poprawka najpierw zwalnia przerwanie, a następnie anuluje pracę.

W jądrze Linux w sterowniku qcom_battmgr funkcja qcom_battmgr_sc8280xp_strcpy() kopiuje ciągi znaków z firmware bez gwarancji terminatora, gdy firmware nie używa formatu Pascal. Pola model_number, serial_number i oem_info mogą nie być zakończone znakiem null, co powoduje odczyt poza granice bufora przy wyświetlaniu ich w przestrzeni użytkownika.

W jądrze Linux w sterowniku ładowarki rt9455 występuje błąd use-after-free. Podczas usuwania sterownika (rt9455_remove) kolejność anulowania zadań opóźnionych jest nieprawidłowa — batt_presence_work może zakolejkować max_charging_time_work po jego anulowaniu, co prowadzi do odwołania się do zwolnionej struktury rt9455_info. Problem występuje również w ścieżce błędu funkcji probe, gdy rt9455_hw_init() zawiedzie po zarejestrowaniu przerwania.

W jądrze Linux na architekturze s390 makro MVIY_PERCPU() generuje wywołanie makra asemblera z argumentami łańcuchowymi rozdzielonymi spacjami, co w starszych wersjach binutils (przed 2.39) powoduje nieprawidłowe parsowanie i pominięcie instrukcji mviy. W rezultacie przerwana sekwencja per-CPU nie jest oznaczana w lowcore, a ścieżka powrotu z wyjątku nie może naprawić rejestru adresu per-CPU po migracji.

W jądrze Linux w sterowniku s390/dasd funkcja dasd_default_erp_postaction() kopiuje stan czasu i urządzenia z zakończonego żądania ERP do żądania oryginalnego, ale pomija proc_bytes. Żądanie częściowo zakończone (odczyt ESE jeszcze nieprzydzielonego toru zwraca mniej bajtów niż żądano), a następnie odzyskane przez łańcuch ERP, traci długość częściowego ukończenia, przez co __dasd_cleanup_cqr() kończy całe żądanie zamiast zakolejkować resztę, zwracając wyzerowane dane dla nieodczytanej części.

W jądrze Linux w sterowniku iommu/msm funkcja msm_iommu_probe() dodaje zarządzany przez devm obiekt IOMMU do qcom_iommu_devices przed dodaniem urządzenia sysfs IOMMU i zarejestrowaniem go w rdzeniu IOMMU. Jeśli iommu_device_sysfs_add() lub iommu_device_register() zawiedzie, obiekt pozostaje na liście qcom_iommu_devices, a rdzeń sterownika zwalnia alokację devm, pozostawiając wiszący wpis listy, który może być później dereferencjonowany.

W jądrze Linux w sterowniku iommu/tegra241-cmdqv funkcja tegra241_vintf_init_vsid() programuje dostarczony przez gościa vSID do pola SID_MATCH, którego pole VIRT_SID obejmuje bity [20:1] z bitem 0 jako flagą włączenia dopasowania, więc sprzęt dopasowuje tylko 20-bitowy Stream ID. Sprawdzenie zakresu odrzuca jedynie virt_sid > UINT_MAX, co dopuszcza wartość znacznie szerszą niż pole; zapis "virt_sid << 1 | 0x1" odrzuca wszystkie bity powyżej 20, więc virt_sid 0x80000000 staje się SID_MATCH = 0x1, prawidłowym dopasowaniem vSID 0, przez co wpis aliasuje niewłaściwy Stream ID. Ponieważ vdev->virt_id jest kontrolowane przez gościa, VMM może to wywołać.

W jądrze Linux selftest IOMMUFD TRIGGER_IOPF pożycza uchwyt attach z group->pasid_array bez synchronizacji z odłączeniem PASID, co przy równoczesnym iommu_report_device_fault() prowadzi do użycia zwolnionej pamięci (UAF). Poprawka dodaje iopf_rwsem w mock_dev do synchronizacji.

W jądrze Linux funkcje isst_if_get_perf_level_mask() i isst_if_get_base_freq_mask() używają poziomu podanego przez użytkownika jako indeksu do perf_levels[] bez walidacji, co umożliwia odczyt poza zakresem. Poprawka dodaje sprawdzenia zakresu i odrzuca wyłączone poziomy SST-PP.

W jądrze Linux funkcja isst_if_clos_assoc() waliduje socket_id przez '>' zamiast '>=', co pozwala na indeksowanie poza tablicę sst_inst[]; dodatkowo brak sprawdzenia NULL dla niepowiązanych pakietów prowadzi do dereferencji NULL. Poprawka odrzuca socket_id >= topology_max_packages() i NULL sst_inst.

W jądrze Linux sterownik mmc via-sdmmc nie anuluje pracy carddet_work przy usuwaniu urządzenia; praca już zakolejkowana może wykonać się po zwolnieniu hosta, powodując użycie zwolnionej pamięci. Poprawka anuluje carddet_work po zwolnieniu IRQ i przed anulowaniem finish_bh_work.

W jądrze Linux sterownik mmc via-sdmmc rejestruje i włącza przerwanie card-detect przed mmc_add_host(); jeśli mmc_add_host() zawiedzie, przerwanie pozostaje zarejestrowane i obsługuje zwolniony host, powodując użycie zwolnionej pamięci. Poprawka dodaje ścieżkę błędu, która wyłącza i zwalnia przerwanie oraz anuluje carddet_work.

W jądrze Linux w sterowniku panasonic-laptop występuje błąd przepełnienia bufora poza granice tablicy pcc->sinf[]. Funkcja acpi_pcc_retrieve_biosdata() zapisuje wartość sentinela pod indeksem równym liczbie elementów pakietu SINF, co przy num_sifr równym tej liczbie powoduje zapis jednego elementu poza zaalokowaną tablicą (4-bajtowe przepełnienie sterty). Problem ujawnia się na sprzęcie, gdzie HKEY.SQTY zwraca 37, a pakiet HKEY.SINF() ma 38 elementów.

W jądrze Linux w sterowniku platform/chrome sensorhub numer czujnika raportowany przez EC (in->sensor_num) nie był walidowany w cros_ec_sensorhub_ring_handler(). Wartość większa lub równa sensor_num prowadziła do odczytu i zapisu poza granicami tablicy batch_state[].

W jądrze Linux w sterowniku platform/x86/amd/pmc funkcja amd_stb_s2d_init() ignorowała wartości zwracane przez kilka poleceń SMU S2D oraz wartości S2D_PHYS_ADDR_LOW/HIGH. W przypadku błędu adres fizyczny pozostawał niezainicjalizowany i był przekazywany do devm_ioremap(), co mogło mapować adres fizyczny 0.

W jądrze Linux w sterowniku platform/x86/amd/pmc funkcja amd_pmc_probe() rejestrowała handler LPS0 s2idle oraz tworzyła katalog debugfs przed wywołaniem amd_stb_s2d_init(). Gdy ta ostatnia funkcja zawiodła, ścieżka błędu nie wyrejestrowywała handlera ani nie usuwała katalogu debugfs, co prowadziło do uszkodzenia listy i błędu jądra przy ponownym ładowaniu modułu.

W jądrze Linux w sterowniku platform/x86 hp-bioscfg funkcja hp_get_string_from_buffer() porównywała długość konwertowanego łańcucha z rozmiarem bufora docelowego za pomocą warunku "size > dst_size". Gdy długość była równa dst_size, bezwarunkowy zapis terminatora NUL trafiał jeden bajt poza bufor docelowy.

W jądrze Linux w module platform/x86 hp-bioscfg parsery pakietów ACPI otrzymywały błędną liczbę elementów — zamiast zwalidowanej wartości obj->package.count przekazywały długość pola NAME (typu string), co wynikało z unii acpi_object. Obecnie jest to bezpieczne, ponieważ funkcja hp_init_bios_package_attribute() odrzuca pakiety o zbyt małej liczbie elementów, ale planowane złagodzenie tego sprawdzenia doprowadziłoby do odczytu poza granicami sterty (out-of-bounds heap read). Poprawka przekazuje prawidłową, zwalidowaną liczbę elementów do parserów.

W jądrze Linux funkcja io_waitid_cb() w podsystemie io_uring nie respektuje flagi tw.cancel, gdy wywołanie trafia na ścieżkę awaryjną task_work uruchamianą z wątku kworker. Powoduje to wywołanie __do_wait() w kontekście niewłaściwego zadania, co może prowadzić do błędnego działania mechanizmu waitid.

W jądrze Linux występuje podatność use-after-free w funkcjach icc_get() i of_icc_get_by_index(). Gdy alokacja pamięci dla path->name nie powiedzie się, ścieżka błędu wywołuje kfree(path) bez wcześniejszego usunięcia wskaźników z listy req_list, co prowadzi do dangling pointers i późniejszego użycia zwolnionej pamięci. Problem został naprawiony poprzez zastąpienie kfree(path) funkcją icc_put(path) oraz zwolnienie mutexa icc_lock przed jej wywołaniem.