Katalog podatności CVE

W jądrze Linux w module net/smc funkcje smc_llc_rmt_delete_rkey() i smc_llc_save_add_link_rkeys() czytają część komunikatu v2, która nie mieści się w 44-bajtowej unii smc_llc_msg, ograniczając się rozmiarem bufora, a nie rozmiarem tego, co faktycznie przyszło. Na łączu ze współdzielonym buforem odbioru v2 44-bajtowy DELETE_RKEY_V2 deklarujący 255 kluczy rkey sięga do rkey[9..254] w danych pozostawionych przez wcześniejszy komunikat i przekazuje je do smc_rtoken_delete(), co może usunąć zarejestrowany rtoken. Poprawka kopiuje ogon komunikatu do wpisu kolejki i deklaruje klucze inline jako element unii.

W jądrze Linux w module net/smc funkcja smc_rx_splice() przekazuje strony RMB do potoku i pobiera referencję gniazda na wpis, aby smc_sock pozostał aktywny do zakończenia odczytu. Jednak połączenie nie — równoległe zamknięcie uruchamia smc_conn_free(), które zwalnia bufor odbioru z powrotem do puli grupy łączącej. smc_rx_pipe_buf_release() sprawdza sk_state przed pobraniem blokady gniazda; stan może się zmienić między testem a blokadą, a smc_rx_update_cons() dereferencjonuje conn->rmb_desc i przechodzi przez conn->lgr, które zostały już zwolnione — jest to użycie po zwolnieniu pamięci. Poprawka pobiera najpierw blokadę gniazda i sprawdza conn->freed.

W jądrze Linux w podsystemie net/smc funkcja smc_conn_free() wyrejestrowuje połączenie tylko wtedy, gdy grupa łączy wciąż znajduje się na liście urządzenia, i nigdy nie ustawia conn->killed. W oknie między odłączeniem grupy a zabiciem jej połączeń urządzenie może ponownie uzbroić tasklet odbiorczy po tasklet_kill(), co prowadzi do użycia zwolnionego bufora (use-after-free).

W jądrze Linux urządzenia tuneli IP wyliczają reklamowany needed_headroom z niższych urządzeń wyjściowych. Stos urządzeń tworzonych przez użytkownika może sprawić, że wartość przekroczy zakres 16-bitowych przesunięć nagłówka skb, co przy rezerwacji w wyjściu IP powoduje zawinięcie tych przesunięć.

W jądrze Linux funkcja skb_tx_error() kończy zerocopy uarg i czyści SKBFL_ALL_ZEROCOPY, a skb_zcopy_downgrade_managed() czyści SKBFL_MANAGED_FRAG_REFS — oba w skb_shinfo() współdzielonym przez klony. Przy klonie Open vSwitch (OVS_ACTION_ATTR_RECIRC) prowadzi to do zdjęcia znacznika z pakietu wciąż przekazywanego i późniejszego odszyfrowania ESP w miejscu na fragmentach, których nie posiada się na wyłączność.

W jądrze Linux występuje podatność w sterowniku mfd: qnap-mcu. Funkcja qnap_mcu_exec() publikuje bufor na stosie (rx) do ścieżki odbioru, która może zapisywać do niego po przekroczeniu limitu czasu lub po niepowodzeniu zapisu, gdy ramka stosu nie jest już ważna. Prowadzi to do uszkodzenia pamięci stosu i potencjalnego wykonania dowolnego kodu.

W jądrze Linux w sterowniku ALSA bcd2000 funkcja zwalniająca zasoby USB nie zerowała wskaźników do struktur URB po ich zwolnieniu. Otwarty strumień rawmidi mógł po odłączeniu urządzenia odwołać się do zwolnionej pamięci (use-after-free), co prowadziło do uszkodzenia pamięci jądra.

Funkcja pcxhr_probe() w jądrze Linux wywołuje pcxhr_threaded_irq() przed zainicjalizowaniem mutexa mgr->lock, mimo że wątek obsługi przerwania używa tego mutexa. Wczesne przerwanie może więc działać na niezainicjalizowanym stanie mutexa podczas probe.

W jądrze Linux moduł dm-pcache nie waliduje pól geometrii (n_segs i id segmentu) pochodzących z metadanych cache_info na dysku. Funkcja cache_segs_init() iteruje n_segs razy, indeksując tablicę cache->segments[], która ma rozmiar wynikający z geometrii urządzenia. Ponieważ metadane są chronione jedynie CRC z publicznym ziarnem, osoba dostarczająca urządzenie cache (CAP_SYS_ADMIN) może podać zbyt duże n_segs lub identyfikator spoza zakresu, powodując odczyt i zapis poza zakresem. Poprawka odrzuca nieprawidłowe wartości przed użyciem.

W jądrze Linux moduł dm-pcache nie ogranicza pola key_num w ksecie ani granic wewnątrz segmentu. key_num steruje funkcją cache_kset_crc() i pętlą odtwarzania w cache_replay(), a ponieważ sprawdzane są tylko magic i CRC z publicznym ziarnem, nieprawidłowy key_num może spowodować odczyt poza buforem PCACHE_KSET_KEYS_MAX. Dodatkowo przesunięcie i długość klucza w cache_key_decode() są przyjmowane bez weryfikacji, co pozwala na odczyt poza segmentem i wyciek danych do przestrzeni użytkownika. Poprawka dodaje walidację key_num i granic klucza.

W jądrze Linux moduł dm-pcache nie ogranicza przesunięcia seg_off w funkcji cache_pos_decode(), która pobiera zapisane wartości key_tail i dirty_tail z urządzenia cache. Wartość seg_off równa lub większa niż rozmiar danych segmentu (data_size), kontrolowana przez osobę dostarczającą urządzenie (CAP_SYS_ADMIN), powoduje odczyt poza segmentem. Poprawka odrzuca zdekodowane seg_off, które nie jest mniejsze niż data_size segmentu.

W jądrze Linux moduł dm-pcache w funkcji cache_replay(), wątku zapisu zwrotnego i wątku GC ogranicza długość odczytu tail-kset przez PCACHE_SEG_SIZE - seg_off, czyli surowy rozmiar segmentu, a nie region danych. Odczyt tail blisko końca segmentu wykracza poza dane segmentu do następującego obszaru kontrolnego. Poprawka ogranicza odczyt do cache_seg_remain(), czyli regionu danych.

W jądrze Linux w funkcji kset_replay() modułu dm-pcache występuje błąd use-after-free oraz nieprawidłowe operacje na segmentach. Gdy klucz ma nieaktualny seg_gen, pamięć klucza jest zwalniana, a następnie odwołuje się do niej wywołanie cache_seg_get(). Dodatkowo dla wygasłych nieprawidłowych kluczy niepotrzebnie ustawiany jest bit w seg_map i wywoływane cache_seg_get().

W jądrze Linux funkcja i3c_device_get_supported_xfer_mode() odwołuje się do dev->desc bez trzymania blokady bus->lock, co jest niedozwolone. Funkcja potrzebuje jedynie kontrolera nadrzędnego powiązanego z magistralą urządzenia, więc należy użyć dev->bus, które jest zawsze ważne przez cały czas życia urządzenia.

W jądrze Linux sterownik adi_i3c_master_probe() żąda przerwania i odmaskowuje REG_IRQ_PENDING_CMDR przed zainicjalizowaniem stanu IBI, listy kolejki transferów i blokady kolejki transferów. Oczekujące przerwanie CMDR może wywołać adi_i3c_master_irq() i użyć niezainicjalizowanej blokady, co wykrył Lockdep.

W jądrze Linux funkcja i3c_master_unregister_i3c_devs() czyści i3cdev->dev->desc przed wywołaniem device_unregister(). Podczas wyrejestrowania i3c_device_uevent() oraz wyścigowy modalias_show() mogą zobaczyć NULL desc i użyć niezainicjalizowanej struktury na stosie, ujawniając zawartość stosu jądra. Może też wystąpić use-after-free przy zapisie desc po zwolnieniu urządzenia.

W jądrze Linux sterownik Renesas I3C używa modelu asynchronicznego: przygotowuje strukturę renesas_i3c_xfer, kolejkuje ją i czeka na zakończenie. Jeśli wystąpi przekroczenie czasu, wątek oczekujący usuwa transfer z kolejki i zwalnia go; późniejsze przerwanie może odwołać się do zwolnionej pamięci, powodując awarię.

W jądrze Linux w sterowniku wifi rtl8xxxu występuje błąd use-after-free związany z kolejką roboczą rx_urb_wq. Funkcja rtl8xxxu_stop() nie anuluje rx_urb_wq, więc worker może wykonać się po zwolnieniu struktury priv przez rtl8xxxu_disconnect(), co prowadzi do użycia zwolnionej pamięci. Problem występuje przy aktywnym ruchu RX i następującym po nim rozłączeniu urządzenia.

W jądrze Linux w sterowniku wifi mwifiex występuje podatność polegająca na tym, że przy przerwanym oczekiwaniu na synchroniczne polecenie bufor danych przekazany przez wywołującego (często na stosie) nie jest odłączany od wciąż aktywnego polecenia firmware. Późna odpowiedź firmware może wtedy zapisać dane pod nieaktualnym adresem stosu, powodując uszkodzenie stosu jądra i panikę systemu.

W jądrze Linux w sterowniku wifi rtlwifi (rtl8192du) funkcja rtl92du_tx_fill_desc() używa wartości QoS TID z nagłówka 802.11 jako indeksu tablicy sta_entry->tids[]. Ponieważ ieee80211_get_tid() zwraca wartość 0..15, a tablica ma tylko MAX_TID_COUNT (9) elementów, TID większy niż 8 powoduje dostęp poza zakresem tablicy stanu agregacji.