Katalog podatności CVE

W jądrze Linux funkcja i3c_master_unregister_i3c_devs() czyści i3cdev->dev->desc przed wywołaniem device_unregister(). Podczas wyrejestrowania i3c_device_uevent() oraz wyścigowy modalias_show() mogą zobaczyć NULL desc i użyć niezainicjalizowanej struktury na stosie, ujawniając zawartość stosu jądra. Może też wystąpić use-after-free przy zapisie desc po zwolnieniu urządzenia.

W jądrze Linux sterownik Renesas I3C używa modelu asynchronicznego: przygotowuje strukturę renesas_i3c_xfer, kolejkuje ją i czeka na zakończenie. Jeśli wystąpi przekroczenie czasu, wątek oczekujący usuwa transfer z kolejki i zwalnia go; późniejsze przerwanie może odwołać się do zwolnionej pamięci, powodując awarię.

W jądrze Linux w sterowniku wifi rtl8xxxu występuje błąd use-after-free związany z kolejką roboczą rx_urb_wq. Funkcja rtl8xxxu_stop() nie anuluje rx_urb_wq, więc worker może wykonać się po zwolnieniu struktury priv przez rtl8xxxu_disconnect(), co prowadzi do użycia zwolnionej pamięci. Problem występuje przy aktywnym ruchu RX i następującym po nim rozłączeniu urządzenia.

W jądrze Linux w sterowniku wifi mwifiex występuje podatność polegająca na tym, że przy przerwanym oczekiwaniu na synchroniczne polecenie bufor danych przekazany przez wywołującego (często na stosie) nie jest odłączany od wciąż aktywnego polecenia firmware. Późna odpowiedź firmware może wtedy zapisać dane pod nieaktualnym adresem stosu, powodując uszkodzenie stosu jądra i panikę systemu.

W jądrze Linux w sterowniku wifi rtlwifi (rtl8192du) funkcja rtl92du_tx_fill_desc() używa wartości QoS TID z nagłówka 802.11 jako indeksu tablicy sta_entry->tids[]. Ponieważ ieee80211_get_tid() zwraca wartość 0..15, a tablica ma tylko MAX_TID_COUNT (9) elementów, TID większy niż 8 powoduje dostęp poza zakresem tablicy stanu agregacji.

W jądrze Linux w sterowniku wifi mt76 (mt7915) funkcja mt7915_mcu_get_eeprom() kopiuje stały blok EFUSE do bufora dev->mt76.eeprom.data pod adresem raportowanym przez MCU (res->addr) bez sprawdzenia go względem rozmiaru bufora. Złośliwe lub wadliwe urządzenie może zgłosić dowolny adres i wywołać 16-bajtowy zapis poza zakresem bufora.

W jądrze Linux w sterowniku wifi mt76 (mt7925) funkcja mlo_pm_work jest kolejkowna z 5-sekundowym opóźnieniem podczas konfiguracji oszczędzania energii multi-link i nigdy nie jest anulowana na ścieżce zatrzymania. Jeśli urządzenie zostanie zniszczone w tym oknie, praca przeżywa teardown, a jej timer odpala się później, próbując kolejkować do już nieistniejącej kolejki roboczej.

W jądrze Linux w funkcji mt7996_mcu_get_eeprom() sterownika wifi mt76 (układ mt7996) adres docelowy kopii bloku EFUSE/EXT jest wyliczany na podstawie adresu raportowanego przez MCU (event->addr), a ograniczana jest jedynie długość kopii, nigdy przesunięcie docelowe w buforze eeprom.data. Złośliwe lub wadliwe urządzenie może zgłosić dowolny adres i wymusić zapis poza zakresem bufora eeprom.data o rozmiarze do MT7996_EXT_EEPROM_BLOCK_SIZE bajtów.

W jądrze Linux domyślny firmware EEPROM jest parsowany i kopiowany jako pełny EEPROM bez sprawdzenia jego długości. Obcięty plik może spowodować odczyt poza buforem firmware podczas walidacji wariantu lub kopii zapasowej.

W jądrze Linux funkcja virtio_vsock_remove() zatrzymuje kolejki i opróżnia elementy pracy przed zwolnieniem struktury virtio_vsock, ale kolejność nie uwzględnia zależności między nimi: tx_work może zakolejkować send_pkt_work, a send_pkt_work może zakolejkować rx_work. W szczególności send_pkt_work może ustawić restart_rx i zwolnić tx_lock, a ścieżka usuwania może opróżnić rx_work przed jego zakolejkowaniem, co prowadzi do wyścigu use-after-free z kfree(vsock).

W jądrze Linux funkcja w1_f19_i2c_master_transfer() będąca master_xfer dla mostu DS28E17 1-Wire do I2C, przy odczycie I2C_M_RECV_LEN pobiera długość z urządzenia. Sterownik odczytuje tę liczbę bajtów do buf[1], ale bufor wywołującego ma rozmiar I2C_SMBUS_BLOCK_MAX + 2 (34 bajty), a długość powyżej 32 powoduje odczyt poza buforem do około 222 bajtów. Sprawdzenie w rdzeniu SMBus następuje po powrocie master_xfer, gdy zapis już się dokonał.

W jądrze Linux wpis sysctl "cad_pid" jest globalny, a kill_cad_pid() jest używane tylko w głównej przestrzeni nazw. Jednak z powodu pid_table_root_permissions() nieuprzywilejowany użytkownik może odłączyć przestrzenie nazw pid/user i modyfikować ten wpis z podrzędnej przestrzeni nazw, co jest błędne.

W jądrze Linux funkcja smack_file_send_sigiotask() uzyskiwała dostęp zarówno do tsk->cred, jak i __task_cred(tsk). Dostęp do ->cred na zadaniu innym niż bieżące jest zabronione, ponieważ zadanie może zmieniać własny wskaźnik ->cred bez synchronizacji, co prowadzi do use-after-free struktury cred.

AirSane w wersjach przed 0.4.12 ma podatność w implementacji serwera HTTP, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) poprzez wyczerpanie pamięci. Funkcja HttpServer::Request::content odczytuje nagłówek Content-Length i przekazuje jego wartość bezpośrednio do std::string::resize() bez walidacji górnej granicy, co przy dużych wartościach powoduje próbę alokacji gigabajtów pamięci i awarię procesu. Dodatkowo podanie znaków nienumerycznych w nagłówku prowadzi do niezdefiniowanego zachowania.

Niezabezpieczona domyślna konfiguracja wbudowanego serwera Happytime RTSP w demonie Sofia IPC w kamerze Xiongmai XM530 z firmware HMT.CM2005-v220608.1837 i wcześniejszym powoduje, że uwierzytelnianie jest wyłączone, co pozwala nieuwierzytelnionym zdalnym atakującym na dostęp do strumieni wideo H.264 i audio G.711 w postaci jawnej przez nieszyfrowane RTP/UDP.

Podatność przepełnienia bufora na stercie w funkcji transformacji WS-Addressing Action w demonie Sofia IPC w kamerach IP Xiongmai XM530 (firmware HMT.CM2005-v220608.1837 i wcześniejsze) pozwala zdalnym, nieuwierzytelnionym atakującym wywołać odmowę usługi lub potencjalnie wykonać dowolny kod poprzez spreparowane żądanie SOAP zawierające ciąg wsa5:Action przekraczający 128 bajtów.

Niektóre produkty Woltlab są podatne na zdalne wykonanie kodu (RCE) poprzez zatruwanie pamięci podręcznej. WCF w wersjach od 6.1.0 do < 6.1.23 oraz od 6.2.0 do < 6.2.6 pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wstrzyknięcie kodu PHP do wykonywalnych plików pamięci podręcznej generowanych przez WoltLab Suite Core.

Problem w Robotics-STAR-Lab (SYSU STAR Group) RACER w wersji commit abcdef1234567890 pozwala atakującemu wywołać odmowę usługi (DoS) poprzez funkcję FastExplorationFSM::optTimerCallback() w pliku swarm_exploration/exploration_manager/src/fast_exploration_fsm.cpp.

Wtyczka Amelia w wersjach do 2.4.9 włącznie zawiera podatność SQL Injection dostępną dla edytorów. Umożliwia to użytkownikom z uprawnieniami edytora wstrzykiwanie złośliwych zapytań SQL do bazy danych.

Wtyczka Sky Addons for Elementor w wersjach do 3.8.4 włącznie zawiera podatność SQL Injection dostępną dla edytorów. Umożliwia to użytkownikom z uprawnieniami edytora wstrzykiwanie złośliwych zapytań SQL do bazy danych.