Katalog podatności CVE

W jądrze Linux wykryto podatność w stosie Bluetooth, gdzie funkcja hci_adv_bcast_annoucement() może doprowadzić do przepełnienia bufora tymczasowego podczas przygotowywania danych rozgłoszeniowych Broadcast Announcement. Problem występuje, gdy istniejące instancje reklamowe mają już maksymalny dozwolony rozmiar ładunku, a dodanie danych usługi powoduje przekroczenie pojemności bufora.

W jądrze Linuxa w sterowniku accel/ivpu dodano walidację indeksów odczytu i zapisu bufora logów firmware'u. Brak sprawdzania zakresów mógł prowadzić do odczytu/zapisu poza dozwolonym obszarem pamięci, gdy firmware dostarczał nieprawidłowe indeksy.

W jądrze Linux w sterowniku accel/ivpu dodano sprawdzenie przepełnienia bufora w funkcji get_info_ioctl. Brak walidacji rozmiaru danych zwracanych przez firmware mógł prowadzić do kopiowania danych poza przydzielony bufor.

W jądrze Linux w sterowniku accel/ivpu wykryto podatność polegającą na błędzie konwersji typu danych w funkcji IPC receive. Duże wartości unsigned (>= 0x80000000) dostarczone przez firmware są rzutowane na signed int, co prowadzi do ujemnych wartości i przepełnienia bufora stosu podczas operacji memcpy.

W jądrze Linux wycofano optymalizację pomijającą przełączanie kolejki exec podczas zawieszania, która omijała zawieszanie GuC. Powodowało to brak przełączenia kontekstu i flushowania TLB dla unieważnionych VMA userptr, prowadząc do błędów strony w testach unieważniania userptr w trybie LR/preempt-fence.

W jądrze Linux wykryto podatność w KVM dla architektury ARM64, dotyczącą obsługi bitu XN[0] w przypadku braku wsparcia FEAT_XNX. Błąd polega na nieprawidłowym użyciu makra FIELD_PREP() do maski czyszczącej XN[0], co powoduje niekontrolowane nadawanie uprawnień do wykonywania kodu.

W jądrze Linux w sterowniku hv_netvsc wykryto podatność polegającą na użyciu phys_to_virt() do mapowania stron pamięci, co na 32-bitowym x86 z CONFIG_HIGHMEM=y prowadzi do błędów dostępu do pamięci i awarii systemu. Problem został naprawiony poprzez zastąpienie phys_to_virt() funkcją kmap_local_page(), która poprawnie obsługuje strony spoza bezpośredniego mapowania jądra.

W jądrze Linux w systemie plików ksmbd wykryto podatność use-after-free związaną z opóźnioną blokadą pliku (file_lock) podczas podwójnego żądania SMB2_CANCEL. Drugie anulowanie dla tego samego AsyncId wywołuje funkcję anulującą na już zwolnionej pamięci, co prowadzi do naruszenia bezpieczeństwa.

W jądrze Linux wykryto podatność w sterowniku USB serial io_ti, gdzie funkcja build_i2c_fw_hdr() alokuje bufor o stałym rozmiarze, ale kopiuje do niego dane o długości sterowanej przez użytkownika (do 65535 bajtów) bez walidacji, co prowadzi do przepełnienia sterty.

W sterowniku USB-serial kl5kusb105 jądra Linux wykryto podatność na przepełnienie bufora wyjściowego. Funkcja klsi_105_prepare_write_buffer() kopiuje dane z fifo do bufora o rozmiarze 64 bajtów, ale nie uwzględnia dwubajtowego nagłówka, co prowadzi do zapisu poza przydzieloną pamięcią. Problem został zaobserwowany przez KASAN podczas emulacji urządzenia.

W jądrze Linuxa w podsystemie ALSA timer wykryto podatność na użycie po zwolnieniu (use-after-free). Podczas zwalniania obiektu timera (snd_timer_free) nie są prawidłowo odłączane instancje timerów podrzędnych (slave), które nadal wskazują na zwolniony obiekt, co może prowadzić do naruszenia bezpieczeństwa pamięci. Problem jest łatwy do wywołania przy użyciu nowego mechanizmu timerów przestrzeni użytkownika (CONFIG_SND_UTIMER).

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji snd_timer_user_params() sterownika ALSA. Problem występuje, gdy podczas zamykania timera użytkownika (CONFIG_SND_UTIMER) inny wątek wykonuje jednocześnie operację ioctl SNDRV_TIMER_IOCTL_PARAMS, która nie była chroniona mutexem register_mutex. Łatka dodaje brakującą synchronizację, zapobiegając wyścigowi.

W jądrze Linux w podsystemie io_uring/net wykryto podatność związaną z nieprawidłowym dziedziczeniem flagi IORING_CQE_F_BUF_MORE podczas ponownych prób odbioru w trybie bundle. Brak tej flagi w masce CQE_F_MASK powodował jej utratę, co prowadziło do błędnego zarządzania buforami przez przestrzeń użytkownika.

W jądrze Linux wykryto podatność w funkcji __split_huge_pmd_locked(), gdzie aktualizacja licznika RSS dla plików/shmem następowała po zwolnieniu referencji do folio. Jeśli folio_put() usuwało ostatnią referencję, późniejsze odczytanie stanu folio przez mm_counter_file() mogło prowadzić do użycia zwolnionej pamięci.

W jądrze Linuxa w komponencie RDMA/core wykryto podatność polegającą na braku walidacji struktury operacji pliku (fops) w funkcji ib_get_ucaps(). Atakujący może wykorzystać urządzenie blokowe o tym samym numerze urządzenia (dev_t) do podszycia się pod legalne urządzenie ucap cdev.

W jądrze Linuxa w podsystemie RDMA/core brakuje walidacji atrybutu cpu_id pochodzącego z przestrzeni użytkownika przed przekazaniem go do funkcji cpumask_test_cpu(). Może to prowadzić do odczytu poza zakresem mapy bitowej CPU, a w przypadku włączonego CONFIG_DEBUG_PER_CPU_MAPS i panic_on_warn, do restartu maszyny.

W jądrze Linux wykryto podatność use-after-free w funkcji zram_bvec_write_partial() sterownika zram. Podczas zapisu częściowego, odczyt z urządzenia zapasowego jest wykonywany asynchronicznie, a strona bufora jest zwalniana przed zakończeniem operacji odczytu, co prowadzi do zapisu do już zwolnionej pamięci.

W jądrze Linux stwierdzono podatność w ścieżce odbioru UDP, gdzie pole skb->dev jest ponownie wykorzystywane jako dev_scratch (cache stanu). Gdy gniazdo UDP znajduje się w sockmap, program weryfikujący SK_SKB może wywołać pomocnika wyszukiwania gniazd (bpf_sk_lookup), który odczytuje skb->dev jako wskaźnik do struktury net_device, co prowadzi do dereferencji niekanonicznego adresu i błędu ogólnej ochrony (GPF) w kontekście softirq.

W jądrze Linuxa w implementacji MPTCP wykryto podatność polegającą na sztucznym zawyżaniu okna odbioru (rcv wnd) na poziomie TCP. Gdy dane są potwierdzane na poziomie TCP, ale są poza kolejnością w przestrzeni sekwencji MPTCP, okno odbioru nie może się zmniejszyć, co prowadzi do przekroczenia rozmiaru bufora odbiorczego. Łatka umożliwia subflow TCP zmniejszanie okna odbioru niezależnie od ustawień sieciowych.

W jądrze Linux stwierdzono podatność w funkcji nl80211_parse_rnr_elems(), gdzie licznik elementów przechowywany jest w 8-bitowym polu struktury cfg80211_rnr_elems. Brak odpowiedniego sprawdzenia przed inkrementacją licznika może prowadzić do przepełnienia bufora podczas przetwarzania list EMA RNR.