Katalog podatności CVE

W jądrze Linux w sched_ext, gdy włączenie sub-schedulera nie powiedzie się przed scx_link_sched(), procedura czyszczenia nadal wykonuje pełne scx_sub_disable(), co może prowadzić do wyścigu z wyłączaniem roota i użycia po zwolnieniu (use-after-free). Poprawka pomija reset własności cgroup i przeszukiwanie zadań, jeśli scheduler nigdy nie został zlinkowany.

W jądrze Linux w sterowniku bonding (tryb ALB) funkcja bond_alb_monitor() odczytuje stan primary_is_promisc pod ochroną RCU, a następnie przed wykonaniem operacji na interfejsie zwalnia RCU i próbuje przejąć RTNL. W tym czasie aktywny slave może się zmienić (np. usunięcie interfejsu), co prowadzi do użycia nieaktualnych danych i może skutkować błędem dereferencji pustego wskaźnika (panic) lub nieprawidłowym zmniejszeniem licznika promiscuity, pozostawiając interfejs w trybie IFF_PROMISC.

W jądrze Linux w sterowniku enic, funkcja enic_remove nie anuluje pracy tx_hang_reset, co może prowadzić do użycia po zwolnieniu (use-after-free) po free_netdev(). Poprawka używa disable_work_sync() zamiast cancel_work_sync(), aby zablokować ponowne planowanie pracy.

W jądrze Linux w IPVS, funkcja ip_vs_nat_icmp może zapisywać poza dozwolony obszar, ponieważ pole ihl w nagłówku IPv4 jest odczytywane wielokrotnie, a lokalny atakujący może modyfikować pakiet w trakcie przetwarzania. Poprawka odczytuje ihl tylko raz i używa ciph->len jako offsetu do transportowego nagłówka.

W jądrze Linux w funkcji amdxdna_insert_pages() w sterowniku accel/amxdna występują dwa błędne ścieżki obsługi błędów, które wywołują vma->vm_ops->close(vma) przed zwróceniem kodu błędu. To powoduje przedwczesne zwolnienie zasobów, a późniejsze odmapowanie zakresu przez proces prowadzi do podwójnego wywołania close i niedomiaru licznika referencji.

W jądrze Linux w mechanizmie BPF podczas obsługi operacji scalar += pointer w adjust_ptr_min_max_vals() kopiowanie tylko wybranych pól stanu wskaźnika jest zawodne, ponieważ pochodzenie wskaźnika jest śledzone przez wiele pól bpf_reg_state. Poprawka używa tymczasowego rejestru offsetu, aby zachować operand skalarny i zastąpić miejsce docelowe pełnym stanem wskaźnika.

W sterowniku mlx5 dla jądra Linux wykryto podatność, w której funkcja tworzenia śledzenia oprogramowania układowego (fw_tracer) może zwracać zarówno NULL, jak i ERR_PTR. Brak sprawdzenia wartości zwracanej prowadzi do wyłuskania nieprawidłowego wskaźnika podczas generowania zrzutu pamięci, co powoduje awarię systemu (kernel panic).

W jądrze Linux wykryto podatność w funkcjach kfunc BPF związanych z conntrack, gdzie argument opts może wskazywać na współdzieloną wartość mapy. Niespójne odczyty pola netns_id podczas uzyskiwania i zwalniania referencji do przestrzeni nazw sieciowych mogą prowadzić do braku równowagi referencji, co w skrajnych przypadkach może spowodować zniszczenie aktywnej przestrzeni nazw i awarię systemu.

W jądrze Linux wykryto podatność use-after-free w funkcji bpf_iter_tcp_established_batch() dla gniazd TCP_NEW_SYN_RECV. Publikacja request_sock na łańcuchu ehash odbywa się przed ustawieniem licznika referencji, a iterator BPF używa zwykłego sock_hold() zamiast refcount_inc_not_zero(), co prowadzi do wyścigu i nadpisywania licznika, skutkując użyciem po zwolnieniu pamięci.

W jądrze Linuxa odkryto podatność w mechanizmie vhost_iotlb, gdzie mapowanie wpisów IOTLB nie było ograniczane do skonfigurowanego limitu, co pozwalało na niekontrolowaną alokację pamięci. Problem dotyczy urządzeń vhost, vDPA, VDUSE oraz vhost-vDPA, które mogą tworzyć tabele bez limitu lub z limitem zerowym. Poprawka wymusza przestrzeganie limitu i odrzuca nieprawidłowe wartości.

W jądrze Linuxa wykryto podatność typu type confusion w sterowniku hwmon dla układów PMBus. Funkcja pmbus_notify() nieprawidłowo rzutuje różne typy atrybutów na strukturę sensor_device_attribute, co może prowadzić do odczytu poza przydzieloną pamięcią (slab-out-of-bounds) lub do błędnego dopasowania maski podczas obsługi alertów. Problem został naprawiony przez zmianę struktury atrybutów i ustawienie indeksu na -1 dla atrybutów, które nie wyzwalają powiadomień.

W jądrze Linux w AF_XDP stwierdzono, że akceptowana jest długość metadanych TX wynosząca zaledwie osiem bajtów, podczas gdy każda obsługiwana operacja wymaga flag oraz co najmniej jednego ośmiobajtowego pola. Taka krótka długość może pozwolić jądru na odczyt poza zarejestrowanym obszarem.

W jądrze Linux w AF_XDP stwierdzono, że metadane launch-time wykraczają poza pierwsze 16 bajtów struktury xsk_tx_metadata. Podatność pozwala na odrzucenie żądania, gdy zarejestrowany obszar metadanych nie zawiera pełnego pola. Dodatkowo, poprawka używa migawki flag dla ścieżki generycznej transmisji, aby uniknąć niespójnych decyzji przy równoczesnej zmianie flag przez użytkownika.

W jądrze Linux w AF_XDP stwierdzono, że ścieżka zero-copy waliduje metadane TX podczas uzyskiwania kontekstu deskryptora, a następnie czyta je ponownie podczas przygotowywania żądania sprzętowego. Przestrzeń użytkownika może zmienić metadane między tymi operacjami i ominąć pierwotną walidację. Poprawka waliduje metadane w xsk_tx_metadata_request() i używa migawki flag dla wszystkich kontroli.

W jądrze Linux w schedulerze sieciowym sch_cake stwierdzono, że filtr ACK zawiera WARN_ON(1), który może być wyzwolony przez nieprawidłowy nagłówek IP. W zależności od konfiguracji systemu prowadzi to do spamowania dmesg ostrzeżeniami lub paniki, jeśli ustawiono panic_on_warn. Poprawka usuwa WARN_ON, ponieważ kod już poprawnie pomija pakiet w tej gałęzi.

W jądrze Linux w podsystemie vhost-scsi występuje podatność polegająca na braku walidacji liczby scatterlistów dla T10 PI. Złośliwe żądanie może zadeklarować bajty ochronne pokrywające lub przekraczające długość ładunku, co prowadzi do sytuacji, w której liczba SGL wynosi zero i wywoływana jest funkcja sg_alloc_table_chained(), powodując BUG_ON(!nents).

W jądrze Linux wykryto podatność w vhost-scsi, gdzie zmiana funkcji (feature) po aktywacji punktu końcowego (endpoint) może prowadzić do awarii systemu (kernel panic). Brak walidacji zmian funkcji po negocjacji powoduje, że włączenie T10-PI po konfiguracji pozostawia niezainicjalizowane struktury danych, co wywołuje BUG_ON w sg_alloc_table_chained().

W jądrze Linuxa w module openvswitch funkcja key_extract() nie sprawdza długości nagłówka Ethernet przed jego użyciem, co może prowadzić do błędu BUG w __skb_pull() dla pakietów przychodzących z urządzeń ARPHRD_NONE, takich jak TUN. Poprawka polega na wywołaniu check_header() przed dostępem do nagłówka Ethernet.

W jądrze Linux wykryto podatność w mechanizmie filtrów sieciowych (net/sched). Problem dotyczy wyścigu (race condition) podczas tworzenia filtrów, który może doprowadzić do użycia po zwolnieniu pamięci (UAF) w klasie cls_u32. Naprawa polega na zawsze pobieraniu blokady rtnl_lock podczas niszczenia klasyfikatorów zablokowanych.

W jądrze Linux w sterowniku bnxt_en wykryto podatność powodującą uszkodzenie danych. Gdy włączone jest EOP (dopełnienie końca ramki) na pierścieniu AGG, może dojść do nakładania się zerowego dopełnienia z danymi następnego segmentu, zwłaszcza przy włączonym Relaxed Ordering (RO). Na starszych układach (P5 i starsze) RO nie jest automatycznie wyłączane, co może prowadzić do nadpisania poprawnych danych.