Katalog podatności CVE

W sterowniku amba-pl011 w jądrze Linux, timery hrtimer RS485 są osadzone w zarządzanym przez devm porcie i mogą się uruchomić po jego zwolnieniu. Obsługa przerwań może uzbroić timer, dlatego należy najpierw zwolnić IRQ, a następnie anulować oba timery.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_get_wpa_ie() odczytuje bajty na stałych offsetach z elementu informacyjnego specyficznego dla dostawcy bez sprawdzania, czy element jest wystarczająco długi, co powoduje odczyt poza zakresem dla krótkiego elementu IE.

W sterowniku staging rtl8723bs w jądrze Linux, procedura uwierzytelniania WEP shared-key używa długości elementu challenge-text kontrolowanej przez atakującego bez sprawdzania jej względem stałego bufora 128-bajtowego chg_txt, co może prowadzić do przepełnienia lub niedopełnienia bufora.

W sterowniku staging rtl8723bs w jądrze Linux, funkcja rtw_cfg80211_monitor_if_xmit_entry() usuwa nagłówek radiotap i odczytuje pole kontrolne ramki 802.11 bez sprawdzania, czy pozostał podstawowy nagłówek 802.11, co może prowadzić do odczytów poza zakresem lub niewystarczających danych.

W jądrze Linux w module fastrpc występuje potencjalny wyścig podczas operacji unmap bufora. Bufor jest usuwany z listy dopiero po zakończeniu operacji unmap, co może prowadzić do problemów przy równoczesnym wywołaniu unmap przez wiele wątków. Poprawka przenosi usunięcie z listy przed operacją unmap, a w przypadku niepowodzenia bufor jest ponownie dodawany.

W jądrze Linux w module fastrpc brakuje blokady fl->lock podczas przenoszenia mapowań pamięci po przerwaniu wywołania invoke. Operacje list_del() i list_add_tail() są wykonywane bez tej blokady, co może prowadzić do wyścigu z innymi operacjami na liście mmaps. Poprawka dodaje blokadę wokół przenoszenia.

W jądrze Linux w sterowniku ALSA usx2y (dla kart dźwiękowych USB US-X2Y) brakuje walidacji offsetu w funkcji mmap dla interfejsu hwdep. Atakujący może podać dowolny offset, co prowadzi do uzyskania dostępu do pamięci jądra poza przydzielonym obszarem, a w skrajnych przypadkach do oopsa systemu.

W jądrze Linux wykryto podatność w sterowniku ALSA FCP, polegającą na zapisie poza zakresem pamięci (OOB write) w funkcji fcp_meter_ctl_get(). Problem wynika z nieprawidłowego ograniczenia rozmiaru mapy poziomów (do 255 zamiast 128), co pozwala na zapis danych poza przydzielony bufor. Atakujący z uprawnieniami CAP_SYS_RAWIO może zainstalować zbyt dużą mapę, a następnie każdy proces z dostępem do /dev/snd/controlC0 może wywołać zapis poza pamięcią.

W jądrze Linux wykryto podatność use-after-free w podsystemie perf, związaną z nieprawidłowym odłączaniem zdarzeń potomnych od grupy. Gdy zdarzenie potomne jest odłączane od grupy (np. podczas hot-unplug CPU), jego wskaźnik group_leader pozostaje wskazujący na starego lidera, który może zostać zwolniony, co prowadzi do dereferencji zwolnionej pamięci podczas wywołania ioctl PERF_IOC_FLAG_GROUP. Problem został zaobserwowany przez fuzzer zdarzeń perf, hotplug CPU i obciążenie systemu.

W jądrze Linux w sterowniku fbdev funkcja bit_cursor() nie sprawdzała poprawności indeksu glifu odczytanego z bufora ekranu, co mogło prowadzić do odczytu poza zakresem pamięci. Problem został zgłoszony przez narzędzie Syzkaller i dotyczy ścieżki zapisu do /dev/vcsa.

W jądrze Linuxa funkcja ring_buffer_subbuf_order_set() zwalnia strony bufora, co jest niedozwolone, gdy zmiana rozmiaru jest wyłączona. Nieczytający konsument może doświadczyć użycia po zwolnieniu (use-after-free) w rb_advance_iter(). Funkcja zwraca teraz -EBUSY, gdy resize_disabled jest ustawione, zgodnie z zachowaniem ring_buffer_resize().

W jądrze Linux wykryto subtelny wyścig (race condition) w implementacji strony huge_zero_folio, który może prowadzić do błędnej identyfikacji strony jako zwykłej strony THP. Problem dotyczy sytuacji, gdy shrinker nadpisuje wskaźnik huge_zero_pfn wartością ~0UL w trakcie równoczesnego dostępu z get_huge_zero_folio(). Skutkiem może być nieprawidłowe dzielenie strony huge zero i inne błędne operacje.

W jądrze Linuxa w funkcji smc_rx_splice() występuje błąd braku równowagi w czasie życia wpisów splice. Funkcja przekazuje strony do splice_to_pipe() przed pobraniem referencji, co może prowadzić do użycia po zwolnieniu (use-after-free) z powodu niedomiaru licznika referencji.

W jądrze Linuxa funkcja in6_dev_get() może wskrzesić obiekt inet6_dev po jego zwolnieniu. Odczytuje dev->ip6_ptr pod RCU, a następnie bezwarunkowo zwiększa licznik referencji. Jeśli teardown urządzenia wyczyści wskaźnik i zwolni ostatnią referencję między tymi operacjami, inkrementacja może wskrzesić obiekt, którego zwolnienie RCU już zostało zaplanowane, prowadząc do użycia po zwolnieniu.

W jądrze Linuxa w module net/dibs występuje problem z podwójnym zwolnieniem i użyciem po zwolnieniu (UAF) w dmb_clientid_arr. Obsługa przerwań może być aktywna po dibs_dev_del() i nadal uzyskiwać dostęp do tablicy. W przypadku błędu w dibs_dev_add() tablica jest zwalniana dwukrotnie.

W jądrze Linuxa w funkcji zerocopy_fill_skb_from_devmem() brakuje zabezpieczenia przed mieszaniem fragmentów net_iov i stron w jednym pakiecie sieciowym (skb). Taka mieszanka może prowadzić do awarii stosu sieciowego.

W jądrze Linuxa w sterowniku ntb_netdev funkcja ntb_netdev_rx_handler() przekazuje odebrany skb do stosu sieciowego przed przydzieleniem jego następcy. Jeśli alokacja się nie powiedzie, bufor nie jest ponownie wysyłany, co stopniowo opróżnia kolejkę RX i może zatrzymać odbiór pakietów.

W jądrze Linuxa w podsystemie netfilter bridge, gdy reguła nftables ustawia strefę ct, szablon conntrack może zostać dołączony do skb przed przetworzeniem przez nf_ct_bridge_pre(). Dla nie-IP typów EtherType funkcja nadpisuje stan conntrack bez zwolnienia referencji do szablonu, co prowadzi do wycieku pamięci.

W jądrze Linuxa w netfilter nf_conntrack, ścieżki TCP i SCTP mogą generować logi o nieprawidłowych pakietach, gdy trzymają blokadę ct->lock. Jeśli logowanie jest kierowane do nfnetlink_log i eksport conntrack jest włączony, może dojść do zakleszczenia.

W jądrze Linux wykryto podatność w module net/sched/act_ct, która powoduje wyciek pamięci sk_buff. Gdy funkcja tcf_ct_handle_fragments() odrzuca pakiet z powodu błędów w nagłówkach (np. -EINVAL, -ENOMEM, -EPROTO), pakiet nie jest zwalniany, a akcja zwraca TC_ACT_CONSUMED, co prowadzi do trwałego wycieku pamięci. Problem został zaobserwowany na wersji v7.2-rc6, gdzie każdy nieprawidłowy pakiet powoduje wyciek obiektu skbuff_head_cache (232 bajty) oraz bufora danych (704 bajty).