Katalog podatności CVE

W jądrze Linux naprawiono podatność w sterowniku RDMA/siw w funkcji siw_accept(). Jeśli siw_qp_modify() zakończy się niepowodzeniem, stan QP jest zwalniany przed oczyszczeniem ścieżki błędu, co pozwala współbieżnemu wywołaniu ibv_modify_qp() na przejście QP do stanu ERROR i zwolnienie struktury cep, prowadząc do use-after-free. Poprawka polega na wyczyszczeniu qp->cep i zwolnieniu referencji asocjacji pod trzymanym zamkiem zapisu.

W jądrze Linuxa w podsystemie RDMA/rxe wykryto podatność polegającą na tym, że funkcja rxe_rereg_user_mr() najpierw zmienia wskaźnik PD (protection domain), a dopiero potem waliduje flagi dostępu. Jeśli walidacja się nie powiedzie, obiekt MR pozostaje w niespójnym stanie, co prowadzi do użycia po zwolnieniu (use-after-free) pamięci PD.

W jądrze Linux w podsystemie RDMA/rxe funkcja mr_check_range() zawiera podatność na przepełnienie liczb całkowitych, co pozwala zdalnemu nieuwierzytelnionemu klientowi na ominięcie walidacji zakresu pamięci i wywołanie odczytu/zapisu poza granicami, prowadząc do awarii jądra. Poprawka przepisuje sprawdzenie w bezpiecznej formie, zwracając błąd -EINVAL dla spreparowanych żądań.

W jądrze Linux w podsystemie xfrm podczas tworzenia pakietów (bundle) brakuje trzymania referencji do net_device, co prowadzi do użycia po zwolnieniu (use-after-free) przy równoczesnym usuwaniu interfejsu. Poprawka polega na czytaniu dst->dev przez dst_dev_rcu() i utrzymywaniu sekcji krytycznej RCU do czasu przejęcia referencji przez xfrm_fill_dst().

W jądrze Linux w podsystemie firmware arm_scpi funkcja scpi_dvfs_get_info() nie sprawdza górnego limitu liczby OPP (operating performance points) odczytywanych z firmware SCP, co może prowadzić do odczytu poza tablicą i błędnego rozmiaru alokowanej tabeli OPP. Poprawka odrzuca zarówno zerową, jak i zbyt dużą liczbę OPP, zwracając -EINVAL.

W jądrze Linux w podsystemie clk scpi funkcja scpi_dvfs_recalc_rate() nie sprawdza górnego limitu indeksu DVFS zwracanego przez dvfs_get_idx(), co może prowadzić do odczytu poza tablicą i traktowania śmieci jako częstotliwości zegara. Poprawka traktuje indeksy większe lub równe liczbie OPP jako nieprawidłowe i zwraca 0.

W jądrze Linux w podsystemie RDMA/rxe przywrócono sprawdzanie HMM_PFN_WRITE w ścieżkach zapisu ODP. Wcześniejsza poprawka usunęła test uprawnień dostępu, co pozwalało nieuprzywilejowanemu użytkownikowi na modyfikację stron tylko do odczytu (np. plików w cache) przez operacje RDMA, podobnie jak Dirty COW. Poprawka wymaga HMM_PFN_WRITE dla wszystkich operacji zapisu, co zapobiega nadpisywaniu plików tylko do odczytu.

W jądrze Linux w module RDMA/rxe występuje podatność use-after-free. Funkcja rxe_get_mcg() publikuje nowo utworzoną grupę multicast w drzewie mcg_tree, zanim adres multicast zostanie zaprogramowany przez rxe_mcast_add(). Jeśli rxe_mcast_add() zwróci błąd, grupa jest zwalniana, ale pozostaje w drzewie, co prowadzi do użycia zwolnionej pamięci przy późniejszym wyszukiwaniu tego samego MGID.

W jądrze Linux w podsystemie RDMA/core funkcja ib_get_eth_speed() nie sprawdza stanu rejestracji net_device przed wywołaniem funkcji ethtool, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas odinstalowywania interfejsu. Poprawka dodaje sprawdzenie NETREG_REGISTERED pod RTNL i zwraca -ENODEV dla urządzeń w trakcie wyrejestrowania.

W jądrze Linuxa w podsystemie IB/iser wykryto podatność, w której zdalna unieważnienie (remote invalidation) kierunku, który nie został zarejestrowany, prowadzi do dostępu do pustego wskaźnika i błędu ogólnej ochrony (general protection fault). Problem dotyczy poleceń zapisu, których dane są przesyłane w całości jako dane natychmiastowe, co powoduje, że deskryptor rdma_reg[ISER_DIR_OUT].desc pozostaje pusty, a funkcja iser_check_remote_inv() przekazuje go do iser_inv_desc(), która odczytuje pole sig_protected z nieprawidłowego adresu.

W jądrze Linux występuje luka use-after-free w module IB/isert. Funkcja isert_send_done() przekazuje obsługę zakończeń niektórych PDU sterujących do kolejki roboczej isert_comp_wq, ale nie ma gwarancji, że zadanie to zakończy się przed zwolnieniem połączenia przez isert_wait_conn() i iscsit_close_connection(). W efekcie zadanie w kolejce może odwołać się do zwolnionej pamięci.

W jądrze Linux w podsystemie RDMA/bnxt_re funkcja bnxt_re_init_dcb_wq() ignoruje niepowodzenie alokacji kolejki pracy (create_singlethread_workqueue()), co prowadzi do wywołania queue_work() na wskaźniku NULL przez asynchroniczny handler DCB. Poprawka prawdopodobnie dodaje sprawdzenie błędu alokacji.

W jądrze Linux w podsystemie RDMA/rtrs dodano zabezpieczenie przed dereferencją pustego wskaźnika. W przypadku błędu w funkcji init_path() kod sprzątający mógł wywołać tracing zdarzeń z polem kobj->name równym NULL, co prowadziło do naruszenia pamięci. Dodano sprawdzenie, czy nazwa nie jest NULL przed jej skopiowaniem.

W jądrze Linux w podsystemie RDMA/mad wykryto wyciek bufora odbiorczego, gdy kontrola PKey nie powiedzie się. Funkcja ib_mad_complete_recv() inicjalizuje listę rmpp_list, ale przed jej użyciem wywołuje ib_mad_enforce_security(), a w przypadku błędu nie zwalnia bufora, ponieważ lista jest jeszcze pusta. Zdalny węzeł może wielokrotnie wysyłać MAD z błędnym PKey, powodując wyciek pamięci.

W jądrze Linux w podsystemie RDMA/erdma użyto bezpiecznych dla przerwań (IRQ-safe) pomocniczych funkcji XArray dla tabel QP i CQ. Wcześniej operacje na tych tabelach z poziomu przerwań EQ mogły powodować zakleszczenie (deadlock) z aktualizacjami w ścieżce tworzenia, gdy przerwanie przechwyciło zwykłą blokadę xa_lock.

W jądrze Linux w podsystemie RDMA/rtrs-clt naprawiono wyciek puli CQ, gdy połączenie zostanie przerwane. Klient pożycza kredyty CQ w handlerze ADDR_RESOLVED przed nawiązaniem połączenia, a w przypadku błędu create_cm() może nie zwolnić tych kredytów, co prowadzi do wycieku i potencjalnego ostrzeżenia WARN_ON podczas czyszczenia puli.

W jądrze Linux w sterowniku wifi virt_wifi naprawiono wyciek skb, gdy symulowane połączenie jest rozłączone. Funkcja virt_wifi_start_xmit() zwracała NET_XMIT_DROP bez zwalniania skb, co powodowało wyciek pamięci przy każdym wysłanym pakiecie podczas rozłączenia.

W jądrze Linux w sterowniku wifi brcmfmac (cyw) naprawiono problem z przekazywaniem PMKID do firmware. Wcześniej pole auth_status nie było zerowane, co powodowało wyciek danych ze stosu do firmware, a brak przekazania PMKID powodował, że firmware buforował śmieciowy PMKID i odrzucał późniejsze żądania asocjacji z poprawnym PMKID.

W jądrze Linux w podsystemie wifi libipw naprawiono podatność polegającą na odrzucaniu zbyt krótkich ramek beacon i probe response. Funkcje parsujące zakładały, że ramka zawiera pełny 36-bajtowy prefiks, ale ścieżki odbioru ipw2100/ipw2200 gwarantowały tylko 24-bajtowy nagłówek. Obliczenie długości informacji prowadziło do zawinięcia (wrap) i odczytu poza przydzielony bufor.

W jądrze Linux w podsystemie wifi libipw naprawiono podatność polegającą na odrzucaniu zbyt krótkich ramek odpowiedzi asocjacji. Funkcja libipw_handle_assoc_resp() czyta pola z 30-bajtowego prefiksu, ale ścieżki odbioru gwarantują tylko 24-bajtowy nagłówek. Obliczenie długości informacji prowadzi do zawinięcia i odczytu poza bufor.