Katalog podatności CVE

W jądrze Linux w podsystemie RDMA/rtrs dodano zabezpieczenie przed dereferencją pustego wskaźnika. W przypadku błędu w funkcji init_path() kod sprzątający mógł wywołać tracing zdarzeń z polem kobj->name równym NULL, co prowadziło do naruszenia pamięci. Dodano sprawdzenie, czy nazwa nie jest NULL przed jej skopiowaniem.

W jądrze Linux w podsystemie RDMA/mad wykryto wyciek bufora odbiorczego, gdy kontrola PKey nie powiedzie się. Funkcja ib_mad_complete_recv() inicjalizuje listę rmpp_list, ale przed jej użyciem wywołuje ib_mad_enforce_security(), a w przypadku błędu nie zwalnia bufora, ponieważ lista jest jeszcze pusta. Zdalny węzeł może wielokrotnie wysyłać MAD z błędnym PKey, powodując wyciek pamięci.

W jądrze Linux w podsystemie RDMA/erdma użyto bezpiecznych dla przerwań (IRQ-safe) pomocniczych funkcji XArray dla tabel QP i CQ. Wcześniej operacje na tych tabelach z poziomu przerwań EQ mogły powodować zakleszczenie (deadlock) z aktualizacjami w ścieżce tworzenia, gdy przerwanie przechwyciło zwykłą blokadę xa_lock.

W jądrze Linux w podsystemie RDMA/rtrs-clt naprawiono wyciek puli CQ, gdy połączenie zostanie przerwane. Klient pożycza kredyty CQ w handlerze ADDR_RESOLVED przed nawiązaniem połączenia, a w przypadku błędu create_cm() może nie zwolnić tych kredytów, co prowadzi do wycieku i potencjalnego ostrzeżenia WARN_ON podczas czyszczenia puli.

W jądrze Linux w sterowniku wifi virt_wifi naprawiono wyciek skb, gdy symulowane połączenie jest rozłączone. Funkcja virt_wifi_start_xmit() zwracała NET_XMIT_DROP bez zwalniania skb, co powodowało wyciek pamięci przy każdym wysłanym pakiecie podczas rozłączenia.

W jądrze Linux w sterowniku wifi brcmfmac (cyw) naprawiono problem z przekazywaniem PMKID do firmware. Wcześniej pole auth_status nie było zerowane, co powodowało wyciek danych ze stosu do firmware, a brak przekazania PMKID powodował, że firmware buforował śmieciowy PMKID i odrzucał późniejsze żądania asocjacji z poprawnym PMKID.

W jądrze Linux w podsystemie wifi libipw naprawiono podatność polegającą na odrzucaniu zbyt krótkich ramek beacon i probe response. Funkcje parsujące zakładały, że ramka zawiera pełny 36-bajtowy prefiks, ale ścieżki odbioru ipw2100/ipw2200 gwarantowały tylko 24-bajtowy nagłówek. Obliczenie długości informacji prowadziło do zawinięcia (wrap) i odczytu poza przydzielony bufor.

W jądrze Linux w podsystemie wifi libipw naprawiono podatność polegającą na odrzucaniu zbyt krótkich ramek odpowiedzi asocjacji. Funkcja libipw_handle_assoc_resp() czyta pola z 30-bajtowego prefiksu, ale ścieżki odbioru gwarantują tylko 24-bajtowy nagłówek. Obliczenie długości informacji prowadzi do zawinięcia i odczytu poza bufor.

W jądrze Linux w podsystemie IB/IPoIB naprawiono problem z przywracaniem flagi OPER_UP po flush multicast. Wcześniej flaga OPER_UP była tymczasowo czyszczona i przywracana, co powodowało wyścig z ipoib_ib_dev_down(). Po wyłączeniu interfejsu flaga mogła zostać ustawiona ponownie, co prowadziło do zakleszczenia w destroy_workqueue(). Wprowadzono dedykowaną flagę IPOIB_FLAG_MCAST_FLUSH.

W jądrze Linux w podsystemie wifi cfg80211 naprawiono problem z pobieraniem maski radiowej dla wdev bez netdev. Funkcja cfg80211_calculate_bi_data() wywołuje rdev_get_radio_mask() z wdev->netdev, które może być NULL, co prowadzi do awarii w mac80211. Zmieniono kolejność sprawdzeń, aby uniknąć tego problemu.

W jądrze Linux funkcja cfg80211_classify8021d() nie sprawdzała rozmiaru nagłówka IP przed odczytem pola DS. Zbyt krótka ramka wyglądająca jak IP powodowała odczyt niezainicjalizowanej pamięci (wykryty przez KMSAN).

W jądrze Linux funkcja dma_chan_put() bezwarunkowo zwalniała referencję urządzenia, podczas gdy dma_chan_get() pobierało ją tylko na ścieżce wolnej. Powodowało to niedomiar licznika kref przy każdej parze get/put na ścieżce szybkiej.

W jądrze Linux w dma_chan_put() i dma_release_channel() występowało użycie po zwolnieniu (use-after-free). Gdy dma_device_put() zwalniało ostatnią referencję, dma_device_release() mogło zwolnić dma_device wraz z kanałami, a dma_chan_put() nadal odczytywało chan->device->owner.

W jądrze Linux dma_device_release() usuwało urządzenie z listy i zwalniało je bez okresu karencji RCU. Współbieżni czytelnicy RCU w dma_issue_pending_all() mogli uzyskać dostęp do już zwolnionego urządzenia.

W jądrze Linux cfg80211 zwalniało żądanie skanowania należące do sterownika, gdy interfejs był wyłączany podczas skanowania. Sterownik nadal uważał, że jest właścicielem żądania, co prowadziło do use-after-free w scan_done().

W jądrze Linux __cfg80211_bss_update() grupowało ukryte wpisy BSS z wpisami pochodzącymi z odpowiedzi probe bez elementów beacon. Późniejsze nadejście beacon z ukrytym SSID powodowało naruszenie WARN_ON_ONCE w cfg80211_combine_bsses().

W jądrze Linux cfg80211_update_assoc_bss_entry() filtrowało wpisy po typie BSS przy usuwaniu nieaktualnych wpisów. Wpis z innym bitem możliwości (np. IBSS) pozostawał, powodując WARN_ON(!cmp) w cfg80211_rehash_bss().

W jądrze Linux przy dołączaniu do IBSS zapisywano tylko BSSID/kanał w zdarzeniu i wyszukiwano wpis BSS podczas przetwarzania. Było to podatne na wyścig (np. nowe skanowanie z NL80211_SCAN_FLAG_FLUSH mogło usunąć wpis), powodując ostrzeżenie w __cfg80211_ibss_joined().

W jądrze Linux mac80211 mogło rozpocząć ROC (remain-on-channel), gdy skanowanie było w toku. Prowadziło to do ostrzeżenia w ieee80211_start_next_roc() podczas kończenia skanowania.

W jądrze Linux mac80211 próbowało zoffloadować konfigurację TC na interfejsach AP_VLAN, które są czysto wirtualne. Ponieważ interfejs AP nie zawsze jest znany i może się zmienić, offload nie powinien być wykonywany.