Katalog podatności CVE

W jądrze Linux w systemie plików NTFS funkcja ntfs_non_resident_attr_shrink() wywoływała operacje na runlistach bez wymaganej blokady zapisu, co mogło prowadzić do wyścigu. Dodatkowo ntfs_attr_map_cluster() mogła pozostawić niespójny stan przy nieudanej aktualizacji mapowań. Poprawka serializuje te operacje blokadą runlisty i dodaje mechanizm wycofywania zmian.

W jądrze Linux w podsystemie ALSA funkcja snd_pcm_timer_init() rejestrowała timer PCM przed ustawieniem pola timer->private_data. W krótkim oknie czasowym równoległy wątek mógł uzyskać dostęp do timera przez /proc/asound/timers lub snd_timer_open() i wywołać wskaźnik NULL, powodując dereferencję NULL. Poprawka przenosi przypisanie private_data przed rejestrację.

W jądrze Linux w sterowniku drm/msm/dp funkcja msm_dp_display_atomic_disable() bezwarunkowo zapisywała DP_STATE_CTRL_PUSH_IDLE i czekała na wzorzec idle, nawet gdy główne łącze nigdy nie zostało włączone (np. po nieudanym treningu linku). Powodowało to przekroczenie czasu oczekiwania na wzorzec PUSH_IDLE i zwalniało referencję runtime-PM kontrolera bez uprzedniego wyłączenia łącza. Na SoC Snapdragon X2 Elite (glymur) prowadziło to do wymuszonego zatrzymania procesorów SOCCP i ADSP przez TrustZone i cichego resetu maszyny.

W jądrze Linux w sterowniku ALSA dla urządzeń USB 6fire występuje podatność polegająca na zapisie poza granicami bufora (out-of-bounds write) w funkcji usb6fire_pcm_in_urb_handler(). Urządzenie może zgłosić długość pakietu isochronous mniejszą niż 4 bajty, co powoduje niedomiar (wrap) przy odejmowaniu i prowadzi do wywołania memset() z ogromnym rozmiarem na buforze o rozmiarze 4832 bajtów. Nawet bez zawinięcia przy częstotliwościach 88.2/96 kHz przeliczenie 4-wejściowych/6-wyjściowych pakietów powoduje przekroczenie rozmiaru bufora.

W jądrze Linux w sterowniku wifi virt_wifi funkcja virt_wifi_newlink() przenosiła stan operacyjny (operstate) przed rejestracją urządzenia sieciowego. Jeśli rejestracja się nie powiodła (np. z powodu nieprawidłowej nazwy), zwolnienie netdev pozostawiało wpis na liście lweventlist, co prowadziło do use-after-free przy późniejszym linkwatch_fire_event(). Poprawka przenosi transfer po netdev_upper_dev_link().

W jądrze Linux w komponencie drm/xe/shrinker wykryto błąd, w którym funkcja __xe_shrinker_walk() przegląda listy LRU SYSTEM i TT bez referencji runtime PM. Zmniejszanie bufora poza pamięcią systemową unieważnia jego mapowania GPU, co wymaga wybudzenia urządzenia — w stanie uśpienia runtime powoduje to ostrzeżenie asercji i zwrócenie -ENODEV przez unieważnienie TLB.

W jądrze Linux w sterowniku DRM vc4 funkcja vc4_kms_load() inicjowała odpytywanie KMS (drm_kms_helper_poll_init()) bez odpowiadającego wywołania fini. Po odłączeniu sterownika (unbind) zaplanowana praca odpytywania nadal się wykonywała na zwolnionej strukturze drm_device, powodując use-after-free. Poprawka używa zarządzanej wersji drmm_kms_helper_poll_init().

W jądrze Linux w podsystemie ALSA HDA punkt śledzenia (tracepoint) otwarcia PCM był wywoływany przed przypisaniem strumienia. Gdy przypisanie strumienia nie powiodło się z powodu wyczerpania strumieni sprzętowych, dane tracepoint odwoływały się do niezainicjowanego znacznika strumienia. Poprawka przenosi tracepoint po sprawdzeniu NULL.

W jądrze Linux w sterowniku wifi ath11k wykryto wyciek pamięci. Gdy firmware ulega awarii, funkcja ath11k_mac_peer_cleanup_all() nie zwalniała zasobów arsta->rx_stats i tx_stats, co prowadziło do wycieków pamięci jądra (kmemleak). Poprawka wydziela czyszczenie arsta do nowej funkcji ath11k_mac_station_cleanup() i wywołuje ją w obu miejscach.

W jądrze Linux w seg6 funkcja decap_and_validate() przy dekapulacji IPIP nie ustawiała flagi IPSKB_L3SLAVE w IPCB dla IPv4, mimo że robiła to dla IPv6. W efekcie pakiety SRv6 dekapulowane na interfejsie przypisanym do VRF nie trafiały do gniazd lokalnych zgodnie z oczekiwaniami. Poprawka ustawia flagę IPSKB_L3SLAVE dla IPv4.

W jądrze Linux w sterowniku DSA mxl862xx występuje problem z odpytywaniem statystyk podczas zamykania. Ankieta może działać na zwolnionej pamięci portów, a ponowne uruchomienie po anulowaniu może spowodować kolejkowanie pracy po zakończeniu synchronizacji.

W jądrze Linux sterownik bcmgenet traci skonfigurowane reguły filtrów sprzętowych przy każdym podniesieniu interfejsu, ponieważ inicjalizacja listy w bcmgenet_hfb_init() usuwa wszystkie reguły.

W jądrze Linux w IPv4 ICMP funkcja icmp_route_lookup() nie odrzuca tras wejściowych typu RTN_UNREACHABLE, co może prowadzić do ostrzeżenia WARN_ON_ONCE() w ip_rt_bug() podczas wysyłania pakietów ICMP.

W jądrze Linux w sterowniku sieciowym skfp (FDDI) występuje podatność na odwołanie do pustego wskaźnika (NULL deref) podczas ustawiania adresu MAC na interfejsie, który nie został uruchomiony. Funkcja skfp_ctl_set_mac_address() wywołuje ResetAdapter() bez sprawdzenia, czy interfejs jest aktywny, co prowadzi do dostępu do niezainicjalizowanych kolejek transmisji i awarii systemu (oops).

W jądrze Linux w moście sieciowym (bridge) funkcja br_mst_set_state() wywołuje switchdev_port_attr_set() podczas trzymania rcu_read_lock(), co może prowadzić do usypiania w kontekście RCU i potencjalnych problemów.

W jądrze Linux występuje wyścig (race condition) w funkcji tcp_v6_do_rcv() między sprawdzeniem stanu gniazda TCP_LISTEN a wywołaniem skb_clone_and_charge_r(). Równoległe wywołanie close() może zmienić stan gniazda z TCP_LISTEN na TCP_CLOSE, powodując wywołanie funkcji bez blokady i ostrzeżenie w inet_sock_destruct(). Problem dotyczy gniazd IPv6 TCP w stanie nasłuchiwania zamykanych współbieżnie.

W jądrze Linux występuje podatność polegająca na możliwości ustawienia parametru net.ipv4.tcp_rmem na wartość mniejszą niż 4096, co prowadzi do dzielenia przez zero w funkcjach tcp_rcvbuf_grow() i tcp_rcv_space_adjust(). W wyniku tego może dojść do awarii jądra (kernel panic). Problem został rozwiązany poprzez wymuszenie minimalnej wartości 4096 dla tcp_rmem.

W jądrze Linux w sterowniku DMA mmp_pdma funkcja mmp_pdma_prep_slave_sg() odczytuje długość wpisu z głowy listy zamiast bieżącego wpisu, co prowadzi do błędów przy listach o różnych długościach.

W jądrze Linux w Bluetooth (hci_core) funkcje hci_send_acl(), hci_send_sco() i hci_send_iso() kolejkową pracę tx_work bezwarunkowo, co podczas zamykania urządzenia może prowadzić do ostrzeżenia i utraty pracy.

W jądrze Linux w sterowniku Bluetooth btintel_pcie funkcja btintel_pcie_send_sync() nie sprawdza długości pakietu przed kopiowaniem do bufora DMA, co może prowadzić do przepełnienia bufora.