Katalog podatności CVE

W jądrze Linux w sterowniku AHCI (libahci), dla kontrolerów z flagą AHCI_HFLAG_32BIT_ONLY, rejestry PxCLBU i PxFBU nie są czyszczone, co powoduje problemy z kontrolerami JMicron JMB585. Poprawka jawnie zeruje te rejestry, aby zapewnić poprawne działanie z 32-bitowym DMA.

W jądrze Linux w systemie plików CIFS, funkcja cifs_chan_skip_or_disable() używa wskaźnika do serwera po zwolnieniu referencji do kanału, co prowadzi do use-after-free. Poprawka sygnalizuje kanał i serwer główny oraz przechwytuje wskaźnik serwera głównego przed zwolnieniem referencji.

W jądrze Linux wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w mechanizmie czyszczenia timerów POSIX podczas wykonywania exec() przez wątek niebędący liderem. Błąd występuje, gdy operacje po de_thread() (takie jak exec_mmap()) kończą się niepowodzeniem, co prowadzi do zwolnienia timera, który wciąż znajduje się w kolejce, a następnie do ponownego usunięcia go z drzewa rbtree.

W jądrze Linux wykryto podatność w podsystemie fs/dax, która może prowadzić do paniki jądra podczas uruchamiania maszyny wirtualnej z pamięcią masową obsługującą DAX. Problem polega na braku sprawdzenia, czy wpis w tablicy xarray jest pusty lub zerowy przed wywołaniem funkcji dax_to_folio() w ścieżkach dax_associate_entry(), dax_disassociate_entry() i dax_busy_page(). Poprzednia poprawka (commit 98c183a4fccf) nie w pełni rozwiązała problem, ponieważ zabezpieczenia były dodane po wywołaniu dax_to_folio().

W jądrze Linuxa w kodzie POSIX CPU timerów występuje wyścig, który może prowadzić do użycia po zwolnieniu (UAF). Problem wynika z utraty rozróżnienia między stanem 'timer na liście wygaśnięć' a 'dostarczanie anulowane' po zmianie flagi 'firing' na boolean. Poprawka sprawdza, czy timer jest na liście wygaśnięć, zamiast polegać na fladze.

W jądrze Linuxa w kodzie RDS IB, funkcja rds_ib_cm_connect_complete() wywołuje rds_conn_destroy() przy niezgodności wersji protokołu, co prowadzi do zakleszczenia (deadlock) w workqueue. Poprawka zmienia to na rds_conn_drop(), które asynchronicznie planuje zamknięcie połączenia.

W jądrze Linux występuje luka use-after-free w mechanizmie sygnałów, związana z wyścigiem podczas wywołania exec() przez wątek niebędący liderem grupy wątków. Timer typu SIGEV_THREAD_ID utworzony dla tid lidera może po wymianie tidów wskazywać na wątek wywołujący execve(), co prowadzi do nieprawidłowego kolejkowania sygnałów i użycia zwolnionej pamięci. Problem został rozwiązany przez opróżnianie kolejki sygnałów zadania wcześniej, w exit_signals(), oraz blokowanie kolejkowania sygnałów dla zadań z ustawioną flagą PF_EXITING.

W jądrze Linuxa w kodzie TCP, stare ACK (przed SND.UNA) są wykluczane z szybkiej ścieżki (fast path) i kierowane do wolnej ścieżki, gdzie są odpowiednio walidowane zgodnie z RFC5961. Zapobiega to akceptacji starych ACK i modyfikacji stanu połączenia przed walidacją.

W jądrze Linuxa w kodzie swiotlb, funkcja swiotlb_bounce() używa nieprawidłowego adresu do wyszukiwania strony highmem, co może prowadzić do zapisu/odczytu z niewłaściwej strony pamięci. Poprawka używa skorygowanego adresu orig_addr do obu operacji.

W jądrze Linuxa w kodzie RDMA/ucma, występuje wyścig między operacjami join i leave multicast, który może prowadzić do użycia po zwolnieniu (UAF). Poprawka utrzymuje mutex przez cały czas od join do copy_to_user, aby zapobiec pominięciu leave.

W jądrze Linuxa w kodzie RDMA/core, funkcja iwpm_get_nlmsg_request() inicjalizuje licznik referencji po dodaniu do listy globalnej, co może prowadzić do błędu refcount. Poprawka inicjalizuje kref przed list_add_tail() oraz inicjalizuje wszystkie pola przed dodaniem do listy.

W jądrze Linuxa w kodzie openvswitch, funkcja ovs_ct_get_conn_labels() może dodać rozszerzenie etykiet do potwierdzonego wpisu conntrack, co może prowadzić do realokacji i zwolnienia bloku rozszerzeń podczas równoczesnego dostępu. Poprawka dodaje rozszerzenie tylko dla niepotwierdzonych conntracków.

W jądrze Linuxa w kodzie nfsd, obsługa NFSEXP_PNFS w ścieżce netlink jest nieprawidłowa, ponieważ przeniesienie sprawdzania do wywołujących nie uwzględniło nowego wywołania w nfsd4_setup_layout_type(). Poprawka naprawia to sprawdzanie.

W jądrze Linux w architekturze arm64 podczas hibernacji funkcja swsusp_arch_suspend_exit() nie przekazuje argumentów do wywołania HVC_SET_VECTORS, przez co wektory EL2 nie są poprawnie ustawiane po przywróceniu systemu. Prowadzi to do użycia po zwolnieniu (use-after-free) strony z wektorami, co może powodować zawieszenie systemu po wznowieniu z hibernacji.

W jądrze Linux dla architektury arm64, operacje percpu na typach 8- i 16-bitowych z użyciem instrukcji LSE nie uwzględniają sufiksu rozmiaru, co powoduje błędny odczyt i zapis 32 bitów pamięci zamiast właściwych 8 lub 16 bitów. Poprawka polega na dodaniu sufiksu 'sfx' do instrukcji LSE.

W jądrze Linux w module Bluetooth (hci_codec) parsery Read Local Supported Codecs nie walidują poprawnie długości licznika kodeków vendor, co może prowadzić do odczytu poza granicami bufora skb. Poprawka używa skb_pull_data() do walidacji i konsumpcji nagłówków kodeków przed użyciem ich licznika.

W jądrze Linux w module Bluetooth (hci_sync) funkcja hci_dev_close_sync() czyści listę lokalnych kodeków bez trzymania zamka hdev->lock, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas równoczesnego zapytania BT_CODEC. Poprawka polega na trzymaniu zamka podczas czyszczenia listy.

W jądrze Linux w systemie plików btrfs funkcja mark_block_group_to_copy() iteruje po korzeniu commitu z pominięciem blokad, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas równoczesnego commitu transakcji. Poprawka używa path->need_commit_sem do ochrony wyszukiwania korzenia commitu.

W jądrze Linux w systemie plików btrfs funkcja btrfs_rebuild_free_space_tree() nie czyści flagi BTRFS_FS_CREATING_FREE_SPACE_TREE w przypadku błędów, co może prowadzić do pomijania przetwarzania opóźnionych referencji. Poprawka czyści tę flagę na wszystkich ścieżkach błędów.

W jądrze Linux w module dma-buf/dma-fence, wcześniejsza poprawka zmieniła sprawdzanie sygnału na sprawdzanie wskaźnika ops, co powoduje utratę ochrony RCU po zasygnalizowaniu dla wielu implementacji dma_fence, prowadząc do użycia po zwolnieniu. Poprawka dodaje dodatkowe sprawdzenie sygnału do sprawdzenia wskaźnika ops.