Katalog podatności CVE

W jądrze Linux moduł KVM nVMX nie obsługuje lokalnych opróżnień TLB, gdy zagnieżdżony VM-Enter kończy się niepowodzeniem. Może to prowadzić do pominięcia opróżnienia TLB, jeśli L1 zmieni VPID dla L2, a następnie wykona nieudany VM-Enter, po którym nastąpi udany.

W jądrze Linux w KVM dla arm64 występuje problem z nieprawidłowym obsługiwaniem końca przestrzeni adresowej podczas unieważniania TLB. Porównanie zakresów nie uwzględnia zawinięcia adresu, co może prowadzić do nieudanego unieważnienia TLB dla ostatniej strony/bloku w przestrzeni TTBR1.

W jądrze Linux występuje problem w KVM na architekturze arm64 dotyczący unieważniania VNCR. Gdy jeden vcpu unieważnia TLB dla VNCR, a inny vcpu jednocześnie obsługuje błąd strony dla tej samej strony, może dojść do wstawienia nieaktualnego wpisu TLB. Rozwiązanie polega na rozszerzeniu invalidate_vncr_va() o aktualizację licznika mmu_invalidate_seq, co wymusza powtórzenie obsługi błędu.

W jądrze Linux w KVM na arm64 usunięto globalny licznik mapowania VNCR, który służył do decydowania o konieczności unieważnienia TLB. Licznik ten miał wady: sprawdzanie go mogło prowadzić do pominięcia unieważnień TLB, a vcpu L1 unieważniający własny TLB nie unieważniał pseudowpisu VNCR. Ponieważ mechanizm nie zapewniał wymaganych gwarancji, został całkowicie usunięty.

W jądrze Linux w KVM na arm64 funkcja decode_range_tlbi() używana do unieważniania TLB zakresowego dla S1 pomijała wymagane rozszerzenie znaku adresu wirtualnego. Może to prowadzić do nieprawidłowego obliczenia zakresu unieważnienia. Poprawka dodaje brakujące rozszerzenie znaku i zabezpiecza przed przepełnieniem bitów PA przy unieważnianiu S2.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla_nvme_ls_reject_iocb() brakuje blokady qpair podczas alokacji i wysyłania odrzucenia NVMe LS, co może prowadzić do współbieżnego dostępu i korupcji stanu pierścienia żądań, powodując duplikację lub utratę poleceń.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_async_iocb_timeout() mogła wywołać sp->done() dwukrotnie, gdy przerwanie odpowiedzi ukończyło ten sam uchwyt przed obsługą timeoutu. Prowadziło to do zapisu do zwolnionej ramki stosu (use-after-free).

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() nie ograniczała wartości rsp_info_len pochodzącej z odpowiedzi FCP celu, co przy złośliwym lub błędnym celu powodowało niedomiar par_sense_len i odczyt poza zakresem danych sense. Mogło to ujawnić sąsiednią pamięć sterty do bufora sense.

Nieuwierzytelniony atakujący z dostępem sieciowym do prywatnego łącza HA może wywołać wrażliwe funkcje rówieżników HA bez weryfikacji. Może to prowadzić do podniesienia uprawnień i wykonania poleceń na urządzeniach Edge z włączonym HA.

W Apache Airflow Keycloak provider nieuwierzytelniony endpoint tokenów akceptuje grant client-credentials dla dowolnego poufnego klienta zarejestrowanego w realmie Keycloak, nie tylko dla klienta skonfigurowanego dla Airflow. Brak listy dozwolonych klientów pozwala na użycie poświadczeń innej aplikacji jako ważnych poświadczeń logowania do Airflow.

W Apache Airflow Keycloak provider od wersji 3.3 tożsamość użytkownika jest pobierana z podpisanego tokena sesji Airflow, ale tokeny dostępu i odświeżania Keycloak używane do autoryzacji pochodzą z oddzielnych, nieuwierzytelnionych ciasteczek i nie są weryfikowane pod kątem zgodności z tożsamością. Pozwala to na sparowanie cudzych tokenów z własną sesją.

Nieuwierzytelniony klient P4Runtime może uzyskać zdalne wykonanie kodu na platformach Arista EOS z włączonym P4Runtime (domyślnie wyłączony). Wykorzystanie złośliwego pakietu podczas inicjacji sesji P4Runtime pozwala na pełną kontrolę administracyjną nad przełącznikiem.

W jądrze Linux w module ksmbd występuje podatność use-after-free w funkcji smb2_tree_connect(). Nowo utworzone połączenie drzewa jest publikowane w sesji, a następnie używane przez procedurę obsługi, podczas gdy równoczesne wylogowanie sesji może zwolnić ten obiekt, zanim obsługa się zakończy.

W jądrze Linux w funkcji ext4_read_inline_dir() występuje odczyt poza zakresem (out-of-bounds read). Iteracja po katalogu używa większego rozmiaru extra_size niż faktyczny bufor inline_size, co pozwala na odczyt nagłówka dirent poza końcem bufora, co może prowadzić do wycieku informacji lub awarii.

W jądrze Linux w funkcji xfrm6_input_addr() występuje zapis poza zakresem (out-of-bounds write) z powodu błędnego sprawdzenia głębokości. Gdy sp->len osiągnie XFRM_MAX_DEPTH, zapis do sp->xvec[sp->len++] wykracza poza tablicę, co może prowadzić do awarii systemu.

W jądrze Linux w fs/ntfs3 funkcja ntfs_read_ea() nie sprawdza, czy pole ef->size rekordu EA jest wystarczająco duże, aby pomieścić nazwę i wartość rekordu. Złośliwy obraz NTFS może ustawić małe ef->size przy dużym elength, co powoduje odczyt poza zaalokowanym buforem i wyciek pamięci jądra do przestrzeni użytkownika przez getxattr().

W jądrze Linux wykryto podatność w systemie plików ISOFS dotyczącą kompresji zisofs. Funkcja zisofs_uncompress_block() w przypadku pustego bloku zwraca nieprawidłową liczbę bajtów, ignorując przesunięcie poffset, co prowadzi do odczytu poza granicami tablicy stron podczas obsługi plików skompresowanych na obrazach ISO9660. Specjalnie spreparowany rekord Rock Ridge "ZF" może wywołać ten błąd podczas zwykłego odczytu pliku.

W jądrze Linux w KVM dla architektury arm64 funkcja pgshift_level_to_ttl() nie obsługuje ujemnych poziomów (np. -127 oznaczającego wyłączony MMU S1), przez co błędnie wylicza rozmiar unieważnienia TLB jako 0. Poprawka obsługuje ujemne poziomy i sprawia, że ttl_to_size() zwraca SZ_1G, gdy brak prawidłowego TTL.

W providerze Apache Airflow FAB zmiana hasła użytkownika przez endpoint PATCH edycji użytkownika w panelu administracyjnym nie unieważnia istniejących sesji tego użytkownika w bazie danych. Atakujący posiadający kopię ciasteczka sesji zachowuje pełny dostęp po zmianie hasła.

W NLnet Labs Unbound do wersji 1.26.0 włącznie, znaleziono podatność, która może stopniowo uszkadzać pamięć sterty i w pewnych systemach oraz opcjach kompilacji może prowadzić do zdalnego wykonania kodu. Podatność zaczyna się, gdy synteza CNAME podczas odpowiedzi z górnego poziomu wymaga wymuszenia (przepisania) maksymalnej wartości TTL w buforze pakietu. W połączeniu ze wskaźnikiem kompresji wskazującym na nadpisaną wartość i unieważniającym nazwę domeny, prowadzi to do ścieżki błędu, która nie przesuwa prawidłowo pozycji bufora i umożliwia przepełnienie bufora sterty.