Katalog podatności CVE

W jądrze Linux w module Bluetooth (hci_sync) funkcja hci_dev_close_sync() czyści listę lokalnych kodeków bez trzymania zamka hdev->lock, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas równoczesnego zapytania BT_CODEC. Poprawka polega na trzymaniu zamka podczas czyszczenia listy.

W jądrze Linux w systemie plików btrfs funkcja mark_block_group_to_copy() iteruje po korzeniu commitu z pominięciem blokad, co może prowadzić do użycia po zwolnieniu (use-after-free) podczas równoczesnego commitu transakcji. Poprawka używa path->need_commit_sem do ochrony wyszukiwania korzenia commitu.

W jądrze Linux w systemie plików btrfs funkcja btrfs_rebuild_free_space_tree() nie czyści flagi BTRFS_FS_CREATING_FREE_SPACE_TREE w przypadku błędów, co może prowadzić do pomijania przetwarzania opóźnionych referencji. Poprawka czyści tę flagę na wszystkich ścieżkach błędów.

W jądrze Linux w module dma-buf/dma-fence, wcześniejsza poprawka zmieniła sprawdzanie sygnału na sprawdzanie wskaźnika ops, co powoduje utratę ochrony RCU po zasygnalizowaniu dla wielu implementacji dma_fence, prowadząc do użycia po zwolnieniu. Poprawka dodaje dodatkowe sprawdzenie sygnału do sprawdzenia wskaźnika ops.

W jądrze Linux w module dma-buf, zmienna mapped_len była 32-bitowa, co powodowało ciche przepełnienie przy rozmiarach MMIO większych niż 4G, prowadząc do błędnych długości przekazywanych do fill_sg_entry(). Poprawka zmienia mapped_len na size_t (64-bit) i dodaje zabezpieczenia przed przepełnieniem w calc_sg_nents.

W jądrze Linux w IPv6 XFRM, funkcje xfrm6_local_rxpmtu() i xfrm6_local_error() zakładają, że skb->sk zawsze wskazuje na pełny gniazdo IPv6, ale może to być request_sock, co prowadzi do odczytu poza przydziałem. Poprawka używa skb_to_full_sk() i wychodzi, gdy nie ma pełnego gniazda.

W jądrze Linux w module ip_tunnel, zmienna options_len nie jest inicjalizowana przed użyciem w funkcji ip_tun_parse_opts_geneve, co prowadzi do przepełnienia bufora podczas kopiowania danych opcji. Poprawka inicjalizuje licznik przed odwołaniem do opcji.

W sterowniku lan743x jądra Linux funkcja lan743x_rx_process_buffer() dodaje kolejne bufory odbiorcze do frag_list skb nagłówka, a następnie lan743x_rx_trim_skb() linearyzuje nagłówek i zwalnia metadane skb fragmentu. Ścieżka sukcesu sumy kontrolnej zapisuje jednak ip_summed przez lokalny wskaźnik skb, który nadal wskazuje na zwolniony fragment, powodując use-after-free przy pakietach zajmujących więcej niż jeden bufor odbiorczy.

W sterowniku t7xx (WWAN) jądra Linux funkcja t7xx_ccmni_recv_skb() indeksuje tablicę ccmni_inst[] bez sprawdzenia zakresu. Indeks netif z nagłówka DPMAIF PIT ma 5 bitów (0-31), a tablica ma tylko 21 wpisów, więc indeksy 21-31 czytają poza tablicę i trafiają do tablicy callbacków, co prowadzi do potraktowania dowolnej wartości jako struktury t7xx_ccmni i wyłuskania wskaźnika.

W sterowniku mhi_wwan_mbim jądra Linux funkcja mhi_mbim_rx() przechodzi łańcuch NDP i kończy pętlę tylko gdy wNextNdpIndex wynosi zero. Nic nie wymusza zwiększania offsetów, więc modem wskazujący NDP na siebie lub na wcześniejszy NDP powoduje nieskończoną pętlę zajmującą jedno CPU na 100%.

W sterowniku mhi_wwan_mbim jądra Linux funkcja mhi_mbim_rx() ignoruje wartość zwracaną przez skb_copy_bits() podczas kopiowania datagramów z NTB. Offset i długość datagramu pochodzą z DPE, który jest sprawdzany tylko względem NTB, więc modem może wskazać datagram poza odebranym skb; kopiowanie zawodzi, a świeżo alokowany skbn z niezainicjalizowaną zawartością trafia do netif_rx(), wyciekając pamięć sterty jądra.

W podsystemie net/sched jądra Linux funkcja tcf_action_put_many() używa iteratora tcf_act_for_each_action(), który zatrzymuje się na pierwszym pustym slocie. Gdy wsadowe żądanie RTM_DELACTION zatrzyma się na akcji powiązanej z filtrem, referencje na kolejnych akcjach nie są zwalniane, co prowadzi do wycieku referencji i możliwości zgłoszenia sukcesu usunięcia bez faktycznego usunięcia akcji z IDR.

W podsystemie net/sched jądra Linux funkcja hhf_change() przechowuje TCA_HHF_HH_FLOWS_LIMIT bez górnego ograniczenia. Ogromna wartość hh_flows_limit pozwala każdemu nowemu przepływowi heavy-hitter przejść kontrolę hh_flows_current_cnt i wymusza stałą alokację kzalloc(GFP_ATOMIC) na przepływ przy fałszowanym ruchu, prowadząc do nieograniczonego wzrostu pamięci.

W podsystemie net/packet jądra Linux funkcja tpacket_rcv() rezerwuje slot pierścienia V1 lub V2 przed konwersją nagłówka virtio-net. Jeśli konwersja się nie powiedzie, ścieżka odrzucenia pozostawia slot zarezerwowany; w pierścieniu TPACKET_V2 z jedną ramką nieobsługiwany pakiet UDP GSO blokuje jedyny slot i powoduje odrzucenie kolejnego prawidłowego pakietu.

Wykryto podatność w jądrze Linux w funkcji scsi_cdl_enable() w warstwie SCSI core. Podczas skanowania urządzeń USB, które identyfikują się jako ATA i obsługują CDL, długości zwracane przez MODE SENSE mogą być nieprawidłowe, co prowadzi do odczytu/zapisu poza buforem stosu i ujawnienia zawartości stosu atakującemu urządzeniu.

W jądrze Linux występuje podatność use-after-free w funkcji xfrm_dev_state_free() podczas opróżniania stanów urządzenia XFRM. Wątek GC stanów może zwolnić stan w tym samym czasie, gdy wątek flush odwołuje się do niego po zwolnieniu blokady xfrm_state_dev_gc_lock, co prowadzi do podwójnego wywołania callbacku sterownika i użycia zwolnionej pamięci.

W podsystemie xfrm jądra Linux listy state_cache i state_cache_input nadal używają hlist_del_rcu() zamiast hlist_del_init_rcu(), przez co po usunięciu pozostawiają pprev = LIST_POISON2 (nie-NULL). Drugie wywołanie __xfrm_state_delete() na tym samym obiekcie wykonuje zapis przez LIST_POISON2, powodując write use-after-free, a w konsekwencji read use-after-free podczas późniejszego przechodzenia listy.

W jądrze Linux w funkcji xfrm_input() występuje podatność polegająca na użyciu po zwolnieniu (use-after-free) stanu xfrm_state. Niektóre ścieżki odbioru, takie jak VTI i interfejsy XFRM, mogą zresetować secpath przed zakończeniem przetwarzania, co prowadzi do dereferencji zwolnionej pamięci. Poprawka zapisuje protokół stanu na stosie przed resetem i używa wcześniej zapisanej rodziny adresów.

W jądrze Linux dla procesorów MIPS I6500 brakuje wymaganego wyboru opcji CONFIG_WEAK_REORDERING_BEYOND_LLSC przy CONFIG_EYEQ. Instrukcje lld/scd na tych rdzeniach nie gwarantują kolejności, co powoduje, że arch_cmpxchg() nie jest w pełni uporządkowany. Może to prowadzić do błędów strony (kernel paging request) i awarii systemu, jak pokazano w raporcie oops.

W jądrze Linux w sterowniku memstick ms_block występuje wyciek pamięci: kolejka pracy msb->io_queue tworzona w msb_init_disk() nie jest niszczona podczas usuwania urządzenia (msb_remove()). Każdy cykl podłączenia/odłączenia karty powoduje wyciek kolejki i jej kworkera, co prowadzi do wyczerpania pamięci jądra.