Katalog podatności CVE

W jądrze Linux wykryto podatność w KVM/SVM, gdzie przy dezaktywacji AVIC podczas aktywnego L2 nie są aktualizowane przechwyty MSR x2APIC dla L1. Skutkuje to możliwością odczytu stanu APIC hosta, wysyłania dowolnych przerwań i zmiany priorytetu zadań, co może prowadzić do ataku DoS na host.

W jądrze Linux w podsystemie KVM dla architektury s390 w obsłudze PCI wykryto podatność polegającą na braku odrzucenia żądania włączenia przekazywania przerwań, jeśli jest ono już włączone dla danego urządzenia zPCI. Instrukcja MPCIFC nie pozwala na ponowną rejestrację przerwań bez uprzedniego wyrejestrowania. Poprawka dodaje odpowiednie sprawdzenie, co zapobiega nadpisaniu i wyciekowi zasobów przy wielokrotnym wywołaniu ioctl dla tego samego urządzenia.

W jądrze Linuxa wykryto podatność use-after-free w warstwie dibs, dotyczącą operacji attach/detach/unregister dla węzłów dmb_node w trybie loopback. Problem wynika z wyścigu między wyszukiwaniem węzła w tablicy haszującej a operacją na liczniku referencji, co może prowadzić do użycia zwolnionej pamięci. Poprawka polega na wykonaniu operacji na liczniku referencji i usunięciu z tablicy haszującej w jednej sekcji krytycznej z blokadą zapisu.

W jądrze Linux w module audit wykryto potencjalną podatność use-after-free w funkcji audit_del_rule(). Funkcja ta niszczy e->rule.exe przez audit_remove_mark_rule() przed odłączeniem reguły z list filtrów widocznych dla RCU i oczekiwaniem na okres przejściowy. Równocześni czytelnicy w audit_filter() i audit_filter_rules() nadal dereferencjonują e->rule.exe, podczas gdy znacznik fsnotify może być zwolniony na niezależnej ścieżce życia. Poprawka polega na odłączeniu reguły z list RCU i wywołaniu synchronize_rcu() przed wywołaniem audit_remove_mark_rule() i innych pomocników usuwania reguł.

W jądrze Linux w podsystemie Bluetooth (mgmt) wykryto podatność use-after-free w anulowaniu polecenia pary. Funkcje zwrotne zakończenia parowania i nieudanego uwierzytelnienia wyszukują oczekujące polecenie MGMT_OP_PAIR_DEVICE, przeglądając hdev->mgmt_pending, ale bez utrzymywania zamka mgmt_pending_lock podczas późniejszego użycia i usunięcia. Równoczesne żądanie MGMT_OP_CANCEL_PAIR_DEVICE może usunąć i zwolnić to samo polecenie przed użyciem go przez funkcję zwrotną. Poprawka przenosi własność polecenia przez usunięcie go z listy hdev->mgmt_pending przytrzymując blokadę, a funkcje zwrotne i ścieżka anulowania kończą i zwalniają polecenie bezpośrednio.

W jądrze Linuxa wykryto podatność use-after-free w podsystemie Bluetooth (hci_sync). Funkcja hci_find_adv_instance() zwraca wskaźnik do danych reklamowych, który jest ważny tylko przy trzymanym zamku hdev->lock, ale ścieżki synchronizacji komend HCI używają go bez tego zamku, co może prowadzić do użycia zwolnionej pamięci podczas obsługi zdarzenia zakończenia reklamy.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność polegającą na odczycie danych przed sprawdzeniem, czy ramka zawiera nagłówek transakcji. Funkcje hidp_recv_ctrl_frame() i hidp_recv_intr_frame() czytają skb->data[0] przed sprawdzeniem, czy SDU L2CAP zawiera nagłówek transakcji. Połączony peer HIDP może wysłać pustą ramkę w trybie podstawowym, co prowadzi do użycia niezainicjalizowanego bajtu. Poprawka polega na pobraniu nagłówka transakcji przez skb_pull_data() i odrzuceniu ramek, które go nie zawierają.

W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność polegającą na braku walidacji ładunku numerowanych raportów. Gdy hidp_get_raw_report() oczekuje na numerowany raport, hidp_process_data() porównuje oczekiwany numer raportu z skb->data[0]. Połączony peer HIDP może odpowiedzieć tylko nagłówkiem transakcji DATA, pozostawiając skb pusty po usunięciu nagłówka. Poprawka wymaga bajtu ładunku przed porównaniem numerowanego ID raportu; raporty nienumerowane nadal akceptują pusty ładunek.

W jądrze Linux wykryto podatność Use-After-Free (UAF) w funkcji afs_make_call() w systemie plików AFS. Problem wynika z wyścigu między wysyłaniem asynchronicznych wywołań a ich zniszczeniem, co może prowadzić do odwołania do zwolnionej pamięci. Błąd został zgłoszony przez KASAN podczas testów z losowym wyłączaniem procesorów.

W jądrze Linuxa wykryto podatność w podsystemie ALSA timer. Po zakończeniu operacji zamykania instancji timera flaga SNDRV_TIMER_IFLG_DEAD nie jest usuwana, co przy ponownym otwarciu tej samej instancji prowadzi do podwójnego zwolnienia pamięci (use-after-free). Atakujący z dostępem do /dev/snd/timer i /dev/snd/seq może to wykorzystać do eskalacji uprawnień lub wywołania awarii systemu.

W jądrze Linux w ALSA USB-audio brakuje ograniczenia rozmiaru ramki w trybie implicit-feedback. Otrzymane rozmiary pakietów synchronizacji nie są ograniczane do maksymalnego rozmiaru ramki, co może prowadzić do przesyłania pakietów przekraczających limity sprzętowe.

W jądrze Linux w funkcji fou_create() występuje podatność use-after-free. Struktura fou jest publikowana przez sk_user_data przed dodaniem portu do listy, a w przypadku błędu jest zwalniana, pozostając dostępną przez sk_user_data, co umożliwia równoczesny odczyt zwolnionej pamięci.

W netfilter ipset występuje problem z aktualizacją komentarzy z poziomu jądra. Podczas zmiany rozmiaru tabeli, kopiowane są wskaźniki do komentarzy, a aktualizacja pakietowa może zwolnić współdzielony komentarz, prowadząc do użycia zwisającego wskaźnika.

W TIPC (Transparent Inter-Process Communication) występuje podatność use-after-free w funkcji tipc_poll() podczas zrzutu kolejek przez tracepoint. Wywołanie tracepoint bez trzymania blokady pozwala na dostęp do zwolnionych pakietów.

W jądrze Linux w podsystemie mac80211 wykryto podatność use-after-free w funkcji ieee80211_stop_tx_ba_cb(). Po zatrzymaniu sesji BA (Block Ack) struktura tid_tx jest zwalniana przez kfree_rcu(), a następnie odczytywane jest pole tid_tx->ndp bez odpowiedniej ochrony RCU, co może prowadzić do dostępu do zwolnionej pamięci. Problem występuje podczas lokalnego zamykania sesji, np. przy przekroczeniu limitu czasu, rekeyingu PTK, zawieszeniu systemu lub rekonfiguracji sprzętu.

W jądrze Linux w sterowniku mwifiex wykryto podatność polegającą na użyciu długości ramki nadrzędnej A-MSDU zamiast długości podramki podczas parsowania ramek TDLS. Prowadzi to do użycia po zwolnieniu (use-after-free) lub odczytu poza granicami bufora, co może zostać wykorzystane przez zdalnego atakującego.

W jądrze Linux w module binfmt_misc wykryto podatność polegającą na odczycie poza granicami pamięci. Jeśli użytkownik wybierze jako separator pól znak będący jednocześnie znakiem flagi (P, O, C lub F), parser flag nie zatrzyma się na dopełnieniu bufora i będzie czytał dane poza przydzielonym obszarem. Problem jest osiągalny przez nieuprzywilejowanych użytkowników w przestrzeni nazw użytkownika.

W jądrze Linux wykryto podatność w mechanizmie dzielenia foliów (huge pages) w module mm/huge_memory. Podczas dzielenia folio, po odblokowaniu i zwolnieniu folii po podziale, kod nadal odwoływał się do struktury mapping (i_mmap_rwsem), co mogło prowadzić do użycia po zwolnieniu (use-after-free). Problem występuje w szczególności podczas obsługi błędów pamięci (memory_failure) dla uszkodzonych ogonów folii shmem.

W jądrze Linux wykryto podatność prowadzącą do użycia po zwolnieniu (UAF) podczas zawieszenia systemu (S3) lub hibernacji (S4). Praca raportowania stron (page_reporting_process) była wykonywana na globalnej kolejce system_wq, która nie jest zamrażana przez mechanizm PM freezer, co powodowało dostęp do usuniętych kolejek virtio i awarię systemu. Poprawka polega na użyciu kolejki system_freezable_wq, która jest zamrażana przed zniszczeniem kolejek przez sterowniki.

W jądrze Linux wykryto podatność use-after-free w module pktgen. Problem dotyczy wyścigu między zmianą nazwy urządzenia sieciowego a usuwaniem wpisu w /proc, co może prowadzić do odwołania do zwolnionej pamięci przez wątek kpktgend.