Katalog podatności CVE

W jądrze Linux w sterowniku RDMA/rxe naprawiono podatność TOCTOU prowadzącą do przepełnienia sterty w funkcji get_srq_wqe(). Funkcja ta odczytuje num_sge z bufora kolejki współdzielonej, który jest zmapowany do przestrzeni użytkownika, i po walidacji ponownie odczytuje to pole do obliczenia rozmiaru memcpy, co pozwala na modyfikację przez współbieżny wątek i przepełnienie bufora.

W jądrze Linux w sterowniku RDMA/rxe naprawiono problem w ścieżce odbioru dla QP bez SRQ, gdzie pola WQE były odczytywane bezpośrednio z bufora współdzielonego zmapowanego do przestrzeni użytkownika. Umożliwiało to złośliwemu użytkownikowi modyfikację pól podczas przetwarzania, prowadząc do odczytów poza zakresem.

W jądrze Linux w sterownikach md/raid1 i md/raid10 naprawiono wykrywanie ścieżki błędów za pomocą md_cloned_bio() zamiast polegania na r1_bio lub r10_bio->read_slot, które mogą być NULL lub -1 po podziale i ponownym wysłaniu nieudanego bio. Poprzednia logika mogła prowadzić do użycia GFP_NOIO zamiast (GFP_NOIO | __GFP_HIGH), co może powodować zakleszczenie przy braku pamięci.

W jądrze Linux wykryto podatność w funkcji BPF_PROG_QUERY, która powoduje zapis poza zakresem (OOB) podczas zapisywania pola 'query.revision' do przestrzeni użytkownika. Problem występuje, gdy użytkownik przekaże mniejszą strukturę bpf_attr (np. 40 bajtów, sprzed dodania pola revision), co prowadzi do zapisu poza przydzielony bufor. Poprawka polega na propagowaniu rozmiaru atrybutu użytkownika do handlerów zapytań cgroup i warunkowym pomijaniu zapisu pola revision, gdy bufor jest zbyt mały.

W jądrze Linux naprawiono problemy w funkcji ath12k_mac_vdev_create() sterownika WiFi ath12k, które pozostawiały obiekt arvif w niespójnym stanie podczas błędów. Poprawka zmienia przepływ sterowania, aby zapewnić prawidłowe czyszczenie stanu w przypadku niepowodzeń tworzenia vdev.

W jądrze Linux naprawiono podatność w mechanizmie BTT (Block Translation Table) dla pamięci NVDIMM, związaną z wywłaszczaniem podczas przejmowania pasów (lanes). Dotychczasowy model oparty na spinlocku i liczniku rekurencji per-CPU był nieprawidłowy po wprowadzeniu wywłaszczalności, co mogło prowadzić do cichego uszkodzenia danych. Poprawka zastępuje spinlock dynamicznie alokowaną tablicą mutexów dla każdego pasa.

W jądrze Linux naprawiono podatność w mechanizmie BPF, która pozwalała na obejście gwarancji ekskluzywności map BPF. Mapy ekskluzywne (tworzone przez excl_prog_hash) mogły być umieszczane w mapach zewnętrznych (map-of-maps) i modyfikowane przez niepowiązane programy, co omijało sprawdzanie zgodności programów.

W jądrze Linux naprawiono podatność typu use-after-free w systemie plików bpffs. Poprzednia poprawka przeniosła czyszczenie inode z funkcji free_inode() do destroy_inode(), co usunęło opóźnienie RCU i umożliwiło dostęp do zwolnionej pamięci podczas równoległego chodzenia po ścieżkach w trybie RCU. Poprawka przywraca opóźnione zwalnianie inode i bufora i_link.

W jądrze Linuxa w funkcji configfs_lookup() występuje błąd polegający na pozostawieniu nieaktualnego wskaźnika ->s_dentry w przypadku niepowodzenia alokacji inode. Prowadzi to do użycia po zwolnieniu (use-after-free) podczas kolejnych operacji getdents(2) w katalogu.

W jądrze Linux w sterowniku amdgpu wykryto podatność prowadzącą do zapisu poza przydzielony bufor (slab-out-of-bounds) podczas generowania zrzutu pamięci (coredump) po resecie GPU. Problem wynika z wyścigu między dwiema pętlami przetwarzającymi pierścienie GPU, gdzie liczba pierścieni może się zmienić między zliczaniem a kopiowaniem danych.

W jądrze Linuxa w podsystemie vhost funkcja vhost_get_avail_idx zwraca nieprawidłową wartość, informując o zużyciu wszystkich wpisów zamiast o aktualizacji indeksu. Może to prowadzić do zakleszczenia (livelock) hosta, gdy gość nie robi postępów, ponieważ vhost natychmiast wyłącza powiadomienia i ponawia próby.

W jądrze Linuxa w podsystemie iommu/vt-d występuje błąd powodujący uszkodzenie drzewa RB w ścieżce błędów podczas wykrywania urządzeń. Jeśli urządzenie nie obsługuje ATS, węzeł RB pozostaje wyzerowany, a w przypadku błędu kolejnego kroku, usunięcie węzła interpretuje go jako korzeń drzewa, co prowadzi do jego uszkodzenia.

W jądrze Linux naprawiono podatność w funkcji zap_pages() w BPF, która wymagała trzymania mmap_lock. Poprzednio brak odpowiedniego blokowania mógł prowadzić do problemów z synchronizacją i potencjalnego użycia po zwolnieniu (UAF) podczas operacji na mapach pamięci.

W jądrze Linux naprawiono podatność w systemie plików OCFS2, gdzie funkcja FITRIM akceptowała zakresy krótsze niż rozmiar klastra, co prowadziło do niedomiaru arytmetycznego i potencjalnego przycinania poza żądany zakres. Teraz odrzucane są zakresy krótsze niż rozmiar klastra.

W jądrze Linux naprawiono podatność w module netfilter cttimeout, gdzie zmieniono zarządzanie licznikami odniesień dla zasad limitów czasu. Teraz licznik odniesień jest używany tylko dla wpisów conntrack, co pozwala na natychmiastowe usunięcie zasad z nfnetlink_cttimeout.

W jądrze Linux w mechanizmie BPF podczas zwalniania bpf_rb_root nie są czyszczone wskaźniki węzłów drzewa czerwono-czarnego. Jeśli obiekt przetrwa zwolnienie, może zawierać nieaktualne wskaźniki do zwolnionej struktury, co przy ponownym użyciu adresu może prowadzić do błędnego usunięcia z drzewa.

W jądrze Linux w mechanizmie kernfs występuje wyścig w operacjach xattr, gdy wiele superbloków o różnych przestrzeniach nazw współdzieli ten sam węzeł kernfs_node. Operacje xattr nie są odpowiednio serializowane, co może prowadzić do wyścigu w simple_xattr_set().

W jądrze Linux w sterowniku wifi wcn36xx występuje przepełnienie sterty spowodowane brakiem walidacji długości odpowiedzi HAL z firmware. Odpowiedź większa niż 4096 bajtów może spowodować przepełnienie bufora hal_buf.

W jądrze Linux w sterowniku wifi wcn36xx występuje odczyt poza zakresem (OOB) spowodowany brakiem walidacji pola count sterowanego przez firmware w komunikacie PRINT_REG_INFO. Zbyt duża wartość count może prowadzić do odczytu poza buforem.

W jądrze Linux w mechanizmie BPF brakuje odrzucania programów BPF_LSM_CGROUP oznaczonych jako sleepable podczas ładowania. Może to prowadzić do wywołania funkcji uśpienia w kontekście, gdzie jest to niedozwolone, powodując błąd jądra.