Katalog podatności CVE

W jądrze Linux wykryto podatność w mechanizmie BPF sockmap, polegającą na przepełnieniu liczby całkowitej w funkcji bpf_msg_pop_data(). Mnożenie start + len wykonywane jest w arytmetyce 32-bitowej, co pozwala na obejście kontroli granic i prowadzi do dostępu poza zakresem listy rozproszonej (scatterlist), skutkując błędem ogólnej ochrony (GPF) i potencjalną awarią systemu.

W jądrze Linuxa w protokole TCP dla IPv6, funkcja ip6_default_advmss() może zwracać wartość IPV6_MAXPLEN (65535), która jest interpretowana jako mss_clamp, pozwalając MSS osiągnąć 65535. Jednak wartość 0xFFFF jest również używana jako magiczna wartość GSO_BY_FRAGS, co może prowadzić do dereferencji wskaźnika NULL podczas segmentacji pakietów TCP.

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla SRQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_srq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, strona toggle dla CQ jest zwalniana przed zakończeniem teardown firmware, co może pozwolić przerwaniu NQ na zapis do już zwolnionej strony. Poprawka przenosi zwolnienie strony po zakończeniu bnxt_qplib_destroy_cq().

W jądrze Linuxa w sterowniku RDMA bnxt_re, brakuje sprawdzenia maksymalnej liczby slotów dla SQ. Tryb zmiennej WQE musi być walidowany względem maksymalnej liczby slotów obsługiwanych przez sprzęt (maks. 64K). Dodano sprawdzenie maksymalnej i minimalnej wartości, aby odrzucić wartości większe niż maksymalna i równe zero.

W jądrze Linux w module ksmbd funkcja same_client_has_lease() zwraca wskaźnik opinfo z listy ci->m_op_list po zwolnieniu blokady m_lock bez przejęcia referencji. Może to prowadzić do użycia po zwolnieniu (UAF) podczas równoczesnego zamykania. Dodano przejmowanie referencji i jej zwalnianie po skopiowaniu stanu dzierżawy.

W jądrze Linux w sterowniku staging nvec funkcja nvec_rx_completed() zawiera błąd użycia po zwolnieniu (UAF). Po wywołaniu nvec_msg_free() kod nadal odczytuje nvec->rx->data[0], co może być już nadpisane przez równoczesne wywołanie nvec_msg_alloc(). Poprawka zapisuje bajt typu wiadomości przed zwolnieniem i używa zapisanej wartości.

W jądrze Linux w podsystemie soundwire funkcja sdw_add_element_group_count zawierała błąd powodujący dostęp poza zakres pamięci w pętli for, gdy i == num. Poprawka dodaje sprawdzenie istniejących wpisów rate/lane przed ich dodaniem, bez zmian funkcjonalnych poza tą poprawką.

W jądrze Linux w podsystemie PCI funkcja pci_get_rom_size może powodować awarię z powodu dostępu poza zakres pamięci ROM lub nieprawidłowego wyrównania adresu struktury danych. Dodano sprawdzanie nagłówka obrazu i adresu struktury danych oraz sprawdzanie wyrównania, aby zapobiec awariom na architekturach x86_64 i arm64.

W jądrze Linuxa w podsystemie coresight platform występuje problem z licznikiem połączeń, który jest zwiększany przed udaną alokacją pamięci. Jeśli alokacja się nie powiedzie, licznik pozostaje zwiększony, a funkcja sprzątająca może odwoływać się do nieprawidłowych wskaźników, powodując panikę jądra. Poprawka przenosi zwiększenie licznika po wszystkich udanych alokacjach.

W jądrze Linuxa w sterowniku USB host max3421 występuje podatność przesunięcia poza zakres (shift-out-of-bounds) w funkcji max3421_hub_control(). Niezaufany proces użytkownika może wysłać żądanie USBDEVFS_CONTROL z wartością wValue większą lub równą 32, co powoduje przesunięcie bitowe poza zakres i uszkodzenie port_status, w tym bitów niezmiennych. Poprawka odrzuca żądania z wartością przekraczającą szerokość przesunięcia.

W jądrze Linuxa w sterowniku gpib występuje podwójne zmniejszenie licznika descriptor_busy w funkcji command_ioctl(). Ścieżka błędu wewnątrz pętli zmniejsza licznik i przerywa, ale potem następuje bezwarunkowe zmniejszenie po pętli, co prowadzi do niedomiaru licznika. To ponownie umożliwia use-after-free, które pierwotna poprawka miała zapobiec. Poprawka usuwa wczesne zmniejszenie ze ścieżki błędu.

W jądrze Linuxa w sterowniku iio: adc xilinx-ams występuje podatność odczytu poza zakresem w funkcji ams_event_to_channel(). Funkcja może zwrócić wskaźnik poza koniec tablicy dev->channels, gdy nie zostanie znaleziony pasujący scan_index, co prowadzi do nieprawidłowego dostępu do pamięci w ams_handle_event(). Poprawka dodaje sprawdzenie granic i zwraca NULL, gdy kanał nie zostanie znaleziony.

W jądrze Linuxa w systemie plików NTFS3 występuje podatność odczytu poza zakresem w funkcji run_get_highest_vcn(). Funkcja analizuje bufor mapowania par bez ograniczenia długości, polegając tylko na terminatorze 0x00. Specjalnie spreparowany rekord $LogFile UpdateMappingPairs może spowodować odczyt poza przydzieloną pamięcią, wywołując błąd KASAN podczas montowania. Poprawka dodaje parametr run_buf_size i odrzuca nagłówki, których dane wykraczają poza bufor.

W jądrze Linux w funkcji dma_release_channel() występuje podatność na użycie po zwolnieniu (use-after-free). Sprawdzenie licznika privatecnt odbywa się po wywołaniu dma_chan_put(), które może zwolnić ostatnie odniesienie do urządzenia, jeśli dostawca DMA już nie istnieje, prowadząc do zwolnienia pamięci. Poprawka przenosi wywołanie dma_chan_put() przed sprawdzenie.

W jądrze Linux w systemie plików NTFS3 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej lcn. Gdy poszukiwany VCN nie zostanie znaleziony w runs[0], funkcja run_lookup() zwraca false, co prowadzi do przedwczesnego wyjścia z attr_data_get_block_locked() bez inicjalizacji lcn, wywołując błąd KMSAN. Poprawka przenosi sprawdzenie clen przed sprawdzenie lcn w ni_seek_data_or_hole().

W jądrze Linux w systemie plików NTFS3 (fs/ntfs3) występuje podatność polegająca na przepełnieniu bufora. Podczas montowania brudnego woluminu NTFS, funkcja log_replay() alokuje bufor one_page_buf o rozmiarze strony hosta, a następnie, gdy odnajdzie obszar restartu, może przyjąć większy rozmiar strony z dysku. Jeśli rozmiar strony na dysku jest większy niż początkowo zaalokowany, bufor pozostaje za mały, a późniejszy odczyt log->page_size bajtów do tego bufora powoduje przepełnienie.

W jądrze Linuxa w podsystemie xprtrdma wykryto podatność polegającą na braku równowagi w liczniku referencji (kref) podczas obsługi zdarzenia ADDR_CHANGE. Gdy zdarzenie to pojawi się przed ESTABLISHED, wywoływane jest ep_put bez odpowiadającego ep_get, co prowadzi do niedomiaru licznika i użycia zwolnionej pamięci (use-after-free) podczas rozłączania.

W jądrze Linux w podsystemie xprtrdma stwierdzono podatność polegającą na braku ograniczenia wartości kredytu odpowiedzi (credit grant) przed jej użyciem. Złośliwy peer może wysłać odpowiedź z nieznanym XID i zawyżonym kredytem, co prowadzi do nadmiernej alokacji i wysyłania Receive WR, przekraczając limit re_max_requests.

W jądrze Linux w podsystemie xprtrdma wykryto podatność, która pozwala zdalnemu przeciwnikowi na wyczerpanie kolejki odebranych pakietów (Receive queue) klienta poprzez wysyłanie ciągłego strumienia nieprawidłowych odpowiedzi (zbyt krótkich lub z nieznaną wersją RPC/RDMA). Każda taka odpowiedź zużywa jeden wpis w kolejce bez jego uzupełnienia, co po opróżnieniu kolejki prowadzi do zatrzymania transportu do czasu ponownego połączenia.