Katalog podatności CVE

W jądrze Linux dla KVM nVMX przeniesiono sprawdzenie spójności vTPR vs. próg TPR do normalnych kontroli. Wcześniej sprawdzenie było wykonywane późno, co mogło prowadzić do uruchomienia L1 z nieprawidłowym CR3. Poprawka upraszcza dostęp do vTPR i pomija sprawdzenie w niektórych przypadkach.

W jądrze Linux dla KVM SEV zablokowano migrację/mirroring wewnątrz hosta dla maszyn wirtualnych SNP, ponieważ funkcja nie jest w pełni zaimplementowana. Brakuje przenoszenia stanu specyficznego dla SNP, co może prowadzić do nieprawidłowego działania. Poprawka odrzuca źródłowe maszyny SNP w migracji/mirroringu.

W jądrze Linux dla KVM TDX dodano odrzucanie równoczesnej zmiany liczby wpisów CPUID podczas inicjalizacji. Wcześniej użytkownik mógł zmienić cpuid.nent między odczytem a kopiowaniem, co mogło prowadzić do odczytu poza zakresem. Poprawka wymaga, aby skopiowana liczba zgadzała się z wartością używaną do alokacji.

W jądrze Linux w KVM x86 występuje błąd polegający na tym, że wewnętrzne żądanie obsługi oczekującego PV EOI nie jest ignorowane, jeśli vCPU wyłączył PV EOI po jego zgłoszeniu. Może to doprowadzić do awarii jądra (kernel BUG) w funkcji kvm_lapic_sync_from_vapic.

W jądrze Linux w KVM x86 występuje podatność polegająca na tym, że wskaźnik irqfd->producer nie jest zerowany, gdy aktualizacja IRTE dla bypassu nie powiedzie się. Pozostawienie wiszącego wskaźnika może prowadzić do użycia po zwolnieniu (use-after-free), jeśli irqfd jest osiągalny przez routing KVM, a producent jest zwalniany osobno.

W jądrze Linux w KVM funkcja kvm_io_bus_get_dev() zwraca urządzenie dopasowane tylko po adresie, co może powodować problemy z czasem życia obiektu, jeśli urządzenie nie jest oczekiwanego typu. Poprawka przenosi odpowiedzialność za trzymanie blokady srcu na wywołującego, aby uniknąć użycia po zwolnieniu.

W jądrze Linux w KVM arm64 (tryb zagnieżdżony) występuje fałszywe ostrzeżenie WARN przy zapisie do rejestru ZCR_EL2 przez gościa w kontekście zagnieżdżonym. Poprawka usuwa to ostrzeżenie, które mogło powodować panikę hipernadzorcy.

W jądrze Linux w ASoC SOF ipc3-control wykryto przepełnienie sterty w funkcjach bytes_ext put/get. Bufor ipc_control_data jest przydzielany jako kzalloc(max_size), ale sprawdzenia granic porównywały długości danych użytkownika bezpośrednio z max_size, ignorując offset cdata->data. Umożliwiało to zapis do sizeof(struct sof_ipc_ctrl_data) bajtów poza końcem bufora sterty z nieuprzywilejowanego przestrzeni użytkownika przez interfejs ALSA TLV kcontrol, oraz nadmierny odczyt sąsiednich danych sterty. Poprawka odejmuje sizeof(*cdata) od max_size w wszystkich sprawdzeniach granic.

W jądrze Linux w ASoC SOF ipc3-control wykryto brak walidacji rozmiaru w funkcji snd_sof_update_control. Liczba elementów cdata->num_elems dostarczona przez oprogramowanie układowe jest sprawdzana tylko względem local_cdata->data->size, ale nie względem rzeczywistego rozmiaru alokacji. Jeśli local_cdata->data->size był wcześniej ustawiony na niespójną wartość, memcpy mógł zapisać poza przydzielony bufor. Poprawka dodaje sprawdzenie granic, aby upewnić się, że num_elems mieści się w dostępnym miejscu w alokacji ipc_control_data.

W jądrze Linux w netfilter nf_queue wykryto problem z przypinaniem urządzenia mostka, gdy NFQUEUE trzyma fałszywy dst. Fałszywy rtable br_netfilter jest osadzony w struct net_bridge i dołączany do mostkowanych pakietów za pomocą skb_dst_set_noref(). Jeśli taki pakiet jest kolejkowany do NFQUEUE, __nf_queue() ulepsza ten fałszywy dst za pomocą skb_dst_force(). Poprawka polega na przypinaniu urządzenia mostka tylko podczas gdy pakiet znajduje się w NFQUEUE, rejestrując urządzenie mostka w nf_queue_entry i utrzymując referencję do urządzenia przez czas życia kolejki.

W jądrze Linuxa w module netfilter nft_fib występuje podatność na dereferencję wskaźnika NULL podczas użycia wyrażenia fib w łańcuchu egress netdev. Walidacja nieprawidłowo akceptuje hook egress, co prowadzi do awarii systemu.

W jądrze Linuxa w module netfilter nf_conntrack_sip brakuje walidacji skb_dst() przed jego użyciem. W przypadku braku informacji o routingu (np. w tc ingress lub openvswitch) może dojść do awarii.

W jądrze Linuxa w module netfilter nft_set_pipapo występuje podatność na wyciek uszkodzonego klonu do przyszłej transakcji. Błąd alokacji pamięci może prowadzić do zapisów poza zakresem podczas kolejnych operacji.

W jądrze Linuxa w module netfilter nf_conntrack_reasm występuje podatność na nieprawidłowe przesunięcie wskaźnika mac_header po defragmentacji IPv6. Może to prowadzić do błędnego raportowania obecności nagłówka MAC.

W jądrze Linuxa w module netfilter nf_conncount wykryto podatność polegającą na błędnym porównywaniu stref conntrack w logice deduplikacji krotek. Błędne przekazywanie maski bitowej kierunku strefy jako argumentu kierunku powoduje, że różne strefy mogą być traktowane jako równe, co prowadzi do nieprawidłowego zliczania połączeń i omijania limitów connlimit.

W jądrze Linux w podsystemie GPU buddy wykryto problem z wyrównaniem pamięci w funkcji try_harder. Gdy kandydat nie był wyrównany do min_block_size, zwracany zakres mógł mieć nieprawidłowy offset. Poprawka wyrównuje kandydatów w dół do min_block_size, zamiast odrzucać żądanie, co zapewnia poprawne działanie.

W jądrze Linux w module SELinux brakowało sprawdzania uprawnień związanych z połączeniem (connect) przy użyciu TCP Fast Open. Poprawka dodaje wywołanie selinux_socket_connect() w haku socket_sendmsg() gdy używany jest MSG_FASTOPEN.

W jądrze Linux w module SELinux funkcja selinux_sctp_bind_connect() dereferencjonowała sk->sk_socket, co mogło prowadzić do problemów, gdy hak był wywoływany ze ścieżki softirq ASCONF. Poprawka refaktoryzuje kod, aby używać bezpośrednio struct sock * i unikać dereferencji sk_socket.

W jądrze Linux w batman-adv wykryto problem use-after-free spowodowany potencjalną realokacją bufora przez pskb_may_pull() w batadv_interface_rx(). Poprawka ponownie przypisuje wskaźnik do nagłówka ethernet po realokacji.

W jądrze Linux w module batman-adv, po wywołaniu pskb_may_pull() przez batadv_bla_is_backbone_gw(), bufor skb może zostać ponownie przydzielony. Wskaźnik adresu bramy (gw address) nie został ponownie przypisany po tej realokacji, co może prowadzić do użycia po zwolnieniu.