Katalog podatności CVE

W jądrze Linux w podsystemie RDMA/nldev występuje problem z synchronizacją dostępu do wskaźnika mr->pd, który może się zmieniać podczas operacji rereg_mr. Poprawka polega na użyciu mr->device zamiast mr->pd->device oraz dodaniu operacji rdma_restrack_sync() w celu bezpiecznego odczytu identyfikatora restrack PD.

W jądrze Linux w sterowniku ASoC dla AMD (acp-sdw-legacy) występuje błąd odczytu poza granicami tablicy w funkcji create_sdw_dailinks(). Pętla iteruje po tablicy soc_dais, która ma dokładnie num_ends elementów, ale jeśli wszystkie są zainicjalizowane, odczyt wykracza poza koniec tablicy, co zgłasza KASAN.

W jądrze Linux w sterowniku ASoC dla AMD (acp-sdw-sof) występuje błąd odczytu poza granicami tablicy w funkcji create_sdw_dailinks(). Pętla iteruje po tablicy sof_dais, która ma dokładnie num_ends elementów, ale jeśli wszystkie są zainicjalizowane, odczyt wykracza poza koniec tablicy.

W jądrze Linux w systemie plików configfs występuje problem z bezpiecznym przechodzeniem po liście ->s_children. Posiadanie zablokowanego katalogu nadrzędnego chroni wpisy przed usunięciem przez inny wątek, ale nie chroni kursorów przed przesuwaniem przez lseek() lub przed zwolnieniem.

W jądrze Linux w podsystemie iommufd występuje problem z kolejnością operacji podczas odłączania od dmabuf. Mutex może być nadal używany przez wywołania zwrotne unieważnienia dmabuf, dlatego nie należy niszczyć zawartości stron przed całkowitym odłączeniem dmabuf.

W jądrze Linux w sterowniku WiFi mt76 występuje problem z użyciem po zwolnieniu w funkcji mt76_put_vif_phy_link(). Funkcja zwalnia offchannel mlink za pomocą kfree(), ale rcu_assign_pointer nie czeka na istniejących czytelników RCU, którzy mogą nadal używać wskaźnika. Ścieżka TX może dereferencjonować zwolnioną pamięć.

W jądrze Linux w sterowniku mt7996 funkcja mt7996_tx_prepare_skb() może przeciekać tokeny transmisji, jeśli wyszukiwanie link_conf lub link_sta zakończy się niepowodzeniem. Token jest przydzielany przed sprawdzeniem, a w przypadku błędu nie jest zwalniany. Poprawka polega na zwolnieniu tokena w przypadku błędu.

W jądrze Linux w funkcji __btrfs_run_delayed_refs() systemu plików Btrfs występuje nieprawidłowa dereferencja wskaźnika. Gdy btrfs_select_ref_head() zwraca błąd -EAGAIN, zmienna locked_ref pozostaje wskaźnikiem błędu, a następnie jest używana w spin_lock(), co prowadzi do dereferencji nieprawidłowego adresu. Poprawka resetuje locked_ref do NULL i zwiększa licznik, aby uniknąć zapętlenia.

W jądrze Linuxa w sterowniku ixgbe występuje podatność polegająca na wywoływaniu netif_set_xps_queue() dla kolejek XDP Tx, które nie są widoczne dla netdev. Na systemach z liczbą CPU >= 64 i kartą E610, konfiguracja XDP prowadzi do 64 kolejek XDP, podczas gdy maksymalna liczba par kolejek to 63, co powoduje ostrzeżenie i raport KASAN (slab-out-of-bounds). Poprawka polega na pominięciu konfiguracji XPS dla kolejek XDP Tx.

W jądrze Linux w serwerze NFSD funkcja nfsd4_drop_revoked_stid() nie obsługuje przypadku SC_TYPE_LAYOUT, co powoduje, że gdy klient wysyła FREE_STATEID dla unieważnionego layout stid, stid nie jest usuwany z listy ani zwalniany. Poprawka usuwa layout stid z listy i wywołuje nfs4_put_stid(), aby zwolnić referencję.

W jądrze Linuxa odkryto podatność w mechanizmie BPF dotyczącą recyklingu wartości w mapach. Podczas aktualizacji lub usuwania wpisu, pola specjalne (np. timery, kolejki pracy) były usuwane w kontekście operacji, co mogło być niebezpieczne w kontekście NMI. Wprowadzono nową funkcję anulującą, która wykonuje tylko bezpieczne operacje w kontekście NMI, a pełne usunięcie pozostawia do końcowego czyszczenia.

W jądrze Linux w funkcji vduse_dev_open() występuje wyścig (race condition) między wyszukiwaniem obiektu w IDR a przejęciem blokady urządzenia. Atakujący może wykorzystać okno czasowe, w którym operacja VDUSE_DESTROY_DEV usuwa i zwalnia obiekt, zanim ścieżka otwarcia go zablokuje, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcjach vhost_vdpa_mmap() i vhost_vdpa_fault() indeks kolejki wirtualnej (virtqueue) nie jest poprawnie walidowany przed użyciem w wywołaniu get_vq_notification(). Brak sprawdzenia, czy indeks jest mniejszy niż v->nvqs, pozwala na przekazanie nieprawidłowego indeksu do sterownika, co może prowadzić do dostępu poza zakresem i awarii systemu.

W jądrze Linux w sterowniku virtio:rtc podczas przywracania urządzenia (restore) nie są usuwane stare kolejki wirtualne przed ich ponowną inicjalizacją. Jeśli inicjalizacja nie powiedzie się, może dojść do wyłuskania pustego wskaźnika w vp_del_vq(), co powoduje awarię jądra gościa.

W jądrze Linux w sterowniku vfio/qat funkcja qat_vf_resume_write() sprawdza pozycję pliku (f_pos) przed przejęciem blokady migf->lock, ale kopiuje dane po przejęciu blokady i ponownym odczycie pozycji. Dwa równoczesne zapisy mogą ominąć sprawdzenie granic i zapisać poza buforem stanu migracji.

W jądrze Linux w mechanizmie BPF, sprawdzanie zgodności cookie dla tablic programów jest niedostateczne. Program bez magazynu cgroup może być uznany za zgodny z dowolnym cookie, co pozwala na pomostowanie łańcucha tail call między programem wejściowym a programem korzystającym z magazynu, co prowadzi do nieprawidłowego dostępu do magazynu lokalnego cgroup.

W jądrze Linux w podsystemie Bluetooth hci_core występuje podatność use-after-free w funkcji hci_unregister_dev(). Funkcja nie wyłącza timerów cmd_timer i ncmd_timer przed zwolnieniem struktury hci_dev. Jeśli timer wygaśnie podczas usuwania urządzenia, wywołanie zwrotne odwołuje się do zwolnionej pamięci, co prowadzi do użycia po zwolnieniu. Poprawka dodaje wywołania disable_delayed_work_sync() obok istniejących disable_work_sync().

W jądrze Linux w podsystemie Bluetooth hci występuje podatność polegająca na nieprawidłowej walidacji długości elementu capabilities w odpowiedzi kontrolera. Funkcja hci_read_codec_capabilities() sprawdza tylko długość payloadu, ale nie uwzględnia bajtu długości, co pozwala na odczyt poza zakresem. Poprawka waliduje pełny rozmiar elementu, włączając bajt długości.

W jądrze Linux w sterowniku RDMA/mlx5 występuje niezdefiniowane przesunięcie bitowe rozmiaru WQE dla kolejki RQ. Funkcja set_rq_size() oblicza rozmiar jako "1 << rq_wqe_shift" na podstawie wartości podanej przez użytkownika, która jest tylko sprawdzana, czy jest większa niż 32, więc przesunięcia o 32 są nadal akceptowane. Przesunięcie o 31 również powoduje przepełnienie liczby całkowitej ze znakiem, co prowadzi do niezdefiniowanego zachowania. Poprawka używa check_shl_overflow() do obliczenia rozmiaru i odrzuca nieprawidłowe wartości.

W jądrze Linux w sterowniku RDMA/mlx5 występuje błąd polegający na zwalnianiu indeksu UAR dostarczonego przez oprogramowanie zamiast indeksu dostarczonego przez sprzęt. Poprawka polega na zwalnianiu indeksu UAR zwróconego przez sprzęt.