Katalog podatności CVE

W jądrze Linux w funkcji nfsd3_proc_setacl() dla NFSv3 SETACL występuje błąd, który może prowadzić do nieumyślnego usunięcia ACL. Gdy żądanie SETACL zawiera tylko NFS_ACL, wskaźnik acl_default pozostaje NULL, a set_posix_acl() z NULL usuwa domyślny ACL katalogu. Podobnie mask=0 usuwa oba ACL.

W jądrze Linux w funkcji nfsd4_copy_notify() stan cpntf był publikowany w strukturach IDR i liście klienta, zanim zakończono jego inicjalizację i zanim przypisano właściciela. Wyścig z żądaniem OFFLOAD_CANCEL mógł doprowadzić do zwolnienia wpisu i użycia zwolnionej pamięci (use-after-free) przy odczycie stateid oraz zapisach cp_p_stateid/cp_p_clid.

W jądrze Linux funkcja __destroy_client() zwalnia właścicieli otwartych plików, ale właściciel blokady, którego jedynym odwołaniem jest zablokowana blokada (nbl), pozostaje w tablicy cl_ownerstr_hashtbl. Podczas rozbiórki klienta może dojść do zwolnienia właściciela przez laundromat i dereferencji NULL w remove_blocked_locks().

W jądrze Linux w module NFSD występuje podatność use-after-free podczas odwoływania stanów administracyjnych. Funkcja nfsd4_revoke_states() zwalnia blokadę client_lock, co pozwala równoległemu procesowi zwolnić klienta, zanim odwołanie stanu zakończy się. Problem dotyczy wyścigu między odwoływaniem stanów a niszczeniem klienta.

W jądrze Linux w module NFSD występuje podatność use-after-free podczas odwoływania delegacji. Funkcja nfs4_laundromat() usuwa wygasłą delegację z listy cl_delegations, zwalnia blokadę deleg_lock, a następnie revoke_delegation() próbuje użyć klienta, który mógł zostać już zwolniony. Brak przypięcia klienta przez cl_rpc_users umożliwia wyścig z niszczeniem klienta.

W jądrze Linux w module NFSD występuje podatność use-after-free podczas czyszczenia odwołanych stanów w NFSv4.0. Funkcja nfs40_clean_admin_revoked() zwalnia blokadę client_lock, a następnie nfsd4_drop_revoked_stid() używa klienta, który mógł zostać zwolniony przez równoległy proces niszczenia. Brak przypięcia klienta umożliwia wyścig.

W jądrze Linux w module libceph występuje podatność polegająca na braku odrzucania bucketów z niezgodnymi identyfikatorami CRUSH. Funkcja crush_decode() przechowuje dane według slotu tablicy, a złośliwa mapa może spowodować ponowne użycie przestrzeni roboczej innego bucketu, prowadząc do zapisu poza granicami bufora. KASAN zgłasza zapis poza granicami w bucket_perm_choose().

W jądrze Linux w funkcji __kick_flushing_caps() w module ceph występuje podatność use-after-free. Funkcja iteruje po liście i_cap_flush_list, ale zwalnia blokadę i_ceph_lock podczas wysyłania komunikatów cap, co pozwala funkcji handle_cap_flush_ack() zwolnić wpis cf, do którego oryginalny wątek odwołuje się po ponownym zdobyciu blokady.

W jądrze Linux w funkcji check_new_map() w podsystemie ceph występuje błąd use-after-free. Funkcja zwalnia mutex mdsc->mutex, aby wykonać operacje na sesji, ale w trzech ścieżkach (zmiana adresu, reconnect, przejście do stanu active) nie pobiera wcześniej referencji na obiekt sesji. Inny wątek może w tym oknie zwolnić i usunąć sesję, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w module ceph występuje podatność polegająca na braku odrzucania rang export_targets >= CEPH_MAX_MDS podczas dekodowania mdsmap. Funkcja check_new_map() używa każdego wpisu jako numeru bitu w bitmapie na stosie, więc ranga spoza przestrzeni nazw protokołu może spowodować zapis poza tablicą przez set_bit().

W jądrze Linux w module ceph występuje podatność polegająca na braku ograniczenia długości kopiowanej nazwy dentry w eksporcie NFS. Funkcja ceph_get_name() kopiuje nazwę dostarczoną przez MDS do bufora o rozmiarze NAME_MAX bez sprawdzenia dname_len, co prowadzi do przepełnienia bufora. __get_snap_name() kopiuje dane w ten sam niekontrolowany sposób.

W jądrze Linux w funkcji handle_session() modułu ceph brakowało sprawdzenia granic podczas dekodowania pól match.path i match.fs_name z rekordów MDSCapAuth w komunikacie CEPH_SESSION_OPEN. Złośliwy lub przejęty serwer MDS może podać zbyt dużą długość, powodując odczyt poza buforem (do 4 GiB) i awarię klienta. Problem naprawiono, przełączając kopiowanie na ceph_decode_copy_safe().

W jądrze Linux w funkcji ceph_mdsmap_decode() brakowało sprawdzenia granic tablicy num_export_targets dla rekordów info MDS w wersjach 2 i 3. Złośliwy lub przejęty monitor Ceph może wysłać mapę MDS z nadmierną wartością num_export_targets, powodując odczyt poza granicami pamięci w kliencie jądra CephFS.

W jądrze Linux występuje luka w funkcji __build_xattrs() w podsystemie Ceph, która dekoduje atrybuty xattr dostarczone przez serwer MDS. Brak sprawdzenia długości wartości ostatniego atrybutu pozwala złośliwemu lub przejętemu serwerowi metadanych ustawić długość większą niż rzeczywisty rozmiar bufora, co prowadzi do odczytu poza granicami alokacji. Poprawka dodaje wymaganą weryfikację ceph_decode_need(), która zwraca -EIO zamiast przechowywania nieprawidłowej długości.

W jądrze Linux w funkcji audit_del_rule() występuje błąd use-after-free przy automatycznym usuwaniu reguł fsnotify. Bezwarunkowe audit_put_tree() zakłada przypadek szablonu, przez co dla reguł mieszanych AUDIT_DIR i AUDIT_EXE zdarzenie autoremove zwalnia żywą referencję drzewa zainstalowanej reguły. Powtórzenie tego może zwolnić drzewo, gdy inna reguła wciąż je referencjonuje, prowadząc do dereferencji zwolnionej ścieżki. Poprawka przenosi zwolnienie tymczasowego drzewa do audit_rule_change().

W kliencie SMB jądra Linux funkcja cifs_check_trans2() przy błędnej odpowiedzi wtórnej T2 (nieprawidłowy nagłówek SMB lub odrzucenie PDU przez check2ndT2()) powoduje, że handle_mid() nadpisuje mid->resp_buf nowym buforem, wyciekając bufor pierwotny i pozostawiając wiszące wskaźniki server->smallbuf/bigbuf. Prowadzi to do use-after-free, gdy wątek demultipleksera ponownie użyje zwolnionego bufora.

W kliencie SMB jądra Linux funkcja free_tgts() zwalnia wszystkie struktury z ce->tlist, ale pozostawia ce->tgthint wskazujący na jedną ze zwolnionych struktur cache_dfs_tgt. Jeśli wskaźnik nie zostanie zresetowany przed ponownym użyciem, dochodzi do use-after-free.

W jądrze Linux w module ksmbd funkcja ksmbd_reopen_durable_fd() podczas ponownego łączenia trwałego uchwytu (durable handle) przypisywała do nowej sesji wszystkie odłączone oplocki na danym i-nowęźle, a nie tylko ten należący do ponownie otwieranego pliku. Prowadziło to do sytuacji, w której jedna sesja przejmowała oplock innej sesji, a po zniszczeniu sesji przejmującej następowało użycie zwolnionej pamięci (use-after-free). Podatność występuje przy domyślnej konfiguracji udziału z obsługą durable handle i oplock, gdy dwie sesje otwierają ten sam plik z różnymi AppInstanceIds.

W kliencie SMB jądra Linux w funkcji symlink_data() makro ALIGN() może przepełnić się dla wartości ErrorDataLength bliskiej UINT32_MAX (np. 0xFFFFFFF9), zawijając się do 0. Powoduje to, że kontrola granic przechodzi, a pętla przesuwa się o zero bajtów, pozostawiając wskaźnik 'p' wskazujący na nieaktualne dane.

W kliencie SMB jądra Linux funkcja coalesce_t2() oblicza wskaźniki danych bezpośrednio z pól DataOffset dostarczonych przez serwer, bez walidacji względem granic bufora. Mały DataOffset może przesunąć wskaźnik przed obszar danych i nadpisać pola nagłówka, a duży może wyjść poza bufor, powodując odczyt lub zapis poza zakresem sterty.