Katalog podatności CVE

W jądrze Linux występuje podatność w module svcrdma (RPC-over-RDMA). Klient może zażądać odpowiedzi bez listy zapisu lub fragmentu odpowiedzi, co powoduje, że funkcja linearyzująca kopiuje dane poza bufor sc_xprt_buf i uszkadza sąsiednią pamięć slab. Nadmiarowa długość jest następnie zapisywana w sc_sges[0].length i wysyłana do urządzenia, które odczytuje dane poza zmapowanym obszarem.

W jądrze Linux w module svcrdma pole pozycji fragmentu Read RPC/RDMA jest dostarczane przez zdalnego klienta i przechowywane bez weryfikacji. xdr_count_read_segments() sprawdza tylko wyrównanie do 4 bajtów i nigdy nie porównuje pozycji z długością otrzymanego ciała inline, co w ścieżce pojedynczego fragmentu prowadzi do niedomiaru długości ogona i ujawnienia sąsiedniej pamięci slab, a w ścieżce wielu fragmentów do niedomiarów przy obliczaniu odstępów i kopiowania poza bufor odbioru.

W jądrze Linux w module ocfs2 (o2dlm) procedura obsługi komunikatu DLM_MIGRATE_REQUEST ufała długości nazwy (namelen) podanej przez węzeł nadawcy bez sprawdzenia jej rozmiaru. Funkcja dlm_init_mle() kopiowała tę długość do stałego bufora mname[] o rozmiarze 32 bajtów w obiekcie slab o2dlm_mle, co pozwalało na zapis poza granicami sterty do około 215 bajtów danych kontrolowanych przez atakującego.

W jądrze Linux w module ocfs2 funkcja dlm_mig_lockres_handler ufała polom num_locks i lockname_len z wiadomości DLM_MIG_LOCKRES bez ich walidacji. Prowadziło to do odczytu poza granicami bufora (panic BUG_ON) oraz zapisu poza granicami sterty przy kopiowaniu nazwy blokady do 32-bajtowego obiektu. Podatność może wykorzystać dowolny węzeł w domenie.

W jądrze Linux w module ocfs2 wykryto lukę polegającą na braku walidacji liczby wpisów w indeksie katalogu podczas odczytu metadanych. Funkcje ocfs2_validate_dx_leaf() i ocfs2_validate_dx_root() nie sprawdzają, czy pola de_num_used i de_count mieszczą się w pojemności bloku, co pozwala spreparowanemu obrazowi dysku ustawić je na 0xffff i doprowadzić do odczytu poza granicami bloku metadanych 4KB. Luka jest osiągalna przy każdej operacji wyszukiwania ścieżki, stat() lub open() na zaindeksowanym katalogu po zamontowaniu obrazu.

W jądrze Linux w podsystemie lockd funkcja nlm_traverse_files() przypina bieżący plik przez f_count++ na czas zwolnienia mutexa, ale nie przypina zapisanego wskaźnika next. Współbieżne nlm_release_file() może zwolnić next w oknie bez blokady, a iterator odwołuje się do zwolnionej pamięci w następnej iteracji. Poprawka przypina oba pliki i zwalnia je po zakończeniu iteracji.

W jądrze Linux w sterowniku nvme-tcp występuje luka polegająca na tym, że odbiór danych C2HData był weryfikowany wyłącznie na podstawie blk_rq_payload_bytes(), bez sprawdzenia req->data_len. Dla operacji WRITE_ZEROES, która nie ma segmentów fizycznych, ale ma niezerowe blk_rq_bytes(), prowadzi to do kopiowania danych do niezainicjalizowanego iteratora i błędu wild-memory-access (KASAN) w _copy_to_iter().

W jądrze Linux występuje podatność use-after-free w obsłudze protokołu SCTP. Zdalny peer może w jednym pakiecie połączyć chunki COOKIE ECHO, SHUTDOWN i SHUTDOWN ACK, co prowadzi do zwolnienia asocjacji i jej transportów, a następnie do zapisu do zwolnionej pamięci w pętli endpointu. Problem występuje, gdy pakiet jest przetwarzany z kolejki backlogu gniazda w kontekście zadania.

W jądrze Linux w funkcji sctp_rcv() transport jest przypisywany do chunka i pozostaje w nim do momentu przetworzenia. Uwierzytelniony pakiet ASCONF DEL-IP może w międzyczasie usunąć ten transport z asocjacji i zwolnić go przez RCU, a następnie kolejny opóźniony SACK odczytuje stan już zwolnionego transportu. Podatność prowadzi do use-after-free.

W jądrze Linux w funkcji detect_intel_iommu() warunki żądania ACS nie uwzględniały tboot, co mogło prowadzić do błędnej konfiguracji z wyłączonym ACS, gdy IOMMU jest później wymuszane przez tboot_force_iommu(). Poprawka dodaje sprawdzenie tboot w detect_intel_iommu().

W jądrze Linux funkcja xdp_convert_zc_to_xdp_frame() klonuje pakiet XSK do strony rzędu 0 i ogłasza PAGE_SIZE jako rozmiar ramki, pozwalając skopiowanej ramce zająć ogon strony potrzebny dla skb_shared_info. Prowadzi to do nakładania się skb na skb_shared_info lub umieszczenia go poza przydzieloną stroną, co skutkuje błędem KASAN slab-out-of-bounds w skb_gro_receive.

W jądrze Linux występuje błąd w module net/smc, gdzie liczba kluczy rkey partnera w komunikatach SMC-Rv2 LLC nie jest ograniczana. Na łączach z urządzeniem o max_recv_sge == 1 funkcja smc_llc_save_add_link_rkeys() odczytuje rozszerzenie v2 poza zaalokowanym buforem, co prowadzi do odczytu poza granicami (slab-out-of-bounds). Błąd występuje przy każdym dodaniu łącza SMC-Rv2, niezależnie od danych wysłanych przez partnera.

W jądrze Linux w funkcji smc_llc_srv_add_link() (podsystem net/smc) występuje błąd use-after-free. Wskaźnik add_llc wskazuje na wpis kolejki, który zostaje zwolniony przez smc_llc_flow_qentry_del(), a następnie jest używany w smc_llc_save_add_link_rkeys() na łączu bez współdzielonego bufora odbioru v2. Problem został naprawiony.

W jądrze Linux w podsystemie net/smc trzy flagi stanu połączenia (killed, freed, out_of_sync) są polami bitowymi zajmującymi wspólny bajt struktury smc_connection. Ponieważ nie są zapisywane pod wspólnym zamkiem, zapis jednej flagi modyfikuje sąsiednie bity, co prowadzi do wyścigu i błędnego stanu połączenia.

W jądrze Linux występuje podatność w obsłudze segmentowego routingu IPv6 (SRv6). Funkcja decap_and_validate() nie resetuje bloku kontrolnego IPv6 (IP6CB) po dekapulacji, przez co nieuprzywilejowany użytkownik może doprowadzić do odczytu poza buforem (slab-out-of-bounds) w ip6_protocol_deliver_rcu().

W jądrze Linux w sterowniku kryptograficznym iaa występuje błąd podczas dekompresji sprzętowej. Gdy wystąpi błąd analityki sprzętowej, ścieżka dekompresji przechodzi do fallbacku programowego, który zapisuje do req->dst, podczas gdy bufor jest nadal zmapowany jako DMA_FROM_DEVICE. Przy aktywnym SWIOTLB późniejsze dma_unmap_sg() kopiuje nieaktualny bufor pośredniczący nad req->dst, uszkadzając wynik.

W jądrze Linux naprawiono błąd use-after-free w mechanizmie powiadomień o przerwaniu oplocku w module ksmbd. Funkcja smb2_oplock_break_noti() odczytywała wskaźnik opinfo->conn bez blokady i używała go po operacjach alokacji, które mogą usypiać, co pozwalało na wyścig z procesem rozłączania trwałego uchwytu (durable handle) i dostęp do zwolnionego połączenia. Podatność może być wykorzystana przez każdego uwierzytelnionego klienta posiadającego trwały batch oplock.

GetSimple CMS (wersje 3.4.0a i starsze) oraz GetSimple CMS CE (wersje 3.3.22 i starsze) zawierają błąd logiczny pozwalający nieuwierzytelnionemu atakującemu utworzyć nowe konto administratora. Mechanizm automatycznego usuwania pliku admin/setup.php po instalacji jest neutralizowany przez błąd samowykluczenia, przez co skrypt instalacyjny pozostaje dostępny. W momencie publikacji nie są znane żadne wersje z poprawką.

Podatność SQL Injection w Woltlab WCF w wersji 6.2.4 i wcześniejszych pozwala zdalnemu atakującemu na manipulację metodą updateUserOptions w pliku UserEditor.class.php oraz akcją update w pliku UserAction.class.php.

W kamerze IP Xiongmai XM530 z firmware HMT.CM2005-v220608.1837 i wcześniejszym zastosowano wbudowane domyślne poświadczenia przechowywane w postaci jawnej w pliku bin/config.xml oraz skompilowane w pliku wykonywalnym Sofia, co pozwala zdalnym atakującym uzyskać pełną kontrolę administracyjną nad kamerą.