Katalog podatności CVE

W jądrze Linux zwiększono wagę następnego skoku (next hop weight) z 8 bitów do 16 bitów, aby obsłużyć większe proporcje ECMP w sieciach CLOS. Zmiana wymagała modyfikacji struktury nexthop_grp, gdzie pole resvd1 zostało wykorzystane jako górne bity wagi.

Narzędzie datamodel-code-generator przed wersją 0.70.0 zawiera podatność na wstrzykiwanie kodu. Atakujący kontrolujący schematy wejściowe może zdalnie wykonać kod, podając złośliwą wartość customBasePath z osadzonymi znakami nowej linii i wyrażeniem Pythona bez kropek. Wartość ta jest dosłownie wstawiana do wygenerowanej instrukcji 'from ... import ...' bez walidacji identyfikatorów, co powoduje wykonanie dowolnego kodu Pythona podczas importowania wygenerowanego modułu.

Wtyczka Fluent Forms Pro Add On Pack dla WordPressa do wersji 6.2.6 włącznie jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych. Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta lub wyższym może wstrzyknąć obiekt PHP. Obecność łańcucha POP umożliwia zmianę haseł użytkowników i potencjalne przejęcie kont administratora. Podatność jest możliwa do wykorzystania tylko wtedy, gdy włączona jest integracja aktualizacji użytkownika i zmapowane jest pole meta użytkownika.

W jądrze Linux usunięto nieużywane urządzenie znakowe i IOCTLe w sterowniku QAT, które zwiększały powierzchnię ataku i były źródłem błędów. Zarządzanie urządzeniem odbywa się już przez sysfs.

W sterowniku DRM Hyper-V w jądrze Linuxa brakowało walidacji pola resolution_count w odpowiedzi SYNTHVID_RESOLUTION_RESPONSE, co mogło prowadzić do odczytu poza tablicą supported_resolution. Dodatkowo, gdy próba rozpoznania rozdzielczości WIN10 nie powiodła się, nie ustawiano wartości screen_*_max / preferred_*, co powodowało odrzucanie wszystkich buforów ramki przez użytkownika.

W sterowniku mlx5e w jądrze Linuxa, podczas obsługi tymczasowych SA (acquire SA) w IPsec, pomijano blokowanie trybu eswitch, ale etykieta sukcesu wywoływała odblokowanie, co prowadziło do niedomiaru licznika num_block_mode.

W firmware arm_ffa w jądrze Linuxa, ścieżka PARTITION_INFO_GET_REGS oparta na rejestrach ufała indeksom dostarczonym przez firmware, co mogło prowadzić do zapisu poza przydzieloną tablicą podczas kopiowania deskryptorów partycji.

W sterowniku DRM AMDGPU w jądrze Linuxa, dla VCE 1, rozmiar VCPU BO nie uwzględniał przesunięcia, w którym znajduje się firmware, co mogło prowadzić do odczytu poza pamięcią. Dodatkowo, stos i dane nie były wyrównane do rozmiaru TLB 32K, a firmware nie był sprawdzany pod kątem dopasowania do zarezerwowanego miejsca.

W jądrze Linuxa, w podsystemie mac80211, procedura defragmentacji MLE (Multi-Link Element) była wywoływana z wskaźnikiem do zde fragmentowanej kopii, ale oryginalnymi elementami, co mogło prowadzić do odczytu poza stertą, jeśli oryginalna ramka znajdowała się na wyższym adresie.

W jądrze Linux w sterowniku ACPI NFIT wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Błąd występuje w funkcji acpi_nfit_init() podczas obsługi błędów inicjalizacji, gdzie obiekt acpi_desc nie jest usuwany z listy acpi_descs, co przy kolejnych błędach maszynowych (MCE) może skutkować dostępem do zwolnionej pamięci.

W jądrze Linuxa w sterowniku ad_sigma_delta dla układów ADC bez rejestrów (has_registers=false) i bez rdy_gpiod, funkcja ad_sigma_delta_clear_pending_event() może odczytać dane konwersji zamiast statusu, co prowadzi do uszkodzenia strumienia danych. Dodatkowo, gdy num_resetclks=0, wywołanie memset z ujemnym rozmiarem powoduje przepełnienie sterty (heap overflow).

W sterowniku ad_sigma_delta dla przetworników ADC w jądrze Linuxa wykryto problem z pozostawieniem sygnału CS (chip select) w stanie aktywnym oraz wyciekiem stanu blokady magistrali SPI. W funkcji ad_sigma_delta_single_conversion() wywołania set_mode() i disable_one() są wykonywane, gdy keep_cs_asserted jest nadal prawdziwe, co powoduje, że CS pozostaje aktywne po konwersji. Dodatkowo w ścieżce błędów ad_sd_buffer_postenable() urządzenie może pozostać w trybie ciągłej konwersji z aktywnym CS, a flaga bus_locked może pozostać ustawiona, umożliwiając współbieżny dostęp SPI.

W jądrze Linuxa wykryto podatność w podsystemie IIO (Industrial I/O) związaną z wyścigiem podczas resetowania kolejki FIFO zdarzeń. Inny wątek może odczytać dane z kolejki w trakcie jej resetowania, co prowadzi do odczytu poza zakresem bufora i wycieku pamięci jądra do przestrzeni użytkownika.

W sterowniku ALSA virtio-snd brakuje walidacji metadanych sterowania (typu i liczby wartości) dostarczanych przez urządzenie. Złośliwe urządzenie może podać nieprawidłowe wartości, prowadząc do odczytu poza zakresem w tablicy g_v2a_type_map[] oraz w operacjach memcpy.

W sterowniku ALSA compress funkcja snd_compr_task_new() nie wywołuje task_free() w przypadku błędu po udanym task_create(), co prowadzi do wycieku zasobów sterownika. Dodatkowo, błąd alokacji deskryptora pliku nie jest poprawnie przechowywany, co może skutkować fałszywym raportem sukcesu.

W sterowniku ALSA hda/cs35l41 w jądrze Linux występuje problem z usuwaniem pracy ładowania firmware'u. Kontrolki ALSA nie są usuwane podczas odłączania komponentu, a praca fw_load_work może zostać anulowana tylko w określonych warunkach. Jeśli komponent lub urządzenie zostanie usunięte przed wykonaniem kolejki pracy, może dojść do wyłuskania nieprawidłowych danych sterownika.

W sterowniku vfio/pci w jądrze Linux, po zmianie kolejności w funkcji vfio_pci_core_register_device(), brakuje wycofania rejestracji klienta VGA arbiter w przypadku niepowodzenia. Może to pozostawić wywołanie zwrotne z nieprawidłowym cookie vdev, co staje się niebezpieczne, gdy wywołanie zwrotne podąża za drvdata do urządzenia vfio.

W jądrze Linux wykryto podatność use-after-free (UAF) w funkcji binder_thread_release(). Podczas zamykania wątku może dojść do wyścigu z równolegle działającym procesem zwalniającym transakcje, co prowadzi do odwołania do już zwolnionej pamięci.

W jądrze Linux wykryto podatność use-after-free w funkcji binder_free_transaction() sterownika Binder. Problem występuje, ponieważ wskaźnik do procesu docelowego (t->to_proc) jest odczytywany pod blokadą, ale po jej zwolnieniu proces może zostać usunięty, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w sterowniku rust_binder podczas czyszczenia tablicy offsetów używany jest nieprawidłowy krok (usize zamiast u64). Na 32-bitowych jądrach prowadzi to do nadmiernego dekrementowania licznika referencji i uszkodzenia księgowości referencji.