Katalog podatności CVE

W jądrze Linux w serwerze SMB ksmbd występuje podatność na obejście ograniczeń ścieżki (path traversal). Funkcja __ksmbd_vfs_kern_path() w trybie caseless nie przechwytuje błędu -EXDEV z vfs_path_parent_lookup() i przechodzi do logiki ponawiania, co pozwala na tworzenie plików lub katalogów poza udostępnionym zasobem.

W jądrze Linux w systemie plików ksmbd brakuje sprawdzenia uprawnień dla operacji FSCTL_SET_ZERO_DATA. Uwierzytelniony klient SMB może użyć uchwytu otwartego tylko z uprawnieniem FILE_WRITE_ATTRIBUTES do wyzerowania danych pliku, do których nie ma prawa FILE_WRITE_DATA.

W jądrze Linux w systemie plików ksmbd występuje podatność użycia po zwolnieniu (UAF) struktury file_lock podczas anulowania odroczonego blokowania zakresu bajtów. Gdy blokada jest anulowana, a praca nie jest już aktywna, zwolnienie blokady przed usunięciem jej z listy asynchronicznej prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linux w systemie plików ksmbd brakuje sprawdzenia uprawnień odczytu dla źródłowego pliku podczas operacji duplikowania zakresów (FSCTL_DUPLICATE_EXTENTS_TO_FILE). Uchwyt otwarty tylko z dostępem do atrybutów może być użyty do kopiowania zawartości pliku do pliku docelowego czytelnego dla atakującego.

W jądrze Linuxa w systemie plików ksmbd (SMB) brakuje sprawdzenia uprawnień WRITE_DAC/WRITE_OWNER w operacji SMB2 SET_INFO SECURITY. Klient może otworzyć uchwyt z minimalnymi uprawnieniami (np. FILE_WRITE_ATTRIBUTES) i przepisać deskryptor bezpieczeństwa pliku, uzyskując nieautoryzowany dostęp.

W jądrze Linux w systemie plików ksmbd występuje problem z zarządzaniem blokadami zakresu bajtów w przypadku wielu kanałów SMB3. Blokada może być usunięta z listy połączenia przy użyciu niewłaściwego spinlocka, co prowadzi do dostępu do zwolnionych obiektów podczas współbieżnego przeglądania listy.

W jądrze Linux w systemie plików ksmbd walidacja odpowiedzi NTLMv2 jest wykonywana po zaktualizowaniu klucza sesji. W przypadku nieudanego uwierzytelnienia, klucz sesji może zostać zmodyfikowany przed zwróceniem błędu, co pozwala klientowi na zmianę klucza sesji istniejącej sesji wiążącej.

W jądrze Linux w kliencie SMB3 podczas montowania z rozszerzeniami POSIX, zmiany właściciela (chown) i grupy (chgrp) były ignorowane, chyba że jawnie ustawiono flagi CIFS_MOUNT_CIFS_ACL lub CIFS_MOUNT_MODE_FROM_SID. Poprawka dodaje sprawdzanie rozszerzeń POSIX w funkcji cifs_setattr_nounix(), aby poprawnie wywołać id_mode_to_cifs_acl() i ustawić informacje o właścicielu/grupie na serwerze.

W jądrze Linux w kliencie SMB występuje podwójne zwolnienie pamięci podczas odtwarzania odpowiedzi na żądanie SMB2_open(). Jeśli odpowiedź zwróci błąd nadający się do odtworzenia i zwolni bufor, a następnie SMB2_open_init() zawiedzie przed kolejnym wysłaniem, procedura czyszczenia ponownie zwalnia ten sam bufor. Poprawka resetuje księgowość odpowiedzi przed każdą próbą.

W jądrze Linux w kliencie SMB funkcja receive_encrypted_standard() alokuje next_buffer przed sprawdzeniem, czy liczba złożonych PDU osiągnęła MAX_COMPOUND. Jeśli limit zostanie przekroczony, funkcja zwraca natychmiast, a nowo zaalokowany next_buffer nie jest przypisywany do server->smallbuf/server->bigbuf, co powoduje wyciek pamięci. Poprawka przenosi sprawdzenie MAX_COMPOUND przed alokację next_buffer.

W jądrze Linux w kliencie SMB funkcja posix_info_sid_size() odczytuje sid[1] w celu uzyskania liczby podwładnych, ale jej istniejące sprawdzenie granic nadal akceptuje bufory z tylko jednym pozostałym bajtem. Poprawka wymaga dwóch bajtów przed odczytaniem sid[1], aby wszystkie ścieżki klienckie korzystające z tej funkcji bezpiecznie odrzucały obcięte POSIX SID.

W jądrze Linux w kliencie SMB, gdy aktywny jest tryb modefromsid, funkcja parse_dacl() stosuje wartość sub_auth[2] dostarczoną przez serwer z SID trybu NFS do cf_mode bez maskowania do 07777. Poprawka dodaje prawidłowe maskowanie, takie samo jak w ścieżce odczytu.

W jądrze Linux wykryto wyścig między funkcjami cgroup_writeback_umount() a inode_switch_wbs() podczas odmontowywania systemu plików po wyjściu kontenera. Problem prowadzi do BUG_ON w generic_shutdown_super z powodu zajętych i-węzłów po odmontowaniu.

W sterowniku cpufreq dla układów Qualcomm wykryto podwójne zwolnienie pamięci. Funkcja qcom_cpufreq_hw_cpu_exit() wywołuje kfree() na wskaźniku do pamięci zarządzanej przez devres, co może prowadzić do podwójnego zwolnienia przy odłączeniu urządzenia.

W procfs wykryto problem z wyścigiem w funkcjach proc_pid_get_link() i proc_pid_readlink(). Sprawdzanie dostępu ptrace oraz pobieranie zadania są wykonywane oddzielnie, co umożliwia wyścig.

W jądrze Linux wykryto podatność w mechanizmie RT_PUSH_IPI dla harmonogramu zadań czasu rzeczywistego (RT). Gdy RT_PUSH_IPI jest włączone w systemie bez PREEMPT_RT, może dojść do zakleszczenia na żywo (live lock) na CPU, gdzie miękkie przerwania (softirqs) są wykonywane w kontekście przerwania, a nie wątkowym. Powoduje to nadmierną liczbę przerwań IPI, które spowalniają softirq, uniemożliwiając przełączenie kontekstu i prowadząc do blokady CPU.

W sterowniku cpufreq pcc wykryto użycie po zwolnieniu i podwójne zwolnienie podczas oceny _OSC. Po pierwszym wywołaniu acpi_evaluate_object() zwalniany jest bufor wyjściowy, ale nie są resetowane wskaźnik i długość, co prowadzi do zapisu do zwolnionej pamięci przy drugim wywołaniu.

W jądrze Linux w podsystemie mm/slab wykryto błąd w mechanizmie zerowania pamięci przy alokacji. Gdy włączone jest tylko oznaczanie stref czerwonych (SLAB_RED_ZONE) bez śledzenia żądanego rozmiaru (SLAB_STORE_USER), funkcja kmalloc może zerować tylko żądany rozmiar zamiast pełnego obiektu, co narusza gwarancje __GFP_ZERO dla krealloc.

W sterowniku HID dla układów Goodix SPI (hid-goodix-spi) brakuje walidacji rozmiaru raportu przed skopiowaniem go do 128-bajtowego bufora stosowego. Atakujący może przez ioctl SET_REPORT przesłać raport większy niż ~116 bajtów, co powoduje przepełnienie bufora stosowego.

W sterowniku HID Wacom (wacom_wac) funkcja wacom_wac_queue_insert() może wywołać kfifo_skip() na pustym buforze kfifo, co prowadzi do odczytu śmieciowych danych i uszkodzenia wewnętrznego stanu kfifo. W efekcie możliwe jest zapisanie poza granicami 256-bajtowego bufora, co może spowodować zapis do 3842 bajtów poza pamięć.