Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mptcp: fix stale skb->sk reference on subflow close La lista backlog la actualiza mptcp_data_ready() bajo mptcp_data_lock(). Sin embargo, la limpieza de las referencias del backlog a un subflujo que se cierra se realizaba en mptcp_close_ssk(), antes de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/x25: fix use-after-free in x25_kill_by_neigh() x25_kill_by_neigh() recorre la lista global de sockets X.25 buscando sockets vinculados a un vecino que termina. x25_list_lock protege la pertenencia a la lista mientras la búsqueda está en curso, pero…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mctp: serial: handle zero-length frames to prevent rx buffer overflow La máquina de estados de recepción serie de MCTP lee un byte de longitud de trama en el caso 2 de mctp_serial_push_header() y lo valida solo con un límite superior: Una longitud de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ksmbd: corrige la resolución de rutas en ksmbd_vfs_kern_path_create La búsqueda de apertura de SMB2 está enraizada en el recurso compartido con LOOKUP_BENEATH, pero el destino de create/mkdir/hardlink no lo está: ksmbd_vfs_kern_path_create() construye…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: xfrm: fix stale skb->prev after async crypto steals a GSO segment skb_gso_segment() deja la cabeza de la lista de segmentos con ->prev apuntando al último segmento, un invariante del que depende validate_xmit_skb_list() cuando establece su puntero de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb/client: handle overlapping allocated ranges in fallocate smb3_simple_fallocate_range() puede omitir huecos cuando un rango asignado devuelto por el servidor comienza antes del desplazamiento actual de fallocate. El hueco omitido no se rellena con…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: s390/checksum: Fix csum_partial() without vector facility Actualmente, csum_partial() llama a csum_copy() con copy=false y dst=NULL. En máquinas sin la funcionalidad vectorial, csum_copy() recurre a cksm(dst, ...), lo que hace que la suma de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ksmbd: pin conn during async oplock break notification smb2_oplock_break_noti() y smb2_lease_break_noti() almacenan un puntero ksmbd_conn en un ksmbd_work asíncrono y después encolan ese trabajo en ksmbd-io. El trabajo solo incrementa conn->r_count, lo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: validate DFS referral PathConsumed parse_dfs_referrals() valida que la respuesta contiene la matriz fija de entradas de referencia y, en for-next, los desplazamientos de cadena de cada referencia. Sin embargo, la respuesta también contiene…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sctp: auth: verify auth requirement when auth_chunk is NULL sctp_auth_chunk_verify() devuelve true incondicionalmente cuando chunk->auth_chunk es NULL, omitiendo silenciosamente la autenticación. Esto es incorrecto cuando: Se corrige comprobando…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sctp: cierra los sockets de túnel UDP durante el desmontaje del netns proc_sctp_do_udp_port() inicia sockets de túnel UDP de SCTP por red cuando se establece net.sctp.udp_port, y los detiene/reinicia cuando cambia el valor del sysctl. La ruta de salida…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: fix pre-auth out-of-bounds read on snaptrace in ceph_handle_caps() ceph_handle_caps() lee snap_trace_len de la cabecera ceph_mds_caps en formato de transmisión y lo usa incondicionalmente para construir un puntero de fin falso (snaptrace +…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: bound pg_{temp,upmap,upmap_items} length to CEPH_PG_MAX_SIZE __decode_pg_temp() decodifica una longitud controlada por el usuario, pero solo rechaza valores lo bastante grandes como para desbordar la asignación; no la acota a CEPH_PG_MAX_SIZE.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: Fix multiplication overflow in decode_new_up_state_weight() Si un mensaje de tipo CEPH_MSG_OSD_MAP contiene un osdmap corrompido (de forma maliciosa), pueden producirse accesos a memoria fuera de límites en decode_new_up_state_weight(). Esto…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: refresh auth->authorizer_buf{,_len} after authorizer update ceph_x_create_authorizer() almacena en caché au->buf->vec.iov_base y au->buf->vec.iov_len en struct ceph_auth_handshake. Estos valores en caché los usa después el código de conexión…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: reject zero bucket types in crush_decode El tipo de bucket CRUSH 0 está reservado para dispositivos. El mapeador se basa en esa invariante y usa el tipo 0 para identificar los dispositivos hoja. Si crush_decode() acepta un bucket con tipo 0,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: phonet: pep: fix use-after-free in pep_get_sb() pep_get_sb() no tiene en cuenta que pskb_may_pull() podría haber reubicado los datos del skb, y sigue accediendo al puntero antiguo, lo que provoca un UAF. Reproducido bajo KASAN: Se vuelve a obtener la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: gro: fix double aggregation of flush-marked skbs El commit 0ab03f353d36 ("net-gro: Fix GRO flush when receiving a GSO packet.") añadió una comprobación de flush a skb_gro_receive(), pero skb_gro_receive_list() carece de la misma validación. Como…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ila: reload IPv6 header after pskb_may_pull in checksum adjust ila_csum_adjust_transport() almacena en caché ip6h = ipv6_hdr(skb) antes de llamar a pskb_may_pull(). En un skb no lineal cuya cabecera de transporte se encuentra en un fragmento de página,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: openvswitch: fix GSO userspace truncation underflow OVS_ACTION_ATTR_TRUNC almacena actualmente en OVS_CB(skb)->cutlen una diferencia respecto a la longitud original del skb. Cuando una acción userspace posterior segmenta un skb GSO, queue_gso_packets()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tipc: borra sock->sk en la ruta de inserción fallida de tipc_sk_create() Cuando tipc_sk_create() no consigue insertar el nuevo socket (tipc_sk_insert() devuelve un valor distinto de cero), su ruta de error libera el sk con sk_free() pero deja sock->sk…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: fix two unsafe bare decodes in decode_lockers() decode_lockers() en cls_lock_client.c contiene dos operaciones de decodificación directas (bare) que permiten a un OSD malicioso o comprometido provocar lecturas slab-out-of-bounds: ret se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: fix double-free in SMB2_close() replay Un intento con respuesta puede devolver un error que permite la repetición y liberar su búfer de respuesta. Si SMB2_close_init() falla antes del siguiente envío, la limpieza conserva el tipo de búfer…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: xfrm: iptfs: propagate SKBFL_SHARED_FRAG in iptfs_skb_add_frags() Cuando iptfs_skb_add_frags() copia referencias a frags del recorrido de frags de origen a un nuevo SKB, incrementa el contador de referencias de la página mediante __skb_frag_ref() pero…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sctp: don't free the ASCONF's own transport in DEL-IP processing sctp_process_asconf() almacena en caché el transporte contra el que se procesa el fragmento ASCONF en asconf->transport (== chunk->transport, establecido una vez en sctp_rcv()). Para un…