Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: prevent in6_dev_get() from resurrecting inet6_dev in6_dev_get() lee dev->ip6_ptr bajo RCU y luego incrementa incondicionalmente su recuento de referencias. El desmontaje del dispositivo puede borrar el puntero y soltar la última referencia entre…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/dibs: Correct freeing of dmb_clientid_arr Un manejador de interrupciones de un dispositivo dibs puede estar activo después de dibs_dev_del() y aún puede acceder a dmb_clientid_arr. (UAF) En caso de fallo en dibs_dev_add() al ser llamado por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/x25: fix use-after-free of the socket by its timers Los temporizadores de x25 se arman con mod_timer() y se cancelan con timer_delete(), por lo que un temporizador pendiente no mantiene ninguna referencia al socket y una cancelación no espera a una…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: devmem: prevent net-iov / page mixing Deberíamos tener fragmentos respaldados por net_iov o por páginas en un único skb, de lo contrario falla más abajo en la pila. No se permite la mezcla en zerocopy_fill_skb_from_devmem().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NTB: ntb_netdev: Preserve RX queue depth on allocation failure ntb_netdev_rx_handler() entrega el skb recibido a la pila de red antes de asignar su sustituto. Si la asignación falla, no se vuelve a publicar nada. Por tanto, cada fallo retira un búfer…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: netfilter: bridge: release template ct on non-IP path Una regla de nftables de bridge que establece la zona ct puede adjuntar una plantilla de conntrack a un skb antes de que nf_ct_bridge_pre() lo vea. Para EtherTypes que no son IPv4 ni IPv6,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: netfilter: nf_conntrack: defer invalid log until after unlock Las rutas de conntrack de TCP y SCTP pueden emitir registros de paquetes no válidos mientras ct->lock sigue retenido. Cuando el registro de paquetes no válidos se encamina a nfnetlink_log y…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: atlantic: free stranded TX buffers on ring deinit aq_vec_deinit() vacía los anillos TX con una única llamada a aq_ring_tx_clean(), que libera como máximo AQ_CFG_TX_CLEAN_BUDGET (256) descriptores y se detiene en hw_head, que ya no se mueve una vez…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: atlantic: free RX pages of consumed but not refilled buffers aq_ring_rx_deinit() solo recorre [sw_head, sw_tail), la región publicada en el hardware. Desde que se añadió la estrategia de reutilización de páginas, un búfer RX limpiado conserva su…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/sched: act_ct: fix sk_buff leak when the header checks reject a packet tcf_ct_handle_fragments() ejecuta sus comprobaciones de validez de cabeceras antes de entregar nada al motor de desfragmentación: tcf_ct_ipv4_is_fragment() devuelve -EINVAL o…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/sched: act_gact, act_police: range check the fallback control action tcf_action_check_ctrlact() comprueba el rango de la acción de control principal: TC_ACT_VALUE_MAX es TC_ACT_TRAP, por lo que los veredictos internos del kernel por encima de él no…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ovl: don't warn when the mount is completed from another user namespace fsopen() registra el espacio de nombres de usuario del llamador en fc->user_ns y devuelve un descriptor de archivo ordinario. Nada vincula la tarea que llama a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: binfmt_misc: don't warn when the mount is completed from another user namespace fsopen() registra el espacio de nombres de usuario del llamador en fc->user_ns y devuelve un descriptor de archivo ordinario. Nada vincula la tarea que llama a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: dibs: initialise dibs->lock in dibs_dev_alloc() dibs->lock se inicializa en dibs_dev_add(), pero un dispositivo dibs puede recibir interrupciones antes de esa llamada: ism_probe() ejecuta ism_dev_init(), y por tanto request_irq(), antes de llamar a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: xdp: reject clones that overrun skb_shared_info tailroom xdpf_clone() clona copias de difusión en una sola página y establece frame_sz en PAGE_SIZE. Posteriormente, __xdp_build_skb_from_frame() trata esa página como una trama XDP normal y espera el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vxlan: do not arm the ageing timer on a device that is down vxlan_changelink() arma vxlan->age_timer siempre que el intervalo de envejecimiento solicitado difiere del configurado: No hay ninguna prueba de netif_running(), por lo que el temporizador se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vsock/virtio: read virtqueues under worker locks El commit bd50c5dc182b ("vsock/virtio: add support for device suspend/resume") hizo que los indicadores *_run pasaran de false a true cuando la restauración instala virtqueues de sustitución. Los workers…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vsock/virtio: avoid refilling the RX queue after teardown El commit b917507e5ad9 ("vsock/virtio: stop workers during the .remove()") hizo que el worker de RX saltara a su salida común cuando rx_run está desactivado. Esa salida sigue rellenando la cola…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: veth: fix skb length accounting after XDP frag adjustment veth expone los fragmentos no lineales de skb a través de un xdp_buff. Si un programa XDP ajusta el área de fragmentos, veth_xdp_rcv_skb() copia xdp_frags_size de vuelta a skb->data_len pero…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tls: rx: restore msg_iter before TLS 1.3 optimistic retry tls_decrypt_sg() avanza msg->msg_iter cuando mapea páginas de usuario para la ruta optimista de copia cero de TLS 1.3. Si el registro descifrado resulta no ser datos de aplicación sin relleno,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tls: don't leave a full plaintext sk_msg ring unpushed Cuando la ruta de copia de tls_sw_sendmsg_locked() añade el fragmento que llena el anillo sk_msg de texto claro, no establece full_record, por lo que el registro queda lleno y sin enviar. Un…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tipc: read le->link under the node lock in tipc_node_link_down() tipc_node_link_down() almacena en caché el puntero del enlace antes de tomar n->lock: El llamador con delete=true libera ese mismo objeto bajo n->lock, por lo que el bloqueo no protege el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: Fix use-after-free in cifs_try_adding_channels() cifs_try_adding_channels() toma una referencia temporal a una interfaz antes de soltar iface_lock. Si cifs_ses_add_channel() falla, suelta esa referencia y después incrementa…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: SVM: Serialize accesses to the owner and mirror list with separate lock La interacción entre KVM_CAP_VM_MOVE_ENC_CONTEXT_FROM y KVM_CAP_VM_COPY_ENC_CONTEXT_FROM puede causar dos problemas distintos: El segundo problema requiere especial cuidado…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: eventfs: Fix use-after-free in eventfs_remove_rec() eventfs_remove_rec() elimina recursivamente el hijo en la posición actual del bucle. Después de que la llamada recursiva retorna, list_for_each_entry() avanza leyendo list.next del hijo eliminado. Si…