Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: block: no sobrescribir bip_vcnt en bio_integrity_copy_user() bio_integrity_add_page() ya establece bip_vcnt a 1 para el segmento intermedio (bounce). Sobrescribirlo con nr_vecs rompe bip_vcnt <= bip_max_vcnt en WRITE (bip_max_vcnt es 1), por lo que las…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: block: bio-integrity: corregir desreferencia de puntero nulo en bio_integrity_map_user() pin_user_pages_fast() puede tener éxito parcialmente y devolver el número de páginas que se fijaron realmente. Sin embargo, bio_integrity_map_user() no gestiona…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: accel/qaic: añadir comprobación de desbordamiento a remap_pfn_range durante mmap La llamada a remap_pfn_range en qaic_gem_object_mmap es susceptible de (re)mapear más allá de la VMA si el BO es demasiado grande. Esto puede provocar problemas de uso…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: drm/msm/dpu: no mezclar funciones devm y drmm Mezclar funciones devm y drmm provocará un uso después de liberar (use-after-free) durante el desmontaje del controlador msm si el espacio de usuario mantiene una referencia al dispositivo drm: los datos…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: drm/msm/adreno: corregir un fallo provocado desde el espacio de usuario en a2xx-a4xx Antes de a5xx, el controlador Adreno no intenta obtener los parámetros UBWC (porque esas generaciones no admitían UBWC de todos modos); sin embargo, sigue siendo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/smc: rechazar un ACCEPT con CHID 0 que coincida con una ranura ism_dev vacía En el cliente SMC-D, la ranura 0 de ini->ism_dev[]/ini->ism_chid[] está reservada para un dispositivo SMC-Dv1. smc_find_ism_v2_device_clnt() rellena las entradas V2 a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: tls: corregir error por uno (off-by-one) en el recuento de entradas de sg_chain para un anillo sk_msg con vuelta Cuando un anillo de scatterlist de sk_msg da la vuelta (sg.end < sg.start), tls_push_record() encadena la parte final del anillo con…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: tls: impedir encadenamiento tras encadenamiento en el SG de texto plano Sashiko señala que, si end = 0 (start != 0), el código actual creará un enlace de encadenamiento al tipo de contenido justo después del enlace de vuelta: lo que significa que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ovpn: tcp - usar el puntero de par almacenado en caché en ovpn_tcp_close() ovpn_tcp_close() carga el ovpn_socket mediante rcu_dereference_sk_user_data() bajo rcu_read_lock(), toma una referencia sobre sock->peer, almacena el puntero del par en una…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ovpn: respetar el recuento de referencias del par en la ruta de error de CMD_NEW_PEER La ruta de error de ovpn_nl_peer_new_doit() llama directamente a ovpn_peer_release() en lugar de a ovpn_peer_put(), eludiendo el kref. El comentario que lo acompaña…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: rpl: fix hdrlen overflow in ipv6_rpl_srh_decompress() ipv6_rpl_srh_decompress() calcula: hdrlen es __u8. Para n >= 127 el resultado supera 255 y se trunca silenciosamente. Con n=127 (cmpri=15, cmpre=15, pad=0, hdrlen=16): El llamador en…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/sched: Fix ethx:ingress -> ethy:egress -> ethx:ingress mirred loop Cuando mirred redirige a ingress (desde ingress o egress), el estado de bucle del array sched_mirred_dev se pierde debido a 1) el aplazamiento del paquete al backlog y 2) el hecho…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/sched: act_mirred: Fix blockcast recursion bypass leading to stack overflow tcf_mirred_act() comprueba sched_mirred_nest frente a MIRRED_NEST_LIMIT (4) para evitar una recursión profunda. Sin embargo, cuando la acción usa blockcast (tcfm_blockid !=…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/handshake: Use spin_lock_bh for hn_lock nvmet_tcp_state_change(), una retrollamada de socket que se ejecuta en contexto BH, puede llegar a handshake_req_cancel() a través de nvmet_tcp_schedule_release_queue() y tls_handshake_cancel().…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/handshake: hand off the pinned file reference to accept_doit handshake_req_next() elimina la solicitud de la lista de pendientes por red y libera hn_lock antes de que handshake_nl_accept_doit() lea req->hr_sk->sk_socket y desreferencie sock->file…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/handshake: Drain pending requests at net namespace exit Los argumentos de list_splice_init() en handshake_net_exit() están invertidos. La llamada mueve la lista local vacía "requests" a hn->hn_requests, dejando la lista local vacía, por lo que el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: dpll: zl3073x: use __dpll_device_change_ntf() and remove change_work change_work se introdujo para enviar notificaciones de cambio de dispositivo desde las retrollamadas de dispositivo DPLL sin interbloquearse en dpll_lock, ya que las retrollamadas ya…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: l2cap: clear chan->ident on ECRED reconfiguration success l2cap_ecred_reconf_rsp() retorna anticipadamente en caso de éxito sin borrar chan->ident. Todos los demás manejadores de respuestas L2CAP (l2cap_ecred_conn_rsp, l2cap_le_connect_rsp,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: hci_sync: Set HCI_CMD_DRAIN_WORKQUEUE during device close Dado que ahora se puede llamar a hci_dev_close_sync() durante la ruta de reinicio, también deberíamos establecer HCI_CMD_DRAIN_WORKQUEUE. Esto evita encolar tiempos de espera mientras…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: fix possible infinite loop in rt6_fill_node() Sashiko informó de este problema [1]. Se aplica la misma corrección que el commit f8d8ce1b515a ("ipv6: fix possible infinite loop in fib6_info_uses_dev()"). Los escritores que tienen tb6_lock pueden…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: fix possible infinite loop in fib6_select_path() Encontrado al auditar el mismo patrón que Sashiko notificó en rt6_fill_node() [1]. Se aplica la misma corrección que el commit f8d8ce1b515a ("ipv6: fix possible infinite loop in…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: iio: imu: st_lsm6dsx: fix stack leak in tagged FIFO buffer La ruta de FIFO etiquetado declara iio_buff en la pila con __aligned(8) pero sin inicializador, y hay un hueco en la estructura, que luego se filtrará al espacio de usuario, ya que se copiarán…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: iio: imu: adis16550: fix stack leak in trigger handler adis16550_trigger_handler() declara el array de datos de escaneo en la pila sin inicializarlo. El memcpy() del final rellena solo los primeros 28 bytes (TEMP + 6 canales de datos GYRO/ACCEL), e…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: iio: pressure: bmp280: fix stack leak in bmp580 trigger handler bmp580_trigger_handler() declara su búfer de escaneo en la pila sin inicializador y luego copia con memcpy() 3 bytes de datos de sensor de 24 bits en cada campo __le32 de 4 bytes. El byte…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: ucsi: ccg: reject firmware images without a ':' record header do_flash() localiza el primer registro .cyacd con Si la imagen de firmware no contiene ningún byte ':', strnchr() devuelve NULL. NULL se compara como menor que el puntero válido…