Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: tcpm: validate VDO count in Discover Identity ACK handlers Se valida correctamente el recuento pasado por un dispositivo al llamar a svdm_consume_identity() o svdm_consume_identity_sop_prime(), ya que el valor controlado por el dispositivo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: tcpm: bound altmode_desc[] per iteration in svdm_consume_modes() svdm_consume_modes() comprueba pmdata->altmodes frente al tamaño del array una vez antes del bucle sobre el recuento, pero olvidó comprobar el límite en cada punto del bucle.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: altmodes/displayport: validate count before reading Status Update VDO Un dispositivo defectuoso o malicioso puede enviar un recuento incorrecto para un VDO de actualización de estado, lo que hará que el kernel lea datos de pila sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: wcove: don't write past struct pd_message in wcove_read_rx_buffer() wcove_read_rx_buffer() copia la FIFO RX de PD en la struct pd_message del llamador con lo cual tiene dos problemas: USBC_RXINFO_RXBYTES() es un campo de 5 bits (máx. 31)…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: tcpm/tcpci_maxim: validate header NDO against RX_BYTE_CNT Un puerto defectuoso o malicioso puede transmitir una trama con CRC válido cuya cabecera anuncia hasta siete objetos de datos pero cuyo cuerpo contiene menos que eso. Se comprueba…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: ucsi: validate connector number in ucsi_connector_change() El número de conector en una notificación CCI de UCSI es un campo de 7 bits suministrado por el PPM. ucsi_connector_change() lo usa para indexar el array ucsi->connector[] sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: USB: serial: safe_serial: fix memory corruption with small endpoint Se garantiza que el tamaño del búfer bulk-out sea de al menos ocho bytes para evitar una corrupción de slab controlada por el usuario en modo "safe" en caso de que un dispositivo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: USB: serial: cypress_m8: fix memory corruption with small endpoint Se garantiza que el tamaño máximo de paquete del endpoint interrupt-out sea de al menos ocho bytes para evitar una corrupción de slab controlada por el usuario o una desreferencia de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mm/vmalloc: do not trigger BUG() on BH disabled context __get_vm_area_node() desencadena actualmente un BUG() si in_interrupt() devuelve true. Sin embargo, in_interrupt() también devuelve true cuando las BH están deshabilitadas. El código del bridge…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: hpfs: fix a crash if hpfs_map_dnode_bitmap fails Si hpfs_map_dnode_bitmap falla, el código llamaría a hpfs_brelse4 sobre una quad buffer head sin inicializar, provocando un fallo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mm/migrate_device: fix pgtable leak in migrate_vma_insert_huge_pmd_page Cuando migrate_vma_insert_huge_pmd_page() salta a unlock_abort debido a un fallo en la comprobación de PMD, la pgtable asignada previamente mediante pte_alloc_one() nunca se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: memfd: deny writeable mappings when implying SEAL_WRITE Cuando se añade SEAL_EXEC, se implica SEAL_WRITE para lograr W^X. Pero el sello implícito se establece después de la comprobación que garantiza que el memfd no pueda tener ningún mapeo escribible.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: zram: fix use-after-free in zram_writeback_endio Se observó un fallo en zram_writeback_endio debido a una desreferencia de puntero nulo en wake_up. La causa raíz es una condición de carrera entre el manejador de finalización de bio…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mm/rmap: initialize nr_pages to 1 at loop start in try_to_unmap_one Se inicializa nr_pages a 1 al inicio de cada iteración del bucle, como hace folio_referenced_one(). Sin esto, el nr_pages calculado por una llamada previa a folio_unmap_pte_batch()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: auxdisplay: line-display: fix OOB read on zero-length message_store() linedisp_display() lee incondicionalmente msg[count - 1] antes de comprobar si count es cero, por lo que una escritura de cero bytes en el atributo sysfs message accede a msg[-1]: ->…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: L2CAP: fix chan ref leak in l2cap_chan_timeout() on !conn __set_chan_timer() toma una referencia de l2cap_chan mediante l2cap_chan_hold() antes de programar el trabajo diferido. La ruta normal en l2cap_chan_timeout() libera esta referencia…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: HIDP: fix missing length checks in hidp_input_report() hidp_input_report() lee datos de carga útil de teclado y ratón de un skb sin verificar primero que skb->len contenga datos suficientes. hidp_recv_intr_frame() extrae la cabecera HIDP de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: ISO: fix UAF in iso_recv_frame iso_recv_frame lee conn->sk bajo iso_conn_lock pero libera el bloqueo antes de usar sk, sin mantener ninguna referencia. Un iso_sock_kill() concurrente puede liberar sk en esa ventana, provocando un uso después…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: ISO: serialize iso_sock_clear_timer with socket lock iso_sock_close() llama a iso_sock_clear_timer() antes de adquirir lock_sock(sk). iso_sock_clear_timer() lee iso_pi(sk)->conn dos veces sin tener el bloqueo del socket: De forma…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: hci_sync: fix UAF in hci_le_create_cis_sync hci_le_create_cis_sync() desreferencia conn->conn_timeout después de liberar tanto rcu_read_lock() como hci_dev_lock(hdev). El puntero conn se obtuvo de una iteración protegida por RCU sobre…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Input: xpad - fix out-of-bounds access for Share button xpadone_process_packet() recibe len directamente de urb->actual_length y lo usa para indexar el byte del botón Share en data[len - 18] o data[len - 26]. Como tanto len como data[0] están bajo el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: parport: Fix race between port and client registration El subsistema parport registra los dispositivos de puerto antes de que estén completamente inicializados, lo que da lugar a una condición de carrera en la que controladores cliente como lp pueden…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: SEV: Ignore Port I/O requests of length '0' Se ignoran explícitamente las solicitudes de E/S de puerto de longitud '0' (o recuento '0'), de modo que la configuración del área temporal de software (y otro código) no tenga que preocuparse por el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: SEV: Compute the correct max length of the in-GHCB scratch area Al establecer la longitud del área temporal del GHCB, cuando el área está en el búfer compartido del GHCB, se establece la longitud efectiva del área temporal en el tamaño máximo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: SEV: Check PSC request indices against the actual size of the buffer Al procesar solicitudes Page State Change (PSC), se valida el búfer PSC frente al tamaño efectivo del área temporal, que podría ser menor que el tamaño máximo si el invitado…