Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: brcmfmac: make release_scratchbuffers idempotent brcmf_pcie_release_scratchbuffers() libera los búferes DMA shared.scratch y shared.ringupd con dma_free_coherent(), pero no borra los punteros después, a diferencia de su función hermana…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: hci_sync: Protect UUID list traversal La conversión a hci_sync trasladó la generación de class-of-device y EIR de una petición HCI construida bajo hdev->lock a trabajo asíncrono de command sync. El worker mantiene hdev->req_lock, pero ese…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: misc: nsm: only unlock nsm_dev on post-lock error paths nsm_dev_ioctl() salta a la etiqueta común out incluso cuando la copy_from_user() inicial falla antes de haber tomado nsm->lock. La ruta de error desbloquea entonces ciegamente un mutex que nunca…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: misc: nsm: pin the module while the device is open misc_open() instala las operaciones de fichero de un controlador misc con fops_get(), que fija file_operations::owner antes de sustituir el f_op del fichero. El dispositivo misc NSM deja…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sctp: avoid auth_enable sysctl UAF during netns teardown proc_sctp_do_auth() actualiza el socket de control de SCTP tras cambiar net.sctp.auth_enable. El manejador obtiene el estado SCTP por espacio de red de ctl->data, por lo que un fichero sysctl ya…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sctp: cierra los sockets de túnel UDP durante el desmontaje del netns proc_sctp_do_udp_port() inicia sockets de túnel UDP de SCTP por red cuando se establece net.sctp.udp_port, y los detiene/reinicia cuando cambia el valor del sysctl. La ruta de salida…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: fix pre-auth out-of-bounds read on snaptrace in ceph_handle_caps() ceph_handle_caps() lee snap_trace_len de la cabecera ceph_mds_caps en formato de transmisión y lo usa incondicionalmente para construir un puntero de fin falso (snaptrace +…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: bound pg_{temp,upmap,upmap_items} length to CEPH_PG_MAX_SIZE __decode_pg_temp() decodifica una longitud controlada por el usuario, pero solo rechaza valores lo bastante grandes como para desbordar la asignación; no la acota a CEPH_PG_MAX_SIZE.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: Fix multiplication overflow in decode_new_up_state_weight() Si un mensaje de tipo CEPH_MSG_OSD_MAP contiene un osdmap corrompido (de forma maliciosa), pueden producirse accesos a memoria fuera de límites en decode_new_up_state_weight(). Esto…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: guard missing CRUSH type name lookup La selección de lectura localizada puede recorrer un bucket padre cuyo nombre existe en el mapa CRUSH mientras que su tipo no tiene ninguna entrada coincidente en type_names. get_immediate_parent()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: refresh auth->authorizer_buf{,_len} after authorizer update ceph_x_create_authorizer() almacena en caché au->buf->vec.iov_base y au->buf->vec.iov_len en struct ceph_auth_handshake. Estos valores en caché los usa después el código de conexión…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: rechaza los monmaps que anuncian cero monitores Un mensaje de tipo CEPH_MSG_MON_MAP contiene un monmap que un monitor envía al cliente. Este monmap contiene información sobre los monitores existentes en el clúster. Actualmente, un monmap que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: reject zero bucket types in crush_decode El tipo de bucket CRUSH 0 está reservado para dispositivos. El mapeador se basa en esa invariante y usa el tipo 0 para identificar los dispositivos hoja. Si crush_decode() acepta un bucket con tipo 0,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: remove debugfs files before client teardown ceph_destroy_client() desmonta el cliente de monitor antes de eliminar los ficheros debugfs por cliente. Una lectura concurrente del fichero debugfs monmap puede entrar en monmap_show() después de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs: preserve ACL_DONT_CACHE state in forget_cached_acl() El estado ACL_DONT_CACHE pretende ser un estado constante del inodo para los sistemas de ficheros que quieren excluirse del almacenamiento en caché de ACL posix. El commit facd61053cff1 ("fuse:…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fscrypt: Add missing superblock check in find_or_insert_direct_key() La tabla heredada 'fscrypt_direct_keys' almacena en caché claves maestras que usan las políticas de cifrado v1 que tienen FSCRYPT_POLICY_FLAG_DIRECT_KEY. Es simplemente una tabla…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: iomap: fix out-of-bounds bitmap_set() with zero-length range ifs_set_range_dirty() e ifs_set_range_uptodate() calculan last_blk como (off + len - 1) >> i_blkbits. Cuando off es 0 y len es 0, la resta sin signo se desborda por debajo a SIZE_MAX,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: phonet: pep: fix use-after-free in pep_get_sb() pep_get_sb() no tiene en cuenta que pskb_may_pull() podría haber reubicado los datos del skb, y sigue accediendo al puntero antiguo, lo que provoca un UAF. Reproducido bajo KASAN: Se vuelve a obtener la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: slip: serialize receive against buffer reallocation sl_realloc_bufs() sustituye rbuff y actualiza buffsize mientras mantiene sl->lock. slip_receive_buf() lee esos campos y escribe a través de rbuff sin mantener el lock. Por tanto, un cambio de MTU…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: geneve: require CAP_NET_ADMIN in the device netns for changelink Un changelink() de túnel opera como máximo sobre dos netns, dev_net(dev) y el netns subyacente persistente geneve->net. Difieren una vez que el dispositivo se crea en un netns distinto de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/af_iucv: fix NULL deref in afiucv_hs_callback_syn() afiucv_hs_callback_syn() asigna el socket hijo con GFP_ATOMIC. Si la asignación falla, nsk es NULL. Se entra en la ruta de conexión rechazada cuando falla la comprobación del estado de escucha, la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/iucv: fix use-after-free of a severed iucv_path af_iucv encola en iucv->message_q notificaciones de mensajes aún no recibidos, cada una con un puntero sin procesar al iucv_path de la conexión. Cuando el par corta la conexión, iucv_sever_path()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/sched: serialize qdisc_rtab_list against concurrent get/put qdisc_get_rtab() y qdisc_put_rtab() modifican la lista simplemente enlazada global del proceso qdisc_rtab_list y un 'int refcnt' simple no atómico sin ningún lock. Esto solo era seguro…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: gro: fix double aggregation of flush-marked skbs El commit 0ab03f353d36 ("net-gro: Fix GRO flush when receiving a GSO packet.") añadió una comprobación de flush a skb_gro_receive(), pero skb_gro_receive_list() carece de la misma validación. Como…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: rbd: Reset positive result codes to zero in object map update path En un mensaje de respuesta a una petición RBD, un código de resultado positivo indica una carga útil de datos, lo cual no está permitido para escrituras. Mientras que…