Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tunnels: do not assume transport header in iptunnel_pmtud_check_icmp() En algunos casos, iptunnel_pmtud_check_icmp() puede llamarse mientras la cabecera de transporte del skb no está establecida. Esto provoca un acceso fuera de límites, porque…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: 6lowpan: check skb_clone() return value in send_mcast_pkt() La función skb_clone() puede devolver NULL si falla la asignación de memoria. send_mcast_pkt() llama a skb_clone() sin comprobar el valor de retorno, lo que puede provocar una…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bonding: refuse to enslave CAN devices syzbot notificó un fallo por solicitud de paginación del kernel en can_rx_unregister() dentro de net/can/af_can.c. El fallo se produce porque un dispositivo CAN virtual (vxcan) se está esclavizando a un maestro de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bridge: Fix sleep in atomic context in netlink path Desde la introducción de la ruta de configuración por netlink para los puertos del bridge en el commit 25c71c75ac87 ("bridge: bridge port parameters over netlink"), br_setport() siempre se llamaba con…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bridge: Fix sleep in atomic context in sysfs path Desde el inicio del historial de git, brport_store() siempre adquiría el bloqueo del bridge. En aquel momento esta decisión tenía sentido: el bloqueo del bridge protege el estado STP del bridge y de sus…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ethtool: coalesce: cap profile updates at NET_DIM_PARAMS_NUM_PROFILES ethnl_update_profile() recorre la lista de anidamiento ETHTOOL_A_PROFILE_IRQ_MODERATION con un índice 'i' y escribe new_profile[i++] sin acotar i. El destino se crea con kmemdup()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ethtool: tsinfo: don't pass ERR_PTR to genlmsg_cancel on prepare failure La etiqueta goto err conduce a: Si ethnl_tsinfo_prepare_dump() falló, no ha iniciado ningún genlmsg. No hay nada que cancelar, y pasar un puntero de error a genlmsg_cancel()…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ethtool: eeprom: add more safeties to EEPROM Netlink fallback La ruta alternativa de Netlink para leer la EEPROM del módulo (fallback_set_params()) valida que offset < eeprom_len, pero no comprueba que offset + length permanezca dentro de eeprom_len.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: rpl: fix hdrlen overflow in ipv6_rpl_srh_decompress() ipv6_rpl_srh_decompress() calcula: hdrlen es __u8. Para n >= 127 el resultado supera 255 y se trunca silenciosamente. Con n=127 (cmpri=15, cmpre=15, pad=0, hdrlen=16): El llamador en…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/sched: fix packet loop on netem when duplicate is on Cuando netem duplica un paquete, vuelve a encolar la copia en la qdisc raíz. Si hay otro netem en el árbol, la copia puede duplicarse de nuevo, con recursión hasta agotar la pila o la memoria. La…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/handshake: Use spin_lock_bh for hn_lock nvmet_tcp_state_change(), una retrollamada de socket que se ejecuta en contexto BH, puede llegar a handshake_req_cancel() a través de nvmet_tcp_schedule_release_queue() y tls_handshake_cancel().…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/handshake: hand off the pinned file reference to accept_doit handshake_req_next() elimina la solicitud de la lista de pendientes por red y libera hn_lock antes de que handshake_nl_accept_doit() lea req->hr_sk->sk_socket y desreferencie sock->file…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/handshake: Drain pending requests at net namespace exit Los argumentos de list_splice_init() en handshake_net_exit() están invertidos. La llamada mueve la lista local vacía "requests" a hn->hn_requests, dejando la lista local vacía, por lo que el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: dpll: zl3073x: use __dpll_device_change_ntf() and remove change_work change_work se introdujo para enviar notificaciones de cambio de dispositivo desde las retrollamadas de dispositivo DPLL sin interbloquearse en dpll_lock, ya que las retrollamadas ya…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: l2cap: clear chan->ident on ECRED reconfiguration success l2cap_ecred_reconf_rsp() retorna anticipadamente en caso de éxito sin borrar chan->ident. Todos los demás manejadores de respuestas L2CAP (l2cap_ecred_conn_rsp, l2cap_le_connect_rsp,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: L2CAP: Fix possible crash on l2cap_ecred_conn_rsp Si se recibe un dcid para un CID de destino ya asignado, la especificación exige que se descarten ambos canales, pero llamar a l2cap_chan_del puede invalidar el cursor tmp creado por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: hci_sync: Set HCI_CMD_DRAIN_WORKQUEUE during device close Dado que ahora se puede llamar a hci_dev_close_sync() durante la ruta de reinicio, también deberíamos establecer HCI_CMD_DRAIN_WORKQUEUE. Esto evita encolar tiempos de espera mientras…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: mana: Add NULL guards in teardown path to prevent panic on attach failure Cuando la asignación de colas falla a mitad del proceso, la limpieza de errores libera y pone a NULL apc->tx_qp y apc->rxqs. Varias rutas de desmontaje, como mana_remove(),…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: mana: Skip redundant detach on already-detached port Cuando mana_per_port_queue_reset_work_handler() se ejecuta después de que una desconexión previa tuviera éxito pero la conexión fallara, el puerto queda en estado desconectado con apc->tx_qp y…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sctp: fix race between sctp_wait_for_connect and peeloff sctp_wait_for_connect() libera y vuelve a adquirir el bloqueo del socket mientras espera a que la asociación alcance el estado ESTABLISHED. Durante esta ventana, otro hilo puede separar (peeloff)…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vsock/virtio: bind uarg before filling zerocopy skb virtio_transport_send_pkt_info() asigna o reutiliza el uarg de zerocopy antes de entrar en el bucle de envío, pero virtio_transport_alloc_skb() sigue rellenando el skb antes de que este herede ese…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: fix possible infinite loop in fib6_select_path() Encontrado al auditar el mismo patrón que Sashiko notificó en rt6_fill_node() [1]. Se aplica la misma corrección que el commit f8d8ce1b515a ("ipv6: fix possible infinite loop in…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: memfd: deny writeable mappings when implying SEAL_WRITE Cuando se añade SEAL_EXEC, se implica SEAL_WRITE para lograr W^X. Pero el sello implícito se establece después de la comprobación que garantiza que el memfd no pueda tener ningún mapeo escribible.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: HIDP: fix missing length checks in hidp_input_report() hidp_input_report() lee datos de carga útil de teclado y ratón de un skb sin verificar primero que skb->len contenga datos suficientes. hidp_recv_intr_frame() extrae la cabecera HIDP de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: ISO: fix UAF in iso_recv_frame iso_recv_frame lee conn->sk bajo iso_conn_lock pero libera el bloqueo antes de usar sk, sin mantener ninguna referencia. Un iso_sock_kill() concurrente puede liberar sk en esa ventana, provocando un uso después…