Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: mvpp2: sincronizar los datos de RX en el desplazamiento de paquete del hardware mvpp2 programa el desplazamiento de paquete de la cola RX, de modo que el hardware escribe los datos recibidos en dma_addr + MVPP2_SKB_HEADROOM. La sincronización…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: mvpp2: rellena los búferes RX antes de usarlos en XDP o en skb La ruta de error de RX devuelve el búfer actual del descriptor al pool BM del hardware. Eso solo es válido mientras el controlador siga siendo propietario del búfer. mvpp2_rx_refill()…

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: netfilter: nft_tunnel: fix use-after-free on object destroy nft_tunnel_obj_destroy() llama a metadata_dst_free(), que ejecuta directamente kfree() sobre el metadata_dst e ignora el contador de referencias de dst_entry. Los paquetes que tomaron una…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: hci_sync: rechazar el prefijo de Broadcast Announcement de tamaño excesivo Las instancias de publicidad existentes ya pueden contener la carga útil de publicidad extendida máxima. Cuando hci_adv_bcast_annoucement() antepone los datos de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: L2CAP: rechazar paquetes de señalización BR/EDR que superen el MTUsig net/bluetooth/l2cap_core.c:l2cap_sig_channel() acepta paquetes de señalización BR/EDR de hasta el MTU del canal y despacha cada comando sin aplicar el MTU de señalización…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: accel/ivpu: Añadir comprobaciones de límites para los índices del registro de firmware Añadir validación de que los índices de lectura y escritura en el búfer de registro de firmware están dentro de los límites válidos (< data_size) antes de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: accel/ivpu: Añadir comprobación de desbordamiento de búfer en MS get_info_ioctl Añadir validación para que el tamaño de información devuelto de la consulta de información de la secuencia de métricas no supere el tamaño del búfer asignado. Si el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: accel/ivpu: Corregir el truncamiento de enteros con signo en la recepción de IPC Se corrige un posible desbordamiento de búfer en el que el valor data_size suministrado por el firmware se convierte a int con signo antes de usarse en min_t(). Los…

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: hv_netvsc: use kmap_local_page in netvsc_copy_to_send_buf netvsc_copy_to_send_buf() copia las entradas del búfer de páginas en el búfer de envío de VMBus usando phys_to_virt() sobre el PFN de la entrada. Las entradas correspondientes a la cabecera RNDIS…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ksmbd: corregir el uso tras liberación (use-after-free) de un file_lock diferido en un doble SMB2_CANCEL Un bloqueo diferido de rangos de bytes (un SMB2_LOCK que se bloquea) registra un trabajo asíncrono en conn->async_requests mediante…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: USB: serial: io_ti: corrige desbordamiento de montículo en get_manuf_info() get_manuf_info() lee le16_to_cpu(rom_desc->Size) bytes de la EEPROM I2C del dispositivo a un búfer asignado con kmalloc_obj(), cuyo tamaño es sizeof(struct…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: USB: serial: kl5kusb105: corrige el desbordamiento de búfer de salida en bloque klsi_105_prepare_write_buffer() es invocada por la ruta de escritura genérica con el búfer de salida en bloque y su tamaño (bulk_out_size, 64 bytes). Almacena una cabecera…

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: ALSA: timer: Forzar el cierre de las instancias del temporizador al cerrar Cuando el objeto snd_timer se libera mediante snd_timer_free() y todavía hay objetos snd_timer_instance pendientes asignados al objeto del temporizador, se intenta desvincular…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ALSA: timer: Fix UAF at snd_timer_user_params() Al liberar un objeto de temporizador, por ejemplo cuando se cierra un temporizador de espacio de usuario (CONFIG_SND_UTIMER) y se llama a snd_timer_free(), se intenta desvincular las instancias del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: io_uring/net: heredar IORING_CQE_F_BUF_MORE entre los reintentos de recepción en bloque Los bits incluidos en CQE_F_MASK se heredan de la nueva iteración, y todos los demás bits (en particular IORING_CQE_F_BUFFER y el ID de búfer) proceden de los…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mm/huge_memory: actualizar el contador de PMD de archivo antes de folio_put() __split_huge_pmd_locked() actualiza el contador de RSS de archivo/shmem después de liberar la referencia del folio de la asignación PMD. Si folio_put() libera la última…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: RDMA/core: Validar las fops pasadas en ib_get_ucaps() Sashiko señaló que no es seguro basarse únicamente en el devt, porque los alias de char y block permiten que, si el usuario encuentra un dispositivo de bloques con el mismo dev_t, pueda hacerse…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: RDMA/core: Validar cpu_id frente a nr_cpu_ids en la asignación de DMAH El atributo cpu_id proporcionado por el espacio de usuario mediante UVERBS_ATTR_ALLOC_DMAH_CPU_ID se pasa directamente a cpumask_test_cpu() sin verificar antes que el valor está…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: RDMA/srp: limitar la copia de datos de detalle (sense) de SRP_RSP según la longitud recibida srp_process_rsp() copia los datos de detalle (sense) desde rsp->data + resp_data_len, donde resp_data_len es el valor completo de 32 bits proporcionado por el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: zram: corrige el uso tras liberación en zram_bvec_write_partial() zram_read_page() elige la ruta de lectura síncrona o asíncrona del dispositivo de respaldo según si el bio padre es NULL. zram_bvec_write_partial() pasa su bio padre hacia abajo, por lo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: udp: borrar skb->dev antes de ejecutar un veredicto de sockmap En la ruta de recepción UDP, skb->dev se reutiliza como dev_scratch (la caché de truesize/estado establecida por udp_set_dev_scratch()), a través de la union { struct net_device *dev;…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mptcp: permitir que la ventana de recepción de los subflujos se reduzca En una conexión MPTCP, el campo `window` de la cabecera TCP hace referencia al rcv_nxt a nivel de MPTCP, y su borde derecho no debe moverse hacia atrás. Esta restricción se aplica…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: nl80211: rechazar listas EMA RNR demasiado grandes nl80211_parse_rnr_elems() almacena el número de elementos analizados en el campo cfg80211_rnr_elems::cnt, respaldado por un tipo u8, y utiliza ese número para dimensionar la asignación del array…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vsock/vmci: corrige la fuga de sk_ack_backlog tras un fallo en el handshake Cuando vmci_transport_recv_connecting_server() devuelve un error, vmci_transport_recv_listen() llama a vsock_remove_pending() pero nunca llama a sk_acceptq_removed(). Esto deja…

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: timers/migration: Corregir livelock en tmigr_handle_remote_up() tmigr_handle_remote_cpu() omite timer_expire_remote() cuando cpu == smp_processor_id(), suponiendo que la ruta local de softirq ya ha gestionado los temporizadores de esta CPU. Esta…