Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tracing: tomar la referencia de trace_array al abrir el archivo de opciones Los archivos de opciones no toman la referencia de trace_array para las opciones que representan. Esto podría provocar un fallo del kernel por uso después de liberar…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ftrace: tomar la referencia de trace_array antes de acceder a su ftrace_ops Los archivos de instancia de trazas set_ftrace_filter y set_ftrace_notrace se actualizaron para funcionar con instancias de trazas específicas (trace_arrays). El problema es…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: dma-buf: dma-heap: no publicar el fd antes de que copy_to_user() tenga éxito DMA_HEAP_IOCTL_ALLOC asigna un dma-buf e instala un fd en la tabla de fd del llamador mediante dma_buf_fd() -> fd_install() antes de que dma_heap_ioctl() copie el resultado de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: perf: corregir uso después de liberar (use-after-free) cuando la reactivación de perf mmap() compite con el último munmap() perf_mmap_close() decrementa rb->mmap_count *sin* mantener event->mmap_mutex (el refcount_dec_and_test() justo antes del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: evitar la división por cero en rt6_multipath_rebalance rt6_multipath_rebalance() calcula el peso total de los nexthop elegibles en una pasada y programa los límites superiores en una segunda pasada. Como RTM_NEWROUTE no usa RTNL, una…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: gtp: añadir synchronize_net() en la ruta de error de gtp_newlink() para evitar un uso después de liberar (use-after-free) La ruta de error de gtp_newlink() libera tid_hash y addr_hash sin esperar a un periodo de gracia RCU tras borrar sk_user_data. Un…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ksmbd: corregir uso después de liberar (use-after-free) de la conexión de árbol en smb2_tree_connect() ksmbd_tree_conn_connect() publica una nueva conexión de árbol en sess->tree_conns con una única referencia y devuelve su puntero a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ext4: comprobar que la entrada de directorio cabe antes de leer el trailer de hash en ext4_search_dir() En los directorios cifrados con casefold, ext4 almacena un trailer de hash de 8 bytes tras el nombre (EXT4_DIRENT_HASHES()), en un desplazamiento…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ext4: corregir lectura fuera de límites en ext4_read_inline_dir() ext4_read_inline_dir() puede leer una cabecera de dirent más allá del final de su búfer inline, lo que desencadena una lectura slab-out-of-bounds durante getdents64(): La carga útil del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs/ntfs3: corregir lectura fuera de límites de INDEX_ROOT en la inicialización de reparse/objid ntfs_reparse_init() y ntfs_objid_init() analizan la raíz del índice de los metarchivos $Extend/$Reparse y $Extend/$ObjId (los atributos INDEX_ROOT llamados…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: comprobar el valor de retorno de rpc_sockaddr2uaddr() en rpcb_register_inet4/6 rpcb_register_inet4() y rpcb_register_inet6() almacenan el resultado de rpc_sockaddr2uaddr() en map->r_addr sin comprobar si es NULL. rpc_sockaddr2uaddr() devuelve…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: xfrm6: corregir escritura fuera de límites en xfrm6_input_addr() cuando secpath está lleno La comprobación de profundidad de xfrm6_input_addr() tiene un error de uno: xfrm_input() puede dejar sp->len == XFRM_MAX_DEPTH, y la ruta de recepción en modo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs/ntfs3: rechazar el crecimiento de la tabla de reinicio más allá de U16_MAX entradas Durante la reproducción de $LogFile, log_replay() indexa la tabla de transacciones por el transact_id tomado de la cabecera del registro de log. check_log_rec() solo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs/ntfs3: corregir lectura fuera de límites en read_log_rec_buf() read_log_rec_buf() copia un registro de log en un búfer del llamador a partir de log->record_header_len (y log->data_off, usado para las páginas siguientes) procede literalmente del área…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: qualcomm: rmnet: restore skb->dev on deaggregated frames rmnet_map_deaggregate() asigna cada subtrama con alloc_skb() y deja skb->dev a NULL. __rmnet_map_ingress_handler() asigna skb->dev = ep->egress_dev solo en la ruta de datos, pero una trama…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs/ntfs3: validate ef->size covers the record's name and value Cuando un registro EA tiene un ef->size distinto de cero, ntfs_read_ea() solo comprueba que el registro cabe en el búfer restante (ea_size > bytes), no que ef->size sea lo bastante grande…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: isofs: fix out-of-bounds page array access on empty zisofs block La ruta rápida de bloque vacío de zisofs_uncompress_block() devuelve pcount << PAGE_SHIFT, ignorando el poffset entrante, a diferencia de la ruta de descompresión, que devuelve los bytes…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vfio/pci: clear vdev->msi_perm after freeing it on init failure vfio_msi_cap_len() asigna de forma diferida la tabla de permisos MSI por dispositivo: Cuando init_pci_cap_msi_perm() -> alloc_perm_bits() falla con -ENOMEM, la ruta de error libera…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nvme: add missing SRCU grace period in error path La ruta de error de nvme_alloc_ns() en out_unlink_ns elimina ns de la lista de hermanos de la cabecera del espacio de nombres con list_del_rcu(&ns->siblings), pero no espera a los lectores SRCU antes de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vxlan: vnifilter: enforce exact length of GROUP/GROUP6 attributes La política de entradas del filtro VNI de VXLAN declara los atributos de dirección GROUP/GROUP6 como NLA_BINARY solo con una longitud máxima, por lo que validate_nla() acepta una carga…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: arm64: Handle negative S1 walk levels in VNCR TLB size evaluation Calcular los efectos de una invalidación de TLB implica examinar el tamaño de la asignación almacenada en caché por la TLB. Para asignaciones S1 como VNCR, esto se deduce de la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nvme: skip the zoned limits update if the zone info query failed nvme_query_zone_info() devuelve o bien un errno negativo o bien un código de estado NVMe positivo, pero nvme_update_ns_info_block() solo comprueba el caso negativo: Si el dispositivo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: SCO: hold sk properly in sco_conn_ready La desreferencia de sk en sco_conn_ready debe hacerse bajo conn->lock o manteniendo un recuento de referencias, para evitar un cierre concurrente. Actualmente se accede a conn->sk y al sk padre sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: s390/vfio-ap: Fix missing lock required to access list of ap_matrix_mdev objects Para recorrer o añadir/eliminar objetos ap_matrix_mdev en la matrix_dev->mdev_list, debe mantenerse el mutex matrix_dev->guests_lock. Hay dos funciones que acceden a la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: s390: Zero initialize data structures for inject_pfault_token __kvm_inject_pfault_token() solo establece .type y .u.ext.ext_params2 de la struct kvm_s390_irq en la pila, pero la subestructura ext completa se copia en la variable local de la cpu al…