Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir un UAF y una fuga de búfer en cifs_check_trans2() con T2 secundarios mal formados Cuando se ha recibido una respuesta TRANSACT2 primaria válida (mid->resp_buf establecido, mid->multiRsp true) y una respuesta secundaria posterior…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: borrar ce->tgthint en free_tgts() Cuando free_tgts() libera todas las estructuras de ce->tlist, ce->tgthint queda apuntando a una de las estructuras cache_dfs_tgt liberadas. Si ce->tgthint no se restablece antes de usarse más tarde, se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ksmbd: volver a vincular solo el propio oplock del archivo reabierto en la reconexión duradera ksmbd_reopen_durable_fd() recorre la m_op_list del inodo y vuelve a vincular cada oplock desvinculado a la sesión que se reconecta: La única clave es…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir un desbordamiento de ALIGN() en el bucle de contexto de error de symlink_data() La comprobación añadida por el commit 7d9a7f1f96cd ("smb/client: fix possible infinite loop and oob read in symlink_data()") comparaba la longitud…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir una lectura/escritura fuera de límites por un DataOffset no validado en coalesce_t2() coalesce_t2() calcula punteros de datos directamente a partir de los campos DataOffset proporcionados por el servidor, sin validarlos frente a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir el uso antes de la comprobación de ReparseDataLength en reparse_buf_ptr() reparse_buf_ptr() lee buf->ReparseDataLength antes de comprobar que count cubre toda la cabecera fija: struct reparse_data_buffer tiene ReparseDataLength en…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: rechazar una respuesta de tree connect cuyo número de bytes sea demasiado pequeño CIFSTCon() limita su strnlen() sobre el área de bytes con el ByteCount del servidor menos dos, lo que para ByteCount 0 o 1 se vuelve negativo como int y se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: restaurar el límite de data_offset en is_valid_oplock_break() El commit 83bfbd0bb902 ("cifs: Remove the RFC1002 header from smb_hdr") cambió la cantidad con la que se mide este límite. Antes era srv->total_read menos el preámbulo RFC1002…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: corsair-void: comprobar el tamaño de los eventos de estado y de firmware antes de leerlos Los eventos de estado y de firmware mal formados podían provocar una lectura fuera de límites, ya que no se comprobaba el tamaño. Comprobar el tamaño y…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: picolcd: limitar la lectura de eeprom en debugfs a los bytes realmente recibidos picolcd_debug_eeprom_read() confía en resp->raw_data[2] -- un byte de longitud proporcionado por el dispositivo en su respuesta REPORT_EE_DATA --, limitado solo al…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: roccat: liberar los informes en búfer al destruir el dispositivo roccat_report_event() duplica cada informe con kmemdup() y almacena la asignación en una posición de un búfer circular. La asignación solo se libera cuando se reutiliza esa posición.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: sensor: custom: corregir la limpieza de los grupos sysfs de campos en caso de fallo hid_sensor_custom_add_attributes() crea un grupo sysfs para cada campo de sensor personalizado. Si sysfs_create_group() falla después de que ya se hayan creado…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: mcp2221: detener la E/S del dispositivo antes de hid_hw_stop Detener la E/S del dispositivo al inicio de la retrollamada de limpieza devm mcp2221_hid_unregister() para que los informes HID entrantes no puedan competir con el desmantelamiento del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: mcp2221: validar el tamaño del informe en mcp2221_raw_event() mcp2221_raw_event() nunca valida el tamaño de los informes HID entrantes. En la ruta MCP2221_I2C_GET_DATA confía en data[3], proporcionado por el dispositivo, como longitud de copia sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: intel-thc-hid: intel-quickspi: validar el tamaño del informe antes de copiar write_cmd_to_txdma() construye un informe de salida en qsdev->report_buf, un búfer del heap asignado en quickspi_alloc_report_buf() con el max_report_len derivado del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: intel-thc-hid: intel-quickspi: limitar la respuesta de GET_REPORT al búfer del llamante quickspi_hid_raw_request() recibe la longitud del búfer del llamante en len, pero quickspi_get_report() nunca la ve y copia en buf toda la respuesta…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: eventfs: inicializar ei->children y ei->list en init_ei() eventfs_create_dir() asigna el eventfs_inode y lo inicializa con init_ei(). Pero esto no inicializa los list_heads del eventfs_inode. Si eventfs_create_dir() falla por presión de memoria,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs/ntfs3: validar la tabla de páginas sucias en la reproducción del registro Cada DIR_PAGE_ENTRY termina en un array page_lcns[] cuya longitud es el campo en disco lcns_follow. check_rstbl() valida la contabilidad de la tabla pero nunca comprueba que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs/ntfs3: corregir una fuga de información por una descompresión LZNT parcial en ni_read_frame() ni_read_frame() descomprime una trama $DATA LZNT en las páginas de destino mapeadas con vmap y luego confía en el valor de retorno de decompress_lznt():…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fs/ntfs3: limitar el índice de page_lcns[] según el registro de log El bucle copy_lcns y el bucle de acortamiento de redo indexan page_lcns[] en j + i, donde i llega hasta el lcns_follow del registro de log. Esa cantidad solo se comprueba frente a la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: limitar la exploración del mapa de bits de clústeres libres al volumen vol->lcn_empty_bits_per_page se dimensiona a partir de vol->nr_clusters en el montaje, pero ntfs_cluster_alloc() limita su exploración de ese array por el tamaño de $Bitmap.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: rechazar mapping pairs vacíos no válidos Rechazar un atributo con mapping pairs vacíos si tiene un VCN más alto y un tamaño incoherentes.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: rechazar LCN de MFT no válidos procedentes del sector de arranque El sector de arranque de NTFS almacena las ubicaciones de MFT y MFTMirr como LCN sin signo de 64 bits, pero parse_ntfs_boot_sector() los decodificaba en un s64. Por tanto, un valor…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: validar los desplazamientos de los atributos no residentes ntfs_attr_update_meta() desplaza el nombre del atributo al convertir entre atributos no dispersos y dispersos. La conversión a disperso también añade el campo compressed_size antes del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: verificar la longitud de tramos que sobrepasa el límite del volumen El decodificador de mapping pairs valida que el LCN inicial esté dentro del volumen, pero no comprueba si el tramo se extiende más allá del límite del volumen. Una imagen NTFS…