Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: dm array: validate array block headers on read array_block_check() valida blocknr y csum y nada más, mientras que node_check(), a su lado, ha acotado los campos estructurales desde que ambos se escribieron. dm_array_cursor_next() toma el límite de su…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: dm array: reject an array block whose value size is not the caller's array_block_check() solo puede comparar la cabecera contra sí misma, por lo que un bloque con value_size 4 y max_entries 1018 es internamente coherente y la supera. dm-cache mantiene…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cxl/features: bound fwctl command payload to the input buffer fwctl_cmd_rpc() copia cmd->in_len bytes en inbuf = kvzalloc(cmd->in_len) y pasa inbuf e in_len a ->fw_rpc(). La función de retorno de CXL cxlctl_fw_rpc() ignora in_len y nunca comprueba el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cxl/mce: Make the MCE notifier per-region Flavien Solt informó de problemas de tiempo de vida con el notificador MCE de CXL, que pueden provocar desreferencias de NULL y uso después de liberar (use-after-free) en el manejador de MCE. El notificador se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: RFCOMM: serialize security confirmation handling rfcomm_security_cfm() busca una sesión en session_list y después recorre su lista de DLC sin mantener rfcomm_mutex. Dado que el desmontaje de sesiones RFCOMM usa rfcomm_mutex, krfcommd puede…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: kho: fix size calculation in kho_preserved_memory_reserve() kho_preserved_memory_reserve() calcula el tamaño de una preservación haciendo 1 << (order + PAGE_SHIFT). Dado que el '1' es un entero de 32 bits, solo puede desplazarse 31 posiciones. Es…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: jbd2: bound shrinker scans by examined checkpoint buffers Actualmente, el shrinker de jbd2 solo descuenta de nr_to_scan los búferes de checkpoint que libera con éxito. Por tanto, los búferes ocupados no consumen el presupuesto de exploración. Si una…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: jbd2: check need_resched() when skipping busy checkpoint buffers journal_shrink_one_cp_list() omite los búferes de checkpoint ocupados cuando se llama con JBD2_SHRINK_BUSY_SKIP. La sentencia continue de esta ruta también omite la comprobación de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipip: fix skb leak in collect_md mode when metadata_dst allocation fails En modo collect_md, ipip_tunnel_rcv() devuelve 0 sin liberar el skb cuando ip_tun_rx_dst() no logra asignar el metadata_dst. ipip_rcv() y mplsip_rcv() están registrados como…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ip6_tunnel: use skb_cow_head() in ip6_tnl_xmit() ip6_tnl_xmit() puede necesitar ampliar el espacio de cabecera (headroom) antes de poder añadir las cabeceras IPv6 externa y de encapsulación opcional. Actualmente lo hace con skb_realloc_headroom(),…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ip6_gre: fix hardware header length for NBMA tunnels ip6gre_tnl_link_config_route() acumula la longitud de cabecera de hardware del dispositivo inferior en dev->hard_header_len siempre que header_ops está establecido. Esto es incorrecto para ambos…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libnvdimm/labels: Prevent integer overflow in __nd_label_validate() El campo de índice de espacio de nombres en el medio, nslot, es un u32 leído del área de almacenamiento de etiquetas del DIMM. __nd_label_validate() lo acota frente al tamaño del área…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: md/raid10: fix still_degraded being inverted in raid10_sync_request() El commit fe6a19d40ceb ("md/md-bitmap: merge md_bitmap_start_sync() into bitmap_operations") convirtió still_degraded de int a bool, pero invirtió la asignación en el bucle que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: md: do overflow check for sb->bblog_shift in super_1_load() En super_1_load(), sb->bblog_shift es un valor de tipo __u8 cargado del superbloque en disco. Se usa para la API de badblocks badblocks_set() mediante la siguiente secuencia, bb->bblog_shit…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: module: validate string table section types En elf_validity_cache_sechdrs, se validan los tamaños y desplazamientos de las secciones, salvo que el tipo de sección sea SHT_NULL o SHT_NOBITS. Más adelante, elf_validity_cache_secstrings y…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mpls: reload header after pskb_may_pull() mpls_select_multipath() llama a mpls_multipath_hash() para elegir un siguiente salto cuando una ruta MPLS tiene varios siguientes saltos. Al recorrer la pila de etiquetas MPLS, la rutina de hash guarda en caché…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mptcp: fix uninitialized local_id in syncookie MP_JOIN reconstruction mptcp_token_join_cookie_init_state() restaura remote_nonce, local_nonce, backup, join_id, token y msk a partir de la entrada de cookie guardada al reconstruir el socket de solicitud…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nouveau/gem: reserve the bo in the info ioctl around the vma lookup En la ruta no uvmm, podía producirse una condición de carrera entre la búsqueda de info que encuentra la vma y la ruta de cierre de gem que cierra la vma, lo que provocaba un uso…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: params: fix charp corruption on allocation failure param_set_charp() almacena los parámetros charp en memoria asignada una vez que slab está disponible, y libera el valor anterior cuando se actualiza el parámetro. El valor anterior se libera antes de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: xdr_buf_trim: clamp buf->len to avoid underflow xdr_buf_trim() recorta `len` bytes del final de un xdr_buf recorriendo los iovecs tail, pages y head. Cada paso por sección usa min_t() para no eliminar nunca más bytes de los que contiene esa…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: svcauth_gss: enforce krb5 token minimum length svcauth_gss_unwrap_priv() valida solo un límite superior de la longitud opaca proporcionada por la red antes de pasar el búfer a gss_unwrap(): El valor de red `len` fluye sin cambios como límite…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sunrpc: route to a populated pool in svc_pool_for_cpu() svc_set_num_threads() reparte los hilos solicitados de forma equitativa entre los pools del servicio (base = nrservs / sv_nrpools). Cuando un servicio ejecuta menos hilos que pools tiene (p. ej.,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: always drain cache_cleaner before destroying a cache_detail sunrpc_destroy_cache_detail() solo cancela el delayed_work global cache_cleaner cuando cache_list está vacía. Durante el desmontaje por espacio de nombres de red, cache_list nunca está…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: Check svc pool percpu counter allocation __svc_create() inicializa tres estadísticas percpu_counter por pool e ignora todos los valores de retorno. En SMP, percpu_counter_init() falla cuando __alloc_percpu_gfp() no puede satisfacer la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: close backchannel before destroying callback service Una recepción por el canal de retorno (backchannel) puede completar una solicitud mientras el servicio de retrollamada de NFS se está desmontando. xprt_complete_bc_request() elimina la…