Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: harden gss_krb5_unwrap_v2 against short tokens gss_krb5_unwrap_v2() lee los campos de cabecera EC y RRC en ptr+4 y ptr+6 antes de validar que el token tenga al menos GSS_KRB5_TOK_HDR_LEN (16) bytes de longitud, y su función auxiliar…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: harden gss_unwrap_resp_priv length checks gss_unwrap_resp_priv() valida la longitud opaca de RPCSEC_GSS con Ambos operandos son u32 y la suma se calcula en u32. Una respuesta con opaque_len cercano a 0xffffffff hace que offset + opaque_len dé…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sunrpc: init gssp_lock before publishing proc entry create_use_gss_proxy_proc_entry() publica /proc/net/rpc/use-gss-proxy mediante proc_create_data() antes de que init_gssp_clnt() ejecute mutex_init() sobre sn->gssp_lock. Una vez que la dentry se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: reject duplicate CREDS_VALUE options gssx_dec_option_array() recorre el array de opciones proporcionado por la red y, para cada entrada cuyo nombre coincide con CREDS_VALUE, llama a gssx_dec_linux_creds() sobre el mismo struct svc_cred. Esa…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: Reject krb5 v2 wrap tokens with oversized ec field gss_krb5_unwrap_v2() establece buf->len en una longitud lógica, que puede ser mucho menor que head[0].iov_len (la capacidad asignada de páginas de recepción). Después llama a xdr_buf_trim() con…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: Reject short RFC 4121 MIC tokens in gss_krb5_verify_mic_v2 gss_krb5_verify_mic_v2() lee el ID del token en ptr[0..1], el byte de indicadores en ptr[2] y el relleno en ptr[3..7], y después pasa ptr + GSS_KRB5_TOK_HDR_LEN y cksum_len a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: wait for in-flight client TLS handshake callback xs_tls_handshake_sync() entrega a xs_tls_handshake_done() una referencia al transporte inferior antes de enviar la solicitud de handshake. Ante un tiempo de espera agotado o una señal, el proceso…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Clear sc_cm_id when ADDR_CHANGE replacement fails Cuando svc_rdma_listen_handler() gestiona RDMA_CM_EVENT_ADDR_CHANGE, crea un cm_id de escucha de reemplazo y devuelve 1, indicando al núcleo de CM que destruya el antiguo. Si la asignación del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Fix offset arithmetic in read_chunk_range svc_rdma_read_chunk_range() recorre la lista de segmentos de un fragmento Read para construir un subrango que empieza en el desplazamiento de bytes offset y abarca length bytes para un fragmento…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Fix pcl_for_each_segment for empty chunks Cuando una lista de fragmentos analizada contiene un fragmento cuyo ch_segcount es cero, pcl_for_each_segment calcula su límite superior inclusivo como &chunk->ch_segments[ch_segcount - 1]. ch_segcount…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Reject connection when transport allocation fails handle_connect_req() retorna sin hacer nada cuando svc_rdma_create_xprt() no logra asignar el nuevo transporte. El núcleo de CM devuelve 0 para los eventos CONNECT_REQUEST, por lo que no…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Reject inline replies that overflow the pull-up buffer Un cliente RPC-over-RDMA puede solicitar una respuesta, como una carga útil de NFS READ, sin proporcionar una lista Write ni un fragmento Reply que la transporte. Cuando una respuesta así…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Reject oversized Read segments at decode time El decodificador de listas Read de RPC/RDMA almacena las longitudes de segmento proporcionadas por la red sin validarlas. xdr_count_read_segments() comprueba la alineación a 4 bytes para valores de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Reject Read lists that exceed the page budget Las longitudes de los segmentos Read individuales se validan en el momento de la decodificación, pero nada impide que un solicitante envíe varios segmentos cuya longitud acumulada supere el…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Use svc_xprt_put to free listener on create failure svc_rdma_create() llama a kfree(cma_xprt) cuando svc_rdma_create_listen_id() falla. svc_xprt_init() ya ha adquirido una referencia al espacio de nombres de red mediante get_net_track(); kfree…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: svcrdma: Validate Read chunk positions before reconstruction El campo de posición del fragmento Read de RPC/RDMA lo proporciona el cliente remoto y se almacena literalmente en la lista de fragmentos analizada. xdr_count_read_segments() solo comprueba…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: udf: reject VAT indexes equal to the entry count La asignación de particiones virtuales de UDF 1.50 usa la VAT como un array de asignaciones de bloques físicos. s_num_entries almacena el número de entradas de ese array, no el índice válido más alto.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: ath6kl: clamp assoc request/response lengths before subtracting IE offsets ath6kl_cfg80211_connect_event() resta desplazamientos fijos de IE de assoc_req_len (-= 4) y assoc_resp_len (-= 6), ambos u8, sin límite inferior. La comprobación agregada…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: mt76: mt7925: cancel pending mlo_pm_work Si el dispositivo se reinicia, se suspende o se da de baja dentro de esa ventana, el trabajo pendiente puede seguir ejecutándose y acceder a datos de vif/bss que pueden haberse liberado ya, o enviar…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: media: staging/ipu7: fix async notifier UAF on probe error path isys_register_devices() registra el notificador asíncrono de V4L2 mediante isys_notifier_init(). Si un paso posterior del sondeo, como isys_fw_log_init(), falla, isys_probe() salta a la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sched/core: Handle pick_task() releasing the rq lock pick_next_task() de la planificación por núcleo (core scheduling) falla cuando una implementación de ->pick_task() puede liberar el bloqueo de la rq. El estado de selección derivado a la entrada solo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sched_ext: Replace SCX_RQ_BAL_KEEP with a dispatch verdict return SCX_RQ_BAL_KEEP indica a la selección que siga ejecutando la tarea anterior, un vestigio de cuando el balanceo y la selección eran operaciones separadas. Un indicador a nivel de rq solo…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sched_ext: Fix this_rq() assumptions in dispatch kfuncs Con la planificación por núcleo, el despacho se ejecuta desde dentro de la selección a nivel de núcleo y puede tener como destino una rq hermana, por lo que ops.dispatch() puede ejecutarse en una…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sched_ext: Fix rq->core_pick corruption under core scheduling pick_next_task() de la planificación por núcleo selecciona qué ejecutar en cada hermano SMT del núcleo en una única pasada bajo el bloqueo de rq compartido a nivel de núcleo. El estado de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sched_ext: Don't BUG_ON a destroyed DSQ in process_deferred_reenq_users scx_bpf_dsq_reenq() encola un reenq diferido (dru) que se ejecuta desde run_deferred(), no desde ops.dispatch(). Si el DSQ se destruye antes de que se ejecute el dru,…