Dan Carpenter

تم تحديد مشكلة تلف في الذاكرة في نواة لينكس، وتحديدًا في مكون صندوق البريد (mailbox) th1520. صُممت الدالتان `th1520 mbox suspend noirq` و`th1520 mbox resume noirq` لحفظ واستعادة سجلات قناع المقاطعة في MBOX ICU0. ومع ذلك، أدى استخدام مصفوفة ذات حجم غير صحيح لتخزين هذه السجلات إلى تلف الذاكرة عند الوصول إلى السجلات الأربعة جميعها.

تتعلق إحدى المشكلات التي تم إصلاحها في نواة لينكس بقراءة خارج النطاق في الدالة `mtk hwlro get fdir entry()`. المتغير `fsp->location`، الذي يتم توفيره من قبل المستخدم عبر الدالة `ethtool get rxnfc()`، لا يتم التحقق من صحته بشكل صحيح، مما يؤدي إلى احتمال حدوث قراءة خارج النطاق. يمكن التخفيف من هذه المشكلة عن طريق التحقق من صحة المتغير `fsp->location` لمنع مثل هذه القراءات.

تم إصلاح ثغرة أمنية في نواة لينكس. كانت المشكلة مرتبطة بالوظيفة `visconti clk register gates()`، حيث كان من الممكن حدوث تجاوز سعة المصفوفة بسبب استخدام القيمة -1 للإشارة إلى عدم وجود وظيفة إعادة الضبط. تم تخزين هذه القيمة في عدد صحيح غير مُشار إليه من 8 بت (`u8`)، مما جعل الشرط `if (clks[i].rs id >= 0)` صحيحًا دائمًا، مما أدى إلى وصول خارج النطاق.

توجد مشكلة تلف في الذاكرة بسبب عدم كفاية التحقق من الحدود في الدالة `nci hci create pipe()`. يمكن أن تتسبب المتغير `pipe`، وهو قيمة `u8` مستمدة من الشبكة، في تلف الذاكرة في الدالة `nci hci connect gate()` إذا تجاوزت قيمته 127.

تتعلق المشكلة بحدوث تجاوزات سعة الأعداد الصحيحة في مكون ksmbd بنواة لينكس في الأنظمة ذات 32 بت. وعلى وجه التحديد، قد تتسبب عمليات الجمع في الدالة `ipc msg alloc()` في حدوث تجاوز، مما يؤدي إلى تلف الذاكرة. ولإصلاح ذلك، تمت إضافة فحص للحدود باستخدام `KSMBD IPC MAX PAYLOAD` لمنع حدوث التجاوز.

تتعلق المشكلة بخطأ تجاوز سعة عدد صحيح في الوحدة النمطية binfmt flat في نواة لينكس على الأنظمة ذات 32 بت. يحدث هذا الخطأ عند حساب `full data` باستخدام الصيغة `full data = data len + relocs * sizeof(unsigned long)`، مما قد يؤدي إلى حسابات غير صحيحة إذا لم يتم التحقق من عدد «relocs» بشكل صحيح. يتم تقييد معظم الأحجام والأعداد بحد أقصى 256 ميجابايت لمنع تجاوز سعة الأعداد الصحيحة، ولكن يجب أيضًا التحقق من عدد «relocs».

تتعلق المشكلة بتجاوز سعة عدد صحيح في نواة لينكس، وتحديدًا في الدالة `tps6594 rtc set offset()`. تحدث المشكلة عندما تُضرب المتغير `offset`، وهو من نوع long في النطاق (-277774)-277774، في `TICKS PER HOUR`، وهو رقم كبير يساوي تقريبًا مائة مليون. قد يتسبب هذا الضرب في حدوث تجاوز السعة في الأنظمة ذات 32 بت، حيث يمكن أن يستوعب نوع long أرقامًا تصل إلى حوالي ملياري.

تم اكتشاف ثغرة أمنية من نوع ”التحرير المزدوج“ (double free) في الوحدة النمطية mtd: rawnand في نواة Linux، وتحديدًا في الدالة `atmel pmecc create user()`. وقد حدثت المشكلة لأن المؤشر ’user‘ تم تغيير طريقة تخصيصه من `kzalloc()` إلى `devm kzalloc()`، مما يؤدي استدعاء `kfree(user)` إلى حدوث ”تحرير مزدوج“.

A use-after-free bug has been identified in the `register intc controller()` function. The issue arises during error handling when `d` is freed without being removed from `intc list`, leading to a use-after-free scenario. To address this, the fix ensures that `d` is added to the list only after all operations have been successfully completed.

تتعلق المشكلة بحدوث تجاوز سعة عدد صحيح في مكون RDMA/uverbs بنواة لينكس. وعلى وجه التحديد، قد يؤدي التعبير `cmd.wqe size * cmd.wr count` إلى حدوث تجاوز سعة عدد صحيح، حيث إن كلا المتغيرين هما قيمتان من نوع u32 مستمدتان من المستخدم. ثم يتم تمرير هذه النتيجة إلى `uverbs request next ptr()`، والتي قد تتعرض هي الأخرى لتجاوز سعة عدد صحيح. بالإضافة إلى ذلك، قد تتعرض عملية الضرب `cmd.sge count * sizeof(struct ib uverbs sge)` لتجاوز سعة عدد صحيح في الأنظمة ذات 32 بت. لتصحيح ذلك، تمت إعادة تنظيم الشرط في `uverbs request next ptr()`، وتم تعديل جميع الدالات المستدعية لاستخدام `size mul()` في عمليات الضرب.

تم تحديد مشكلة محتملة في نواة لينكس، تتعلق بالوظيفة `msm ioctl gem submit()`. وعلى وجه التحديد، فإن المتغيرين `submit->cmd[i].size` و`submit->cmd[i].offset`، وهما قيمتان من نوع `u32` يتم الحصول عليهما من المستخدم عبر الدالة `submit lookup cmds()`، قد تؤديان إلى تجاوز سعة عدد صحيح. ويمكن منع ذلك باستخدام الدالة `size add()` لتجنب أخطاء التفاف الأعداد الصحيحة.

The issue is related to the initialization of variables annotated with ` free()` in the thermal testing code of the Linux kernel. If a function can return before these variables are updated, attempting to free the memory they point to upon function return may cause the kernel to crash. The problem has been fixed in some places in the thermal testing code.

The issue concerns an integer overflow in the `pagemap scan get args()` function within the Linux kernel's `fs/proc/task mmu` component. The `arg->vec len` variable, a `u64` value provided by the user, is multiplied by `sizeof(struct page region)`, which can lead to integer wrapping. To prevent this, the `size mul()` function is utilized. Additionally, since the `size add/mul()` functions operate on unsigned long values, it is essential to ensure that `arg->vec len` fits within an unsigned long for 32-bit systems.

A potential array underflow issue has been identified in the Linux kernel, specifically in the `ucsi ccg sync control()` function. The `command` variable can be controlled by the user via debugfs, which poses a risk if `con index` is zero, potentially leading to an array underflow. The issue arises when accessing `&uc->ucsi->connector[con index - 1]`.

The issue is related to an integer overflow in the svcrdma component of the Linux kernel. This overflow can be triggered by a user-controlled value, potentially allowing an attacker to execute arbitrary code. The problem arises from a commit in the Linux kernel that introduced a "parsed chunk list" data structure, leading to a warning from the Smatch static checker about a potential user-controlled sizeof overflow. The `segcount` variable, an untrusted u32, is used in a calculation that can cause an integer overflow on 32-bit systems, which may be accepted by `xdr inline decode()`.

The issue is related to an integer overflow in the decode cb compound4res() function of the Linux kernel's NFSD component. If the tag length is >= U32 MAX - 3, the "length + 4" addition can result in an integer overflow. This can be addressed by splitting the decoding into several steps so that decode cb compound4res() does not have to perform arithmetic on the unsafe length value. The vulnerability can be exploited by a remote attacker to execute arbitrary code.

The issue is related to a potential out of bounds condition in the `ucsi ccg update set new cam cmd()` function. The `*cmd` variable can be controlled by the user via debugfs, allowing `new cam` to be as high as 255, while the size of the `uc->updated[]` array is `UCSI MAX ALTMODES` (30). The call tree involves several functions, including `ucsi cmd()`, `ucsi send command()`, `ucsi send command common()`, `ucsi run command()`, and `ucsi ccg sync control()`. This could potentially impact the confidentiality and availability of protected information.

The issue is related to a use after free vulnerability in the Linux kernel, specifically in the io edgeport module. This vulnerability can be exploited to impact the confidentiality, integrity, and availability of protected information. The problem arises from the `dev dbg` function being called after `usb free urb`, resulting in a use after free of the `urb` pointer. To avoid this issue, the `dev` pointer is stored at the start of the function.

A potential NULL dereference vulnerability has been identified in the Linux kernel, specifically in the wifi: cw1200 module. This issue was discovered through static analysis after a recent refactoring. The vulnerability could potentially be exploited, but no details about affected devices or real-world incidents are provided.

A critical vulnerability in the Linux kernel's PCI keystone component has been fixed. The issue involved the `ks pcie quirk()` function, where an if-statement expression accidentally used `&&` instead of `||`, potentially resulting in a NULL dereference. This fix corrects the if-statement expression to use the correct condition.