Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: btrfs: reinicializar la lista de referencias retrasadas después de eliminarla de la lista En insert_delayed_ref(), si necesitamos actualizar la acción de una referencia existente a BTRFS_DROP_DELAYED_REF, eliminamos la referencia de ref_add_list de su cabecera de referencia usando list_del(), lo que deja el miembro add_list de la referencia sin reinicializar, ya que list_del() establece los miembros siguiente y anterior de la lista en LIST_POISON1 y LIST_POISON2, respectivamente. Si más tarde terminamos llamando a drop_delayed_ref() contra la referencia, lo que puede suceder durante la fusión o al destruir referencias retrasadas debido a un aborto de transacción, podemos provocar un bloqueo ya que en drop_delayed_ref() llamamos a list_empty() contra el add_list de la referencia, que devuelve falso ya que la lista no se reinicializó después de list_del() y, como consecuencia, llamamos a list_del() nuevamente en drop_delayed_ref(). Esto da como resultado un acceso a la lista no válido ya que los miembros next y prev están configurados como punteros envenenados, lo que resulta en un splat si CONFIG_LIST_HARDENED y CONFIG_DEBUG_LIST están configurados o desreferencias de punteros envenenados no válidas en caso contrario. Así que solucione esto eliminando de la lista con list_del_init() en su lugar.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: vertexcom: mse102x: Se soluciona una posible doble liberación del skb TX El alcance del skb TX es más amplio que solo mse102x_tx_frame_spi(), por lo que en caso de que sea necesario ampliar la sala del skb TX, deberíamos liberar el skb temporal en lugar del skb original. De lo contrario, el puntero TX skb original se liberaría nuevamente en mse102x_tx_work(), lo que provoca fallas: Error interno: Oops: 0000000096000004 [#2] PREEMPT SMP CPU: 0 PID: 712 Comm: kworker/0:1 Tainted: GD 6.6.23 Nombre del hardware: chargebyte Charge SOM DC-ONE (DT) Cola de trabajo: eventos mse102x_tx_work [mse102x] pstate: 20400009 (nzCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : skb_release_data+0xb8/0x1d8 lr : skb_release_data+0x1ac/0x1d8 sp : ffff8000819a3cc0 x29: ffff8000819a3cc0 x28: ffff0000046daa60 x27: ffff0000057f2dc0 x26: ffff000005386c00 x25: 00000000000000002 x24: 00000000ffffffff x23: 000000 x22: 0000000000000001 x21: ffff0000057f2e50 x20: 0000000000000006 x19: 0000000000000000 x18: ffff00003fdacfcc x17: e69ad452d0c49def x16: 84a005feff870102 x15: 0000000000000000 x14: 0000000000000024a x13: 0000000000000002 x12: 0000000000000000 x11: 0000000000000400 x10: 0000000000000930 x9: ffff00003fd913e8 x8: fffffc00001bc008 x7: 0000000000000000 x6: 0000000000000008 x5: ffff00003fd91340 x4: 00000000000000000 x3 : 0000000000000009 x2 : 00000000ffffffffe x1 : 0000000000000000 x0 : 0000000000000000 Rastreo de llamadas: skb_release_data+0xb8/0x1d8 kfree_skb_reason+0x48/0xb0 mse102x_tx_work+0x164/0x35c [mse102x] process_one_work+0x138/0x260 worker_thread+0x32c/0x438 kthread+0x118/0x11c ret_from_fork+0x10/0x20 Código: aa1303e0 97fffab6 72001c1f 54000141 (f9400660)

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: clk: qcom: videocc-sm8350: use HW_CTRL_TRIGGER para GDSC de vcodec Un cambio reciente en el controlador venus da como resultado un reloj atascado en Lenovo ThinkPad X13s, por ejemplo, al transmitir video en Firefox: video_cc_mvs0_clk status stuck at 'off' WARNING: CPU: 6 PID: 2885 at drivers/clk/qcom/clk-branch.c:87 clk_branch_wait+0x144/0x15c ... Rastreo de llamadas: clk_branch_wait+0x144/0x15c clk_branch2_enable+0x30/0x40 clk_core_enable+0xd8/0x29c clk_enable+0x2c/0x4c vcodec_clks_enable.isra.0+0x94/0xd8 [venus_core] coreid_power_v4+0x464/0x628 [venus_core] vdec_start_streaming+0xc4/0x510 [venus_dec] vb2_start_streaming+0x6c/0x180 [videobuf2_common] vb2_core_streamon+0x120/0x1dc [videobuf2_common] vb2_streamon+0x1c/0x6c [videobuf2_v4l2] v4l2_m2m_ioctl_streamon+0x30/0x80 [v4l2_mem2mem] v4l_streamon+0x24/0x30 [videodev] usando el soporte de venus sm8350/sc8280xp fuera del árbol. [1] Actualice también las definiciones GDSC de sm8350/sc8280xp para que el modo de control de hardware se pueda cambiar en tiempo de ejecución como lo requiere ahora el controlador Venus.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vsock/virtio: inicialización del puntero colgante que se produce en vsk->trans. Durante la comunicación de bucle invertido, se puede crear un puntero colgante en vsk->trans, lo que puede provocar una condición de Use-After-Free. Este problema se resuelve inicializando vsk->trans en NULL.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ocfs2: eliminar la entrada una vez en lugar de la desreferencia ptr nula en ocfs2_xa_remove() Syzkaller puede provocar la desreferencia ptr nula en ocfs2_xa_remove(): [ 57.319872] (a.out,1161,7):ocfs2_xa_remove:2028 ERROR: status = -12 [ 57.320420] (a.out,1161,7):ocfs2_xa_cleanup_value_truncate:1999 ERROR: Truncamiento parcial al eliminar xattr overlay.upper. Fuga de 1 clúster y eliminación de la entrada [ 57.321727] ERROR: desreferencia de puntero NULL del núcleo, dirección: 0000000000000004 [...] [ 57.325727] RIP: 0010:ocfs2_xa_block_wipe_namevalue+0x2a/0xc0 [...] [ 57.331328] Seguimiento de llamadas: [ 57.331477] [...] [ 57.333511] ? do_user_addr_fault+0x3e5/0x740 [ 57.333778] ? exc_page_fault+0x70/0x170 [ 57.334016] ? asm_exc_page_fault+0x2b/0x30 [ 57.334263] ? __pfx_ocfs2_xa_block_wipe_namevalue+0x10/0x10 [ 57.334596] ? ocfs2_xa_block_wipe_namevalue+0x2a/0xc0 [ 57.334913] ocfs2_xa_remove_entry+0x23/0xc0 [ 57.335164] ocfs2_xa_set+0x704/0xcf0 [ 57.335381] ? _raw_spin_unlock+0x1a/0x40 [ 57.335620] ? ocfs2_inode_cache_unlock+0x16/0x20 [ 57.335915] ? trace_preempt_on+0x1e/0x70 [ 57.336153] ? start_this_handle+0x16c/0x500 [ 57.336410] ? preempt_count_sub+0x50/0x80 [ 57.336656] ? _raw_read_unlock+0x20/0x40 [ 57.336906] ? ocfs2_xattr_set_handle+0x1fd/0x5d0 [ 57.337706] ? ocfs2_start_trans+0x13d/0x290 [ 57.337971] ocfs2_xattr_set+0xb13/0xfb0 [ 57.338207] ? dput+0x46/0x1c0 [ 57.338393] ocfs2_xattr_trusted_set+0x28/0x30 [ 57.338665] ? ocfs2_xattr_trusted_set+0x28/0x30 [ 57.338948] __vfs_removexattr+0x92/0xc0 [ 57.339182] __vfs_removexattr_locked+0xd5/0x190 [ 57.339456] ? preempt_count_sub+0x50/0x80 [ 57.339705] vfs_removexattr+0x5f/0x100 [...] El reproductor utiliza la función faultinject para hacer que ocfs2_xa_remove() -> ocfs2_xa_value_truncate() falle con -ENOMEM. En este caso, el comentario menciona que podemos devolver 0 si ocfs2_xa_cleanup_value_truncate() va a borrar la entrada de todos modos. Pero la siguiente comprobación de 'rc' es incorrecta y el flujo de ejecución ejecuta 'ocfs2_xa_remove_entry(loc);' dos veces: * 1.ª: en ocfs2_xa_cleanup_value_truncate(); * 2.ª: regresa a ocfs2_xa_remove() en lugar de ir a 'out'. Solucione esto omitiendo la segunda eliminación de la misma entrada y haciendo que syzkaller repro funcione correctamente.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: USB: serial: io_edgeport: fix use after free in debug printk El "dev_dbg(&urb->dev->dev, ..." que ocurre después de usb_free_urb(urb) es un use after free el puntero "urb". Almacene el puntero "dev" al comienzo de la función para evitar este problema.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: typec: se corrige un posible error fuera de los límites en ucsi_ccg_update_set_new_cam_cmd() La variable "*cmd" puede ser controlada por el usuario a través de debugfs. Esto significa que "new_cam" puede tener un valor de hasta 255, mientras que el tamaño de la matriz uc->updated[] es UCSI_MAX_ALTMODES (30). El árbol de llamadas es: ucsi_cmd() // val proviene de simple_attr_write_xsigned() -> ucsi_send_command() -> ucsi_send_command_common() -> ucsi_run_command() // llama a ucsi->ops->sync_control() -> ucsi_ccg_sync_control()

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: musb: sunxi: Se solucionó el acceso a un usb phy liberado. Commit 6ed05c68cbca ("usb: musb: sunxi: Liberar explícitamente USB PHY al salir") provocará que se acceda al usb phy @glue->xceiv después de su liberación. 1) registrar el controlador de la plataforma @sunxi_musb_driver // obtener el usb phy @glue->xceiv sunxi_musb_probe() -> devm_usb_get_phy(). 2) registrar y anular el registro del controlador de la plataforma @musb_driver musb_probe() -> sunxi_musb_init() usa el phy aquí //el phy se publica aquí musb_remove() -> sunxi_musb_exit() -> devm_usb_put_phy() 3) registrar @musb_driver nuevamente musb_probe() -> sunxi_musb_init() usa el phy aquí pero el phy se ha publicado en 2). ... Se solucionó revirtiendo el commit, es decir, eliminando devm_usb_put_phy() de sunxi_musb_exit().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: drm/amdgpu: se corrige un posible UAF en amdgpu_cs_pass1(). Dado que la comprobación de gang_size está fuera del bucle de análisis de fragmentos, debemos restablecer i antes de liberar los datos del fragmento. Sugerido por Ye Zhang (@VAR10CK) de Baidu Security.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en sohelwpexpert WP Responsive Video permite XSS basado en DOM. Este problema afecta a WP Responsive Video: desde n/a hasta 1.0.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Mage Cast Mage Front End Forms permite XSS almacenado. Este problema afecta a Mage Front End Forms: desde n/a hasta 1.1.4.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Marty Thornley Photographer Connections permite XSS almacenado. Este problema afecta a Photographer Connections: desde n/a hasta 1.3.1.