Wysoki Odebrany

CVE-2026-78118

opublikowano: 21.10.2026, 21:17

modyfikacja: 21.10.2026, 21:17

Ocena CVSS

7.0

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Pomocnik jądra z_waitq_head() (kernel/include/wait_q.h) odczytuje początek kolejki oczekiwania na wątek, ale w systemach SMP był wywoływany z kilku miejsc bez utrzymywania blokady spinlock _sched_spinlock harmonogramu, która serializuje mutację kolejki oczekiwania. W rezultacie stroną wywołania jest z_timer_expiration_handler() w jądrze/timer.c, która przechowuje tylko blokadę podsystemu timera timer_lock podczas odczytywania timera->wait_q, a następnie oczekiwania, ustawiania wartości zwracanej i przygotowywania uzyskanego wątku. halt_thread() w kernel/sched.c usuwa przerwany wątek z kolejki oczekiwania, trzymając tylko _sched_spinlock, więc te dwie ścieżki nie wykluczają się wzajemnie.

Kiedy w tym oknie ostatni kelner zostanie usunięty na innym procesorze, sys_dlist_peek_head() może zwrócić listę wartowniczą — wskaźnik do samego obiektu k_timer — wpisaną jako struktura k_thread * (przy pomocy CONFIG_WAITQ_SCALABLE, rb_get_min() może zwrócić dowolny węzeł restrukturyzowanego drzewa) lub może zwrócić wskaźnik do wątku, który nie został już zakończony i w przypadku dynamicznie przydzielonego wątki, uwolnione. Następnie procedura obsługi wywołuje funkcję unpend_thread_no_timeout(), która wykonuje funkcję sys_dlist_remove() poprzez wskaźniki odczytane z tego obiektu, oraz arch_thread_return_value_set(), która zapisuje bezwarunkowo przez wskaźnik.

Rezultatem są zapisy poza zakresem i wykorzystanie po zwolnieniu w kontekście nadzorcy, a także uszkodzenie stanu programu planującego; łagodniejszym wynikiem jest wątek, który ponownie zawiesił się w innym miejscu i został obudzony z wartością zwrotną sukcesu z niepowiązanego wywołania blokującego. Wszystkie prymitywy potrzebne do sterowania przeplataniem — k_timer_start(), k_timer_status_sync(), k_thread_create() i k_thread_abort() — są wywołaniami systemowymi, więc przy włączonej opcji CONFIG_USERSPACE nieuprzywilejowany wątek trybu użytkownika może podjąć próbę wyścigu z danymi należącymi do jądra.

Eksploatacja wymaga kompilacji z wieloma procesorami (CONFIG_MP_MAX_NUM_CPUS większej niż jeden; dotknięty region nie obsługuje celów jednoprocesorowych), lokalnego wykonania kodu i wygrania wąskiego okna czasowego, więc praktycznym rezultatem jest najczęściej awaria jądra, a nie kontrolowane uszkodzenie. Poprawka dzieli pomocnika na funkcję z_waitq_head_locked() dla obiektów wywołujących, które już posiadają blokadę programu planującego, oraz funkcję z_waitq_head(), która ją pozyskuje, i powoduje odczytanie, wygaśnięcie ważności i gotowość modułu obsługi wygaśnięcia licznika czasu w pojedynczym regionie LOCK_SCHED_SPINLOCK.

The kernel helper z_waitq_head() (kernel/include/wait_q.h) reads the head of a thread wait queue, but on SMP systems it was called from several places without holding the scheduler spinlock _sched_spinlock that serializes wait-queue mutation. The consequential call site is z_timer_expiration_handler() in kernel/timer.c, which held only the timer subsystem lock timer_lock while reading timer->wait_q and then unpending, setting the return value of, and readying the thread it obtained. halt_thread() in kernel/sched.c removes an aborted thread from its wait queue while holding only _sched_spinlock, so the two paths are not mutually exclusive.

When the last waiter is removed on another CPU inside that window, sys_dlist_peek_head() can return the list sentinel — a pointer into the k_timer object itself — typed as a struct k_thread * (with CONFIG_WAITQ_SCALABLE, rb_get_min() can return an arbitrary node of a tree being restructured), or it can return a pointer to a thread that has already been unpended and, for dynamically allocated threads, freed. The handler then calls unpend_thread_no_timeout(), which performs a sys_dlist_remove() through pointers read from that object, and arch_thread_return_value_set(), which writes unconditionally through the pointer.

The result is out-of-bounds and use-after-free writes in supervisor context, plus scheduler state corruption; a milder outcome is a thread that has re-pended elsewhere being woken with a success return value from an unrelated blocking call. All of the primitives needed to drive the interleaving — k_timer_start(), k_timer_status_sync(), k_thread_create() and k_thread_abort() — are system calls, so with CONFIG_USERSPACE enabled an unprivileged user-mode thread can attempt the race against kernel-owned data.

Exploitation requires a multi-CPU build (CONFIG_MP_MAX_NUM_CPUS greater than one; the affected region is a no-op on uniprocessor targets), local code execution, and winning a narrow timing window, so the practical outcome is most often a kernel crash rather than controlled corruption. The fix splits the helper into z_waitq_head_locked() for callers that already hold the scheduler spinlock and a z_waitq_head() that acquires it, and brings the timer expiration handler's head read, unpend and ready under a single LOCK_SCHED_SPINLOCK region.

>_ Słabości (CWE)

CWE-362

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve