Odebrany

CVE-2026-80947

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

Wi-Fi: rtl8xxxu: napraw użycie po zwolnieniu z rx_urb_wq na przystanku

rtl8xxxu ramiona rx_urb_wq ze ścieżki zakończenia RX:
rtl8xxxu_rx_complete() przekazuje URB rtl8xxxu_queue_rx_urb(), który
umieszcza go w kolejce na rx_urb_pending_list i, gdy lista się powiększy
RTL8XXXU_RX_URB_PENDING_WATER, harmonogramy rx_urb_wq. Pracownik
rtl8xxxu_rx_urb_work() opróżnia rx_urb_pending_list, odzyskuje prywatność przez
kontener_of i ponownie przesyła każdy URB za pomocą rtl8xxxu_submit_rx_urb(),
który zakotwicza go na rx_anchor i dereferuje priv->udev.

rtl8xxxu_stop() anuluje elementy pracy rodzeństwa (c2hcmd_work, ra_watchdog,
update_beacon_work), ale nigdy nie anuluje rx_urb_wq, więc pracownik jest uzbrojony podczas
po ostatniej serii ruchu RX można uruchomić funkcję rtl8xxxu_rx_urb_work().
rtl8xxxu_disconnect() wywołała ieee80211_free_hw(), która zwalnia priv,
tworząc produkt bezużyteczny. Okno otwiera się przy aktywnym ruchu RX
(oczekujące zliczenie nad znakiem wodnym), po czym następuje rozłączenie.

Do zakończenia pozostają dwa wyścigi po rozbiórce:

* rtl8xxxu_queue_rx_urb() zdecydowała, czy umieścić w kolejce pod rx_urb_lock
ale wywołał funkcjęharmonogram_work() po usunięciu blokady. Dopełnienie
który zaobserwował zamknięcie == false i zwolnił blokadę, mógł następnie wywołać
harmonogram_work() po ustawieniu przez rtl8xxxu_stop() zamknięcia i
cancel_work_sync() już powróciła, uzbrajając pracownika do działania
po rozbiórce. Przenieśharmonogram_work() w ramach tego samego !shutdown
gałęzi, więc decyzja o uzbrojeniu jest niepodzielna w przypadku sprawdzenia zamknięcia.

* rtl8xxxu_rx_urb_work() zakotwicza każdy URB, do którego został spuszczony
rx_anchor do rtl8xxxu_submit_rx_urb(). Pracownik nadal pracujący
kiedy usb_kill_anchored_urbs(&priv->rx_anchor) zwróci, prześle
URB, który uniknął zabójstwa. W rtl8xxxu_stop() wywołaj
cancel_work_sync(&priv->rx_urb_wq) przed zabiciem, aby pracownik był
najpierw osuszone.

Po ustawieniu priv->shutdown w rx_urb_lock uzupełnianie nie jest już możliwe
kolejka rx_urb_wq. cancel_work_sync() następnie opróżnia ostatnią kolejkę lub uruchomioną
worker, a następująca funkcja usb_kill_anchored_urbs() zabija URB, jakie może
złożyły.

rtl8xxxu_disconnect() jest objęty, ponieważ ieee80211_unregister_hw()
gwarantuje, że .stop() będzie działać dla aktywnego interfejsu przed ieee80211_free_hw()
uwalnia priv. Ścieżka błędu sondy nie wymaga anulowania: rx_urb_wq to
INIT_WORK() tam była, ale nie mogła zostać zaplanowana, ponieważ nie ma URB
przesłane przed pomyślnym pomyślnym wykonaniem funkcji ieee80211_register_hw().

Ten błąd został znaleziony poprzez analizę statyczną.

In the Linux kernel, the following vulnerability has been resolved:

wifi: rtl8xxxu: fix use-after-free from rx_urb_wq on stop

rtl8xxxu arms rx_urb_wq from the RX completion path:
rtl8xxxu_rx_complete() hands the URB to rtl8xxxu_queue_rx_urb(), which
queues it on rx_urb_pending_list and, once the list grows past
RTL8XXXU_RX_URB_PENDING_WATER, schedules rx_urb_wq. The worker
rtl8xxxu_rx_urb_work() drains rx_urb_pending_list, recovers priv through
container_of, and resubmits each URB through rtl8xxxu_submit_rx_urb(),
which anchors it on rx_anchor and dereferences priv->udev.

rtl8xxxu_stop() cancels the sibling work items (c2hcmd_work, ra_watchdog,
update_beacon_work) but never cancels rx_urb_wq, so a worker armed during
the last burst of RX traffic can run rtl8xxxu_rx_urb_work() after
rtl8xxxu_disconnect() has called ieee80211_free_hw(), which frees priv,
producing a use-after-free. The window opens under active RX traffic
(pending count above the watermark) followed by a disconnect.

There are two teardown races to close:

* rtl8xxxu_queue_rx_urb() decided whether to enqueue under rx_urb_lock
but called schedule_work() after dropping the lock. A completion
that observed shutdown == false and released the lock could then call
schedule_work() after rtl8xxxu_stop() had set shutdown and
cancel_work_sync() had already returned, arming the worker to run
after the teardown. Move schedule_work() under the same !shutdown
branch so the arming decision is atomic with the shutdown check.

* rtl8xxxu_rx_urb_work() anchors every URB it drained back onto
rx_anchor through rtl8xxxu_submit_rx_urb(). A worker still running
when usb_kill_anchored_urbs(&priv->rx_anchor) returned would submit a
URB that escaped the kill. In rtl8xxxu_stop(), call
cancel_work_sync(&priv->rx_urb_wq) before the kill so the worker is
drained first.

After priv->shutdown is set under rx_urb_lock, completions can no longer
queue rx_urb_wq. cancel_work_sync() then drains the last queued or running
worker, and the following usb_kill_anchored_urbs() kills the URBs it may
have submitted.

rtl8xxxu_disconnect() is covered because ieee80211_unregister_hw()
guarantees .stop() runs for a live interface before ieee80211_free_hw()
frees priv. The probe error path needs no cancel: rx_urb_wq is
INIT_WORK()'d there but cannot have been scheduled, since no URB is
submitted before ieee80211_register_hw() succeeds.

This bug was found by static analysis.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve