Odebrany

CVE-2026-90001

opublikowano: 16.09.2026, 13:17

modyfikacja: 16.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

HID: bpf: serializuj wersję referencyjną urządzenia w ścieżce zniszczenia struct_ops

__hid_bpf_ops_destroy_device() i hid_bpf_unreg() mogą ścigać się na
ten sam numer rejestracyjny, podwójne umieszczenie struktury hid_device i
uwalniając go, podczas gdy funkcja hid_destroy_device() nadal go używa. Serializuj
decyzja o usunięciu/NULL w hdev->bpf.prog_list_lock, więc dokładnie jedna
ścieżka zwalnia każde odniesienie do rejestracji: unreg ponownie sprawdza ops->hdev
pod zamkiem i wraca bez umieszczania ścieżki zniszczenia
już to wyczyściłem; wszystkie wywołania put_device() mają miejsce po zamknięciu blokady
upuszczony, co jest bezpieczne, ponieważ jednocześnie obserwuje to unreg
ops->hdev == NULL pod blokadą.

Tło: każde pomyślne dołączenie (hid_bpf_ops_reg) nabywa jeden
odniesienie do urządzenia (hid_get_device()). Dwie ścieżki mogą go zwolnić:

- zniszczenie urządzenia: hid_destroy_device() -> hid_bpf_destroy_device()
-> __hid_bpf_ops_destroy_device(), która obsługuje hdev->bpf.prog_list
pod rcu_read_lock() i usuwa jedno odniesienie na każdy dołączony program;
- Zwolnienie łącza BPF: usuwanie mapy bpf (bez BPF_F_LINK) wywołuje synchronicznie
st_ops->unreg() -> hid_bpf_unreg(), która usuwa odniesienie do
własną rejestrację.

Uzgadnianie koordynacji (e->hdev = NULL po stronie niszczącej vs
„if (!hdev) return” po stronie unreg) to test TOCTOU: dwa
ścieżki działają w różnych domenach blokujących (rcu_read_lock vs
prog_list_lock), więc współbieżne wyrejestrowanie może czytać ops->hdev jako
różna od NULL, zablokuj prog_list_lock, a następnie kontynuuj podczas
niszczy wykonywanie przechodzenia - obie ścieżki następnie upuszczają to samo
odniesienie. Przeliczenie zgodnie z prawem osiąga zero (każde zmniejszenie
jest indywidualnie ważny), więc nie uruchamia się nasycenie refcount_t: the
urządzenie jest po prostu zwalniane, gdy transport jest nadal w środku
hid_destroy_device(), a późniejsze rozbicie powoduje zwolnienie pamięci.

Poprawka serializuje decyzję o usunięciu/NULL w obszarze prog_list_lock on
obie strony i przesuwa stronę zniszczenia, umieszczając ją na zewnątrz zamka. Z
blokada utrzymana, wystarczą zwykłe odczyty/zapisy ops->hdev; nie
Dodano READ_ONCE/WRITE_ONCE, dzięki czemu łatka jest minimalna.

Bezpieczeństwo odblokowania odczytu: odblokowanie odczytu ops->hdev na górze
hid_bpf_unreg() nie może dotknąć uwolnionego urządzenia, ponieważ ścieżka została wyrejestrowana
sam w sobie nadal zawiera odniesienie do tej rejestracji (opublikowane tylko przez
własną funkcję hid_put_device() po opuszczeniu blokady) i zniszczenie
przejście, które już wyczyściło ops->hdev, powoduje, że blokada jest wewnętrzna
ponownie sprawdź zwrot wcześniej, bez żadnej opcji put. Co najwyżej jedno z dwóch
paths zwalnia każde odniesienie do rejestracji.

In the Linux kernel, the following vulnerability has been resolved:

HID: bpf: serialize device reference release in struct_ops destroy path

__hid_bpf_ops_destroy_device() and hid_bpf_unreg() can race on the
same registration reference, double-putting struct hid_device and
freeing it while hid_destroy_device() still uses it. Serialize the
remove/NULL decision under hdev->bpf.prog_list_lock so exactly one
path releases each registration reference: unreg re-checks ops->hdev
under the lock and returns without putting when the destroy path
already cleared it; all put_device() calls happen after the lock is
dropped, which is safe because a concurrent unreg then observes
ops->hdev == NULL under the lock.

Background: each successful attach (hid_bpf_ops_reg) acquires one
device reference (hid_get_device()). Two paths can release it:

- device destruction: hid_destroy_device() -> hid_bpf_destroy_device()
-> __hid_bpf_ops_destroy_device(), which walks hdev->bpf.prog_list
under rcu_read_lock() and drops one reference per attached program;
- BPF link release: bpf map delete (no BPF_F_LINK) synchronously calls
st_ops->unreg() -> hid_bpf_unreg(), which drops the reference for
its own registration.

The coordination handshake (e->hdev = NULL on the destroy side vs
"if (!hdev) return" on the unreg side) is a TOCTOU check: the two
paths run under different lock domains (rcu_read_lock vs
prog_list_lock), so a concurrent unreg can read ops->hdev as
non-NULL, block on prog_list_lock, and then proceed while the
destroy traversal executes - both paths then drop the same
reference. The refcount reaches zero legitimately (each decrement
is individually valid), so no refcount_t saturation fires: the
device is simply freed while the transport is still inside
hid_destroy_device(), and subsequent teardown touches freed memory.

The fix serializes the remove/NULL decision under prog_list_lock on
both sides and moves the destroy-side puts outside the lock. With
the lock held, plain reads/writes of ops->hdev are sufficient; no
READ_ONCE/WRITE_ONCE are added, keeping the patch minimal.

Unlocked-read safety: the unlocked read of ops->hdev at the top of
hid_bpf_unreg() cannot touch a freed device, because the unreg path
itself still holds this registration's reference (released only by
its own hid_put_device() after the lock is dropped), and a destroy
traversal that already cleared ops->hdev makes the lock-internal
re-check return early without any put. At most one of the two
paths releases each registration reference.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve