Odebrany

CVE-2026-90003

opublikowano: 16.09.2026, 13:17

modyfikacja: 16.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

futex: Zapobiega używaniu rcuwait po zwolnieniu podczas ponownego kolejkowania PI

Na PREEMPT_RT FUTEX_CMP_REQUEUE_PI może wywołać raport KASAN
(płyta poza granicami) w wywołaniu futex_requeue_pi_complete().
rcuwait_wake_up().

Futex_q używany przez futex_wait_requeue_pi() jest przydzielany na serwerze kelnera
stos. Wczesne wybudzenie może wiązać się z ponownym kolejkowaniem PI w następujący sposób:

zadanie ponownego kolejkowania kelnera
------ ------------
futex_wait_requeue_pi()
futex_do_wait()
harmonogram()
futex_requeue
futex_proxy_trylock_atomic()
futex_requeue_pi_prepare()
Q_REQUEUE_PI_NONE -> Q_REQUEUE_PI_IN_PROGRESS
*przekroczenie limitu czasu/sygnał budzi kelnera*
futex_requeue_pi_wakeup_sync()
Q_REQUEUE_PI_IN_PROGRESS -> Q_REQUEUE_PI_WAIT
requeue_pi_wake_futex
futex_requeue_pi_complete()
cmpxchg Q_REQUEUE_PI_WAIT -> Q_REQUEUE_PI_LOCKED
rcuwait_wait_event()
if (atomic_read(&q->requeue_state) != Q_REQUEUE_PI_WAIT)
przerwa /* brak harmonogramu() */

/* q.pi_state->właściciel == bieżący */
futex_private_hash_put()
/* powrót z wywołania systemowego */
rcuwait_wake_up(&q->requeue_wait)
/* q zniknął */

futex_requeue_pi_complete() publikuje wcześniej Q_REQUEUE_PI_LOCKED
wywołując funkcję rcuwait_wake_up(). Kelner obserwuje ten stan w
rcuwait_wait_event() przed wywołaniem funkcji Schedule() w funkcji rcuwait_wait_event().
W tym przypadku kelner może opuścić wywołanie systemowe, zanim zadanie ponownego kolejkowania będzie mogło
dokończ budzenie.

Aby rozwiązać ten wyścig, pomiń rcuwait_wake_up() w Q_REQUEUE_PI_LOCKED
sprawa.
Stan ten jest publikowany jedynie przez funkcję requeue_pi_wake_futex(), która zapisuje
q->zadanie przed futex_requeue_pi_complete() i budzi kelnera przez
stan_pobudki().

To wybudzenie ma na celu wybudzenie kelnera ze stanu uśpienia futex_do_wait().
Jeśli kelner nadal tam śpi, nie może wejść do środka
Stan Q_REQUEUE_PI_WAIT (i wymaga usunięcia tego wybudzenia).
Czy należy obudzić kelnera z funkcji futex_do_wait() w inny sposób (np
ten przykład) i śpij w futex_requeue_pi_wakeup_sync(), a następnie
wake_up_state() z requeue_pi_wake_futex() również go obudzi.
Czy zadanie kelnera powinno zakończyć się, zanim funkcja wake_up_state() miała na to szansę
obudź zadanie, wskaźnik zadania nie stanie się nieprawidłowy, ponieważ
futex_hash_bucket::lock jest utrzymywany, a wskaźnik zadania jest chroniony przez RCU.

[bigeasy: Zaktualizowano komentarz i wiadomość o zatwierdzeniu]

In the Linux kernel, the following vulnerability has been resolved:

futex: Prevent rcuwait use-after-free during requeue PI

On PREEMPT_RT, FUTEX_CMP_REQUEUE_PI can trigger a KASAN report
(slab-out-of-bounds) in futex_requeue_pi_complete() invocation of
rcuwait_wake_up().

The futex_q used by futex_wait_requeue_pi() is allocated on the waiter's
stack. An early wakeup can race with a PI requeue as follows:

waiter requeue task
------ ------------
futex_wait_requeue_pi()
futex_do_wait()
schedule()
futex_requeue
futex_proxy_trylock_atomic()
futex_requeue_pi_prepare()
Q_REQUEUE_PI_NONE -> Q_REQUEUE_PI_IN_PROGRESS
* timeout/ signal wakes waiter *
futex_requeue_pi_wakeup_sync()
Q_REQUEUE_PI_IN_PROGRESS -> Q_REQUEUE_PI_WAIT
requeue_pi_wake_futex
futex_requeue_pi_complete()
cmpxchg Q_REQUEUE_PI_WAIT -> Q_REQUEUE_PI_LOCKED
rcuwait_wait_event()
if (atomic_read(&q->requeue_state) != Q_REQUEUE_PI_WAIT)
break /* no schedule() */

/* q.pi_state->owner == current */
futex_private_hash_put()
/* return from syscall */
rcuwait_wake_up(&q->requeue_wait)
/* q is gone */

futex_requeue_pi_complete() publishes Q_REQUEUE_PI_LOCKED before
calling rcuwait_wake_up(). The waiter observes this state in
rcuwait_wait_event() before invoking schedule() in rcuwait_wait_event().
Here, the waiter is free leave the syscall before requeue task can
complete the wake.

To address this race skip rcuwait_wake_up() in the Q_REQUEUE_PI_LOCKED
case.
This state is only published by requeue_pi_wake_futex(), which saves
q->task before futex_requeue_pi_complete() and wakes the waiter via
wake_up_state().

This wake is intended to wake the waiter from its futex_do_wait() sleep.
If the waiter is still sleeping there, it can not get into the
Q_REQUEUE_PI_WAIT state (and require this removed wake).
Should the waiter be woken up from futex_do_wait() by other means (as in
this example) and sleep in futex_requeue_pi_wakeup_sync() then the
wake_up_state() from requeue_pi_wake_futex() will wake it, too.
Should the waiter task terminate before wake_up_state() had a chance to
wake the task then the task pointer does not become invalid because the
futex_hash_bucket::lock is held and the task pointer is RCU protected.

[bigeasy: Updated comment and commit message]

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve