Odebrany

CVE-2026-90186

opublikowano: 17.09.2026, 19:17

modyfikacja: 17.09.2026, 19:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

null_blk: odrzuć zmianę rozmiaru kolejki na urządzeniu dla wspólnego zestawu tagów

Gdy funkcjashared_tags jest włączona, funkcja null_setup_tagset() powoduje, że urządzenie korzysta z
globalny zestaw_tagów, którego dane_sterownika mają wartość NULL. dlatego null_map_queues().
wraca do ogólnomodułowego g_submit_queues/g_poll_queues zamiast dowolnego
wartość na urządzenie.

Zmiana rozmiaru kolejek przesyłania lub kolejek_odpytywania za pomocą plików configfs na takich wywołaniach urządzeń
blk_mq_update_nr_hw_queues() na współdzielonym zestawie, zmniejszanie
set->nr_hw_queues. __blk_mq_realloc_hw_ctxs() zwiększa tylko
q->queue_hw_ctx[] alokacja, więc przy zmniejszaniu po prostu kończy się i zwraca NULL
teraz nadmiar gniazd hctx. null_map_queues(), jednak nadal mapuje procesory za pomocą
niezmieniona g_submit_queues/g_poll_queues, więc mq_map[] kończy się wskazaniem
w tych gniazdach hctx o wartości NULL. blk_mq_map_swqueue() następnie usuwa referencję do wartości NULL
hctx (hctx->cpumask), zawieszanie jądra:

[ 460.218374] KASAN: null-ptr-deref w zakresie [0x0000000000000098-0x000000000000009f]
[460.219003] Procesor: 24 UID: 0 PID: 1492 Comm: sh Nieskażony 7.2.0-rc2+ #67 PREEMPT (pełny)
[ 460.219792] Nazwa sprzętu: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc41 01.04.2014
[460.220452] RIP: 0010:blk_mq_map_swqueue+0x4db/0x1430
......
[ 460.228977] Śledzenie połączeń:
[ 460.229175] <ZADANIE>
[ 460.229354] blk_mq_update_nr_hw_queues+0xd49/0x11c0
[460.229779] ? __pfx_blk_mq_update_nr_hw_queues+0x10/0x10
[ 460.230200] nullb_update_nr_hw_queues+0x1a9/0x370 [null_blk]
[ 460.230694] nullb_device_submit_queues_store+0xd9/0x170 [null_blk]
[460.231190] ? __pfx_nullb_device_submit_queues_store+0x10/0x10 [null_blk]
[460.231776] ? configfs_write_iter+0x35c/0x4e0
[ 460.232122] configfs_write_iter+0x286/0x4e0
[ 460.232460] vfs_write+0x52d/0xd00
[460.232779] ? __x64_sys_openat+0x108/0x1d0
[460.233106] ? __pfx_vfs_write+0x10/0x10
[460.233413] ? fdget_pos+0x1cf/0x4c0
[460.233745] ? fput_close+0x133/0x190
[460.234038] ? __pfx_expand_files+0x10/0x10
[ 460.234368] ksys_write+0xfc/0x1d0

Producent:
modprobe null_blk wspólna_tags=1 Submit_queues=64 poll_queues=1
mkdir /sys/kernel/config/nullb/dev
echo 1 > /sys/kernel/config/nullb/dev/power
echo 1 > /sys/kernel/config/nullb/dev/submit_queues

Zmiana rozmiaru współdzielonego zestawu tagów dla poszczególnych urządzeń i tak nie ma sensu, więc ją odrzuć
z -EINVAL w nullb_update_nr_hw_queues(), gdy urządzenie jest powiązane z
globalny zestaw_tagów.

In the Linux kernel, the following vulnerability has been resolved:

null_blk: reject per-device queue resize for shared tag set

When shared_tags is enabled, null_setup_tagset() makes the device use the
global tag_set, whose driver_data stays NULL. null_map_queues() therefore
falls back to the module-wide g_submit_queues/g_poll_queues instead of any
per-device value.

Resizing submit_queues or poll_queues via configfs on such a device calls
blk_mq_update_nr_hw_queues() on the shared set, shrinking
set->nr_hw_queues. __blk_mq_realloc_hw_ctxs() only grows the
q->queue_hw_ctx[] allocation, so on shrink it merely exits and NULLs the
now-excess hctx slots. null_map_queues(), however, keeps mapping CPUs with
the unchanged g_submit_queues/g_poll_queues, so mq_map[] ends up pointing
at those NULLed hctx slots. blk_mq_map_swqueue() then dereferences the NULL
hctx (hctx->cpumask), crashing the kernel:

[ 460.218374] KASAN: null-ptr-deref in range [0x0000000000000098-0x000000000000009f]
[ 460.219003] CPU: 24 UID: 0 PID: 1492 Comm: sh Not tainted 7.2.0-rc2+ #67 PREEMPT(full)
[ 460.219792] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc41 04/01/2014
[ 460.220452] RIP: 0010:blk_mq_map_swqueue+0x4db/0x1430
......
[ 460.228977] Call Trace:
[ 460.229175] <TASK>
[ 460.229354] blk_mq_update_nr_hw_queues+0xd49/0x11c0
[ 460.229779] ? __pfx_blk_mq_update_nr_hw_queues+0x10/0x10
[ 460.230200] nullb_update_nr_hw_queues+0x1a9/0x370 [null_blk]
[ 460.230694] nullb_device_submit_queues_store+0xd9/0x170 [null_blk]
[ 460.231190] ? __pfx_nullb_device_submit_queues_store+0x10/0x10 [null_blk]
[ 460.231776] ? configfs_write_iter+0x35c/0x4e0
[ 460.232122] configfs_write_iter+0x286/0x4e0
[ 460.232460] vfs_write+0x52d/0xd00
[ 460.232779] ? __x64_sys_openat+0x108/0x1d0
[ 460.233106] ? __pfx_vfs_write+0x10/0x10
[ 460.233413] ? fdget_pos+0x1cf/0x4c0
[ 460.233745] ? fput_close+0x133/0x190
[ 460.234038] ? __pfx_expand_files+0x10/0x10
[ 460.234368] ksys_write+0xfc/0x1d0

Reproducer:
modprobe null_blk shared_tags=1 submit_queues=64 poll_queues=1
mkdir /sys/kernel/config/nullb/dev
echo 1 > /sys/kernel/config/nullb/dev/power
echo 1 > /sys/kernel/config/nullb/dev/submit_queues

A per-device resize of a shared tag set is meaningless anyway, so reject it
with -EINVAL in nullb_update_nr_hw_queues() when the device is bound to the
global tag_set.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve