Odebrany

CVE-2026-90198

opublikowano: 17.09.2026, 19:17

modyfikacja: 17.09.2026, 19:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ALSA: rdzeń: Napraw użycie po zwolnieniu w snd_card_do_free()

W snd_card_do_free() wykryto użycie po zwolnieniu, gdy karta dźwiękowa
zarządzany przez devres jest niepowiązany, podczas gdy aplikacja w przestrzeni użytkownika nadal przechowuje plik
otwarty deskryptor pliku.

W przypadku kart zarządzanych pamięć jest przydzielana za pomocą devres_alloc() i jej
funkcja release jest ustawiona na __snd_card_release(), która wywołuje
snd_card_free(). Gdy urządzenie jest niezwiązane, wywoływany jest wątek unbind
snd_card_free(), która usuwa odniesienie do urządzenia karty. Jeśli użytkownik
wątek nadal ma otwarty deskryptor pliku, liczba odwołań nie
osiągnie zero i rozłącz bloki wątków na Wait_for_completion(&released).

Kiedy wątek użytkownika zamyka deskryptor pliku, usuwa plik final
odwołanie, wywołując wywołanie zwrotne wydania urządzenia release_card_device(),
która wywołuje funkcję snd_card_do_free(). snd_card_do_free() wykonuje czyszczenie i
wywołania zakończone (karta->ukończenie wydania). To budzi rozwiązany wątek,
która zwraca funkcję snd_card_free() i __snd_card_release(). Devres
core następnie natychmiast zwalnia blok pamięci zawierający kartę snd_card
struktura.

Tymczasem wątek użytkownika kontynuuje wykonywanie w snd_card_do_free() i
ocenia `jeśli (!karta->zarządzane)`. Odczytuje „zarządzaną” wartość logiczną z pliku
strukturę snd_card, która została właśnie zwolniona przez wątek unbind, wywołując a
KASAN po użyciu bezpłatnie.

Napraw to, buforując wcześniej wartość card->managed w zmiennej lokalnej
wywołanie funkcji Complete(). Dzięki temu wskaźnik karty nie zostanie wyłuskany
po wybudzeniu wątku unbind i potencjalnym uwolnieniu karty.

BŁĄD: KASAN: użyj po zwolnieniu w snd_card_do_free sound/core/init.c:604
[w linii]
BŁĄD: KASAN: użycie po zwolnieniu w release_card_device+0x1ab/0x1b0
dźwięk/core/init.c:153
Odczytaj rozmiar 1 pod adresem ffff8881912ec909 za pomocą zadania syz-executor130/5857

Zadzwoń do śledzenia:
<ZADANIE>
dump_stack_lvl+0xe8/0x150 lib/dump_stack.c:120
print_address_description+0x55/0x1e0 mm/kasan/report.c:378
print_report+0x58/0x70 mm/kasan/report.c:482
kasan_report+0x117/0x150 mm/kasan/report.c:595
snd_card_do_free sound/core/init.c:604 [inline]
release_card_device+0x1ab/0x1b0 sound/core/init.c:153
urządzenie_release+0xc4/0x1f0 sterowniki/base/core.c:-1
kobject_cleanup lib/kobject.c:689 [w wierszu]
kobject_release lib/kobject.c:720 [wbudowany]
kref_put include/linux/kref.h:65 [w linii]
kobject_put+0x222/0x550 lib/kobject.c:737
snd_card_file_remove+0x331/0x390 sound/core/init.c:1125
snd_pcm_release+0x12c/0x160 dźwięk/rdzeń/pcm_native.c:2986
__fput+0x418/0xa50 fs/file_table.c:512
fput_close_sync+0x11f/0x240 fs/file_table.c:617
__do_sys_close fs/open.c:1511 [w wierszu]
__se_sys_close fs/open.c:1496 [w linii]
__x64_sys_close+0x7e/0x110 fs/open.c:1496
do_syscall_x64 arch/x86/entry/syscall_64.c:63 [wbudowane]
do_syscall_64+0x174/0x580 arch/x86/entry/syscall_64.c:94
wpis_SYSCALL_64_after_hwframe+0x77/0x7f
</ZADANIE>

In the Linux kernel, the following vulnerability has been resolved:

ALSA: core: Fix use-after-free in snd_card_do_free()

A use-after-free was detected in snd_card_do_free() when a sound card
managed by devres is unbound while a user-space application still holds an
open file descriptor.

For managed cards, the memory is allocated using devres_alloc(), and its
release function is set to __snd_card_release(), which calls
snd_card_free(). When the device is unbound, the unbind thread calls
snd_card_free(), which drops a reference to the card's device. If the user
thread still has an open file descriptor, the reference count does not
reach zero, and the unbind thread blocks on wait_for_completion(&released).

When the user thread closes the file descriptor, it drops the final
reference, invoking the device release callback release_card_device(),
which calls snd_card_do_free(). snd_card_do_free() performs cleanup and
calls complete(card->release_completion). This wakes up the unbind thread,
which returns from snd_card_free() and __snd_card_release(). The devres
core then immediately frees the memory block containing the snd_card
structure.

Meanwhile, the user thread continues execution in snd_card_do_free() and
evaluates `if (!card->managed)`. It reads the `managed` boolean from the
snd_card structure that was just freed by the unbind thread, triggering a
KASAN use-after-free.

Fix this by caching the value of card->managed in a local variable before
calling complete(). This ensures that the card pointer is not dereferenced
after the unbind thread has been woken up and potentially freed the card.

BUG: KASAN: use-after-free in snd_card_do_free sound/core/init.c:604
[inline]
BUG: KASAN: use-after-free in release_card_device+0x1ab/0x1b0
sound/core/init.c:153
Read of size 1 at addr ffff8881912ec909 by task syz-executor130/5857

Call Trace:
<TASK>
dump_stack_lvl+0xe8/0x150 lib/dump_stack.c:120
print_address_description+0x55/0x1e0 mm/kasan/report.c:378
print_report+0x58/0x70 mm/kasan/report.c:482
kasan_report+0x117/0x150 mm/kasan/report.c:595
snd_card_do_free sound/core/init.c:604 [inline]
release_card_device+0x1ab/0x1b0 sound/core/init.c:153
device_release+0xc4/0x1f0 drivers/base/core.c:-1
kobject_cleanup lib/kobject.c:689 [inline]
kobject_release lib/kobject.c:720 [inline]
kref_put include/linux/kref.h:65 [inline]
kobject_put+0x222/0x550 lib/kobject.c:737
snd_card_file_remove+0x331/0x390 sound/core/init.c:1125
snd_pcm_release+0x12c/0x160 sound/core/pcm_native.c:2986
__fput+0x418/0xa50 fs/file_table.c:512
fput_close_sync+0x11f/0x240 fs/file_table.c:617
__do_sys_close fs/open.c:1511 [inline]
__se_sys_close fs/open.c:1496 [inline]
__x64_sys_close+0x7e/0x110 fs/open.c:1496
do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline]
do_syscall_64+0x174/0x580 arch/x86/entry/syscall_64.c:94
entry_SYSCALL_64_after_hwframe+0x77/0x7f
</TASK>

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve