CVE-2026-90201

W jądrze Linuksa usunięto następującą lukę:

net: page_pool: napraw UAF w __page_pool_release_netmem_dma na wyścigu xa_cmpxchg

Ten błąd został wykryty podczas testowania sterownika hns3 w kanale
rekonfiguracja (`ethtool -L` / `ethtool -G`) z włączonym ruchem iperf3
ramię64. Wyścig jest uruchamiany sporadycznie, gdy page_pool_destroy()
uruchamia page_pool_scrub() jednocześnie ze zwrotem strony przez
page_pool_put_netmem() na innym procesorze. OSTRZEŻENIE w
page_pool_clear_pp_info() ujawniła wiszące pozostałe bity indeksu DMA
przez przegranego cmpxchg, co doprowadziło do dochodzenia.

page_pool_scrub() iteruje pulę->dma_mapped poprzez xa_for_each() bez
odwołanie do strony zatrzymane. __page_pool_release_netmem_dma() obecnie czyta i
zapisuje pola netmem (dma_addr, bity indeksu DMA w pp_magic) po
xa_cmpxchg() zwraca. Ścieżka unref wywołuje bezwarunkowo put_page().
niezależnie od wyniku cmpxchg; kiedy traci cmpxchg, nadal
zwalnia stronę, zanim zwycięzca szorowania zakończy dostęp do pamięci sieciowej,
więc szorowanie dotyka uwolnionej strony - bez użycia po.

Napraw ten problem, dzieląc wydanie DMA na dwie funkcje:

1. __page_pool_unmap_netmem_dma() buforuje dma_addr przed xa_cmpxchg(),
wykonuje cmpxchg, aby usunąć mapowanie DMA i wywołuje dma_unmap on
adres z pamięci podręcznej. Nigdy nie dotyka pól netmem po cmpxchg,
dzięki czemu jest bezpieczny dla ścieżki szorowania, która nie zawiera odwołania do strony.

2. __page_pool_release_netmem_dma() otacza powyższe i dodatkowo
czyści bity indeksu dma_addr i DMA w polach pamięci netmem. To jest bezpieczne
tylko wtedy, gdy osoba wywołująca przechowuje odnośnik do strony, więc jest on używany podczas powrotu
ścieżka (page_pool_return_netmem).

Ścieżka czyszczenia wywołuje bezpośrednio funkcję __page_pool_unmap_netmem_dma(); powrót
ścieżka wywołuje __page_pool_release_netmem_dma().