Odebrany

CVE-2026-93164

opublikowano: 17.09.2026, 19:18

modyfikacja: 17.09.2026, 19:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

uprobe/x86: Przenieś zoptymalizowaną wersję uprobe z nop5 do nop10

Andrii zgłosił problem ze zoptymalizowanymi próbami [1], które mogą stukać
obszar czerwonej strefy z instrukcją wywołania przechowującą adres zwrotny na stosie
gdzie kod użytkownika może przechowywać dane tymczasowe bez dostosowywania rsp.

Naprawienie tego poprzez przeniesienie zoptymalizowanych uprobów na 10-bajtowe nie
instrukcję, abyśmy mogli wycisnąć kolejną instrukcję, aby uciec z
obszar czerwonej strefy przed wykonaniem połączenia, np.:

lea -0x80(%rsp), %rsp
zadzwoń do trampa

Należy zauważyć, że instrukcja lea służy do regulacji rejestru rsp bez
zmiana flag.

Używamy nop10 i następującej transformacji do zoptymalizowanych instrukcji
w górę i w tył, jak sugeruje Peterz [2].

Zoptymalizuj ścieżkę (int3_update_optimize):

1) Stan początkowy po zainstalowaniu uprobe przez set_swbp():
cc 2e 0f 1f 84 00 00 00 00 00

Od przesunięcia 0 jest to INT3, po którym następuje koniec oryginału
10-bajtowy NOP.

Po poprzedniej deoptymalizacji bajty 5..9 mogą nadal zawierać
stara instrukcja wywołania, która pozostaje ważna dla już istniejących wątków.

2) Przepisz ogon LEA i wywołaj przemieszczenie:
cc [8d 64 24 80 e8 d0 d1 d2 d3]

Od offsetu 0 powoduje to pułapkę na uprobe INT3. Bajty 1..9 nie są
wykonywalnych punktów wejścia, podczas gdy bajt 0 jest uwięziony.

3) Opublikuj pierwszy bajt LEA:
[48] 8d 64 24 80 e8 d0 d1 d2 d3

Od offsetu 0 jest to:
lea -0x80(%rsp), %rsp
wywołaj <uprobe-trampolina>

Nieoptymalizuj ścieżkę (int3_update_unoptimize):

1) Początkowy stan zoptymalizowany:
48 8d 64 24 80 e8 d0 d1 d2 d3
Tak samo jak 3) powyżej.

2) Przechwytuj nowe wpisy przed przywróceniem bajtów NOP:
[cc] 8d 64 24 80 e8 d0 d1 d2 d3

Od offsetu 0 powoduje to pułapkę. Wątek, który już wykonał
LEA może nadal osiągnąć nienaruszony CALL na przesunięciu 5.

3) Przywróć bajty 1..4 oryginalnego NOP, pozostawiając bajt 0 w pułapce
i bajt 5 jako CALL.
cc [2e 0f 1f 84] e8 d0 d1 d2 d3

Od offsetu 0 to nadal powoduje pułapki. Offset 5 jest nadal WEZWANIEM dla każdego
wątek, który przekroczył już pierwszy bajt LEA.

4) Opublikuj pierwszy bajt oryginalnego NOP:
[66] 2e 0f 1f 84 e8 d0 d1 d2 d3

Od offsetu 0 jest to przywrócony 10-bajtowy NOP; kod operacji CALL i
przemieszczenie są teraz tylko operandami NOP. Offset 5 nadal dekoduje jako
ZADZWOŃ, aby wywołać wątek, który już tam był.

Dla danego nop10 istnieje tylko jedna docelowa trampolina typu uprobe
adres instrukcji, więc instrukcja CALL nie zostanie zmieniona
cykle niezoptymalizacji/optymalizacji.
Dlatego każde zadanie, które zostanie wywłaszczone instrukcją CALL, jest gwarantowane
obserwować to WEZWANIE i nic innego.

Uwaga, jak wyjaśniono w [2], musimy użyć następującego nop10:
PF1 PF2 ESC NOPL MOD SIB DISP32
NOP10: 0x66, 0x2e, 0x0f, 0x1f, 0x84, 0x00, 0x00, 0x00, 0x00, 0x00 -- cs nopw 0x00000000(%rax,%rax,1)

co oznacza, że musimy zezwolić na przedrostek 0x2e, który jest mapowany na INAT_PFX_CS
atrybut w funkcji is_prefix_bad.

Zmienia się także błąd wywołania systemowego uprobe, gdy jest wywoływany z uprobe
trampolina na -EPROTO, dzięki czemu jesteśmy w stanie wykryć naprawione jądro.

Zoptymalizowana wydajność uprobe pozostaje taka sama:

uprobe-nop: 3,129 ± 0,013 M/s
uprobe-push: 3,045 ± 0,006 M/s
uprobe-ret: 1,095 ± 0,004 M/s
--> uprobe-nop10: 7,170 ± 0,020 M/s
uretprobe-nop: 2,143 ± 0,021 M/s
Uretprobe-push: 2,090 ± 0,000 M/s
uretprobe-ret: 0,942 ± 0,000 M/s
--> uretprobe-nop10: 3,381 ± 0,003 M/s
usdt-nop: 3,245 ± 0,004 M/s
--> usdt-nop10: 7,256 ± 0,023 M/s

[1] https://lore.kernel.org/bpf/[email protected]/
[2] https://lore.kernel.org/bpf/[email protected]/#t

In the Linux kernel, the following vulnerability has been resolved:

uprobes/x86: Move optimized uprobe from nop5 to nop10

Andrii reported an issue with optimized uprobes [1] that can clobber
redzone area with call instruction storing return address on stack
where user code may keep temporary data without adjusting rsp.

Fixing this by moving the optimized uprobes on top of 10-bytes nop
instruction, so we can squeeze another instruction to escape the
redzone area before doing the call, like:

lea -0x80(%rsp), %rsp
call tramp

Note the lea instruction is used to adjust the rsp register without
changing the flags.

We use nop10 and following transformation to optimized instructions
above and back as suggested by Peterz [2].

Optimize path (int3_update_optimize):

1) Initial state after set_swbp() installed the uprobe:
cc 2e 0f 1f 84 00 00 00 00 00

From offset 0 this is INT3 followed by the tail of the original
10-byte NOP.

After a previous unoptimization bytes 5..9 may still contain the
old call instruction, which remains valid for threads already there.

2) Rewrite the LEA tail and call displacement:
cc [8d 64 24 80 e8 d0 d1 d2 d3]

From offset 0 this traps on the uprobe INT3. Bytes 1..9 are not
executable entry points while byte 0 is trapped.

3) Publish the first LEA byte:
[48] 8d 64 24 80 e8 d0 d1 d2 d3

From offset 0 this is:
lea -0x80(%rsp), %rsp
call <uprobe-trampoline>

Unoptimize path (int3_update_unoptimize):

1) Initial optimized state:
48 8d 64 24 80 e8 d0 d1 d2 d3
Same as 3) above.

2) Trap new entries before restoring the NOP bytes:
[cc] 8d 64 24 80 e8 d0 d1 d2 d3

From offset 0 this traps. A thread that had already executed the
LEA can still reach the intact CALL at offset 5.

3) Restore bytes 1..4 of the original NOP while keeping byte 0 trapped
and byte 5 as CALL.
cc [2e 0f 1f 84] e8 d0 d1 d2 d3

From offset 0 this still traps. Offset 5 is still the CALL for any
thread that was already past the first LEA byte.

4) Publish the first byte of the original NOP:
[66] 2e 0f 1f 84 e8 d0 d1 d2 d3

From offset 0 this is the restored 10-byte NOP; the CALL opcode and
displacement are now only NOP operands. Offset 5 still decodes as
CALL for a thread that was already there.

Tthere is only a single target uprobe-trampoline for the given nop10
instruction address, so the CALL instruction will not be changed across
unoptimization/optimization cycles.
Therefore, any task that is preempted at the CALL instruction is guaranteed
to observe that CALL and not anything else.

Note as explained in [2] we need to use following nop10:
PF1 PF2 ESC NOPL MOD SIB DISP32
NOP10: 0x66, 0x2e, 0x0f, 0x1f, 0x84, 0x00, 0x00, 0x00, 0x00, 0x00 -- cs nopw 0x00000000(%rax,%rax,1)

which means we need to allow 0x2e prefix which maps to INAT_PFX_CS
attribute in is_prefix_bad function.

Also changing the uprobe syscall error when called out of uprobe
trampoline to -EPROTO, so we are able to detect the fixed kernel.

The optimized uprobe performance stays the same:

uprobe-nop : 3.129 ± 0.013M/s
uprobe-push : 3.045 ± 0.006M/s
uprobe-ret : 1.095 ± 0.004M/s
--> uprobe-nop10 : 7.170 ± 0.020M/s
uretprobe-nop : 2.143 ± 0.021M/s
uretprobe-push : 2.090 ± 0.000M/s
uretprobe-ret : 0.942 ± 0.000M/s
--> uretprobe-nop10: 3.381 ± 0.003M/s
usdt-nop : 3.245 ± 0.004M/s
--> usdt-nop10 : 7.256 ± 0.023M/s

[1] https://lore.kernel.org/bpf/[email protected]/
[2] https://lore.kernel.org/bpf/[email protected]/#t

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve