Odebrany

CVE-2026-93800

opublikowano: 24.09.2026, 19:17

modyfikacja: 25.09.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

btrfs: napraw użycie po zwolnieniu w katalogu głównym relokacji po błędzie w wstawce_dirty_subvol()

Jeśli podczas relokacji nie uda nam się wykonać funkcji Insert_dirty_subvol(), ponieważ
btrfs_update_reloc_root() zwróciło błąd, pozostawimy root
pole reloc_root wskazujące na katalog główny reloc, który został zwolniony zamiast NULL,
skutkujące później próbą użycia po bezpłatnej lub podwójną bezpłatną próbą w trakcie
odmontuj.

Kolejność kroków jest następująca:

1) Podczas przenoszenia wywołanie btrfs_update_reloc_root() w
funkcja Insert_dirty_subvol() kończy się niepowodzeniem, więc funkcja Insert_dirty_subvol() zwraca
błąd merge_reloc_root() bez dodania katalogu głównego do listy
rc->dirty_subvol_roots;

2) Następnie merge_reloc_root() przerywa bieżącą transakcję, ponieważ
wstawka_dirty_subvol() zwróciła błąd;

3) W górę łańcucha wywołań, merge_reloc_roots() otrzymuje błąd, dodaje
reloc root dla root X na lokalną listę reloc_roots i przeskakuje do
etykieta „out”, gdzie wywołuje metodę free_reloc_roots(), aby zwolnić wszystkie reloc
root na lokalnej liście reloc_roots. Zwalnia to root reloc dla
korzeń X;

4) Przechodzimy w górę łańcucha wywołań do funkcji relocate_block_group(), która wywołuje
clean_dirty_subvols(), aby przejrzeć brudne korzenie i ustawić ich
->reloc_root na NULL, ale root X nie znajduje się w katalogu dirty_subvol_roots
list, więc jego ->reloc_root nadal wskazuje na katalog główny reloc;

5) Relokacja kończy się z błędem i przerwaniem transakcji, ale
->Pole reloc_root dla katalogu głównego X nadal wskazuje na katalog główny reloc, który miał miejsce
uwolniony w kroku 3;

6) Odmontowując fs, wywołujemy:

btrfs_free_fs_roots()
btrfs_drop_and_free_fs_root()
--> wywołuje btrfs_put_root() względem root X ->reloc_root
co nie jest NULL i wskazuje na już uwolniony
reloc root w kroku 4 powyżej

W wyniku użycia po bezpłatnej próbie podwójnej darmowej.

Syzbot zgłosił to za pomocą następującego dmesg/syslog:

[ 106.004389][ T5339] Błąd BTRFS (pętla urządzenia 0, stan A): Transakcja przerwana (błąd -5)
[ 106.014266][ T5339] BTRFS: błąd (stan A pętli urządzenia 0) w merge_reloc_root:1655: errno=-5 Błąd we/wy
[ 106.021891][ T1061] Błąd BTRFS (pętla urządzenia 0 stan A): błąd podczas zapisywania transakcji: -5
[ 106.026964][ T1061] Ostrzeżenie BTRFS (stan A pętli urządzenia 0): Pomijanie zatwierdzenia przerwanej transakcji.
[ 106.033807][ T5340] Błąd BTRFS (stan A pętli urządzenia 0): bdev /dev/loop0 errs: wr 3, rd 0, Flush 0, uszkodzony 0, gen 0
[ 106.039265][ T1061] BTRFS: błąd (stan A pętli urządzenia 0) w cleanup_transaction:2067: errno=-5 Błąd we/wy
[ 106.044382][ T5339] Informacje BTRFS (stan pętli urządzenia EA): wymuszony tylko do odczytu
[ 106.074329][ T5339] BTRFS: błąd (stan pętli urządzenia EA) w merge_reloc_roots:1887: errno=-5 Błąd we/wy
[ 106.081004][ T5356] Informacje BTRFS (stan pętli urządzenia EA): peeling: rozpoczęty na urządzeniu 1
[ 106.085611][ T5339] Informacje BTRFS (stan pętli urządzenia EA): saldo: zakończone ze statusem: -30
[ 106.089517][ T5356] Informacje o BTRFS (stan pętli urządzenia EA): peeling: nie ukończony na urządzeniu 1 ze statusem: -30
[ 106.662365][ T5338] Informacje o BTRFS (stan pętli urządzenia EA): ostatnie odmontowanie systemu plików 3a375e4e-b156-4d76-a2ad-16e198ce1409
[ 106.682946][ T5338] ==================================================================
[ 106.686574][ T5338] BŁĄD: KASAN: użycie płyty po zwolnieniu w btrfs_put_root+0x2f/0x250
[ 106.690090][ T5338] Zapisz rozmiar 4 pod adresem ffff88803f978630 za pomocą zadania syz.0.0/5338
[ 106.693173][ T5338]
[106.694279][ T5338] CPU: 0 UID: 0 PID: 5338 Comm: syz.0.0 Nieskażony syzkaller #0 PREEMPT (pełny)
[ 106.694293][ T5338] Nazwa sprzętu: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 01.04.2014
[ 106.694300][ T5338] Śledzenie połączenia:
[ 106.694308][ T5338] <ZADANIE>
[ 106.694314][ T5338] dump_stack_lvl+0xe8/0x150
[ 106.694331][ T5338] print_address_description+0x55/0x1e0
[ 106.694343][ T5338] ? btrfs_put_root+0x2f/0x250
[ 106.694358][ T5338] print_report+0x58/0x70
[ 106.
---obcięty---

In the Linux kernel, the following vulnerability has been resolved:

btrfs: fix use-after-free on reloc root after error in insert_dirty_subvol()

If during relocation we fail in insert_dirty_subvol() because
btrfs_update_reloc_root() returned an error, we will leave a root's
reloc_root field pointing to a reloc root that was freed instead of NULL,
resulting later in a use-after-free, or double free attempt during
unmount.

The sequence of steps is this:

1) During relocation the call to btrfs_update_reloc_root() in
insert_dirty_subvol() fails, so insert_dirty_subvol() returns the
error to merge_reloc_root() without adding the root to the list
rc->dirty_subvol_roots;

2) Then merge_reloc_root() aborts the current transaction because
insert_dirty_subvol() returned an error;

3) Up the call chain, merge_reloc_roots() gets the error, adds the
reloc root for root X to the local reloc_roots list and jumps to the
'out' label, where it calls free_reloc_roots() to free all the reloc
roots in the local reloc_roots list. This frees the reloc root for
root X;

4) We go up the call chain to relocate_block_group() which calls
clean_dirty_subvols() to go over dirty roots and set their
->reloc_root field to NULL, but root X is not in the dirty_subvol_roots
list, so its ->reloc_root still points to a reloc root;

5) Relocation finishes, with an error and a transaction abort, but the
->reloc_root field for root X still points to the reloc root that was
freed in step 3;

6) When unmounting the fs we end up calling:

btrfs_free_fs_roots()
btrfs_drop_and_free_fs_root()
--> calls btrfs_put_root() against root X's ->reloc_root
which is not NULL and points to the already freed
reloc root in step 4 above

Resulting in a use-after-free to a double free attempt.

Syzbot reported this with the following dmesg/syslog:

[ 106.004389][ T5339] BTRFS error (device loop0 state A): Transaction aborted (error -5)
[ 106.014266][ T5339] BTRFS: error (device loop0 state A) in merge_reloc_root:1655: errno=-5 IO failure
[ 106.021891][ T1061] BTRFS error (device loop0 state A): error while writing out transaction: -5
[ 106.026964][ T1061] BTRFS warning (device loop0 state A): Skipping commit of aborted transaction.
[ 106.033807][ T5340] BTRFS error (device loop0 state A): bdev /dev/loop0 errs: wr 3, rd 0, flush 0, corrupt 0, gen 0
[ 106.039265][ T1061] BTRFS: error (device loop0 state A) in cleanup_transaction:2067: errno=-5 IO failure
[ 106.044382][ T5339] BTRFS info (device loop0 state EA): forced readonly
[ 106.074329][ T5339] BTRFS: error (device loop0 state EA) in merge_reloc_roots:1887: errno=-5 IO failure
[ 106.081004][ T5356] BTRFS info (device loop0 state EA): scrub: started on devid 1
[ 106.085611][ T5339] BTRFS info (device loop0 state EA): balance: ended with status: -30
[ 106.089517][ T5356] BTRFS info (device loop0 state EA): scrub: not finished on devid 1 with status: -30
[ 106.662365][ T5338] BTRFS info (device loop0 state EA): last unmount of filesystem 3a375e4e-b156-4d76-a2ad-16e198ce1409
[ 106.682946][ T5338] ==================================================================
[ 106.686574][ T5338] BUG: KASAN: slab-use-after-free in btrfs_put_root+0x2f/0x250
[ 106.690090][ T5338] Write of size 4 at addr ffff88803f978630 by task syz.0.0/5338
[ 106.693173][ T5338]
[ 106.694279][ T5338] CPU: 0 UID: 0 PID: 5338 Comm: syz.0.0 Not tainted syzkaller #0 PREEMPT(full)
[ 106.694293][ T5338] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014
[ 106.694300][ T5338] Call Trace:
[ 106.694308][ T5338] <TASK>
[ 106.694314][ T5338] dump_stack_lvl+0xe8/0x150
[ 106.694331][ T5338] print_address_description+0x55/0x1e0
[ 106.694343][ T5338] ? btrfs_put_root+0x2f/0x250
[ 106.694358][ T5338] print_report+0x58/0x70
[ 106.
---truncated---

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve