Odebrany

CVE-2026-97478

opublikowano: 24.09.2026, 19:17

modyfikacja: 25.09.2026, 07:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

virt: acrn: Napraw irqfd use-after-free podczas zamykania eventfd

acrn_irqfd_design() i przebudzenie eventfd EPOLLHUP mogą się ścigać i są bezpłatne
ta sama struktura hsm_irqfd:

Procesor0 Procesor1
---- ----
wydarzeniefd_release()
wake_up_poll(EPOLLHUP)
hsm_irqfd_wakeup()
kolejka_praca(&irqfd->zamknięcie)
acrn_irqfd_design()
hsm_irqfd_shutdown()
lista_del_init()
wydarzeniefd_ctx_remove_wait_queue()
wydarzeniefd_ctx_put()
kfree(irqfd)
hsm_irqfd_shutdown_work()
kontener_of(praca, ..., zamknięcie)
irqfd->vm <--użyj po zwolnieniu

Ścieżka deprzypisania zwolniła irqfd, podczas gdy element roboczy zamykania był zamknięty
już umieszczony w kolejce przez EPOLLHUP (lub odwrotnie), więc element pracy może
wskrzesić wiszący wskaźnik za pomocą pojemnika_of().

Przejdź na model dożywotni używany przez KVM irqfds:

- Deprzypisz/deinit tylko dezaktywuj irqfd: usuń go z vm->irqfds
pod irqfds_lock i wstaw do kolejki prace porządkowe.
- hsm_irqfd_shutdown_work() staje się jedynym właścicielem, który odczepia plik
eventfd waitqueue, usuwa odwołanie do eventfd i zwalnia plik
irqfd.
- Nowy bit HSM_IRQFD_FLAG_SHUTDOWN chroniony przez test_and_set_bit()
gwarantuje, że prace porządkowe zostaną umieszczone w kolejce najwyżej raz, niezależnie od ich liczby
z {EPOLLHUP, de przypisanie, deinit} uruchom jednocześnie. To jest bezpieczne
wywołanie zwrotne z kolejki oczekującej, które działa z wstrzymaniem wqh->lock i
Przerwania IRQ są wyłączone i dlatego nie mogą przyjąć irqfds_lock.
- acrn_irqfd_design() opróżnia vm->irqfd_wq przed powrotem, więc
eventfd jest całkowicie odłączony po powrocie. Acrn_irqfd_deinit() dezaktywuje
każde irqfd opróżnia kolejkę roboczą i dopiero potem ją niszczy, więc nie
ścieżka może kolejkować_work() na zburzoną kolejkę roboczą.
- acrn_irqfd_sign() instaluje teraz wpis kolejki oczekującej eventfd i
publikuje irqfd w vm->irqfds pod irqfds_lock, więc irqfd jest
nigdy nie jest widoczne do usunięcia/deinitowania przed wejściem do kolejki oczekującej
miejsce i każdy EPOLLHUP, który zostanie uruchomiony w kolejkach okna przypisania
prace porządkowe, które blokują irqfds_lock do czasu zakończenia publikacji.

In the Linux kernel, the following vulnerability has been resolved:

virt: acrn: Fix irqfd use-after-free during eventfd shutdown

acrn_irqfd_deassign() and the eventfd EPOLLHUP wakeup can race and free
the same struct hsm_irqfd:

CPU0 CPU1
---- ----
eventfd_release()
wake_up_poll(EPOLLHUP)
hsm_irqfd_wakeup()
queue_work(&irqfd->shutdown)
acrn_irqfd_deassign()
hsm_irqfd_shutdown()
list_del_init()
eventfd_ctx_remove_wait_queue()
eventfd_ctx_put()
kfree(irqfd)
hsm_irqfd_shutdown_work()
container_of(work, ..., shutdown)
irqfd->vm <-- use-after-free

The deassign path freed the irqfd while a shutdown work item was
already queued by EPOLLHUP (or vice versa), so the work item could
resurrect a dangling pointer through container_of().

Switch to the lifetime model used by KVM irqfds:

- Deassign/deinit only deactivate the irqfd: remove it from vm->irqfds
under irqfds_lock and queue the cleanup work.
- hsm_irqfd_shutdown_work() becomes the sole owner that unhooks the
eventfd waitqueue entry, drops the eventfd reference and frees the
irqfd.
- A new HSM_IRQFD_FLAG_SHUTDOWN bit guarded by test_and_set_bit()
ensures the cleanup work is queued at most once, no matter how many
of {EPOLLHUP, deassign, deinit} fire concurrently. This is safe to
call from the waitqueue callback, which runs with wqh->lock held and
IRQs disabled and therefore cannot take irqfds_lock.
- acrn_irqfd_deassign() flushes vm->irqfd_wq before returning so the
eventfd is fully detached on return. acrn_irqfd_deinit() deactivates
every irqfd, flushes the workqueue and only then destroys it, so no
path can queue_work() onto a torn-down workqueue.
- acrn_irqfd_assign() now installs the eventfd waitqueue entry and
publishes the irqfd to vm->irqfds under irqfds_lock, so the irqfd is
never visible to deassign/deinit before its waitqueue entry is in
place, and any EPOLLHUP that fires in the assign window queues
cleanup work that blocks on irqfds_lock until publication is done.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve