Odebrany

CVE-2026-97603

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

idpf: wyłącz pracę DIM przed zwolnieniem q_vectors

idpf nigdy nie wyczerpuje pracy Tx/Rx DIM przed zwolnieniem pamięci
mieszkają. tx_dim i rx_dim są osadzone w strukturze idpf_q_vector,
są ustawiane w kolejce z ankiety NAPI za pomocą net_dim() i idpf_vport_intr_rel()
kończy się kfree(rsrc->q_vectors). Nic w sterowniku ich nie anuluje.

idpf_tx_dim_work() i idpf_rx_dim_work() następnie uruchom na zwolnionej pamięci:
idpf_vport_intr_write_itr() zapisuje rejestr ITR
q_vector->intr_reg.tx_itr / rx_itr, void __iomem wskaźniki załadowane z
uwolniony q_vector. Aby się tam dostać, nie jest wymagana żadna konfiguracja —
IDPF_ITR_IS_DYNAMIC() jest zdefiniowane jako (itr_mode) i idpf_vport_alloc()
inicjuje oba tryby na IDPF_ITR_DYNAMIC.

Samo opróżnienie po idpf_vport_intr_napi_dis_all() nie wystarczy.
idpf_net_dim() jest wywoływana z wnętrza pliku
gałąź ankiety „if (napi_complete_done(napi, work_done))” oraz
do tego czasu napi_complete_done() wyczyściła już NAPIF_STATE_SCHED.
napi_disable_locked() czeka tylko na (val & (NAPIF_STATE_SCHED |
NAPIF_STATE_NPSVC)), więc napi_disable() może powrócić, gdy jest koniec ankiety
nadal ustawia pracę w kolejce i byłaby to zwykła funkcja cancel_work_sync().
ponownie uzbrojony za odpływem.

Użyj Disable_work_sync():harmonogram_work() w przypadku pracy z wartością niezerową
liczba wyłączeń jest wcześniej usuwana przez funkcję clear_pending_if_disabled().
Osiągnięto __queue_work().

Przenieś idpf_init_dim() do idpf_vport_intr_alloc(), aby działało
inicjowane na każdej ścieżce, która może dotrzeć do odpływu - trzy
Witryny „goto intr_deinit” pomiędzy idpf_vport_intr_init() i
idpf_vport_intr_ena() dotrze tam bez uruchomienia strony włączającej.
Nic ich nie włącza ponownie: rsrc->q_vectors jest zwalniany przy każdym wyjściu z
idpf_vport_open() i na każdym idpf_vport_stop(), więc licznik umiera
obiekt.

To wyścig, a nie deterministyczna awaria — tylko harmonogramy net_dim().
po zgromadzeniu zdarzeń DIM_NEVENTS i zmianie indeksu profilu.
Można to zobaczyć w pętli ifup/ifdown KASAN pod obciążeniem.

In the Linux kernel, the following vulnerability has been resolved:

idpf: disable DIM work before freeing q_vectors

idpf never drains the Tx/Rx DIM works before freeing the memory they
live in. tx_dim and rx_dim are embedded in struct idpf_q_vector, they
are queued from the NAPI poll via net_dim(), and idpf_vport_intr_rel()
ends with kfree(rsrc->q_vectors). Nothing in the driver cancels them.

idpf_tx_dim_work() and idpf_rx_dim_work() then run on freed memory:
idpf_vport_intr_write_itr() writes the ITR register through
q_vector->intr_reg.tx_itr / rx_itr, void __iomem pointers loaded out of
the freed q_vector. No configuration is needed to get there --
IDPF_ITR_IS_DYNAMIC() is defined as (itr_mode) and idpf_vport_alloc()
initialises both modes to IDPF_ITR_DYNAMIC.

Draining after idpf_vport_intr_napi_dis_all() is not enough on its own.
idpf_net_dim() is called from inside the
"if (napi_complete_done(napi, work_done))" branch of the poll, and
napi_complete_done() has already cleared NAPIF_STATE_SCHED by then.
napi_disable_locked() waits only while (val & (NAPIF_STATE_SCHED |
NAPIF_STATE_NPSVC)), so napi_disable() can return while the poll tail is
still queueing the work, and a plain cancel_work_sync() would be
re-armed behind the drain.

Use disable_work_sync(): schedule_work() on a work with a non-zero
disable count is dropped by clear_pending_if_disabled() before
__queue_work() is reached.

Move idpf_init_dim() to idpf_vport_intr_alloc() so the works are
initialised on every path that can reach the drain -- the three
"goto intr_deinit" sites between idpf_vport_intr_init() and
idpf_vport_intr_ena() get there without the enable side having run.
Nothing re-enables them: rsrc->q_vectors is freed on every exit from
idpf_vport_open() and on every idpf_vport_stop(), so the count dies with
the object.

It is a race, not a deterministic failure -- net_dim() only schedules
once DIM_NEVENTS events have accumulated and the profile index changes.
A KASAN ifup/ifdown loop under load is the way to see it.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve