Odebrany

CVE-2026-97903

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

wyjście: przechowuj odwołanie do thread_pid w proc_flush_pid

Zatwierdź 0a36bad01731 („release_task: zabij niepotrzebny już plik
get/put_pid(thread_pid)") usunąłem odniesienie do proc_flush_pid().
Zakładano, że free_pids(post.pids) na końcu release_task() tak się stanie
utrzymuj thread_pid przy życiu do tego czasu.

To założenie jest błędne. __change_pid() rejestruje tylko odłączony PID
post.pids, gdy pid_has_task() ma wartość false dla każdego PIDTYPE. Jeśli inne zadanie
nadal używa identyfikatora PID wychodzącego zadania jako identyfikatora grupy procesów lub sesji,
__unhash_process() usuwa łącze PIDTYPE_PID wychodzącego zadania, ale pozostawia
PID z post.pids. Dlatego release_task() nie zawiera odniesienia do
to po upuszczeniu tasklist_lock.

Drugie zadanie może następnie usunąć pozostałe łącza PIDTYPE. Jego
free_pids() planuje wywołania opóźnione_put_pid(), a wywołanie zwrotne RCU może zostać zwolnione
PID zanim pierwsza funkcja release_task() osiągnie proc_flush_pid().

Nieuprzywilejowany reproduktor ściga się z funkcją Wait4(-1) z setsid(), aby to wywołać
zamawianie. Zgłoszono trzy z trzech nowych butów KASAN v7.2:

BŁĄD: KASAN: użycie płyty po zwolnieniu w
proc_invalidate_siblings_dcache+0x3e2/0x3f0
Odczytaj rozmiar 8 w zadaniu h7_pid_reaper/1921

Zadzwoń do śledzenia:
proc_invalidate_siblings_dcache
wydanie_zadania
czekaj_rozważ_zadanie
__czekaj
poczekaj
jądro_wait4

Uwolniony przez zadanie 0:
kmem_cache_free
put_pid
opóźniony_put_pid
rcu_core

Ostatni potencjalnie powiązany utwór:
__call_rcu_common
darmowe_pidy
ksys_setsid

KASAN zidentyfikował 144-bajtowy obiekt w pamięci podręcznej pid i zlokalizował błąd
wczytaj 80 bajtów do uwolnionego obiektu, dopasowując pid->i-węzły. Z
wyraźne odniesienie, trzy z trzech świeżych butów ukończone bez KASAN
raport. Równoczesne wywołanie zwrotne RCU porzuciło referencję while
proc_flush_pid() została zabezpieczona, a równoważenie put_pid() wykonało
później ostatni darmowy.

Weź odwołanie, zanim __unhash_process() wyczyści p->thread_pid i zwolni
to po zakończeniu proc_flush_pid().

Sprawdzony odtwarzacz źródłowy jest dostępny prywatnie na życzenie. Nie
kontrolowany odczyt lub zapis, wyciek informacji lub eskalacja uprawnień
twierdził. Główna łatka dotyczy bezpośrednio wersji 6.19.y i nowszych;
Wersja 6.16.y do 6.18.y wymaga backportu dostosowanego do kontekstu.

In the Linux kernel, the following vulnerability has been resolved:

exit: hold a reference to thread_pid across proc_flush_pid

Commit 0a36bad01731 ("release_task: kill the no longer needed
get/put_pid(thread_pid)") removed the reference around proc_flush_pid().
It assumed that free_pids(post.pids) at the end of release_task() would
keep thread_pid alive until then.

That assumption is wrong. __change_pid() only records a detached PID in
post.pids when pid_has_task() is false for every PIDTYPE. If another task
still uses the exiting task's PID as its process group or session ID,
__unhash_process() removes the exiting task's PIDTYPE_PID link but leaves
the PID out of post.pids. release_task() therefore holds no reference to
it after dropping tasklist_lock.

The other task can then remove the remaining PIDTYPE links. Its
free_pids() call schedules delayed_put_pid(), and the RCU callback can free
the PID before the first release_task() reaches proc_flush_pid().

An unprivileged reproducer races wait4(-1) against setsid() to trigger this
ordering. Three of three fresh v7.2 KASAN boots reported:

BUG: KASAN: slab-use-after-free in
proc_invalidate_siblings_dcache+0x3e2/0x3f0
Read of size 8 by task h7_pid_reaper/1921

Call Trace:
proc_invalidate_siblings_dcache
release_task
wait_consider_task
__do_wait
do_wait
kernel_wait4

Freed by task 0:
kmem_cache_free
put_pid
delayed_put_pid
rcu_core

Last potentially related work creation:
__call_rcu_common
free_pids
ksys_setsid

KASAN identified a 144-byte object from the pid cache and located the bad
read 80 bytes into the freed object, matching pid->inodes. With an
explicit reference, three of three fresh boots completed without a KASAN
report. The concurrent RCU callback dropped its reference while
proc_flush_pid() was protected, and the balancing put_pid() performed the
final free afterward.

Take a reference before __unhash_process() clears p->thread_pid and release
it after proc_flush_pid() completes.

A tested source reproducer is available privately on request. No
controlled read or write, information leak, or privilege escalation is
claimed. The mainline patch applies directly to v6.19.y and newer;
v6.16.y through v6.18.y need a context-adjusted backport.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve