Odebrany

CVE-2026-97918

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

śledzenie: Cofnij rejestrację, jeśli włączenie wyzwalacza histogramu nie powiedzie się

Zatwierdź 6f86bdeab633 („tracing: Napraw błędną hist z powodu uszkodzenia nazwanych wyzwalaczy
list”) opisał, w jaki sposób wyzwalacz jest zarejestrowany, ale nie w pliku->triggers
zostaje uwolniony, gdy nadal znajduje się na globalnej liście nazwanych_wyzwalaczy, i przeniósł plik
rejestracja została wyłączona, tak że funkcja hist_trigger_enable() następuje natychmiast po niej. Jeden
ścieżka wciąż tam prowadzi. hist_trigger_enable() dodaje wyzwalacz i bierze go
natychmiast wycofaj się, gdy nie można włączyć zdarzenia:

list_add_tail_rcu(&data->lista, &file->wyzwalacze);

aktualizacja_cond_flag(plik);

if (trace_event_trigger_enable_disable(plik, 1) < 0) {
list_del_rcu(&data->lista);
aktualizacja_cond_flag(plik);
gnić--;
}

więc lista w funkcji hist_unregister_trigger() nie pasuje do niczego, test pozostaje
NULL, a ->free() wywołujące del_named_trigger() jest pomijane.
out_unreg przechodzi do out_free, co i tak zwalnia wyzwalacz:

BŁĄD: KASAN: użycie płyty po zwolnieniu w find_named_trigger+0xac/0xc0
Odczytaj rozmiar 8 pod adresem ffff8880091d3160 przez zadanie init/1
find_named_trigger+0xac/0xc0
hist_register_trigger+0xc1/0xa00
event_hist_trigger_parse+0x3146/0x6af0
event_trigger_write+0xce/0x160
Uwolniony przez zadanie 69:
kfree+0x154/0x420
wyzwalacz_kthread_fn+0xfd/0x160

Pozostaw wyzwalacz tam, gdzie hist_unregister_trigger() może go znaleźć i pozwól mu
cofnij rejestrację, która jest jedynym kodem, który wie wszystko
cmd_ops->init() pobiera: nazwany wpis na liście, odwołanie do hist_pad, plik
odniesienie do wyzwalacza, któremu nazwany histogram jest udostępniany i kopiowany
cmd_ops. Łączy także nieudaną funkcję trace_event_trigger_enable_disable(),
którego sm_ref i buforowane odwołanie do zdarzenia w przeciwnym razie pozostają w tyle.

Ponieważ ->free() uwalnia dane wyzwalacza i dla wyzwalacza, który nie jest udostępniany
jego histogram, hist_data wraz z nim, out_unreg nie mogą już do niego dotrzeć
out_free. W przypadku wyzwalacza, który jest współużytkowany, funkcja hist_register_trigger() ma
zniszczył już dane hist_data dzwoniącego, więc przejściem było czytanie
tam również zwolniona jest pamięć.

Przenieś zaznaczenie Enable_timestamps w hist_unregister_trigger() powyżej
->free() z tego samego powodu: hist_data nie przeżywa go, gdy
wyzwalacz, który jest usuwany, jest tym, który jest jego właścicielem.

In the Linux kernel, the following vulnerability has been resolved:

tracing: Undo the registration when enabling the histogram trigger fails

Commit 6f86bdeab633 ("tracing: Fix bad hist from corrupting named_triggers
list") described how a trigger that is registered but not on file->triggers
ends up freed while still on the global named_triggers list, and moved the
registration down so that hist_trigger_enable() follows it immediately. One
path still gets there. hist_trigger_enable() adds the trigger and takes it
straight back out when the event cannot be enabled:

list_add_tail_rcu(&data->list, &file->triggers);

update_cond_flag(file);

if (trace_event_trigger_enable_disable(file, 1) < 0) {
list_del_rcu(&data->list);
update_cond_flag(file);
ret--;
}

so the list walk in hist_unregister_trigger() matches nothing, test stays
NULL, and the ->free() that would call del_named_trigger() is skipped.
out_unreg falls through to out_free, which frees the trigger anyway:

BUG: KASAN: slab-use-after-free in find_named_trigger+0xac/0xc0
Read of size 8 at addr ffff8880091d3160 by task init/1
find_named_trigger+0xac/0xc0
hist_register_trigger+0xc1/0xa00
event_hist_trigger_parse+0x3146/0x6af0
event_trigger_write+0xce/0x160
Freed by task 69:
kfree+0x154/0x420
trigger_kthread_fn+0xfd/0x160

Leave the trigger where hist_unregister_trigger() can find it and let that
undo the registration, which is the only code that knows all of what
cmd_ops->init() took: the named list entry, the hist_pad reference, the
reference on the trigger a named histogram is shared with, and the copied
cmd_ops. It also pairs the failed trace_event_trigger_enable_disable(),
whose sm_ref and buffered event reference are otherwise left behind.

Since ->free() releases trigger_data and, for a trigger that does not share
its histogram, hist_data with it, out_unreg can no longer fall through to
out_free. For a trigger that does share, hist_register_trigger() has
already destroyed the caller's hist_data, so the fall-through was reading
freed memory there as well.

Move the enable_timestamps check in hist_unregister_trigger() above the
->free() call for the same reason: hist_data does not outlive it once the
trigger being removed is the one that owns it.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve