Odebrany

CVE-2026-97921

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

tracing: Dowolny histogram pole odrzucone ze względu na zły modyfikator

Zapisanie wyzwalacza hist, którego wartość lub zmienna zawiera modyfikator
nie wolno, przeciekają pola, które dla niego zbudowano.

__create_val_field() pobiera pole z parse_expr() i przechowuje je w nim
hist_data->fields[] dopiero po przeprowadzeniu sprawdzania modyfikatorów:

hist_field = parse_expr(hist_data, plik, pole_str, flagi, nazwa_zmiennej,
&n_subwyrażenia);
...
if (hist_field->flagi & HIST_FIELD_FL_VAR) {
if (hist_field->flagi & (...))
muszę popełnić błąd;
} jeszcze {
if (hist_field->flagi & (...))
muszę popełnić błąd;
}

hist_data->fields[val_idx] = hist_field;

Obie kontrole przeskakują obok tego sklepu, a etykieta błędu powraca bez
uwalniając cokolwiek. Błąd rozwija się do funkcji create_hist_data(), która wywołuje
zniszcz_hist_data() ->zniszcz_hist_fields() i dociera do pola
tylko przez pola spacerowe[]. Pole, które nigdy tam nie dotarło, jest nieosiągalne.

commit e0213434fe3e („tracing: Nie pozwól, aby wartości histogramu miały jakieś
modyfikatory”) ustaw ret na -EINVAL i przejdź do sklepu, który wyszedł
pole należące do pól [] i zwolnione wraz z resztą hist_data.
Zastąpiło to podzielenie czeku na przypadek wartości i przypadek zmiennej
przepaść z goto, które je pomija.

Z CONFIG_DEBUG_KMEMLEAK, 200 zapisów

# echo 'hist:keys=prev_pid:vals=next_pid.log2' > \
zdarzenia/sched/sched_switch/trigger

każdy poprawnie odrzucony z -EINVAL, pozostaw 332 obiekty bez odniesień
(63744 bajtów) zgłoszone w create_hist_field(); 200 instaluj i usuwaj
cykle ważnego wyzwalacza nie pozostawiają żadnego. Pole „.log2” to dwa
alokacje, ponieważ funkcja create_hist_field() wstawia zwykłe pole
operandy [0] pola log2 i oba są zgłaszane.

Użyj funkcjizniszcz_hist_field() zamiast __destroy_hist_field(), aby
operandy [0] również są zwalniane. Wraca wcześniej przez HIST_FIELD_FL_VAR_REF,
tego właśnie potrzebuje operand należący do hist_data->var_refs[]; the
Pole odrzucone samo w sobie nigdy nie jest refem var, ponieważ ref nigdy nie przenosi
flaga modyfikatora.

In the Linux kernel, the following vulnerability has been resolved:

tracing: Free histogram the field rejected for a bad modifier

Writing a hist trigger whose value or variable carries a modifier that is
not allowed there leaks the fields that were built for it.

__create_val_field() takes the field from parse_expr() and stores it in
hist_data->fields[] only after the modifier checks have run:

hist_field = parse_expr(hist_data, file, field_str, flags, var_name,
&n_subexprs);
...
if (hist_field->flags & HIST_FIELD_FL_VAR) {
if (hist_field->flags & (...))
goto err;
} else {
if (hist_field->flags & (...))
goto err;
}

hist_data->fields[val_idx] = hist_field;

Both checks jump past that store, and the err label returns without
freeing anything. The error unwinds to create_hist_data(), which calls
destroy_hist_data() -> destroy_hist_fields(), and that reaches a field
only by walking fields[]. A field that never got there is unreachable.

commit e0213434fe3e ("tracing: Do not let histogram values have some
modifiers") set ret to -EINVAL and fell through to the store, which left
the field owned by fields[] and freed along with the rest of hist_data.
Splitting the check into a value case and a variable case replaced that
fall-through with a goto that skips it.

With CONFIG_DEBUG_KMEMLEAK, 200 writes of

# echo 'hist:keys=prev_pid:vals=next_pid.log2' > \
events/sched/sched_switch/trigger

each correctly rejected with -EINVAL, leave 332 unreferenced objects
(63744 bytes) reported at create_hist_field(); 200 install and remove
cycles of a valid trigger leave none. A '.log2' field is two
allocations, since create_hist_field() puts the plain field in
operands[0] of the log2 field, and both are reported.

Use destroy_hist_field() rather than __destroy_hist_field() so that
operands[0] is freed as well. It returns early for HIST_FIELD_FL_VAR_REF,
which is what an operand owned by hist_data->var_refs[] needs; the
rejected field itself is never a var ref, because a var ref never carries
a modifier flag.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve