Odebrany

CVE-2026-97941

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

mm/slab: weź n->list_lock w __slab_try_return_freelist(), aby uniknąć wyścigu

Zatwierdź ba7425312607 („mm, płyta: dodaj optymistycznie
__slab_try_return_freelist()”) błędnie założono, że nikt nie został zwolniony
obiekt do płyty, o ile płyta->freelist ma wartość NULL i cmpxchg
udaje się.

Jednakże, jak donosi Hyunwoo Kim [1], inne procesory mogły zostać zwolnione
obiekt do płyty, następnie wstaw płytę do listy częściowej
przydzielił obiekt z płyty i był w trakcie usuwania
płytę z listy pod n->list_lock.

Ponieważ __refill_objects_node() umieszcza płytę z powrotem na pc.slabs
poza n->list_lock, może wstawić płytę do tej listy podczas
płyta jest jednocześnie usuwana z n->częściowa.
Doprowadziło to do uszkodzenia listy [1]:

list_add korupcja. następny->poprzedni powinien być poprzedni
(ffff888100000248), ale nie żył000000000122.
(następny=ffffea000416e410).
BŁĄD jądra w lib/list_debug.c:29!
Ups: nieprawidłowy kod operacji: 0000 [#1] SMP NOPTI
Procesor: 1 UID: 65534 PID: 144 Comm: poc Nieskażone
7.2.0-16172-gcf72cbb39da8-brudny #1 PREEMPT (leniwy)
RIP: 0010:__list_add_valid_or_report+0x80/0xd0
...
Zadzwoń do śledzenia:
alloc_from_new_slab+0x183/0x300
___slab_alloc+0x31c/0x890
__kmalloc_noprof+0x3d4/0x800
lsm_blob_alloc+0x2d/0x50
security_msg_msg_alloc+0x26/0x90
obciążenie_msg+0x1aa/0x210
do_msgsnd+0x91/0x800
do_syscall_64+0x109/0x5d0
wpis_SYSCALL_64_after_hwframe+0x77/0x7f
...
Panika jądra – brak synchronizacji: wyjątek krytyczny

Jest to klasyczny problem ABA, w którym cmpxchg kończy się sukcesem, ale stan tak
zmienione, ponieważ __refill_objects_node() pobrało darmową listę z płyty.

Jak wspomniał Vlastimil Babka [2], zwrot więcej niż powinien być rzadkością
jedna płyta (ze względu na ostry odczyt płyty->liczniki w
get_partial_node_bulk()). Dlatego zamiast wprowadzać dodatkowe
złożoności, w najgorszym przypadku uzyskaj i zwolnij n->list_lock dwa razy.

Wróć płytę bezpośrednio do listy częściowej i przytrzymaj n->list_lock
poprzez cmpxchg i add_partial(). To jest podobne do początkowego
wersja zatwierdzenia ba7425312607 [3]. To wystarczy, aby uniknąć wyścigu jako
manipulacja listą jest serializowana przez n->list_lock. Będąc przy tym,
przywróć nieprawdopodobną() wskazówkę teraz, gdy warunek jest mało prawdopodobny.

In the Linux kernel, the following vulnerability has been resolved:

mm/slab: take n->list_lock in __slab_try_return_freelist() to avoid race

Commit ba7425312607 ("mm, slab: add an optimistic
__slab_try_return_freelist()") incorrectly assumed that nobody has freed
an object to the slab as long as slab->freelist is NULL and cmpxchg
succeeds.

However, as reported by Hyunwoo Kim [1], other CPUs might have freed
an object to the slab, insert the slab to the partial list, then
allocated an object from the slab, and be in the middle of removing
the slab from the list under n->list_lock.

Since __refill_objects_node() puts the slab back on pc.slabs
outside n->list_lock, it might insert the slab into that list while
the slab is concurrently being removed from n->partial.
This led to a list corruption [1]:

list_add corruption. next->prev should be prev
(ffff888100000248), but was dead000000000122.
(next=ffffea000416e410).
kernel BUG at lib/list_debug.c:29!
Oops: invalid opcode: 0000 [#1] SMP NOPTI
CPU: 1 UID: 65534 PID: 144 Comm: poc Not tainted
7.2.0-16172-gcf72cbb39da8-dirty #1 PREEMPT(lazy)
RIP: 0010:__list_add_valid_or_report+0x80/0xd0
...
Call Trace:
alloc_from_new_slab+0x183/0x300
___slab_alloc+0x31c/0x890
__kmalloc_noprof+0x3d4/0x800
lsm_blob_alloc+0x2d/0x50
security_msg_msg_alloc+0x26/0x90
load_msg+0x1aa/0x210
do_msgsnd+0x91/0x800
do_syscall_64+0x109/0x5d0
entry_SYSCALL_64_after_hwframe+0x77/0x7f
...
Kernel panic - not syncing: Fatal exception

This is a classic ABA problem where cmpxchg succeeds but the state has
changed since __refill_objects_node() took the freelist from the slab.

As Vlastimil Babka mentioned [2], it should be rare to return more than
one slab (due to the racy read of slab->counters in
get_partial_node_bulk()). Therefore, instead of introducing additional
complexity, acquire and release n->list_lock twice in the worst case.

Return the slab directly to the partial list and hold n->list_lock
across the cmpxchg and add_partial(). This is similar to the initial
version of commit ba7425312607 [3]. This is enough to avoid the race as
the list manipulation is serialized by n->list_lock. While at it,
bring back unlikely() hint now that the condition is unlikely.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve