Odebrany

CVE-2026-98163

opublikowano: 26.09.2026, 11:16

modyfikacja: 26.09.2026, 11:16

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

cgroup: Unikaj powtarzania umierających zadań przy zerowym przeliczeniu

Zatwierdzenie 260fbcb92bbea („cgroup: Przenieś czyszczenie umierających_zadań z
cgroup_task_release() do cgroup_task_free()”) przedłużyło żywotność
zadania na liście umiera_tasks.
Iteratory mają możliwość przejścia przez umieranie_zadania z powodu
jednak umierający liderzy grup wątków lub jawne CSS_TASK_ITER_WITH_DEAD
oczekiwano, że tego typu zadania mogą uzyskać nową referencję (tj
możliwe przed cgroup_task_release()/put_task_struct_rcu_user()).
Zadania po cgroup_task_release() i przed cgroup_task_free()
podlegają rasie, kiedy mogą mieć lub nie ->liczba zastosowań > 0.

Okno wyścigu znajduje się pomiędzy wywołaniami css_task_iter_next().
kiedy zostanie wydany css_set_lock i możemy dojść do nowego ->task_pos.
Iterator nie powinien próbować wskrzeszać zadań, których liczba ->użycia jest zliczana
spadła do zera. (Kiedy tak się stanie, __put_task_struct_rcu_cb() jest
już nieuchronne i można by zastosować zwróconą strukturę zadania
po darmowym.)

Jeśli chodzi o rozwiązanie, nie możemy po prostu sprawdzić sygnału->licznika aktywności zadania
na liście umierających, bo to nie wyróżni zwykłych czekających zombie
do zebrania z pozostałych zadań RCU, które zostaną uwolnione.
Dlatego dodaj dodatkową kontrolę, aby wykluczyć zadania ->usage==0 z dowolnego
iteracja.

Powtórzenie: pętla w css_task_iter_advance() nie uwzględnia ->użycia
count, więc dodaj nową pętlę do css_task_iter_next(), aby pominąć nieużywane zadania
na liście umierających.

Przybliżona ilustracja możliwej rasy

R (czytnik cgroup.procs) T (wątek) L (lider grupy)
---------------------------------- -------------------------------- --------------------------------
L wychodzi, sygnał->na żywo > 0
cgroup_task_dead(L)
css_set_skip_task_iters() // pomija tylko zadania cset->
list_add_tail(&L->cg_list, &cset->dying_tasks)
css_task_iter_next()
weź css_set_lock
css_task_iter_advance()
lider && sygnał->na żywo!= 0
=> it->task_pos = &L->cg_list
zwolnij css_set_lock
T. wychodzi
--sygnał->na żywo == 0
cgroup_task_dead(T) // css_set_lock
wydanie_zadania(T)
cgroup_task_release(T)
release_task(L) // zap_leader
cgroup_task_release(L)
put_task_struct_rcu_user(L)
...RCU...
put_task_struct(L)
L->użycie = 0
/* L nadal zajmuje się umieraniem_zadań */
...RCU...
__put_task_struct(L)
css_task_iter_next() // kolejna iteracja
weź css_set_lock
it->task_pos = &L->cg_list
get_task_struct(L)
=> dodanie na 0
upuść css_set_lock
cgroup_task_free(L)
css_set_skip_task_iters() // pominięcie umierania następuje za późno
wolne_zadanie(L)
cgroup_procs_show()
zadanie_pid_vnr(L)

In the Linux kernel, the following vulnerability has been resolved:

cgroup: Avoid iteration of dying tasks with zero refcount

The commit 260fbcb92bbea ("cgroup: Move dying_tasks cleanup from
cgroup_task_release() to cgroup_task_free()") extended the lifetime of
tasks on the dying_tasks list.
The iterators have provision to go through dying_tasks because of
dying threadgroup leaders or explicit CSS_TASK_ITER_WITH_DEAD, however,
it was expected that such tasks can obtain a new reference (that is
possible before cgroup_task_release()/put_task_struct_rcu_user()).
The tasks after cgroup_task_release() and before cgroup_task_free()
are subject to race when they may or may not have ->usage count > 0.

The race window is between css_task_iter_next() invocations
when css_set_lock is released and we may arrive at a new ->task_pos.
The iterator should not attempt to resurrect tasks whose ->usage count
dropped to zero. (When that happens, __put_task_struct_rcu_cb() is
already imminent and the returned task_struct would could be used
after free.)

As for the fix, we cannot simply check the signal->live count of a task
on the dying list because that won't distinguish regular zombies waiting
to be reaped from RCU remnant tasks that are going to be free'd.
Therefore add an extra check to rule out ->usage==0 tasks from any
iteration.

The repeat: loop in css_task_iter_advance() doesn't consider ->usage
count, so add a new loop to css_task_iter_next() to skip de-used tasks
on the dying_list.

Rough illustration of the possible race

R (reader of cgroup.procs) T (thread) L (group leader)
--------------------------------- -------------------------------- --------------------------------
L exits, signal->live > 0
cgroup_task_dead(L)
css_set_skip_task_iters() // skips only cset->tasks
list_add_tail(&L->cg_list, &cset->dying_tasks)
css_task_iter_next()
take css_set_lock
css_task_iter_advance()
leader && signal->live != 0
=> it->task_pos = &L->cg_list
release css_set_lock
T exits
--signal->live == 0
cgroup_task_dead(T) // css_set_lock
release_task(T)
cgroup_task_release(T)
release_task(L) // zap_leader
cgroup_task_release(L)
put_task_struct_rcu_user(L)
...RCU...
put_task_struct(L)
L->usage = 0
/* L still on dying_tasks */
...RCU...
__put_task_struct(L)
css_task_iter_next() // another iteration
take css_set_lock
it->task_pos = &L->cg_list
get_task_struct(L)
=> addition on 0
drop css_set_lock
cgroup_task_free(L)
css_set_skip_task_iters() // dying skip comes too late
free_task(L)
cgroup_procs_show()
task_pid_vnr(L)

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve