Odebrany

CVE-2026-98273

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

x86/kprobes: Naprawiono awarię podczas sondowania instrukcji CS CALL

Używając eBPF do sondowania instrukcji CS CALL w ramach funkcji,
może nastąpić awaria.

Narzędzie eBPF sonduje offset 257 funkcji __hrtimer_run_queues()
funkcja:

<__hrtimer_run_queues+249>: nopl 0x0(%rax,%rax,1)
<__hrtimer_run_queues+254>: mov %r14,%rdi
<__hrtimer_run_queues+257>: wywołanie cs <__x86_indirect_thunk_r12>
<__hrtimer_run_queues+263>: mov %eax,%r12d
<__hrtimer_run_queues+266>: xchg %ax,%ax
<__hrtimer_run_queues+268>: mov %r13,%rdi

Co powoduje tę awarię:

BŁĄD: nie można obsłużyć błędu strony dla adresu: 00000000000f41c9
#PF: dostęp do zapisu nadzorcy w trybie jądra
#PF: kod_błędu(0x0002) - nie ma strony
PGD 0 P4D 0
Ups: 0002 [#1] SMP NOPTI
Procesor: 1 PID: 0 Comm: swapper/1 Kdump: załadowany Tainted: P
RIP: 0010:__hrtimer_run_queues+0x106/0x230

Zauważ, że __hrtimer_run_queues+0x106 to __hrtimer_run_queues+262, czyli
na 6. bajcie powyższej instrukcji CS CALL. Od czasu CS CALL
instrukcja zajmuje 6 bajtów, w środku wystąpił wyjątek
instrukcja wywołania.

Główną przyczyną jest to, że podczas używania narzędzi eBPF do sondowania w środku pliku a
jako podstawową implementację używana jest kprobe z INT3.

Podczas jednoetapowej emulacji oryginalnej instrukcji CALL,
int3_emulate_call() zakłada, że sprawdzana instrukcja CALL ma 5 bajtów
długi. Jednakże rzeczywista instrukcja CALL z prefiksem CS zajmuje 6 bajtów,
więc konstruuje niepoprawny adres zwrotny wyjątku. Kiedy procesor
wraca z procedury obsługi kprobe, następna instrukcja do wykonania znajduje się pod adresem
adres ostatniego bajtu instrukcji CS CALL. Przypadkowo,
zaczynając od tego adresu, procesor pobiera i dekoduje całkowicie
inną instrukcję, co ostatecznie powoduje awarię jądra.

Napraw problem, używając rzeczywistej długości instrukcji uzyskanej z
dekoder instrukcji podczas konstruowania powrotu wyjątku
adres, zamiast polegać na zakodowanym na stałe makrze CALL_INSN_SIZE.

[ mingo: Udoskonalono dziennik zmian ]

In the Linux kernel, the following vulnerability has been resolved:

x86/kprobes: Fix crash when probing CS CALL instructions

When using eBPF to probe CS CALL instructions within a function,
a crash can be triggered.

The eBPF tool probes offset 257 of the __hrtimer_run_queues()
function:

<__hrtimer_run_queues+249>: nopl 0x0(%rax,%rax,1)
<__hrtimer_run_queues+254>: mov %r14,%rdi
<__hrtimer_run_queues+257>: cs call <__x86_indirect_thunk_r12>
<__hrtimer_run_queues+263>: mov %eax,%r12d
<__hrtimer_run_queues+266>: xchg %ax,%ax
<__hrtimer_run_queues+268>: mov %r13,%rdi

Which triggers this crash:

BUG: unable to handle page fault for address: 00000000000f41c9
#PF: supervisor write access in kernel mode
#PF: error_code(0x0002) - not-present page
PGD 0 P4D 0
Oops: 0002 [#1] SMP NOPTI
CPU: 1 PID: 0 Comm: swapper/1 Kdump: loaded Tainted: P
RIP: 0010:__hrtimer_run_queues+0x106/0x230

Note that __hrtimer_run_queues+0x106 is __hrtimer_run_queues+262, which is
at the 6th byte of the above CS CALL instruction. Since the CS CALL
instruction occupies 6 bytes, the exception occurred in the middle of that
call instruction.

The root cause is that when using eBPF tools to probe in the middle of a
function, a kprobe with INT3 is used as the underlying implementation.

During single-step emulation of the original CALL instruction,
int3_emulate_call() assumes that the probed CALL instruction is 5 bytes
long. However, the actual CS-prefixed CALL instruction occupies 6 bytes,
so it constructs an incorrect exception return address. When the CPU
returns from the kprobe handler, the next instruction to be executed is at
the address of the last byte of that CS CALL instruction. Coincidentally,
starting from that address, the CPU fetches and decodes a completely
different instruction, which ultimately triggers a kernel crash.

Fix the issue by using the actual instruction length obtained from
the instruction decoder when constructing the exception return
address, rather than relying on the hardcoded CALL_INSN_SIZE macro.

[ mingo: Refined the changelog ]

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve