Odebrany

CVE-2026-98276

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net: zablokuj gniazdo w sock_gettstamp()

sk->sk_flags należy zmieniać tylko przytrzymując blokadę gniazda,
ponieważ sock_set_flag() i sock_reset_flag() nie używają funkcji atomowych
operacje (__set_bit() i __clear_bit()).

sock_gettstamp() to jedno z ostatnich miejsc, w których trochę sk->sk_flags
zostaje zmieniony z wywołania systemowego bez posiadania blokady gniazda, poprzez
sock_enable_timestamp(sk, SOCK_TIMESTAMP).

sk_set_memalloc() i sk_clear_memalloc() również zmieniają sk->sk_flags
bez blokady gniazda, ale ich wywołujące (nbd, iscsi_tcp, nvme-tcp,
sunrpc, wireguard) wymagają dokładnego audytu, zostanie to omówione w a
osobna łatka.

Jungwoo Lee i Wongi Lee zgłosili, że gniazdo UDP jest bezpłatne
spowodowane przez ten błąd: wyścigi ioctl SIOCGSTAMPNS_NEW z funkcją bind()
może anulować bit SOCK_RCU_FREE ustawiony właśnie przez udp_lib_get_port(),
ponieważ oba wątki wykonują odczyt-modyfikację-zapis tego samego słowa.

CPU 0 (powiązanie) CPU 1 (SIOCGSTAMPNS_NEW)
-------------------------------- ----------------------------
czytaj sk_flags = F czytaj sk_flags = F
oblicz F | BIT(SOCK_RCU_FREE) oblicz F | BIT(SOCK_TIMESTAMP)
sklep F | BIT(SOCK_RCU_FREE)
sk_add_node_rcu(sk, ...)
sklep F | BIT(SOCK_TIMESTAMP)

Po utraconej aktualizacji SOCK_RCU_FREE jest wolne, dopóki gniazdo jest
widoczne dla bezblokowanych wyszukiwań odbiorów UDP. sk_destruct() następnie zwalnia
natychmiast podłączyć gniazdko, zamiast czekać na okres karencji RCU,
podczas gdy ścieżka odbioru nadal zawiera wskaźnik do niej bez odniesienia:

BŁĄD: KASAN: użycie płyty po zwolnieniu w ipv4_pktinfo_prepare+0x30/0x410
Odczytaj rozmiar 8 pod adresem ffff888008806610 za pomocą zadania exploit/207
Procesor: 0 UID: 1000 PID: 207 Comm: exploit Nieskażony 6.12.95+ #1
ipv4_pktinfo_prepare+0x30/0x410
udp_queue_rcv_one_skb+0x51c/0x1180
udp_unicast_rcv_skb+0x109/0x350
ip_protocol_deliver_rcu+0x14b/0x310
ip_local_deliver_finish+0x29d/0x390
ip_local_deliver+0x24d/0x2a0

Chwyć blokadę gniazda tylko wtedy, gdy należy ustawić SOCK_TIMESTAMP,
aby zwykła skrzynka była zamknięta.

In the Linux kernel, the following vulnerability has been resolved:

net: lock the socket in sock_gettstamp()

sk->sk_flags must only be changed while holding the socket lock,
because sock_set_flag() and sock_reset_flag() use non atomic
operations (__set_bit() and __clear_bit()).

sock_gettstamp() is one of the last places where a bit of sk->sk_flags
is changed from a syscall without owning the socket lock, through
sock_enable_timestamp(sk, SOCK_TIMESTAMP).

sk_set_memalloc() and sk_clear_memalloc() also change sk->sk_flags
without the socket lock, but their callers (nbd, iscsi_tcp, nvme-tcp,
sunrpc, wireguard) need a careful audit, this will be addressed in a
separate patch.

Jungwoo Lee and Wongi Lee reported an UDP socket use-after-free
caused by this bug: a SIOCGSTAMPNS_NEW ioctl racing with bind()
can cancel the SOCK_RCU_FREE bit that udp_lib_get_port() just set,
because both threads perform a read-modify-write on the same word.

CPU 0 (bind) CPU 1 (SIOCGSTAMPNS_NEW)
-------------------------------- ----------------------------
read sk_flags = F read sk_flags = F
compute F | BIT(SOCK_RCU_FREE) compute F | BIT(SOCK_TIMESTAMP)
store F | BIT(SOCK_RCU_FREE)
sk_add_node_rcu(sk, ...)
store F | BIT(SOCK_TIMESTAMP)

After the lost update, SOCK_RCU_FREE is clear while the socket is
visible to lockless UDP receive lookups. sk_destruct() then frees
the socket immediately instead of waiting for a RCU grace period,
while the receive path still holds a reference-less pointer to it:

BUG: KASAN: slab-use-after-free in ipv4_pktinfo_prepare+0x30/0x410
Read of size 8 at addr ffff888008806610 by task exploit/207
CPU: 0 UID: 1000 PID: 207 Comm: exploit Not tainted 6.12.95+ #1
ipv4_pktinfo_prepare+0x30/0x410
udp_queue_rcv_one_skb+0x51c/0x1180
udp_unicast_rcv_skb+0x109/0x350
ip_protocol_deliver_rcu+0x14b/0x310
ip_local_deliver_finish+0x29d/0x390
ip_local_deliver+0x24d/0x2a0

Only grab the socket lock when SOCK_TIMESTAMP has to be set,
to keep the common case lockless.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve