Odebrany

CVE-2026-98284

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

netlink: nie zwalniaj grup nlk->, dopóki mogą z nich korzystać czytelnicy bez blokady

netlink_realloc_groups() używa krealloc() w ramach netlink_table_grab().
Ilekroć NLGRPSZ(grupy) wyląduje w innym segmencie kmalloc, stary
bitmapa jest natychmiast zwalniana.

Dwóch czytelników nlk->groups / nlk->ngroups nie posiada łącza sieciowego
blokada stołu:

1) sk_diag_dump_groups(). Zaszyfrowane (związane) gniazda są zrzucane z pliku
rhashtable w __netlink_diag_dump(), która przechowuje tylko RCU.
Tylko część zrzutu mc_list zajmuje nl_table_lock.

2) netlink_native_seq_show() (/proc/net/netlink), którego przejście zostało
lockless od zatwierdzenia 21e4902aea80 („netlink: wyszukiwanie bez blokady za pomocą
Okres karencji RCU w wydaniu gniazda”).

Obydwa mogą czytać zwolniony bufor, a sk_diag_dump_groups() również może czytać
poza koniec starego (mniejszego) bufora, jeśli zdarzy się, że załaduje stary
Wskaźnik @groups wraz z nową wartością @ngroups, kopiując plik
wynik do atrybutu NETLINK_DIAG_GROUPS.

Jest to błąd tej samej klasy, który popełnia f773608026ee („netlink:
uzyskaj bezpieczny dostęp do grup nlk w netlink bind i getname”) naprawiono dla bind()
i getname(); pominięto tych dwóch czytelników. Po prostu chwyć się stołu
lock w sk_diag_dump_groups() nie jest opcją, ponieważ również jest
wywołany z nl_table_lock już wstrzymanym z sekcji mc_list pliku
zrzut.

Zamiast tego zabezpiecz czytniki bez zamków:

- Przydziel nową bitmapę i zwolnij starą po okresie karencji RCU,
zamiast polegać na ukrytej funkcji kfree() wykonanej przez krealloc().

- Publikuj @groups przed @ngroups, zarówno z semantyką wydania, jak i
czytniki bez blokady najpierw ładują @ngroups. Czytelnik nie może wówczas nigdy sparować
nowy (większy) rozmiar ze starym (mniejszym) buforem i czytnikiem
podniesienie nowego wskaźnika, jednocześnie widząc stary rozmiar
gwarantujemy zobaczenie zainicjowanej bitmapy.

netlink_realloc_groups() jest wywoływana z kontekstu procesu (bind() i
setsockopt()), więc można użyć kfree_rcu_mightsleep(), gdy tabela
został wydany.

In the Linux kernel, the following vulnerability has been resolved:

netlink: do not free nlk->groups while lockless readers can use it

netlink_realloc_groups() uses krealloc() under netlink_table_grab().
Whenever NLGRPSZ(groups) lands in a different kmalloc bucket, the old
bitmap is freed immediately.

Two readers of nlk->groups / nlk->ngroups do not hold the netlink
table lock:

1) sk_diag_dump_groups(). Hashed (bound) sockets are dumped from the
rhashtable walk in __netlink_diag_dump(), which only holds RCU.
Only the mc_list part of the dump takes nl_table_lock.

2) netlink_native_seq_show() (/proc/net/netlink), whose walk has been
lockless since commit 21e4902aea80 ("netlink: Lockless lookup with
RCU grace period in socket release").

Both can read a freed buffer, and sk_diag_dump_groups() can also read
past the end of the old (smaller) buffer if it happens to load the old
@groups pointer together with the new @ngroups value, copying the
result into a NETLINK_DIAG_GROUPS attribute.

This is the same class of bug that commit f773608026ee ("netlink:
access nlk groups safely in netlink bind and getname") fixed for bind()
and getname(); these two readers were missed. Simply grabbing the table
lock in sk_diag_dump_groups() is not an option, because it is also
called with nl_table_lock already held from the mc_list section of the
dump.

Make the lockless readers safe instead:

- Allocate a new bitmap and free the old one after an RCU grace period,
instead of relying on the implicit kfree() done by krealloc().

- Publish @groups before @ngroups, both with release semantics, and have
the lockless readers load @ngroups first. A reader can then never pair
the new (bigger) size with the old (smaller) buffer, and a reader
picking up the new pointer while still seeing the old size is
guaranteed to see the initialized bitmap.

netlink_realloc_groups() is called from process context (bind() and
setsockopt()), so kfree_rcu_mightsleep() can be used, once the table
has been released.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve