Odebrany

CVE-2026-98613

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

bpf: Ograniczona głębokość własności poprzez lokalne kptrs i pierwiastki wykresów

Obiekty przydzielone programowi mogą być właścicielami innych obiektów lokalnych poprzez odwołanie
kptr. bpf_obj_free_fields() podąża za tymi wskaźnikami
__bpf_obj_drop_impl() synchronicznie, przed zwolnieniem pamięci obiektowej
poprzez RCU. Dlatego lokalny typ kptr samoodnoszący się do siebie pozwala na arbitralnie
głębokie łańcuchy obiektów, a upuszczenie głowy może wyczerpać stos jądra.
Długie łańcuchy typu acyklicznego mają ten sam problem.

btf_check_and_fixup_fields() nadal zakłada, że kptrs, do których się odwołuje, wskazują tylko
typy jądra i sprawdza własność tylko poprzez katalogi główne i rbtree. Jego
istniejąca reguła jest wystarczająca dla cykli składających się wyłącznie z wykresów: cel każdego wykresu
krawędź musi zawierać węzeł, więc każdy typ w cyklu ma zarówno pierwiastek, jak i a
węzeł. Reguła odrzuca taki typ posiadający inny root, łamiąc każdy
cykl. Ogranicza także łańcuchy zawierające tylko wykresy do trzech typów lub dwóch, jeśli jest to pierwszy
typ zawiera węzeł i konserwatywnie odrzuca dłuższe łańcuchy acykliczne.
Brakujące krawędzie lokalnego kptr, a nie pominięty cykl tylko wykresu, to:
błąd wprowadzony przez obsługę bpf_kptr_xchg() w lokalnym kptrs.

Zastąp to ograniczenie jednym wykresem obejmującym proces ograniczonej własności
korzenie i lokalne odniesienia kptrs. Uruchom go po zapisaniu wszystkich rekordów BTF
naprawione, odrzuć cykle i ścieżki głębsze niż osiem typów zapisów,
i buforuj głębokość sufiksu każdego typu, sprawdzając go z pozostałymi
budżet. Pozwala to również na odrzucenie dłuższych układów acyklicznych zawierających wyłącznie wykresy
według starej zasady; odpowiednio zaktualizują swoje istniejące testy BTF.

Zachowaj powiązanie niezależne od MAX_CALL_FRAMES, ponieważ niszczenie rekurencyjne
może działać poniżej łańcucha wywołań BPF. Zwykły lokalny pointee bez specjalnego pola
metadane dodają tylko końcowy, niepowtarzający się spadek. Niebędące właścicielami kptrs i
kptrs jądra-BTF nie korzystają z lokalnych rekordów i pozostają poza
chodzić. Uwzględnij także lokalne krawędzie percpu-kptr, chociaż alokacja percpu
obiekty ze specjalnymi polami są obecnie zabronione, więc można to rozluźnić
ograniczenie nie może ominąć ograniczenia własności.

btf_check_and_fixup_fields() kontynuuje inicjalizację graph_root.value_rec,
w tym dla oddzielnie przydzielonych rekordów map. Stosunki własnościowe
należą do niezmiennego programu BTF i wymagają sprawdzenia tylko w czasie ładowania BTF.

In the Linux kernel, the following vulnerability has been resolved:

bpf: Bound ownership depth through local kptrs and graph roots

Program-allocated objects can own other local objects through referenced
kptrs. bpf_obj_free_fields() follows those pointers through
__bpf_obj_drop_impl() synchronously, before the object storage is freed
through RCU. A self-referential local kptr type therefore permits arbitrarily
deep object chains, and dropping the head can exhaust the kernel stack.
Long acyclic type chains have the same problem.

btf_check_and_fixup_fields() still assumes referenced kptrs only point to
kernel types and checks ownership through list and rbtree roots only. Its
existing rule is sufficient for graph-only cycles: the target of each graph
edge must contain a node, so every type in a cycle has both a root and a
node. The rule rejects such a type owning another root, breaking every
cycle. It also limits graph-only chains to three types, or two if the first
type contains a node, and conservatively rejects longer acyclic chains.
The missing local-kptr edges, rather than a missed graph-only cycle, are the
bug introduced by support for bpf_kptr_xchg() into local kptrs.

Replace that restriction with one bounded ownership walk covering graph
roots and local referenced kptrs. Run it after all BTF records have been
fixed up, reject cycles and paths deeper than eight record-bearing types,
and cache each type's suffix depth while checking it against the remaining
budget. This also permits the longer acyclic graph-only layouts rejected
by the old rule; update their existing BTF tests accordingly.

Keep the bound independent of MAX_CALL_FRAMES because recursive destruction
can run below a BPF call chain. A plain local pointee without special-field
metadata adds only a final non-recursing drop. Non-owning kptrs and
kernel-BTF kptrs do not recurse through local records and remain outside the
walk. Include local percpu-kptr edges too, although allocation of percpu
objects with special fields is currently forbidden, so that relaxing that
restriction cannot bypass the ownership bound.

btf_check_and_fixup_fields() continues to initialize graph_root.value_rec,
including for separately allocated map records. The ownership relationships
belong to immutable program BTF and only need validation at BTF load time.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve