CVE-2026-98641

W jądrze Linuksa usunięto następującą lukę:

bpf, arm64: skonfiguruj wskaźnik ramki dla wywołania zwrotnego wyjątku

Program pełniący funkcję granicy wyjątku zapisuje wszystkie rejestry zapisane przez wywoływanego,
więc build_prologue() przyjmuje ścieżkę wyjątku_cb i nigdy nie wywołuje
push_callee_regs(). To jedyne miejsce, w którym działa funkcja find_used_callee_regs(),
i wraz z nim ustawione jest jedyne miejsce ctx->fp_used, więc prolog wywołania zwrotnego
nie emituje

mov x25, sp

który wskazuje BPF_REG_FP na ramkę, na której działa wywołanie zwrotne. x25 trzyma
niezależnie od tego, co zawierało po wywołaniu bpf_throw(). Jeśli rzut nastąpił z
podprogram korzystający z własnego stosu BPF, czyli ramki podprogramu
wskaźnik, a ponieważ podprogram nigdy nie zwraca, nigdy nie przywraca x25
albo.

Dostęp do stosu poprzez BPF_REG_FP jest przepisywany tak, aby był wskaźnikiem stosu
względne, więc te nadal lądują we własnej ramce wywołania zwrotnego. Materializacja
rejestr nie wykonuje: wywołania zwrotnego, które przekazuje adres lokalny
zmienna pomocnikowi przekazuje adres w martwym podprogramie
rama. Adres ten znajduje się już poniżej wskaźnika stosu wywołania zwrotnego i
własny łańcuch wywołań pomocnika pokrywa go, więc pomocnik może nad nim pisać
własny adres zwrotny. 0x1234 poniżej to wartość, o którą poproszono pomocnika
sklep:

komputer: 0x1234
lr: 0x1234
Śledzenie połączeń:
0x1234 (P)
bpf_test_run+0x188/0x3e0
bpf_prog_test_run_skb+0x47c/0x998
__sys_bpf+0xbdc/0xdd8
Panika jądra – brak synchronizacji: Ups: krytyczny wyjątek w przerwaniu

Ustaw ctx->fp_used na ścieżce wywołania zwrotnego wyjątku, aby istniejący kod
dalej w dół ustawia x25 ze wskaźnika stosu. Epilog przywraca to
z obszaru zapisu głównego programu wraz z innymi zapisanymi plikami wywoływanymi
rejestruje się, tak jak to już ma miejsce. x86 ustawia wskaźnik ramki dla
wywołanie zwrotne z argumentu, który jest przekazywany, a powerpc oblicza to
wskaźnik stosu.