Odebrany

CVE-2026-98642

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

bpf: Napraw UAF z powodu jednoczesnego zużycia list ttrace w alloc_bulk

Syzkaller wielokrotnie wyzwalał ikony UAF powiązane z węzłami
Waiting_for_gp_ttrace w memalloc bpf:

BŁĄD: KASAN: użycie płyty po zwolnieniu w llist_del_first+0x85/0x110 lib/llist.c:61
Odczytaj rozmiar 8 pod adresem ffff8881572cd080 za pomocą zadania syz.4.470/5112
...
llist_del_first+0x85/0x110 lib/llist.c:61
alloc_bulk+0x193/0x460 jądro/bpf/memalloc.c:229
bpf_mem_refill+0x386/0x560 jądro/bpf/memalloc.c:436

Uwolniony przez zadanie 14:
...
__free_rcu kernel/bpf/memalloc.c:281 [w linii]
__free_rcu_tasks_trace+0x48/0xd0 jądro/bpf/memalloc.c:291
rcu_tasks_invoke_cbs+0x1ec/0x3e0 jądro/rcu/tasks.h:571
rcu_tasks_one_gp+0x13d/0x220 jądro/rcu/tasks.h:621
rcu_tasks_kthread+0xf3/0x120 kernel/rcu/tasks.h:651

Powodem jest to, że UAF występuje po wygaśnięciu RCU Tasks Trace GP:
po uruchomieniu wywołania zwrotnego __free_rcu() synchronizacja nie jest wykonywana
ochrona llist_del_all() przed współbieżną operacją alloc_bulk().
Waiting_for_gp_ttrace, co prowadzi do poniższych warunków wyścigu:

Procesor0 Procesor1
__free_rcu (wywołanie zwrotne śledzenia zadań RCU)
alloc_bulk
llist_del_first(&c->waiting_for_gp_ttrace)
wpis = smp_load_acquire(&head->pierwszy);
zrobić {
if (wpis == NULL)
zwróć NULL;
free_all(llist_del_all(&c->waiting_for_gp_ttrace))
llist_for_each_safe(pos, t, llnode)
free_one(pos);
następny = READ_ONCE(wpis->następny); <-- uruchom UAF
} while (!try_cmpxchg(&head->pierwszy, &entry, następny));

Ponadto na torze znajdują się również teoretyczne warunki wyścigowe
lista free_by_rcu_ttrace. Ten wyścig wymaga dwóch warunków wstępnych: a
Zadania w locie Śledzenie GP, prowadzenie c->call_rcu_ttrace_in_progress == 1,
i jednoczesne zwolnienie wielu procesorów poprzez ponowne zapełnianie c->free_by_rcu_ttrace
nowe węzły. W tych warunkach następujący scenariusz uruchamia UAF:

// Procesor0
// praca irq jest nadal zajęta (na PREEMPT_RT)
alloc_bulk()
llist_del_first(&c->free_by_rcu_ttrace)
wpis = smp_load_acquire(&head->pierwszy);
zrobić {
if (wpis == NULL)
zwróć NULL;

// Procesor1
bpf_mem_alloc_destroy()
WRITE_ONCE(c->wyczerpywanie, prawda)
// poczekaj na CPU0
irq_work_sync()

// Procesor2
do_call_rcu_ttrace(tgt(CPU0))
if (c->opróżnianie) {
llist_del_all(&c->free_by_rcu_ttrace)
darmowe_wszystko()
}

// CPU0 kontynuuj
następny = READ_ONCE(wpis->następny); <-- uruchom UAF
while (!try_cmpxchg(&head->pierwszy, &wpis, następny));

Napraw ten problem, wprowadzając surową blokadę spinową w celu synchronizacji współbieżności
zużycie na Waiting_for_gp_ttrace i free_by_rcu_ttrace.

In the Linux kernel, the following vulnerability has been resolved:

bpf: Fix UAF due to concurrent consumption of ttrace lists in alloc_bulk

Syzkaller repeatedly triggered UAF splats related to nodes in
waiting_for_gp_ttrace within the bpf memalloc:

BUG: KASAN: slab-use-after-free in llist_del_first+0x85/0x110 lib/llist.c:61
Read of size 8 at addr ffff8881572cd080 by task syz.4.470/5112
...
llist_del_first+0x85/0x110 lib/llist.c:61
alloc_bulk+0x193/0x460 kernel/bpf/memalloc.c:229
bpf_mem_refill+0x386/0x560 kernel/bpf/memalloc.c:436

Freed by task 14:
...
__free_rcu kernel/bpf/memalloc.c:281 [inline]
__free_rcu_tasks_trace+0x48/0xd0 kernel/bpf/memalloc.c:291
rcu_tasks_invoke_cbs+0x1ec/0x3e0 kernel/rcu/tasks.h:571
rcu_tasks_one_gp+0x13d/0x220 kernel/rcu/tasks.h:621
rcu_tasks_kthread+0xf3/0x120 kernel/rcu/tasks.h:651

The reason is that the UAF occurs after the RCU Tasks Trace GP expires:
when the __free_rcu() callback runs, there is no synchronization
protecting llist_del_all() against concurrent alloc_bulk() operating on
waiting_for_gp_ttrace, leading to the race condition below:

CPU0 CPU1
__free_rcu (RCU Tasks Trace callback)
alloc_bulk
llist_del_first(&c->waiting_for_gp_ttrace)
entry = smp_load_acquire(&head->first);
do {
if (entry == NULL)
return NULL;
free_all(llist_del_all(&c->waiting_for_gp_ttrace))
llist_for_each_safe(pos, t, llnode)
free_one(pos);
next = READ_ONCE(entry->next); <-- trigger UAF
} while (!try_cmpxchg(&head->first, &entry, next));

In addition, there is also a theoretical race condition on the
free_by_rcu_ttrace list. This race requires two preconditions: an
in-flight Tasks Trace GP keeping c->call_rcu_ttrace_in_progress == 1,
and concurrent cross-CPU frees repopulating c->free_by_rcu_ttrace with
new nodes. Under these conditions, the following scenario triggers UAF:

// CPU0
// irq work is still busy (on PREEMPT_RT)
alloc_bulk()
llist_del_first(&c->free_by_rcu_ttrace)
entry = smp_load_acquire(&head->first);
do {
if (entry == NULL)
return NULL;

// CPU1
bpf_mem_alloc_destroy()
WRITE_ONCE(c->draining, true)
// wait for CPU0
irq_work_sync()

// CPU2
do_call_rcu_ttrace(tgt(CPU0))
if (c->draining) {
llist_del_all(&c->free_by_rcu_ttrace)
free_all()
}

// CPU0 continue
next = READ_ONCE(entry->next); <-- trigger UAF
while (!try_cmpxchg(&head->first, &entry, next));

Fix this by introducing a raw spinlock to synchronize the concurrent
consumption on waiting_for_gp_ttrace and free_by_rcu_ttrace.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve