Odebrany

CVE-2026-98799

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

bpf: Pomiń odłączone progi w obrazach trampoliny, które są nadal w użyciu

bpf_tramp_image_put() upewnia się, że obraz trampoliny nie zostanie zwolniony podczas
zadanie może nadal być w nim uruchomione, ale nic podobnego nie jest robione dla
progs wywoływane przez ten obraz. Detach opuszcza ostatnie odniesienie do progu w prawo
zostanie usunięty, a program zostanie zwolniony po okresach karencji, na tej podstawie, że a
zadanie nadal znajdujące się w śledzonej funkcji pomija progi fexit po kliknięciu nop
ip_after_call zostało poprawione do skoku.

Pomija to zadanie śpiące w programie, który działa wcześniej
oderwany, na który nie czeka żadna karencja:

Procesor 0 Procesor 1
na obrazku I, śpiąca w prog S
odłącz P od trampoliny I
-> nowy obraz, bpf_tramp_image_put(I)
bpf_prog_put(P), ostatni ref
okresy karencji, P wolne
wrócił z s
__bpf_prog_enter(P)
wywołaj P->bpf_func

Jeśli S i P są fexit progami, zadanie przekroczyło już załatany skok,
a obrazy tylko fentry go nie mają. Na x86 jest to int3 in
zatruta pamięć bpf_prog_pack:

Ups: int3: 0000 [#1] SMP NOPTI
Procesor: 18 UID: 0 PID: 94573 Comm: x169 Nieskażony 6.18.44 #1 PREEMPT (leniwy)
RIP: 0010:0xffffffffc0601d8d
Zadzwoń do śledzenia:
<ZADANIE>
? bpf_trampolina_6442515411+0x1a4/0x21b
bpf_lsm_bprm_committed_creds+0x5/0x10
security_bprm_committed_creds+0x5f/0x70
Begin_new_exec+0x2d6/0x410
...

Uderzyliśmy w to podczas produkcji, gdy dołączono progi na trampolinach
odłączony, gdy ich haczyki były zajęte, i został znaleziony niezależnie
z fuzzerem i KASANEM.

Niech zespoły JIT wyemitują nadający się do łatania komunikat „nop” przed każdą sekwencją wywołań prog
i zapisz to na obrazku. Kiedy program zostanie odłączony, zmień jego nop na a
przeskoczyć sekwencję wywołań. Programy, które pozostają podłączone, działają dalej
zadania widoczne na obrazku, a ip_after_call nie jest już potrzebne.

Zadanie może znajdować się na dowolnym obrazie, który nie jest jeszcze zwolniony, nie tylko w formacie
aktualny. Śpi na obrazie I1, który wywołuje S, P i Q, a następnie P jest
odłączona i trampolina przesuwa się do obrazu I2, następnie Q zostaje odłączone i
jego wywołanie jest nadal w I1. Zatem trampolina przechowuje listę swoich obrazów
dopóki nie zostaną uwolnione, a odłączenie programu naprawia jego brak we wszystkich
oni. Obrazy przez tak długi czas przypominają trampolinę.

Na riscv i loongarch skok na dowolny dystans wymaga kilku instrukcji,
a zadanie przejęte w środku z nich mogło zostać wznowione w połowie
nowa sekwencja. Nop to pojedyncza instrukcja, poprawiona do granic możliwości
rozgałęziaj się poprzez arch_bpf_trampoline_skip().

Dzięki dodatkowym nopom progi BPF_MAX_TRAMP_LINKS nie mieszczą się już na stronie
na x86 i arm64 (a już tego nie robiono na powerpc), więc obniż limit
tam, jak robi to S390.

In the Linux kernel, the following vulnerability has been resolved:

bpf: Skip detached progs in trampoline images that are still in use

bpf_tramp_image_put() makes sure a trampoline image is not freed while
a task may still be running in it, but nothing similar is done for the
progs called by that image. Detach drops the last prog reference right
away and the prog is freed after grace periods, on the basis that a
task still in the traced function skips the fexit progs once the nop at
ip_after_call is patched to a jump.

That leaves out a task sleeping in a sleepable prog that runs before
the detached one, which no grace period waits for:

CPU 0 CPU 1
in image I, sleeping in prog S
detach P from I's trampoline
-> new image, bpf_tramp_image_put(I)
bpf_prog_put(P), last ref
grace periods, P freed
back from S
__bpf_prog_enter(P)
call P->bpf_func

If S and P are fexit progs the task is already past the patched jump,
and fentry only images don't have one. On x86 this is an int3 in
poisoned bpf_prog_pack memory:

Oops: int3: 0000 [#1] SMP NOPTI
CPU: 18 UID: 0 PID: 94573 Comm: x169 Not tainted 6.18.44 #1 PREEMPT(lazy)
RIP: 0010:0xffffffffc0601d8d
Call Trace:
<TASK>
? bpf_trampoline_6442515411+0x1a4/0x21b
bpf_lsm_bprm_committed_creds+0x5/0x10
security_bprm_committed_creds+0x5f/0x70
begin_new_exec+0x2d6/0x410
...

We hit this in production when progs attached through trampolines got
detached while their hooks were busy, and it was independently found
with a fuzzer and KASAN.

Have the JITs emit a patchable nop in front of each prog call sequence
and record it in the image. When a prog is detached, patch its nop to a
jump over the call sequence. Progs that stay attached keep running for
the tasks that are in the image, and ip_after_call isn't needed anymore.

The task can be in any image that isn't freed yet, not only in the
current one. It sleeps in image I1 that calls S, P and Q, then P is
detached and the trampoline moves to image I2, then Q is detached and
its call is still in I1. So the trampoline keeps a list of its images
until they are freed, and detaching a prog patches its nop in all of
them. Images hold a reference on the trampoline for that long.

On riscv and loongarch a jump of any range takes several instructions,
and a task preempted in the middle of them could resume into half of the
new sequence. The nop is a single instruction there, patched to a near
branch through arch_bpf_trampoline_skip().

With the extra nops, BPF_MAX_TRAMP_LINKS progs no longer fit in a page
on x86 and arm64 (and already didn't on powerpc), so lower the limit
there like s390 does.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve