Odebrany

CVE-2026-98813

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

bpf: Wstrzymaj map BTF dla rekordu destruktora alokatora pamięci

bpf_ma_set_dtor() duplikuje mapę->rekord tak, że bpf_mem_alloc
destruktor może zwolnić specjalne pola elementów mapy hash i rhash
gdy rozdzielacz uwolni je na dobre. btf_record_dup() tylko przejmuje
odniesienia do jądra i modułu BTF. Pola, których typy występują na mapie
BTF ciągle na to wskazuje: kptr do typu lokalnego odnosi się do map->btf,
a pole list_head lub rb_root zawiera wartość_rec, której właścicielem jest struktura
meta tabela mapy->btf.

Ten pożyczony stan może przetrwać mapę. Kiedy wywołania zwrotne RCU są nadal aktywne
lotu, bpf_mem_alloc_destroy() kopiuje alokator i odkłada finał
drenażu wraz z kontekstem destruktora do kolejki roboczej.
bpf_map_free() następnie zwalnia mapę->rekord i usuwa odniesienie do BTF mapy
jak tylko map_free() powróci. Gdy program, który załadował plik BTF, zostanie
również zniknęło, BTF zostaje uwolniony, podczas gdy pracownik nadal korzysta z
duplikat. Pracownik usuwa referencje za pomocą btf_is_kernel() i
btf_find_struct_meta() w bpf_obj_free_fields() podczas niszczenia elementów
które zostały uwolnione pod RCU i poprzez btf_is_kernel() w
btf_record_free() podczas zwalniania samego kontekstu:

BŁĄD: KASAN: użycie płyty po zwolnieniu w btf_is_kernel+0x19/0x30
Odczytaj rozmiar 1 pod adresem ffff88811505dce8 za pomocą zadania kworker/u16:2/50
Kolejka robocza: zdarzenia_nieprzywiązane free_mem_alloc_deferred
Zadzwoń do śledzenia:
btf_is_kernel+0x19/0x30
btf_record_free+0xc7/0xf0
htab_dtor_ctx_free+0x1a/0x30
free_mem_alloc_no_barrier+0x39/0x230
free_mem_alloc_deferred+0x2a/0x40
proces_scheduled_works+0x5ce/0x9d0
wątek_pracownika+0x42a/0x5e0
kwątek+0x1f5/0x230
ret_from_fork+0x1dd/0x390
ret_from_fork_asm+0x1a/0x30

Przydzielone przez zadanie 358:
__kmalloc_cache_noprof+0x287/0x510
btf_new_fd+0xf7/0x3d0
__sys_bpf+0x487/0x840

Uwolniony przez zadanie 0:
kfree+0x186/0x560
rcu_core+0x6f6/0xd40

Uwalnianie mapy, która nadal zawiera więcej elementów niż wynosi maksymalna wartość alokatora
znak wodny wystarczy, aby się tam dostać, ponieważ większość jest wolna podczas rozbierania
kolejkuje wywołanie zwrotne RCU, które powoduje odroczenie bpf_mem_alloc_destroy().
Zarówno nieprzydzielone mapy skrótów, jak i mapy skrótów o zmiennym rozmiarze rejestrują
destructor i podlegają one jednakowemu wpływowi.

Zachowaj jedno odniesienie na mapie BTF w kontekście destruktora. Każdy
wskaźnikiem innym niż jądro w zduplikowanym rekordzie jest albo map->btf, albo memory
jest jego własnością, więc pojedyncze odniesienie obejmuje kptrs, nagłówki list i rb
root i odzwierciedla działanie bpf_map_meta_alloc() dla zduplikowanych plików
zapis mapy wewnętrznej. Zwolnij go dopiero po zduplikowanym rekordzie
został zwolniony: pracownik może zostać wywłaszczony i nie znajduje się po stronie odczytu RCU
sekcja krytyczna, więc usunięcie ostatniego odniesienia w pierwszej kolejności pozwoliłoby
BTF zostanie zwolniony, podczas gdy btf_record_free() nadal będzie czytać swoje pola.

In the Linux kernel, the following vulnerability has been resolved:

bpf: Hold map BTF for the memory allocator destructor record

bpf_ma_set_dtor() duplicates map->record so that the bpf_mem_alloc
destructor can release the special fields of hash and rhash map elements
once the allocator frees them for good. btf_record_dup() only acquires
references on kernel and module BTF. Fields whose types live in the map
BTF keep pointing into it: a kptr to a local type refers to map->btf,
and a list_head or rb_root field carries a value_rec owned by the struct
meta table of map->btf.

That borrowed state can outlive the map. When RCU callbacks are still in
flight, bpf_mem_alloc_destroy() copies the allocator and defers the final
drain, together with the destructor context, to a workqueue.
bpf_map_free() then frees map->record and drops the map's BTF reference
as soon as map_free() returns. Once the program that loaded the BTF is
gone as well, the BTF is freed while the worker still uses the
duplicate. The worker dereferences it through btf_is_kernel() and
btf_find_struct_meta() in bpf_obj_free_fields() when destroying elements
that were freed under RCU, and through btf_is_kernel() in
btf_record_free() when releasing the context itself:

BUG: KASAN: slab-use-after-free in btf_is_kernel+0x19/0x30
Read of size 1 at addr ffff88811505dce8 by task kworker/u16:2/50
Workqueue: events_unbound free_mem_alloc_deferred
Call Trace:
btf_is_kernel+0x19/0x30
btf_record_free+0xc7/0xf0
htab_dtor_ctx_free+0x1a/0x30
free_mem_alloc_no_barrier+0x39/0x230
free_mem_alloc_deferred+0x2a/0x40
process_scheduled_works+0x5ce/0x9d0
worker_thread+0x42a/0x5e0
kthread+0x1f5/0x230
ret_from_fork+0x1dd/0x390
ret_from_fork_asm+0x1a/0x30

Allocated by task 358:
__kmalloc_cache_noprof+0x287/0x510
btf_new_fd+0xf7/0x3d0
__sys_bpf+0x487/0x840

Freed by task 0:
kfree+0x186/0x560
rcu_core+0x6f6/0xd40

Freeing a map that still holds more elements than the allocator's high
watermark is enough to get there, because the bulk free during teardown
queues the RCU callback that makes bpf_mem_alloc_destroy() defer.
Non-preallocated hash maps and resizable hash maps both register the
destructor and are affected alike.

Keep one reference on the map BTF in the destructor context. Every
non-kernel pointer in the duplicated record is either map->btf or memory
owned by it, so a single reference covers kptrs, list heads, and rb
roots, and mirrors what bpf_map_meta_alloc() does for the duplicated
record of an inner map. Release it only after the duplicated record has
been freed: the worker is preemptible and not in an RCU read-side
critical section, so dropping the last reference first would let the
BTF be freed while btf_record_free() still reads its fields.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve