Odebrany

CVE-2026-98826

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

rtc: ac100: Napraw dostawcę zegara po zwolnieniu w przypadku awarii sondy

ac100_rtc_register_clks() rejestruje zegar RTC-32k za pomocą
clk_hw_register_fixed_rate() i dostawca zegara za pomocą
of_clk_add_hw_provider(). Żadne z tych urządzeń nie jest zarządzane, a oba tak
zwolniony tylko z ac100_rtc_remove(). Rdzeń sterownika nie dzwoni
usuń() gdy sonda() nie powiedzie się: naprawdę_probe() osiąga poniżej sondę_failed
wywołanie urządzenia_remove() i od razu przejdzie do zwolnienia urządzenia
zarządzane zasoby.

ac100_rtc_probe() kończy się na

zwróć devm_rtc_register_device(chip->rtc);

więc jeśli to się nie powiedzie po zarejestrowaniu zegarów, dostawca tak
pozostawiony na globalnej liście of_clk_providers zawierający chip->clk_data, który
został przydzielony za pomocą devm_kzalloc() i jest zwalniany podczas odwijania sondy(). A
późniejsze sprawdzenie tego węzła drzewa urządzeń, a następnie wczytanie zwolnionej pamięci
of_clk_hw_onecell_get(). Konsumenci, którzy robią dokładnie to, istnieją w drzewie:
węzły sekwencji zasilania Wi-Fi na sun8i-a83t-bananapi-m3 i
sun8i-a83t-cubietruck-plus weź <&ac100_rtc 1> i płyty sun9i-a80
poprowadź osc32k przez <&ac100_rtc 0>. Okno jest wąskie, jak
devm_rtc_register_device() może zawieść tylko z -ENOMEM tutaj, ale
dostawca pozostaje zawieszony, ilekroć to robi.

Zegar RTC-32k wycieka tą samą ścieżką. Ponieważ clk_core_lookup()
przeszukuje listę globalną, która nie jest ograniczona do poszczególnych urządzeń, __clk_register()
odrzuca zduplikowaną nazwę z -EEXIST, więc wyciek następuje również później
awaria sondy tego samego urządzenia.

Ścieżka błędu zwracająca -EINVAL, gdy zegar nadrzędny ADDA 4M nie może
można znaleźć przecieki zegara RTC-32k w ten sam sposób. Żaden dostawca nie był
zarejestrowany w tym momencie, więc jest to raczej wyciek niż a
używać po-bezpłatnie.

Zarejestruj oba za pomocą devm_clk_hw_register_fixed_rate() i
devm_of_clk_add_hw_provider() tak, aby były zwalniane za każdym razem, gdy
urządzenie zniknie, zarówno w przypadku awarii sondy, jak i po rozłączeniu. Devres
uwalnia w odwrotnej kolejności nabycia, więc dostawca zostaje usunięty
zanim chip->clk_data zostanie zwolniony, a dzieci clkout są teraz
niezarejestrowane przed rodzicem, a nie po nim.
ac100_rtc_unregister_clks() i wywołanie zwrotne usuwania nie dają wtedy nic
pozostało do zrobienia i są usuwane.

In the Linux kernel, the following vulnerability has been resolved:

rtc: ac100: Fix clock provider use-after-free on probe failure

ac100_rtc_register_clks() registers the RTC-32k clock with
clk_hw_register_fixed_rate() and the clock provider with
of_clk_add_hw_provider(). Neither is device managed, and both are
released only from ac100_rtc_remove(). The driver core does not call
remove() when probe() fails: really_probe() reaches probe_failed below
the device_remove() call and goes straight to releasing the device's
managed resources.

ac100_rtc_probe() ends with

return devm_rtc_register_device(chip->rtc);

so if that fails after the clocks have been registered, the provider is
left on the global of_clk_providers list holding chip->clk_data, which
was allocated with devm_kzalloc() and is freed while probe() unwinds. A
later lookup on this device tree node then reads freed memory in
of_clk_hw_onecell_get(). Consumers that do exactly that exist in tree:
the wifi power sequence nodes on sun8i-a83t-bananapi-m3 and
sun8i-a83t-cubietruck-plus take <&ac100_rtc 1>, and the sun9i-a80 boards
route osc32k through <&ac100_rtc 0>. The window is narrow, as
devm_rtc_register_device() can only fail with -ENOMEM here, but the
provider is left dangling whenever it does.

The RTC-32k clock is leaked on the same path. Since clk_core_lookup()
searches a global list that is not scoped per device, __clk_register()
rejects the duplicate name with -EEXIST, so the leak also makes a later
probe of the same device fail.

The error path that returns -EINVAL when the ADDA 4M parent clock cannot
be found leaks the RTC-32k clock in the same way. No provider has been
registered at that point, so that one is a leak rather than a
use-after-free.

Register both with devm_clk_hw_register_fixed_rate() and
devm_of_clk_add_hw_provider() so that they are released whenever the
device goes away, on a failed probe as well as on unbind. Devres
releases in reverse order of acquisition, so the provider is removed
before chip->clk_data is freed, and the clkout children are now
unregistered before their parent rather than after it.
ac100_rtc_unregister_clks() and the remove callback then have nothing
left to do and are removed.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve