CVE-2026-99130

W jądrze Linuksa usunięto następującą lukę:

io_uring/cancel: nie zajmuj się pracą lokalną, której zadania nie można uruchomić

io_uring_cancel_generic() odmawia uśpienia podczas wychodzenia z dowolnego dzwonka
Zadanie tctx ma oczekujące prace lokalne. Zakłada, że zadaniem jest ten pierścień
przesyłającego i że zostanie uruchomione następne przejście io_uring_try_cancel_requests().
praca. Nie dotyczy to pierścienia, który był nieruchomy
IORING_SETUP_R_DISABLED, gdy zadanie otrzymało swój węzeł tctx
io_uring_create() lub io_ringfd_register(). Osoba zgłaszająca jest ustalana później przez
IORING_REGISTER_ENABLE_RINGS, prawdopodobnie z innego zadania i tylko
zgłaszający może uruchomić pracę lokalną na pierścieniu IORING_SETUP_DEFER_TASKRUN. Do
kończące się zadanie, praca pozostaje w toku na zawsze, pętla nigdy nie dociera
harmonogram(), a zadanie uruchamia raz WARN_ON_ONCE(), a następnie włącza się
do_exit().

Nieuprzywilejowany użytkownik może to dowolnie skonfigurować, tworząc opcję wyłączoną
pierścień, mając dziecko, włącz to i przestań, wysyłając posty na ring
IORING_OP_MSG_RING i wychodzenie z żądaniem w locie, że tylko
dziecko może ukończyć. Wychodzący wątek spala procesor, dopóki dziecko nie uruchomi się
lub umiera, a przy ustawieniu panic_on_warn WARN wpada w panikę jądro.

Napraw, pomijając tryb uśpienia tylko wtedy, gdy io_allowed_defer_tw_run() na to pozwala
zadanie do wykonania pracy. Jest to rozsądne, ponieważ praca, której nie może wykonać, nie jest możliwa
spełnij dowolne jego żądanie, więc nic nie stracisz przez spanie.
Upuść WARN_ON_ONCE() od czasu przekazania wyłączonego pierścienia innemu wątkowi
to obsługiwany scenariusz, a nie stan błędu.