Odebrany

CVE-2026-99207

opublikowano: 28.10.2026, 12:17

modyfikacja: 28.10.2026, 12:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

scsi: cel: Wyłącz przerwania, przytrzymując opóźniony_cmd_lock

target_do_delayed_work() pobiera dev->delayed_cmd_lock za pomocą zwykłego
spin_lock(). Działa z system_percpu_wq, więc przerwania pozostają włączone
podczas gdy zamek jest trzymany. Każde inne nabycie tego zamka wykorzystuje
spin_lock_irqsave(): target_handle_task_attr() i
transport_complete_ordered_sync() w target_core_transport.c i
target_non_ordered_release() w target_core_device.c.

Było to bezpieczne, dopóki każdy wywołujący funkcję transport_complete_task_attr() działał
w kontekście procesu: target_complete_ok_work() z target_completion_wq,
transport_complete_qf() z dev->qf_work_queue i
transport_generic_request_failure() ze ścieżek przesyłania i wykonywania.

Od zatwierdzenia 06933066d88a („scsi: target: Dodaj obsługę uzupełniania
polecenia z kontekstu zaplecza”), co nie jest już prawdą. Z
complete_type=1 na tkaninie, która ustawia direct_compl_supp,
target_complete() uruchamia funkcję target_complete_ok_work() inline w backendie
kontekst zakończenia, który target_complete_cmd_with_sense() dokumentuje jako
„Można wywołać z kontekstu przerwania”. W przypadku iblocka jest to biografia
koniec_io.

target_complete_ok_work() zaczyna się od transport_complete_task_attr(),
który przyjmuje opóźniony_cmd_lock na dwa sposoby:

- Każde polecenie ORDERED jest umieszczane na dev->delayed_cmd_list przez
target_handle_task_attr() i stamtąd wysyłane przez
target_do_delayed_work(), co oznacza, że jest to SCF_TASK_ORDERED_SYNC. Jego
dlatego zakończenie przechodzi przez transport_complete_ordered_sync().

- PROSTE polecenie, które kończy się w oczekiwaniu na polecenie ORDERED
usuwa ostatnie odniesienie do zabitego dewelopera->non_ordered i
percpu_ref_put() następnie uruchamia target_non_ordered_release() w pliku
uzupełnienie kontekstu.

Obaj biorą zamek i, jeśli polecenia czekają, zadzwoń
harmonogram_pracy(&dev->delayed_cmd_work), który ustawia się w kolejce na system_percpu_wq,
tj. na procesorze, który zakończył operację. Dalsze realizacje dla
ta sama kolejka jest zazwyczaj dostarczana tam również, więc jedna przybywa w trakcie
praca trzyma zamek, obraca się na nim na zawsze.

Osiągnięcie tego wymaga pełnego_typu = 1, co nie jest ustawieniem domyślnym
(vhost-scsi, jedyna tkanina z direct_compl_supp, domyślnie to
TARGET_QUEUE_COMPL), backend, którego operacje we/wy kończą się po przerwaniu
kontekst i polecenia ORDERED od inicjatora. Linux virtio_scsi
goście wysyłają tylko VIRTIO_SCSI_S_SIMPLE i nigdy nie podążają zamówioną ścieżką;
każdy gość korzystający z atrybutu zadania ORDERED, który vhost-scsi
akceptuje, robi.

target_do_delayed_work() jest elementem pracy i zawsze jest wykonywany
kontekście, więc spin_lock_irq() jest wystarczająca.

Znaleziono podczas kontroli; brak raportu wykonawczego. Zostaje wydane pojedyncze polecenie ORDERED
przez oba przejęcia, więc przy CONFIG_PROVE_LOCKING pierwszym
ukończone poprzez bezpośrednie uzupełnienie powinno spowodować niespójną blokadę
raport stanu dotyczący opóźnionego_cmd_locka (hardirq lub softirq, w zależności od tego, gdzie
backend zostanie ukończony).

In the Linux kernel, the following vulnerability has been resolved:

scsi: target: Disable interrupts while holding delayed_cmd_lock

target_do_delayed_work() takes dev->delayed_cmd_lock with a plain
spin_lock(). It runs from system_percpu_wq, so interrupts stay enabled
while the lock is held. Every other acquisition of that lock uses
spin_lock_irqsave(): target_handle_task_attr() and
transport_complete_ordered_sync() in target_core_transport.c, and
target_non_ordered_release() in target_core_device.c.

That was safe while every caller of transport_complete_task_attr() ran
in process context: target_complete_ok_work() from target_completion_wq,
transport_complete_qf() from dev->qf_work_queue, and
transport_generic_request_failure() from the submit and execute paths.

Since commit 06933066d88a ("scsi: target: Add support for completing
commands from backend context") that is no longer true. With
complete_type=1 on a fabric that sets direct_compl_supp,
target_complete() runs target_complete_ok_work() inline in the backend's
completion context, which target_complete_cmd_with_sense() documents as
"May be called from interrupt context". For iblock that is the bio
end_io.

target_complete_ok_work() starts with transport_complete_task_attr(),
which takes delayed_cmd_lock in two ways:

- Every ORDERED command is put on dev->delayed_cmd_list by
target_handle_task_attr() and dispatched from there by
target_do_delayed_work(), which marks it SCF_TASK_ORDERED_SYNC. Its
completion therefore goes through transport_complete_ordered_sync().

- A SIMPLE command that completes while an ORDERED command is pending
drops the last reference to the killed dev->non_ordered, and
percpu_ref_put() then runs target_non_ordered_release() in the
completing context.

Both take the lock and, if commands are waiting, call
schedule_work(&dev->delayed_cmd_work), which queues on system_percpu_wq,
i.e. on the CPU that took the completion. Further completions for the
same queue are typically delivered there too, so one arriving while the
work holds the lock spins on it forever.

Reaching this needs complete_type=1, which is not the default
(vhost-scsi, the only fabric with direct_compl_supp, defaults to
TARGET_QUEUE_COMPL), a backend whose I/O completes from interrupt
context, and ORDERED commands from the initiator. Linux virtio_scsi
guests send only VIRTIO_SCSI_S_SIMPLE and never take the ordered path;
any guest that uses the ORDERED task attribute, which vhost-scsi
accepts, does.

target_do_delayed_work() is a work item and always runs in process
context, so spin_lock_irq() is sufficient.

Found by inspection; no runtime report. A single ORDERED command goes
through both acquisitions, so with CONFIG_PROVE_LOCKING the first one
completed through direct completion should produce an inconsistent lock
state report on delayed_cmd_lock (hardirq or softirq, depending on where
the backend completes).

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve