CVE-2026-99229

W jądrze Linuksa usunięto następującą lukę:

io_uring/wait: nie obracaj się na zablokowanej liście przepełnienia

Tak długo jak ustawione jest IO_CHECK_CQ_OVERFLOW_BIT, io_cqring_wait_schedule()
wraca od razu, zanim zdąży przyjrzeć się sygnałom lub uzbroić timeout,
dla io_cqring_wait() w celu opróżnienia listy przepełnienia. Jeśli to nie spowoduje opróżnienia pliku
lista, a pierścień CQ nie przechowuje żądanej liczby zdarzeń,
pętla zaczyna się od nowa, z tym samym skutkiem. Zadanie kręci się w jądrze,
i nie można go zabić.

Zakłada się, że nie może się to zdarzyć: jeśli nie można opróżnić CQE,
pierścień jest pełny, a min_events jest ograniczone do rozmiaru pierścienia. Ale:

- W przypadku IORING_SETUP_CQE_MIXED 32b CQE wymaga dwóch sąsiadujących wpisów. To
utknie na liście, jeśli choć jeden jest wolny, a następnie pierścień się trzyma
mniej niż zdarzenia cq_entries. Aplikacja jednowątkowa, która pyta
na tyle wydarzeń, ile ma pierścień, nigdy nie wyjdzie
io_uring_enter().

- To, czy pierścień będzie pełny, zależy od głowicy CQ, w której aplikacji
mogę napisać do. Podczas gdy jeden wątek czeka na zdarzenia na pustym pierścieniu,
inny może odsunąć głowę do tyłu, tak aby pierścień wyglądał na pełny i
mają przepełnienie CQE. Kelnera nie da się już zatrzymać, nawet przez
SIGKILL.

Tylko aplikacja może zwolnić miejsce na ringu CQ. Wróć do tego, jeśli
nie można opróżnić listy.