Odebrany

CVE-2026-99255

opublikowano: 03.11.2026, 13:17

modyfikacja: 03.11.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

io_uring/io-wq: nie ukrywaj linku przed anulowaniem

Zadanie, które zakończy działanie, anuluje śledzone żądania i czeka, aż tak się stanie
zniknął. io_uring_cancel_generic() wyszukuje wszędzie, gdzie może pojawić się żądanie, i
idzie spać, jeśli nie znajdzie nic do anulowania. Budzi się za każdym razem
jedno z żądań zadania zostało zakończone pracą zadaniową lub zwolnione.

Kiedy io-wq zakończy działanie z żądaniem zawierającym łącze, następuje moment, w którym
nie można znaleźć kolejnego żądania linku:

io_worker_handle_work()
io_sign_current_work(pracownik, NULL)
io_wq_free_work(praca)
io_req_find_next() // usuwa link z żądania
io_free_req() // praca nad zadaniem
io_sign_current_work(pracownik, połączony)
io_run_task_work()
cond_resched()
pracownik->cur_work = połączony

Nie jest w toku, nie jest to bieżące dzieło pracownika i nie jest
jeszcze na liście, na której ma zostać zaparkowany. Jeśli przepustka ta
stwierdza, że zakończenie zadania z powodu io_free_req() przypada na ten czas
nic i zadanie idzie spać. Następnie pracownik uruchamia łącze, które
IO_WQ_BIT_EXIT nie zapobiega pracy ograniczonej. Jeśli to parkuje żądanie
nic nie jest ukończone ani zwolnione i nikt nie budzi zadania. Jeśli jest to
proces, który go kończy, nie może już zostać zabity.

NIE, IOSQE_ASYNC | IOSQE_IO_LINK
FUTEX_WAIT, FUTEX2_PRIVATE
wyjście z wątku lub procesu do 63 lat później

Przy czterech z nich na rundę zawiesza się od 5 do 8 z 10 000 rund (4 procesory, KVM):

io_uring_cancel_generic
zrób_wyjście

Zatwierdzenie f8b632e89a10 („io_uring: zaostrz anulowanie zakończenia zadania”) wynosi około
tę samą lukę i sprawia, że zadanie ponownie szuka tego, co wydarzyło się wcześniej
io_free_req().

Uwolnij żądanie, gdy link będzie bieżącym dziełem pracownika, lub
w toku. Ktokolwiek się tym obudzi, może znaleźć łącze, dopóki nie zostanie zaparkowane
gdzie również wyglądają odwołania. Aby to zrobić, podziel io_wq_free_work() na dwie części.

In the Linux kernel, the following vulnerability has been resolved:

io_uring/io-wq: don't hide a link from cancellations

A task that exits cancels its tracked requests and waits until they are
gone. io_uring_cancel_generic() looks everywhere a request can be, and
goes to sleep if it found nothing to cancel. It is woken up each time
one of the requests of the task is completed by task work or freed.

When io-wq is done with a request that has a link, there is a time in which
the next request of the link can't be found:

io_worker_handle_work()
io_assign_current_work(worker, NULL)
io_wq_free_work(work)
io_req_find_next() // takes the link off the request
io_free_req() // task work for the task
io_assign_current_work(worker, linked)
io_run_task_work()
cond_resched()
worker->cur_work = linked

It is not pending, it is not the current work of a worker, and it is not
yet on the list that it is about to be parked on. If the pass that the
exiting task makes because of io_free_req() falls into that time, it finds
nothing and the task goes to sleep. The worker then runs the link, which
IO_WQ_BIT_EXIT doesn't prevent for bounded work. If that parks the request
nothing is completed or freed, and nobody wakes up the task. If it is the
process that exits it can't be killed any more either.

NOP, IOSQE_ASYNC | IOSQE_IO_LINK
FUTEX_WAIT, FUTEX2_PRIVATE
exit of the thread, or of the process, up to 63us later

With four of these per round 5 to 8 of 10,000 rounds hang (4 CPUs, KVM):

io_uring_cancel_generic
do_exit

Commit f8b632e89a10 ("io_uring: tighten task exit cancellations") is about
the same gap, and makes the task look again for whatever happens before
io_free_req().

Free the request once the link is the current work of the worker, or
pending. Whoever is woken up by that can find the link, until it is parked
where cancellations look as well. To do so split io_wq_free_work() in two.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve