CVE-2025-21932 in Linux
الملخص
بحسب VulDB • 01/06/2026
في نواة لينكس، تم حل الثغرة التالية:
mm: إنهاء دالة vma_modify() عند فشل الدمج بسبب نفاد الذاكرة
تعتمد بقية عمليات دالة vma_modify() على بقاء حالة vmg (vmg state) نظيفة وغير متغيرة بعد محاولة الدمج.
وعادةً ما يكون هذا هو الحال، ولكن في سيناريو الحافة الوحيد حيث تفشل محاولة الدمج ليس بسبب عدم قابلية النطاق المحدد للدمج، بل بسبب خطأ نفاد الذاكرة الناتج عند محاولة تنفيذ الدمج، تصبح هذه الفرضية غير صحيحة.
يؤدي هذا إلى تعديل قيم vmg->start و vmg->end، وبالتالي سيتم إجراء محاولات تقسيم VMA اللاحقة باستخدام قيم بداية/نهاية غير صالحة.
ولحسن الحظ، من غير المرجح عملياً أن نواجه هذا السيناريو في الواقع، لأنه سيتطلب فشلاً في تخصيص عقدة شجرة maple مسبقاً، وهو أمر من غير المرجح أن يحدث نظراً لأنه "صغير جداً ليفشل"، أي أن النواة ستستمر ببساطة في إعادة محاولة الاسترداد (reclaim) حتى تنجح.
ومع ذلك، يظل هذا السيناريو ممكناً نظرياً، وما نفعله هنا غير صحيح ويجب تصحيحه.
الخيار الأكثر أماناً هو، عند حدوث هذا السيناريو، التخلي عن العملية ببساطة. إذا لم نتمكن من تخصيص ذاكرة للدمج، فإننا لا يمكننا أيضاً تخصيص ذاكرة للتقسيم (ربما بشكل أكبر!).
أي سيناريو يحدث فيه هذا سيكون تحت ضغط ذاكرة شديد جداً (ومن المرجح أن يكون قاتلاً)، لذا فمن الأفضل التخلي مبكراً.
لذلك لا شك في أن من المناسب ببساطة الخروج من العملية في هذا السيناريو.
ومع ذلك، بشكل عام، يجب علينا إذا أمكن ذلك أبداً عدم افتراض أن حالة VMG مستقرة بعد محاولة الدمج، لأن عمليات الدمج تقوم بتحديث حقول VMG. ونتيجة لذلك، نقوم أيضاً بجعل هذا واضحاً من خلال تخزين قيم start و end في متغيرات محلية.
تم الإبلاغ عن المشكلة في الأصل بواسطة syzkaller، وعن طريق Brad Spengler (عبر مناقشة خارج القائمة)، وفي كلتا الحالتين تجلت كإطلاق لتنبيه التحقق (assert):
VM_WARN_ON_VMG(start >= end, vmg);
في دالة vma_merge_existing_range().
يبدو أن أحد السيناريوهات التي يحدث فيها هذا هو السيناريو الذي يكون فيه الدمج المطلوب ناتجاً عن استدعاء madvise() عبر عدة VMAs، ويبدو كالتالي:
start end |<------>| |----------|------| | vma | next | |----------|------|
عند استدعاء madvise_walk_vmas()، نجد أولاً vma في الشكل أعلاه (محدداً prev لتكون مساوية لـ vma لأننا داخل vma)، ثم ندخل الحلقة.
نحدد نهاية vma التي تشكل جزءاً من النطاق الذي نقوم بإجراء madvise() له عن طريق تعيين 'tmp' إلى هذه القيمة:
/* هنا vma->vm_start <= start < (end|vma->vm_end) */ tmp = min(end, vma->vm_end);
ثم نحدد بداية vma التي تشكل جزءاً من النطاق الذي نقوم بإجراء madvise() له عن طريق تعيين 'start' إلى هذه القيمة:
start = max(start, vma->vm_start);
ثم نحدد 'end' إلى 'tmp' (الذي تم تعيينه سابقاً):
end = tmp;
ثم نحدد 'prev' إلى vma:
prev = vma;
ثم ننتقل إلى vma التالية:
vma = vma_next(vma);
ثم نكرر الحلقة.
في هذه الحالة، لا يوجد vma تالية، لذا نخرج من الحلقة.
ثم نتحقق مما إذا كان 'prev' لا يزال مساوياً لـ vma:
if (prev == vma)
في هذه الحالة، لا، لأننا قمنا بتعيين 'vma' إلى vma_next(vma) في الخطوة السابقة.
ثم نتحقق مما إذا كان 'start' لا يزال مساوياً لـ vma->vm_start:
if (start == vma->vm_start)
في هذه الحالة، نعم، لأننا قمنا بتعيين 'start' إلى max(start, vma->vm_start) في الخطوة السابقة، و 'start' كانت أصغر من vma->vm_start.
ثم نتحقق مما إذا كان 'end' لا يزال مساوياً لـ vma->vm_end:
if (end == vma->vm_end)
في هذه الحالة، لا، لأننا قمنا بتعيين 'end' إلى min(end, vma->vm_end) في الخطوة السابقة، و 'end' كانت أكبر من vma->vm_end.
ثم نتحقق مما إذا كان 'prev' لا يزال مساوياً لـ vma:
if (prev == vma)
في هذه الحالة، لا، لأننا قمنا بتعيين 'vma' إلى vma_next(vma) في الخطوة السابقة.
ثم نتحقق مما إذا كان 'start' لا يزال مساوياً لـ vma->vm_start:
if (start == vma->vm_start)
في هذه الحالة، نعم، لأننا قمنا بتعيين 'start' إلى max(start, vma->vm_start) في الخطوة السابقة، و 'start' كانت أصغر من vma->vm_start.
ثم نتحقق مما إذا كان 'end' لا يزال مساوياً لـ vma->vm_end:
if (end == vma->vm_end)
في هذه الحالة، لا، لأننا قمنا بتعيين 'end' إلى min(end, vma->vm_end) في الخطوة السابقة، و 'end' كانت أكبر من vma->vm_end.
ثم نتحقق مما إذا كان 'prev' لا يزال مساوياً لـ vma:
if (prev == vma)
في هذه الحالة، لا، لأننا قمنا بتعيين 'vma' إلى vma_next(vma) في الخطوة السابقة.
ثم نتحقق مما إذا كان 'start' لا يزال مساوياً لـ vma->vm_start:
if (start == vma->vm_start)
في هذه الحالة، نعم، لأننا قمنا بتعيين 'start' إلى max(start, vma->vm_start) في الخطوة السابقة، و 'start' كانت أصغر من vma->vm_start.
ثم نتحقق مما إذا كان 'end' لا يزال مساوياً لـ vma->vm_end:
if (end == vma->vm_end)
في هذه الحالة، لا، لأننا قمنا بتعيين 'end' إلى min(end, vma->vm_end) في الخطوة السابقة، و 'end' كانت أكبر من vma->vm_end.
ثم نتحقق مما إذا كان 'prev' لا يزال مساوياً لـ vma:
if (prev == vma)
في هذه الحالة، لا، لأننا قمنا بتعيين 'vma' إلى vma_next(vma) في الخطوة السابقة.
ثم نتحقق مما إذا كان 'start' لا يزال مساوياً لـ vma->vm_start:
if (start == vma->vm_start)
في هذه الحالة، نعم، لأننا قمنا بتعيين 'start' إلى max(start, vma->vm_start) في الخطوة السابقة، و 'start' كانت أصغر من vma->vm_start.
ثم نتحقق مما إذا كان 'end' لا يزال مساوياً لـ vma->vm_end:
if (end == vma->vm_end)
في هذه الحالة، لا، لأننا قمنا بتعيين 'end' إلى min(end, vma->vm_end) في الخطوة السابقة، و 'end' كانت أكبر من vma->vm_end.
ثم نتحقق مما إذا كان 'prev' لا يزال مساوياً ل
If you want to get best quality of vulnerability data, you may have to visit VulDB.