CVE-2026-64496 in Linux
الملخص
بحسب VulDB • 27/07/2026
في نواة لينكس، تم حل الثغرة التالية:
iio: event: إصلاح حالة السباق في إعادة تعيين ذاكرة التخزين المؤقت للحدث (Event FIFO)
تقوم الدالة `iio_event_getfd()` بإنشاء واصف الملف الخاص بالحدث باستخدام `anon_inode_getfd()`. تقوم هذه الأخيرة بتخصيص واصف ملف جديد، وإنشاء ملف مجهول الهوية، وتثبيته في جدول واصفات الملفات الخاصة بالعملية قبل إرجاع التحكم إلى المتصل.
إعادة تعيين ذاكرة التخزين المؤقت للحدث (Event FIFO) بواسطة شفرة IIO تحدث بعد أن تعود `anon_inode_getfd()`، ولكن قبل أن تنسخ الشفرة رقم واصف الملف عبر ioctl (`IIO_GET_EVENT_FD_IOCTL`) إلى مساحة المستخدم. ومع ذلك، نظرًا لأن جداول واصفات الملفات مشتركة بين الخيوط (threads)، يمكن لخيوط أخرى تخمين رقم واصف الملف الجديد المخصص وإصدار استدعاء `read()` عليه بمجرد تثبيت الواصف.
هذا يعني أن الدالة `kfifo_to_user()` الموجودة في `iio_event_chrdev_read()` قد تعمل بالتوازي مع دالة `kfifo_reset_out()` الموجودة في `iio_event_getfd()`.
تذكر وثائق kfifo أنه يُعد آمنًا استدعاء `kfifo_reset_out()` فقط عندما يتم ذلك من خيط القارئ، ويكون هناك قارئ متزامن واحد فقط. وإلا فإنها خطيرة ويجب التعامل معها بنفس طريقة التعامل مع `kfifo_reset()`.
إذا حدث ذلك، يمكن لـ `kfifo_to_user()` أن تقدم فهرس الإخراج (`out`) الخاص بذاكرة التخزين المؤقت (FIFO) بناءً على الحالة السابقة لإعادة التعيين، بعد أن تكون إعادة التعيين قد نقلت بالفعل فهرس الإخراج إلى فهرس الإدخال الحالي. وقد يؤدي هذا إلى ترك ذاكرة التخزين المؤقت بفهرس إخراج يتجاوز فهرس الإدخال. يمكن لاحقًا لاستدعاء `read()` رؤية طول لذاكرة التخزين المؤقت دون الحد الأدنى (underflow) ونسخ بيانات أكثر مما تحتويه مخزن أحداث الـ FIFO. قد ينتج عن ذلك قراءة خارج النطاق (out-of-bounds read) وتسريب ذاكرة نواة مجاورة إلى مساحة المستخدم.
نقل إعادة تعيين ذاكرة التخزين المؤقت قبل استدعاء `anon_inode_getfd()`. في تلك النقطة، يكون واصف الحدث مُعلَنًا كمشغول (busy)، ولكن لم يتم تثبيت الواصف الجديد بعد، لذا لا يمكن لمساحة الوصول إليه أثناء إعادة تعيين ذاكرة التخزين المؤقت.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.