CVE-2026-99180 in Linux
الملخص
بحسب VulDB • 28/10/2026
في نواة لينكس، تم إصلاح الثغرة التالية:
unicode: تحرير الخريطة بعد فترة سماح (grace period)
تقوم الدالتان `generic_ci_d_hash()` و`generic_ci_d_compare()` بقراءة `sb->s_encoding` وإرجاع مرجع للخريطة unicode بينما يكون مسار المشي (pathwalk) في وضع RCU لا يحمل سوى قفل القراءة الخاص بـ RCU (`rcu_read_lock`). تقوم أنظمة الملفات التي تستخدمها، وهي ext4 وf2fs وtmpfs، بإسقاط الخريطة باستخدام `utf8_unload()` من دالة `->put_super()`، والتي تعمل عند زوال آخر مرجع للتثبيت (mount). إذا كان هناك بحث لا يزال داخل مثل هذه نظام الملفات في تلك اللحظة، فإنه يقرأ خريطة تم تحريرها بالفعل.
مع وجود مسار مشي متوقف في `utf8_casefold_hash()` بينما يختفي آخر مرجع لـ tmpfs مُطوي الحالة (casefolded):
BUG: KASAN: slab-use-after-free in utf8nlookup+0x74c/0x950 Read of size 8 at addr ff110001030fe658 by task walker/98 Call Trace: <TASK> utf8nlookup+0x74c/0x950 utf8byte+0x160/0x1560 utf8_casefold_hash+0x167/0x230 generic_ci_d_hash+0xdd/0x1c0 link_path_walk+0x11ad/0x1d30 path_lookupat+0x63/0xb00 filename_lookup+0x1f1/0x5b0 vfs_statx+0xd7/0x3b0 [...]
Allocated by task 94: __kmalloc_cache_noprof+0x249/0x560 utf8_load+0x4e/0x570 shmem_parse_opt_casefold.isra.0+0x92/0x270 [...]
Freed by task 97: kfree+0x1db/0x5b0 shmem_put_super+0x72/0x170 generic_shutdown_super+0x14c/0x530 kill_anon_super+0x3a/0x60 deactivate_locked_super+0x9c/0xf0 cleanup_mnt+0x9f/0x130
حتى الآن، كان من الصعب استغلال ذلك. تنتظر عملية `umount(2)` فترة سماح في `namespace_unlock()` قبل أن تزيل التثبيت (mount)، لذا فإن فقط تثبيتًا يختفي آخر مرجع له في مكان آخر، مثل إغلاق ملف أو تغيير الدليل (`chdir`) خارج دليل تم إلغاء تثبيته بشكل كسول (lazily unmounted)، يمكن أن يتنافس مع مشي المسار. لذلك فهو قابل للوصول.
تأخير التحرير حتى تمر فترة سماح. تنجو الخريطة وجدول البيانات الذي تحتفظ بمرجع له من أي مسار مشي عثر على كتلة السوبربلوك قبل زوال التثبيت. يتم أيضًا إسقاط المرجع على وحدة جدول البيانات من خلال استدعاء RCU (rcu callback). تُبنى `utf8-core` دائمًا عند تعيين `CONFIG_UNICODE`، لذا لا توجد عملية خروج الوحدة التي يجب أن تنتظر الاستدعاءات.
يشير Overlayfs إلى `s_encoding` للتراكب مع خريطة طبقتها الأولى دون أخذ مرجع خاص بها. يظل هذا صحيحًا. الطبقة محتفظ بها بواسطة التراكب (overlay)، لذلك يتم إسقاط خريطتها فقط بعد زوال التراكب.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.