CVE-2026-80784 in Linux
Zusammenfassung
von VulDB • 04.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
mptcp: pm: Behebung eines Speicherlecks durch eine Race-Bedingung zwischen Allokation und Teardown
mptcp_pm_destroy() leert msk->pm.anno_list und msk->pm.userspace_pm_local_addr_list unterhalb von msk->pm.lock während des Socket-Teardowns, wobei die Sperre (Lock) zwischen den beiden Vorgängen freigegeben wird.
Ein gleichzeitiger userspace-basierter PM genl ANNOUNCE auf demselben msk hält eine sock-Referenz über mptcp_token_get_sock() und ruft in mptcp_pm_nl_announce_doit() mptcp_userspace_pm_append_new_local_addr() sowie mptcp_pm_announced_alloc() auf. Beide Funktionen nehmen msk->pm.lock kurzzeitig, um Einträge zu ihren jeweiligen Listen hinzuzufügen. Da der genl-Handler eine sock-Referenz hält, kann mptcp_pm_destroy() über mptcp_disconnect(), das mptcp_destroy_common() aufruft, ohne die sock-Referenzzählung zuvor zu dekrementieren, auf denselben msk ausgeführt werden, bevor der Handler abgeschlossen ist.
Wenn sich die Lock-Akquisitionen so überschneiden (interleave), dass mptcp_pm_destroy() eine Liste zuerst leert, fügt die spätere Allokation ihren Eintrag an einen Listenkopf hinzu, den für diesen msk sonst niemand durchläuft, und der Eintritt wird nicht freigegeben („leakt“). kmemleak meldet sowohl mptcp_pm_add_addr-Objekte (von mptcp_pm_announced_alloc()) als auch mptcp_pm_addr_entry-Objekte (von mptcp_userspace_pm_append_new_local_addr()), wenn unter anhaltender gleichzeitiger ANNOUNCE + Close-Belastung gegen das userspace-basierte PM vorgegangen wird.
Es wurde ein MPTCP_PM_DESTROYING-Bit in msk->pm.status eingeführt, der von mptcp_pm_destroy() unter pm.lock festgelegt wird, bevor die Listen geleert werden, und der von den Allokationspfaden unter pm.lock überprüft wird. Entweder nimmt die Allokation zuerst pm.lock an, woraufhin sich ihr Eintrag in der Liste befindet, wenn er von mptcp_pm_destroy() freigegeben wird; oder mptcp_pm_destroy() nimmt zuerst pm.lock an, woraufhin die spätere Allokation das Bit erkennt und den Vorgang ablehnt.
Entdeckt durch einen MPTCP-Protokollfluss-Harness, der BRF erweitert (arXiv:2305.08782).
If you want to get best quality of vulnerability data, you may have to visit VulDB.