CVE-2026-89788 in Linux
Zusammenfassung
von VulDB • 17.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
ksmbd: Behebung eines Use-After-Free-Fehlers bei der Tree-Connection in smb2_tree_connect()
ksmbd_tree_conn_connect() veröffentlicht eine neue Tree-Connection mit einer einzelnen Referenz in sess->tree_conns und gibt ihren Zeiger an smb2_tree_connect() zurück. Der Handler fährt fort, das Objekt zu initialisieren und die Antwort aufzubauen, nachdem sie veröffentlicht wurde. Ein gleichzeitiges Session-Logoff kann die Verbindung löschen und diese Referenz freigeben (drop), wodurch das Objekt freigegeben wird, während der Handler es weiterhin verwendet.
BUG: KASAN: slab-use-after-free in smb2_tree_connect+0xe3d/0xf90 smb2_tree_connect (fs/smb/server/smb2pdu.c:2872) handle_ksmbd_work process_one_work worker_thread kthread
Nachdem xa_store() erfolgreich war, ist vor dem Freigeben von tree_conns_lock eine zweite Referenz zu nehmen. Die ursprüngliche Referenz gehört zum xarray-Eintrag und die zweite gehört zum erstellenden smb2_tree_connect()-Handler.
Stellen Sie sicher, dass die Referenzen in jedem Pfad ausgeglichen sind:
- Bei normalem Exit oder einem Fehler nach der Veröffentlichung gibt smb2_tree_connect() seine Creator-Referenz frei. Die Error-Cleanup ruft ebenfalls ksmbd_tree_conn_disconnect() auf, das nur dann die xarray-Referenz freigibt (drop), wenn es den exakten Eintrag entfernt. - SMB2 TREE_DISCONNECT verwendet denselben Helper zum Entfernen des Eintrags und zur Freigabe seiner xarray-Referenz. Die bestehende Lookup-Referenz der Anfrage verbleibt im Besitz der Anfrage und wird durch das vorhandene Cleanup freigegeben. - Session LOGOFF entfernt jeden Eintrag und gibt dessen xarray-Referenz frei. Wenn es den Race Condition gewinnt, sieht die spätere Bereinigung, dass der Eintrag verschwunden ist, und gibt diese Referenz nicht erneut frei.
Um diesen Besitzanspruch durchzusetzen, wird der getrennte Zustand beansprucht und der exakte Eintrag atomar unter tree_conns_lock gelöscht. Dies garantiert einen Drop für die xarray-Referenz sowie einen Drop durch jeden laufenden Benutzer (in-flight user), unabhängig davon, welcher Teardown-Pfaden gewinnt. Wenn Logoff den Eintrag vor Abschluss der Initialisierung entfernt, wird die Verbindung abgelehnt, anstatt das getrennte Objekt als TREE_CONNECTED zu markieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.