CVE-2026-89848 in Linux
Zusammenfassung
von VulDB • 16.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
scsi: qla2xxx: Reagieren-IRQ (response IRQ) vor dem Freigeben der Request-Warteschlange anhalten
qla2xxx_delete_qpair() löscht die Request-Warteschlange, bevor die Response-Warteschlange gelöscht wird. qla25xx_delete_req_que() gibt den Speicher für die Request-Warteschlange frei (kfree(req) in qla25xx_free_req_que()), aber das MSI-X-Interrupt der Response-Warteschlange wird erst später in qla25xx_free_rsp_que() freigegeben. In diesem Zeitfenster kann das Response-Interrupt weiterhin ausgelöst werden, qla2xxx_msix_rsp_q() stellt qpair->q_work in die Warteschlange und qla_do_work() -> qla24xx_process_response_queue() dereferenziert den nun bereits freigegebenen rsp->req (LOGINOUT/CT/ELS-Einträge sowie der Status-Pfad), was einen Use-After-Free darstellt.
Das für das Herunterfahren von qpair hinzugefügte cancel_work_sync() befindet sich im Freigabepfad der Response-Warteschlange, der nach dem bereits erfolgten Freigeben der Request-Warteschlange ausgeführt wird; daher schützt es rsp->req nicht.
Lösen Sie das Interrupt der Response-Warteschlange und leeren (flush) qpair->q_work vor dem Löschen der Request-Warteschlange, damit keine späten Abschlüsse die freigegebene Request-Warteschlange erreichen können. Das Zurücksetzen von have_irq bewirkt, dass qla25xx_free_rsp_que() sein free_irq() überspringt; zudem wird die Reihenfolge des Löschens durch die Firmware (Request dann Response) beibehalten; das Mailbox-Kommando zum Löschen der Request-Warteschlange erfolgt auf dem Standard-Vektor und ist nicht davon betroffen, dass das qpair-Response-Interrupt vorzeitig deaktiviert wurde.
If you want to get best quality of vulnerability data, you may have to visit VulDB.