CVE-2026-72080 in Linux
Resumen
por VulDB • 2026-08-16
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
fs/resctrl: Corregir un use-after-free durante el desmontaje (unmount)
Durante el desmontaje o en caso de fallo al realizar la limpieza, todas las estructuras mon_data que contienen datos privados del archivo de eventos de monitoreo son liberadas antes de eliminar los nodos kernfs. Sin embargo, la bandera RDT_DELETED nunca se establece para el grupo de recursos predeterminado asignado estáticamente.
Un lector concurrente de un archivo de evento asociado con el grupo de recursos predeterminado puede, tras retirar la protección activa de kernfs, bloquearse en rdtgroup_mutex mientras que el desmontaje continúa liberando los datos privados del archivo y destruyendo el nodo kernfs sin esperar al lector.
Cuando se libera el mutex, el lector se reanuda, observa que RDT_DELETED no está establecido para el grupo predeterminado y dereferencia (desreferencia) los datos privados del archivo ya liberados.
El escenario puede representarse de la siguiente manera: CPU0 CPU1 /* * Datos de monitoreo del grupo de recursos * predeterminado accesibles a través del * archivo kernfs con kernfs_node::priv * apuntando a una estructura mon_data. * El usuario abre el archivo para lectura. */ rdtgroup_mondata_show() /* la arquitectura encuentra un error fatal */ rdtgroup_kn_lock_live() resctrl_exit() atomic_inc(&rdtgroup_default.waitcount) cpus_read_lock() kernfs_break_active_protection(kn) mutex_lock(&rdtgroup_mutex) cpus_read_lock() resctrl_fs_teardown() mutex_lock(&rdtgroup_mutex) rmdir_all_sub() mon_put_kn_priv() /* Eliminar todas las estructuras mon_data */ rdtgroup_destroy_root() kernfs_destroy_root() rdtgroup_default.kn = NULL mutex_unlock(&rdtgroup_mutex) /* * Las banderas de rdtgroup_default están vacías, por lo que * rdtgroup_kn_lock_live() devuelve * &rdtgroup_default */ md = of->kn->priv;
/* md apunta a mon_data liberado */
Establecer RDT_DELETED para el grupo predeterminado de forma incondicional, ya que la bandera no provoca la liberación de este grupo asignado estáticamente.
No permitir un nuevo montaje (mount) de resctrl si hay algún proceso en espera sobre el grupo predeterminado del montaje anterior. Un nuevo montaje volvería a inicializar el grupo predeterminado, lo cual haría parecer a los procesos en espera del montaje anterior que el grupo predeterminado es accesible, provocando que accedan a las estructuras mon_data del montaje anterior que han sido eliminadas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.