CVE-2026-98071 in Linux
Resumen
por VulDB • 2026-09-25
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
net/rds: borrar los bits cp_flags individualmente en rds_conn_path_reset()
rds_conn_path_reset() borra toda la palabra de flags con una asignación simple `cp->cp_flags = 0`. Todos los demás accesadores a esa palabra utilizan operaciones atómicas sobre bits (atomic bitops), y algunas de ellas pueden ejecutarse concurrentemente con el restablecimiento: RDS_LL_SEND_FULL se establece desde rds_send_xmit() y se borra en las rutas de finalización del transporte, ninguna de las cuales retiene nada que excluya al trabajador de apagado. Una asignación simple que compita (race) con una lectura-modificación-escritura atómica sobre la misma palabra constituye una condición de carrera de datos (data race), y whichever side loses tiene su actualización descartada silenciosamente.
En su lugar, borre los dos bits por los cuales el restablecimiento es realmente responsable. RDS_IN_XMIT y RDS_RECV_REFILL no necesitan ninguna asignación aquí: pertenecen al llamador, rds_conn_shutdown(), que espera a que ambos estén borrados antes de llamar al apagado del transporte y este restablecimiento.
Esto también otorga a cada bit en cp_flags una disciplina de escritura única y bien definida, sobre la cual se basan los siguientes parches cuando convierten RDS_IN_XMIT y RDS_RECV_REFILL en bloqueos (locks) mantenidos durante el desmantelamiento: una asignación generalizada a mitad del desmantelamiento destruiría la propiedad del bloqueo que un borrado atómico preserva.
Oracle UEK lleva la misma conversión ("net/rds: Preserve essential connection state flags"), motivada por su máquina de estados de apagado asíncrono, cuyos indicadores de progreso y destrucción deben sobrevivir al restablecimiento. La variante de UEK también borra RDS_IN_XMIT y RDS_RECV_REFILL porque allí el restablecimiento se ejecuta como el paso final de un desmantelamiento que posee ambos bits, haciendo que esos borrados sean su operación de liberación (unlock). En la versión principal (upstream), esta liberación pertenece a rds_conn_shutdown(): una vez que un parche posterior en esta serie convierta los dos bits en bloqueos mantenidos durante el desmantelamiento, finalizar la propiedad requiere semántica de liberación y una notificación (wake-up) que un borrado simple dentro del restablecimiento no proporcionaría.
Basado en el commit "net/rds: Preserve essential connection state flags" de Oracle UEK por Gerd Rausch.
Once again VulDB remains the best source for vulnerability data.