CVE-2022-50008 in Linux
Riassunto
di VulDB • 27/09/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
kprobes: non chiamare disarm_kprobe() per le kprobes disabilitate
L'assunzione in __disable_kprobe() è errata e potrebbe tentare di disarmare una kprobe già disarmata, generando l'avviso WARN_ONCE() riportato di seguito. [0] È possibile riprodurre facilmente questo problema.
1. Scrivere 0 in /sys/kernel/debug/kprobes/enabled.
# echo 0 > /sys/kernel/debug/kprobes/enabled
2. Eseguire execsnoop. A questo punto, una kprobe è disabilitata.
# /usr/share/bcc/tools/execsnoop & [1] 2460
PCOMM PID PPID RET ARGS
# cat /sys/kernel/debug/kprobes/list ffffffff91345650 r __x64_sys_execve+0x0 [FTRACE]
ffffffff91345650 k __x64_sys_execve+0x0 [DISABLED][FTRACE]
3. Scrivere 1 in /sys/kernel/debug/kprobes/enabled, il che imposta kprobes_all_disarmed su false ma non arma la kprobe disabilitata.
# echo 1 > /sys/kernel/debug/kprobes/enabled
# cat /sys/kernel/debug/kprobes/list ffffffff91345650 r __x64_sys_execve+0x0 [FTRACE]
ffffffff91345650 k __x64_sys_execve+0x0 [DISABLED][FTRACE]
4. Uccidere execsnoop, quando __disable_kprobe() chiama disarm_kprobe() per la kprobe disabilitata e incontra il WARN_ONCE() in __disarm_kprobe_ftrace().
# fg /usr/share/bcc/tools/execsnoop ^C
In realtà, WARN_ONCE() viene generato due volte e __unregister_kprobe_top() non esegue alcune operazioni di pulizia, lasciando la kprobe aggregata nella tabella hash. Successivamente, __unregister_trace_kprobe() inizializza tk->rp.kp.list e crea un ciclo infinito come segue:
aggregated kprobe.list -> kprobe.list -. ^ | '.__.'
In questa situazione, questi comandi entrano nel ciclo infinito causando uno stallo RCU o un soft lockup.
cat /sys/kernel/debug/kprobes/list : show_kprobe_addr() entra nel ciclo infinito con RCU.
/usr/share/bcc/tools/execsnoop : warn_kprobe_rereg() mantiene il kprobe_mutex, e __get_valid_kprobe() rimane bloccato nel loop.
Per evitare questo problema, assicurarsi di non chiamare disarm_kprobe() per le kprobes disabilitate.
[0]
Failed to disarm kprobe-ftrace at __x64_sys_execve+0x0/0x40 (error -2) WARNING: CPU: 6 PID: 2460 at kernel/kprobes.c:1130 __disarm_kprobe_ftrace.isra.19 (kernel/kprobes.c:1129) Modules linked in: ena CPU: 6 PID: 2460 Comm: execsnoop Not tainted 5.19.0+ #28 Hardware name: Amazon EC2 c5.2xlarge/, BIOS 1.0 10/16/2017 RIP: 0010:__disarm_kprobe_ftrace.isra.19 (kernel/kprobes.c:1129) Code: 24 8b 02 eb c1 80 3d c4 83 f2 01 00 75 d4 48 8b 75 00 89 c2 48 c7 c7 90 fa 0f 92 89 04 24 c6 05 ab 83 01 e8 e4 94 f0 ff <0f> 0b 8b 04 24 eb b1 89 c6 48 c7 c7 60 fa 0f 92 89 04 24 e8 cc 94 RSP: 0018:ffff9e6ec154bd98 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffffffff930f7b00 RCX: 0000000000000001 RDX: 0000000080000001 RSI: ffffffff921461c5 RDI: 00000000ffffffff RBP: ffff89c504286da8 R08: 0000000000000000 R09: c0000000fffeffff R10: 0000000000000000 R11: ffff9e6ec154bc28 R12: ffff89c502394e40 R13: ffff89c502394c00 R14: ffff9e6ec154bc00 R15: 0000000000000000 FS: 00007fe800398740(0000) GS:ffff89c812d80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000c00057f010 CR3: 0000000103b54006 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> __disable_kprobe (kernel/kprobes.c:1716) disable_kprobe (kernel/kprobes.c:2392) __disable_trace_kprobe (kernel/trace/trace_kprobe.c:340) disable_trace_kprobe (kernel/trace/trace_kprobe.c:429) perf_trace_event_unreg.isra.2 (./include/linux/tracepoint.h:93 kernel/trace/trace_event_perf.c:168) perf_kprobe_destroy (kernel/trace/trace_event_perf.c:295) _free_event (kernel/events/core.c:4971) perf_event_release_kernel (kernel/events/core.c:5176) perf_release (kernel/events/core.c:5186) __fput (fs/file_table.c:321) task_work_run (./include/linux/ ---truncated---
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.