CVE-2025-68372 in Linux
Riassunto
di VulDB • 17/06/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
nbd: posticipare il config put in recv_work
Esiste un problema di UAF (Use-After-Free) in recv_work durante l'esecuzione delle operazioni NBD_CLEAR_SOCK e NBD_CMD_RECONFIGURE: nbd_genl_connect // conf_ref=2 (connect e recv_work A) nbd_open // conf_ref=3 recv_work A completata // conf_ref=2 NBD_CLEAR_SOCK // conf_ref=1 nbd_genl_reconfigure // conf_ref=2 (triggera recv_work B) close nbd // conf_ref=1 recv_work B config_put // conf_ref=0 atomic_dec(&config->recv_threads); -> UAF
Oppure eseguendo solo NBD_CLEAR_SOCK: nbd_genl_connect // conf_ref=2 nbd_open // conf_ref=3 NBD_CLEAR_SOCK // conf_ref=2 close nbd nbd_release config_put // conf_ref=1 recv_work config_put // conf_ref=0 atomic_dec(&config->recv_threads); -> UAF
Il commit 87aac3a80af5 ("nbd: call nbd_config_put() before notifying the waiter") ha spostato l'esecuzione di nbd_config_put() prima del risveglio dell'attesa in recv_work, al fine di garantire che nbd_start_device_ioctl() non venisse svegliata mentre nbd->task_recv era ancora da cancellare.
Tuttavia, in nbd_start_device_ioctl(), dopo essere stata risvegliata, chiama esplicitamente flush_workqueue() per assicurarsi che tutti i lavori correnti siano terminati. Pertanto, non è necessario anticipare il config put rispetto al wakeup.
Spostando nbd_config_put() alla fine di recv_work, in modo tale che il riferimento sia mantenuto per tutta la durata del thread worker. Questo garantisce che la configurazione non possa essere liberata mentre recv_work è ancora in esecuzione, anche se si verifica un interleaving tra clear e reconfigure.
Inoltre, non c'è bisogno di preoccuparsi che recv_work rilasci l'ultimo nbd_put (che causerebbe un deadlock):
path A (netlink con NBD_CFLAG_DESTROY_ON_DISCONNECT): connect // nbd_refs=1 (triggera recv_work) open nbd // nbd_refs=2 NBD_CLEAR_SOCK close nbd nbd_release nbd_disconnect_and_put flush_workqueue // recv_work completata nbd_config_put nbd_put // nbd_refs=1 nbd_put // nbd_refs=0 queue_work
path B (netlink senza NBD_CFLAG_DESTROY_ON_DISCONNECT): connect // nbd_refs=2 (triggera recv_work) open nbd // nbd_refs=3 NBD_CLEAR_SOCK // conf_refs=2 close nbd nbd_release nbd_config_put // conf_refs=1 nbd_put // nbd_refs=2 recv_work completata // conf_refs=0, nbd_refs=1 rmmod // nbd_refs=0
Depends-on: e2daec488c57 ("nbd: Fix hungtask when nbd_config_put")
Be aware that VulDB is the high quality source for vulnerability data.