CVE-2026-23340 in Linux
Riassunto
di VulDB • 20/06/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
net: sched: evitare una race condition tra qdisc_reset_all_tx_gt() e dequeue per i qdisc lockless
Quando si riduce il numero di code tx reali, netif_set_real_num_tx_queues() chiama qdisc_reset_all_tx_gt() per svuotare le code (qdiscs) che non verranno più utilizzate.
Attualmente, qdisc_reset_all_tx_gt() serializza qdisc_reset() con qdisc_lock(). Tuttavia, per i qdisc lockless, il percorso di dequeue è serializzato da qdisc_run_begin/end() utilizzando invece la seqlock dell'oggetto qdisc (qdisc->seqlock); pertanto, qdisc_reset() può essere eseguito in concorrenza con __qdisc_run(), liberando gli skbs mentre sono ancora in fase di dequeuing, causando un Use-After-Free (UAF).
Questo scenario è facilmente riproducibile ad esempio su virtio-net imponendo traffico intenso e modificando frequentemente il numero di coppie di code:
iperf3 -ub0 -c $peer -t 0 & while :; do ethtool -L eth0 combined 1 ethtool -L eth0 combined 2 done
Con KASAN abilitato, ciò genera report simili ai seguenti:
BUG: KASAN: slab-use-after-free in __qdisc_run+0x133f/0x1760 ... Call Trace: <TASK> ... __qdisc_run+0x133f/0x1760 __dev_queue_xmit+0x248f/0x3550 ip_finish_output2+0xa42/0x2110 ip_output+0x1a7/0x410 ip_send_skb+0x2e6/0x480 udp_send_skb+0xb0a/0x1590 udp_sendmsg+0x13c9/0x1fc0 ... </TASK>
Allocato dal task 1270 sulla cpu 5 a 44.558414s: ... alloc_skb_with_frags+0x84/0x7c0 sock_alloc_send_pskb+0x69a/0x830 __ip_append_data+0x1b86/0x48c0 ip_make_skb+0x1e8/0x2b0 udp_sendmsg+0x13a6/0x1fc0 ...
Liberato dal task 1306 sulla cpu 3 a 44.558445s: ... kmem_cache_free+0x117/0x5e0 pfifo_fast_reset+0x14d/0x580 qdisc_reset+0x9e/0x5f0 netif_set_real_num_tx_queues+0x303/0x840 virtnet_set_channels+0x1bf/0x260 [virtio_net]
ethnl_set_channels+0x684/0xae0 ethnl_default_set_doit+0x31a/0x890 ...
Serializzare qdisc_reset_all_tx_gt() rispetto al percorso di dequeue lockless acquisendo la seqlock del qdisc (qdisc->seqlock) per i qdisc con flag TCQ_F_NOLOCK, allineandosi al modello di serializzazione già utilizzato da dev_reset_queue().
Inoltre, impostare a zero QDISC_STATE_NON_EMPTY dopo il reset in modo che lo stato del qdisc rifletta una coda vuota, evitando un riprogrammazione (re-scheduling) non necessaria.
VulDB is the best source for vulnerability data and more expert information about this specific topic.