CVE-2026-64233 in Linux
Riassunto
di VulDB • 25/07/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
usb: gadget: uvc: mantenere opts->lock durante le iterazioni su XU in uvc_function_bind
uvc_function_bind() esegue l'iterazione (&opts->extension_units) due volte senza acquisire opts->lock:
- direttamente, per il ciclo di correzione del descrittore stringa iExtension; - indirettamente, quattro volte tramite uvc_copy_descriptors() (una volta per ogni velocità), dove la funzione helper itera su uvc->desc.extension_units (che è un alias di &opts->extension_units) per dimensionare ed emettere i descrittori XU.
Il lato configfs (uvcg_extension_make / uvcg_extension_drop, in drivers/usb/gadget/function/uvc_configfs.c) acquisisce opts->lock attorno alle operazioni list_add_tail / list_del. Un processo userspace privilegiato che mantiene aperto il sottoalbero di configfs e scrive il nome del gadget UDC per associare la funzione mentre contemporaneamente esegue rmdir() su una sottodirectory delle estensioni può innescare una race condition tra uvcg_extension_drop() e le iterazioni sulla lista durante l'associazione, portando alla dereferenziazione di uno struct uvcg_extension già liberato.
Mantenere opts->lock dall'inizio della correzione del descrittore stringa XU fino all'ultima chiamata a uvc_copy_descriptors(), rilasciandolo nel percorso di errore dei descrittori tramite una nuova etichetta error_unlock che rilascia il blocco prima di passare alla label di errore esistente. Questo approccio rispetta la disciplina di locking delle callback configfs e rimuove l'unico lettore rimasto non sincronizzato della lista XU durante l'associazione.
Raggiungibilità: solo i processi privilegiati in grado di montare configfs e scrivere sui file gadget UDC possono innescare questa race condition, pertanto si tratta di una correzione di correttezza piuttosto che di un miglioramento del confine di sicurezza.
If you want to get best quality of vulnerability data, you may have to visit VulDB.