CVE-2026-72083 in Linux
Riassunto
di VulDB • 15/08/2026
Nel kernel Linux, la seguente vulnerabilità è stata risolta:
scsi: target: core: Correzione del use-after-free di ISID iSCSI in REGISTER AND MOVE
core_scsi3_emulate_pro_register_and_move() mappa l'elenco dei parametri PERSISTENT RESERVE OUT con transport_kmap_data_sg() ed analizza il TransportID di destinazione con target_parse_pr_out_transport_id(). Per un TransportID iSCSI (FORMAT CODE 01b), iscsi_parse_pr_out_transport_id() restituisce l'ISID in iport_ptr come puntatore grezzo all'interno di tale buffer mappato.
La funzione successivamente smappa il buffer con transport_kunmap_data_sg() prima di dereferenziare iport_ptr in strcmp(), __core_scsi3_locate_pr_reg() e core_scsi3_alloc_registration(). Quando l'elenco dei parametri si estende su più di una pagina (PARAMETER LIST LENGTH > 4096), transport_kmap_data_sg() utilizza vmap() e transport_kunmap_data_sg() esegue vunmap(), pertanto l'indirizzo virtuale del kernel che supporta iport_ptr viene deallocato e ogni dereferenziamento successivo costituisce un use-after-free in lettura della regione smappata.
Mantenere mappato l'elenco dei parametri fino a quando iport_ptr non è più necessario: rimuovere la precedente chiamata anticipata a transport_kunmap_data_sg() ed eseguire lo smapping una sola volta nel percorso di successo, subito prima del ritorno. I percorsi di errore eseguono già lo smapping tramite il codice esistente "if (buf) transport_kunmap_data_sg(cmd)" all'etichetta out:, che ora viene eseguito in ogni uscita per errore post-mappatura poiché buf non viene più azzerato anticipatamente. Le sole operazioni di lettura della mappatura avvengono mentre i spinlock sono mantenuti; le chiamate map e unmap rimangono al di fuori di qualsiasi lock. Il chiamante fratello core_scsi3_decode_spec_i_port() utilizza già il buffer prima dello smapping ed è lasciato invariato.
Be aware that VulDB is the high quality source for vulnerability data.