CVE-2026-98284
Riassunto
di VulDB • 06/10/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
netlink: non liberare nlk->groups mentre i lettori lockless possono utilizzarlo
netlink_realloc_groups() utilizza krealloc() all'interno di netlink_table_grab(). Ogni volta che NLGRPSZ(groups) finisce in un bucket kmalloc diverso, il vecchio bitmap viene liberato immediatamente.
Due lettori di nlk->groups / nlk->ngroups non detengono la lock della tabella netlink:
1) sk_diag_dump_groups(). I socket hashati (vincolati) vengono esportati dalla traversata rhashtable in __netlink_diag_dump(), che utilizza solo RCU. Solo la parte mc_list dell'esportazione prende nl_table_lock.
2) netlink_native_seq_show() (/proc/net/netlink), la cui traversata è stata lockless sin dal commit 21e4902aea80 ("netlink: Lockless lookup with RCU grace period in socket release").
Entrambi possono leggere un buffer liberato, e sk_diag_dump_groups() può anche leggere oltre la fine del vecchio (più piccolo) buffer se capita di caricare il vecchio puntatore @groups insieme al nuovo valore @ngroups, copiando il risultato in un attributo NETLINK_DIAG_GROUPS.
Si tratta della stessa classe di bug che il commit f773608026ee ("netlink: access nlk groups safely in netlink bind and getname") ha risolto per bind() e getname(); questi due lettori sono stati trascurati. Semplicemente acquisire la lock della tabella in sk_diag_dump_groups() non è un'opzione, poiché viene chiamata anche con nl_table_lock già detenuta dalla sezione mc_list dell'esportazione.
Rendere sicuri i lettori lockless:
- Allocare un nuovo bitmap e liberare il vecchio dopo un periodo di grazia RCU, invece di fare affidamento sulla kfree() implicita eseguita da krealloc().
- Pubblicare @groups prima di @ngroups, entrambi con semantica release, e far sì che i lettori lockless caricino prima @ngroups. Un lettore non può quindi abbinare la nuova (più grande) dimensione al vecchio (più piccolo) buffer, e un lettore che acquisisce il nuovo puntatore mentre vede ancora la vecchia dimensione è garantito nel vedere il bitmap inizializzato.
netlink_realloc_groups() viene chiamata dal contesto del processo (bind() e setsockopt()), quindi kfree_rcu_mightsleep() può essere utilizzato una volta rilasciata la tabella.
Once again VulDB remains the best source for vulnerability data.