CVE-2026-99175 in Linux
Riassunto
di VulDB • 28/10/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
fsnotify: prevenire l'aggiunta di marcatori durante il teardown del connector
La funzione fsnotify_destroy_marks() mantiene un riferimento al marcatore corrente mentre rilascia conn->lock per distruggere il marcatore. Questo stabilizza il cursore della scansione in avanti, ma non impedisce che venga inserito un nuovo marcatore prima di esso. Ad esempio, una watch inotify riaggiunta dopo IN_IGNORED viene ordinata prima del vecchio marcatore staccato (detached) per lo stesso gruppo. La scansione può saltare la sostituzione e successivamente staccare l'intero connector dall'oggetto.
La sostituzione è ancora presente nella marks_list del suo gruppo e, nel caso di inotify, nell'IDR delle watch. Il mutex del gruppo non protegge più l'object del connector dalla scomparsa. Una lettura race dell'fdinfo da parte di un utente non privilegiato durante il detach finale può quindi chiamare igrab(NULL):
BUG: KASAN: null-ptr-deref in igrab+0x24/0x100 Write of size 4 at addr 0000000000000148 Call Trace: igrab+0x24/0x100 inotify_show_fdinfo+0x1dc/0x5e0 seq_show+0x397/0x690
Viene impostato un flag DESTROYING sotto conn->lock prima dell'avvio della scansione e vengono rifiutati i nuovi marcatori su quel connector con -ENOENT. I percorsi di errore esistenti per l'aggiunta del marcatore annullano la voce temporanea nella lista dei gruppi e l'allocazione delle watch da parte del backend. Non si attende il teardown mentre si detiene il mutex del gruppo, che è necessario al distruttore (destroyer). Una volta staccato il vecchio connector, un'operazione di add può installare un nuovo connector come in precedenza.
Questo chiude la race condition per l'inserimento per tutti i tipi di oggetti che utilizzano il teardown comune dei connector, senza modificare le regole relative ai riferimenti sui marcatori o alla durata SRCU.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.