CVE-2026-99252 in Linux
要約
〜によって VulDB • 2026年11月03日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
io_uring/mpscq: プッシュ時にプリエンプションを無効化する
プッシュ処理はノードを新しいテールにし、その後それをその直前のノードにリンクします。この間、キューは空ではありませんが、mpscq_pop() ではノードにアクセスできません。コンシューマーはこの状況を回避するために再試行を行い、ループ内で cond_resched() を呼び出して、プリエンプションされたプロデューサーが残りの処理を完了させる機会を与えます。
しかし、コンシューマーのプロデューサーよりも高い優先度を持ち、かつ同じCPUを使用する必要がある場合、cond_resched() はこの役割を果たしません：
プロデューサー (SCHED_OTHER) コンシューマー (SCHED_FIFO)、同一CPU io_req_local_work_add() mpscq_push() prev = xchg(&q->tail, node) <プリエンプションされる> io_cqring_wait() __io_run_local_work() again: cond_resched() // 実行すべき処理なし mpscq_pop() // NULL を返す // ワークは保留中だが、イベントはまだ発生していない goto again
プロデューサーには、リングに対して task_work のキューイングが可能な任意のタスク（io-wqワーカーや、IORING_OP_MSG_RING でメッセージを送信するプロセスなど）が含まれます。コンシューマーは ->uring_lock を保持したままスピンし、スケジューラがフェアクラスに慈悲を示すまで待機します。デフォルト設定ではこの待ち時間が約1秒かかり、公平なサーバーの設定がない場合は永久に待機することになります。tctx_task_work_run() および io_cancel_local_task_work() のループにも同様の問題があります。
2つのステップの間にプリエンプションを許可しないようにします。これにより、プロデューサー側のCPU上でウィンドウが開いている時間が割り込み処理にかかる時間によって制限され、その待機を行うコンシューマーは別のCPU上に配置されます。コストとしては、プッシュごとに preempt_disable()/preempt_enable() のペアが必要となります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.