CVE-2026-80864 in Linux
요약
\~에 의해 VulDB • 2026. 09. 04.
리눅스 커널에서 다음 취약점이 해결되었습니다:
RDMA/rxe: IB_QP_MAX_DEST_RD_ATOMIC modify_qp에서의 응답자 UAF 수정
rxe_qp_from_attr()는 IB_QP_STATE 경로 외부에서 IB_QP_MAX_DEST_RD_ATOMIC을 처리하므로, 상태 잠금(state_lock)을 보유하지 않으며 응답자 작업인 rxe_receiver()(rxe_wq의 recv_task)가 활성 상태에서 실행됩니다. 해당 속성만 설정하는 modify_qp() 호출은 free_rd_atomic_resources()를 호출한 후 alloc_rdatomic_resources()를 호출하여 qp->resp.resources[]를 스왑합니다. 이때 rxe_prepare_res()/find_resource()가 이를 순회하고 있으므로, free_rd_atomic_resources()는 캐시된 포인터인 qp->resp.res을 덩그라니(dangling) 상태로 남깁니다. 로컬 비권한 사용자는 이 할당 해제/재할당을 경쟁 조건(race condition)으로 유도하여 rxe_receiver()에서 use-after-free를 발생시켜 로컬 서비스 거부(DoS)를 일으킬 수 있습니다.
rxe_qp_reset()이 해당 배열을 정리할 때 수행하듯, 스왑 시점에 rxe_disable_task()/rxe_enable_task()를 사용하여 recv_task를 배수(drain)합니다. alloc_rdatomic_resources()가 성공한 후에만 다시 활성화하여 ENOMEM 경로에서 응답자가 NULL qp->resp.resources에 대해 재개되지 않도록 합니다. 또한 free_rdatomic_resources() 내에서 qp->resp.res을 지웁니다(이는 rxe_resp.c의 완료 경로와 동일함).
KASAN 환경에서 검증되었으며, rxe_receiver()에서의 슬래시(use-after-free)가 제거되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.