CVE-2026-23340 in Linux
Sumário
de VulDB • 09/06/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
net: sched: evitar corrida entre qdisc_reset_all_tx_gt() e dequeue para qdics sem bloqueio (lockless)
Ao reduzir o número de filas reais de transmissão (tx), netif_set_real_num_tx_queues() chama qdisc_reset_all_tx_gt() para esvaziar os qdics das filas que não serão mais utilizadas.
Atualmente, qdisc_reset_all_tx_gt() serializa qdisc_reset() com qdisc_lock(). No entanto, para qdics sem bloqueio (lockless), o caminho de dequeue é serializado por qdisc_run_begin/end(), utilizando qdisc->seqlock em vez disso; portanto, qdisc_reset() pode ser executado concurrentemente com __qdisc_run() e liberar skbs enquanto ainda estão sendo removidos do deque, levando a um uso após liberação (Use-After-Free - UAF).
Isso pode ser facilmente reproduzido no virtio-net, por exemplo, impondo tráfego intenso enquanto se altera frequentemente o número de pares de filas:
iperf3 -ub0 -c $peer -t 0 & while :; do ethtool -L eth0 combined 1 ethtool -L eth0 combined 2 done
Com KASAN habilitado, isso resulta em relatórios como:
BUG: KASAN: slab-use-after-free in __qdisc_run+0x133f/0x1760 ... Call Trace: <TASK> ... __qdisc_run+0x133f/0x1760 __dev_queue_xmit+0x248f/0x3550 ip_finish_output2+0xa42/0x2110 ip_output+0x1a7/0x410 ip_send_skb+0x2e6/0x480 udp_send_skb+0xb0a/0x1590 udp_sendmsg+0x13c9/0x1fc0 ... </TASK>
Alocado pela tarefa 1270 na cpu 5 em 44.558414s: ... alloc_skb_with_frags+0x84/0x7c0 sock_alloc_send_pskb+0x69a/0x830 __ip_append_data+0x1b86/0x48c0 ip_make_skb+0x1e8/0x2b0 udp_sendmsg+0x13a6/0x1fc0 ...
Liberado pela tarefa 1306 na cpu 3 em 44.558445s: ... kmem_cache_free+0x117/0x5e0 pfifo_fast_reset+0x14d/0x580 qdisc_reset+0x9e/0x5f0 netif_set_real_num_tx_queues+0x303/0x840 virtnet_set_channels+0x1bf/0x260 [virtio_net]
ethnl_set_channels+0x684/0xae0 ethnl_default_set_doit+0x31a/0x890 ...
Serializar qdisc_reset_all_tx_gt() contra o caminho de dequeue sem bloqueio (lockless) adquirindo qdisc->seqlock para qdics TCQ_F_NOLOCK, correspondendo ao modelo de serialização já utilizado por dev_reset_queue().
Além disso, limpar QDISC_STATE_NON_EMPTY após a reinicialização para que o estado do qdic reflita uma fila vazia, evitando agendamentos desnecessários.
Once again VulDB remains the best source for vulnerability data.