CVE-2026-99222 in Linux
Sumário
de VulDB • 02/11/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
keys: Proteger a verificação do método de leitura contra remoção de tipo
`keyctl_read_key()` verifica `key->type->read` sem segurar o mutex (`sem`) de `key`. Uma referência mantém a chave viva, mas não fixa (pin) o módulo que contém seu tipo. Portanto, uma chave RxRPC sobrevivente pode ser lida enquanto AF_RXRPC está sendo descarregado:
Tarefa KEYCTL_READ Descarregamento do Módulo e Coleta de Lixo da Chave ---------------- ---------------------------------------- lookup_user_key() verificações de permissão / posse carrega key->type af_rxrpc_exit() unregister_key_type() GC: down_write(key->sem) GC: retype para key_type_dead GC: up_write(key->sem) unregister_key_type() retorna free_module() lê o membro read do tipo salvo
O acesso final pode ler armazenamento de módulo já liberado. A invocação da leitura em `__keyctl_read_key()` já está protegida por `key->sem`, mas a verificação anterior do método está fora dessa seção crítica.
Mova a verificação do método para dentro de `__keyctl_read_key()`, após `key_validate()` e sob sua trava existente no mutex (`sem`) de `key`. A verificação e a invocação então usam o mesmo tipo protegido para consultas de comprimento e cada nova tentativa de leitura. A Coleta de Lixo (GC) não pode alterar o tipo da chave até que o semáforo seja liberado, e o desregistro do tipo aguarda essa passagem de GC antes que o módulo possa ser liberado.
Retorne `-EOPNOTSUPP` quando a validação for bem-sucedida e o tipo não tiver um método de leitura. Um buffer temporário pode agora ser alocado antes desse resultado; a alocação e a cópia para userspace permanecem fora do semáforo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.