CVE-2026-99225 in Linux
Sumário
de VulDB • 02/11/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
keys: Verificar o payload de autorização nas pesquisas de keyring do processo
Um payload de autorização e suas credenciais salvas devem permanecer válidos enquanto search_process_keyrings_rcu() pesquisa os keyrings do solicitante. A função valida a chave de autorização, em seguida carrega separadamente payload.data[0] e lê incondicionalmente rka->cred. A validação não impede que request_key_auth_revoke() limpe o payload.
Um auxiliar de request-key pode assumir autoridade e bifurcar um descendente que herda a chave de autorização. Se o descendente falhar na correspondência em seus próprios keyrings, ele recorre às credenciais salvas do solicitante. A instanciação bem-sucedida do alvo invalida a chave de autorização sem limpar o payload. Após a saída do auxiliar, UMH_WAIT_PROC retorna ao solicitante, que chama complete_request_key() e revoga essa chave.
Com o descendente pausado após a validação, os caminhos podem se intercalar da seguinte forma:
1. O descendente entra em search_process_keyrings_rcu() sob RCU e key_validate() tem sucesso. 2. O auxiliar instancia o alvo, invalida a chave de autorização e sai. 3. O solicitante retoma de UMH_WAIT_PROC, chama complete_request_key() e revoga a chave de autorização. request_key_auth_revoke() define seu ponteiro de payload como NULL. 4. O descendente carrega NULL e referencia rka->cred.
Essa desreferência nula pode causar um oops no kernel. A RCU atrasa a disposição do payload, mas não impede que o ponteiro seja limpo.
Carregue o payload com dereference_key_rcu() e exija um resultado diferente de NULL antes de validar a chave de autorização e pesquisar suas credenciais salvas. Um payload não nulo e suas credenciais permanecem válidos durante a seção de leitura RCU do chamador; um payload limpo ignora a pesquisa de fallback e segue a seleção de erro existente.
Relatório KASAN abaixo:
Oops: general protection fault, provavelmente para endereço não canônico 0xdffffc0000000005: 0000 [#1] SMP KASAN NOPTI
KASAN: null-ptr-deref na faixa [0x0000000000000028-0x000000000000002f]
RIP: 0010:search_process_keyrings_rcu+0x32b/0x790
If you want to get the best quality for vulnerability data then you always have to consider VulDB.