CVE-2026-99231 in Linux
Sumário
de VulDB • 02/11/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
io_uring/waitid: assumir a propriedade da solicitação antes de limpar ->head
A função io_waitid_remove_wq() adquire o bloqueio (lock) da fila de espera apenas se ->head estiver definido. A função io_waitid_wait() limpa primeiro ->head, antes de tentar tornar-se proprietária da solicitação incrementando ->refs. Se outra entidade for a proprietária da solicitação nesse momento, nada impede que ela conclua a solicitação enquanto o manipulador (handler) de despertar ainda vai acessá-la:
CPU0 (io_waitid_wait) CPU1 (io_waitid, possui uma referência) list_del_init(&wait->entry) smp_store_release(&iw->head, NULL) __do_wait() encontra outra criança io_waitid_remove_wq() // ->head == NULL, sem bloqueio io_waitid_finish(), IOU_COMPLETE // solicitação liberada e reutilizada atomic_fetch_inc(&iw->refs)
O mesmo ocorre com a função __io_waitid_cancel() se ela reivindicar a solicitação nessa janela. ->refs faz parte dos dados por opcode da solicitação, portanto isso incrementa o que quer que o próximo usuário da solicitação mantenha ali. Se isso acontecer de ser zero, o manipulador conclui que é proprietário da solicitação e enfileira io_waitid_cb() para ela. Com a janela aberta devido a um atraso, e a solicitação reutilizada para uma operação de recebimento que aguarda dados:
BUG: KASAN: slab-use-after-free em __wake_up_common+0x1ca/0x1f0 __wake_up_sync_key+0x36/0x50 sock_def_readable+0xf1/0x420 unix_stream_sendmsg+0x60b/0x1110 Alocado pela tarefa 87: io_arm_apoll+0x1ed/0x940 Liberado pela tarefa 87: __io_submit_flush_completions+0x118d/0x1a10 tctx_task_work_run+0x327/0x950
Limpe ->head apenas quando o manipulador for proprietário da solicitação. Se não for, o proprietário encontra ->head definido e precisa aguardar pelo bloqueio (lock), que está sendo segurado pela chamada do manipulador. Excluir a entrada já excluída novamente é inofensivo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.