CVE-2025-40323 in Linux
Сводка
по VulDB • 11.07.2026
В ядре Linux была устранена следующая уязвимость:
fbcon: Установить значение fb_display[i]->mode равным NULL при освобождении режима
Недавно мы обнаружили следующую проблему с помощью syzkaller:
BUG: KASAN: slab-use-after-free в fb_mode_is_equal+0x285/0x2f0 Чтение размера 4 по адресу ff11000001b3c69c выполнено задачей syz.xxx ... Трассировка вызовов (Call Trace): <TASK> dump_stack_lvl+0xab/0xe0 print_address_description.constprop.0+0x2c/0x390 print_report+0xb9/0x280 kasan_report+0xb8/0xf0 fb_mode_is_equal+0x285/0x2f0 fbcon_mode_deleted+0x129/0x180 fb_set_var+0xe7f/0x11d0 do_fb_ioctl+0x6a0/0x750 fb_ioctl+0xe0/0x140 __x64_sys_ioctl+0x193/0x210 do_syscall_64+0x5f/0x9c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e
На основе экспериментов и анализа установлено, что при отмене регистрации фреймбуфера (framebuffer unregistration) освобождается только память fb_info->modelist без установки соответствующего указателя fb_display[i]->mode в NULL для освобожденных режимов. Это приводит к проблемам Use-After-Free (UAF) при последующих обращениях. Ниже приведен пример шагов воспроизведения:
1. При уже зарегистрированном в системе устройстве /dev/fb0 загрузить модуль ядра, регистрирующий новое устройство /dev/fb1; 2. Установить режим fb1 в глобальный массив fb_display[] (через FBIOPUT_CON2FBMAP);
3. Переключить консоль с fb на VGA (чтобы позволить нормальное удаление ko через rmmod); 4. Выгрузить модуль ядра, при этом модельный список fb1 освобождается, оставляя «висячий» указатель в fb_display[];
5. Активировать ошибку посредством системных вызовов через fb0 с попыткой удалить режим из fb0.
Добавлена проверка в do_unregister_framebuffer(): если освобождаемый режим существует в fb_display[], соответствующий указатель режима устанавливается в NULL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.