CVE-2026-99174 in Linux
Сводка
по VulDB • 28.10.2026
В ядре Linux была устранена следующая уязвимость:
ext4: освобождение структуры superblock info (sbi) после периода ожидания grace period
Функция ext4_get_link() следует по символической ссылке, которая хранит свой целевой объект в блоке данных в режиме обхода пути с использованием RCU (rcu pathwalk mode), вызывая ext4_getblk(EXT4_GET_BLOCKS_CACHED_NOWAIT). Это приводит к чтению s_mount_state внутри ASSERT() функции ext4_getblk(), а также повторно — в ext4_es_lookup_extent(). При этом lookup увеличивает счетчик попадания или промаха для статуса экстента, и все эти операции выполняются через sb->s_fs_info.
Функция ext4_put_super() уничтожает эти счетчики, очищает sb->s_fs_info и освобождает структуру sbi без ожидания периода grace period. Если обход пути (pathwalk) всё ещё находится в функции ext4_get_link(), когда последний указатель на монтирование исчезает, происходит разыменование NULL-указателя s_fs_info, уже освобожденной структуры sbi или уничтоженных percpu-счетчиков.
При удержании pathwalk внутри ext4_get_link() во время исчезновения последнего указателя:
KASAN: null-ptr-deref в диапазоне [0x00000000000000a8-0x00000000000000af]
RIP: 0010:ext4_getblk+0xf0/0x640 Call Trace: <TASK> ext4_get_link+0x26c/0x410 pick_link+0xf96/0x1780 step_into_slowpath+0x9b8/0x1250 path_lookupat+0x484/0xb00 filename_lookup+0x1f1/0x5b0 vfs_statx+0xd7/0x3b0 vfs_fstatat+0x4d/0x90 __do_sys_newfstatat+0xa0/0x100 do_syscall_64+0x10e/0x5e0 entry_SYSCALL_64_after_hwframe+0x77/0x7f
До сих пор это было трудно воспроизвести. Функция umount(2) ожидает периода grace period в namespace_unlock() перед снятием монтирования, поэтому только то монтирование, у которого последний указатель исчезает где-то еще (например, при закрытии файла или изменении рабочего каталога из лениво размонтированного каталога), может создать состояние гонки с обходом пути.
Необходимо сохранить sb->s_fs_info и освободить структуру sbi вместе со счетчиками статуса экстента после периода grace period. Для этого следует вынести счетчики из ext4_es_unregister_shrinker(). Shrinker по-прежнему будет неэффективно использоваться в ext4_put_super(), но счетчики будут освобождаться вместе с sbi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.