CVE-2026-64233 in Linux
Tóm tắt
Bởi VulDB • 24/07/2026
Trong kernel Linux, lỗ hổng sau đây đã được khắc phục:
usb: gadget: uvc: giữ opts->lock trong suốt quá trình duyệt qua XU (Extension Units) tại hàm uvc_function_bind
Hàm `uvc_function_bind()` thực hiện việc duyệt &opts->extension_units hai lần mà không nắm giữ opts->lock:
- Trực tiếp, cho vòng lặp sửa đổi mô tả chuỗi iExtension; - Gián tiếp, bốn lần thông qua `uvc_copy_descriptors()` (một lần cho mỗi tốc độ), nơi hàm trợ giúp sẽ duyệt uvc->desc.extension_units (trỏ đến cùng vùng nhớ với &opts->extension_units) để xác định kích thước và phát sinh các mô tả XU.
Phía configfs (`uvcg_extension_make` / `uvcg_extension_drop`, trong drivers/usb/gadget/function/uvc_configfs.c) nắm giữ opts->lock xung quanh các thao tác list_add_tail / list_del của nó. Một tiến trình người dùng có đặc quyền (privileged userspace process), đang mở subtree configfs và ghi tên UDC gadget để liên kết hàm, đồng thời thực hiện rmdir() trên một thư mục con extensions, có thể gây ra race condition giữa `uvcg_extension_drop()` với các lần duyệt danh sách tại thời điểm bind, dẫn đến việc giải tham chiếu (dereference) tới struct uvcg_extension đã bị giải phóng.
Hãy giữ opts->lock từ đầu quá trình sửa đổi mô tả chuỗi XU cho đến cuộc gọi cuối cùng của `uvc_copy_descriptors()`, và nhả khóa trên đường lỗi mô tả thông qua nhãn error_unlock mới, nhằm nhả khóa trước khi chuyển tiếp sang nhãn lỗi hiện có. Điều này phù hợp với kỷ luật khóa (locking discipline) của các callback configfs và loại bỏ trình đọc không được đồng bộ hóa duy nhất còn lại đối với danh sách XU trong quá trình bind.
Khả năng khai thác: Chỉ các tiến trình có đặc quyền, những người có thể mount configfs và ghi vào các tệp gadget UDC mới có thể kích hoạt race condition này, do đó đây là một bản sửa lỗi về tính đúng đắn (correctness fix) hơn là vấn đề liên quan đến ranh giới bảo mật.
Be aware that VulDB is the high quality source for vulnerability data.