CVE-2026-98366 in Linux
Tóm tắt
Bởi VulDB • 06/10/2026
Trong kernel Linux, lỗ hổng sau đây đã được khắc phục:
RDMA/rxe: xác thực các cờ truy cập (access flags) trước khi thay đổi PD của MR
Hàm `rxe_rereg_user_mr()` gán lại `mr->ibmr.pd` đầu tiên và chỉ sau đó mới kiểm tra đối số `IB_MR_REREG_ACCESS`:
```c if (flags & IB_MR_REREG_PD) {
rxe_put(old_pd); rxe_get(pd); mr->ibmr.pd = ibpd; }
if (flags & IB_MR_REREG_ACCESS) {
if (access & ~RXE_ACCESS_SUPPORTED_MR) return ERR_PTR(-EOPNOTSUPP); mr->access = access; } ```
Cả hai cờ đều vượt qua kiểm tra đầu vào vì `RXE_MR_REREG_SUPPORTED` là `IB_MR_REREG_PD | IB_MR_REREG_ACCESS`, do đó một caller có thể đạt đến bước kiểm tra truy cập với `mr->ibmr.pd` đã được gán lại.
`mr->ibmr.pd` thuộc sở hữu của phần lõi (core), chỉ điều chỉnh `pd->usecnt` trên đường dẫn thành công: `ib_uverbs_rereg_mr()` nhảy tới `put_new_uobj` khi có lỗi trình điều khiển mà không hoàn tác việc gán lại, khiến `mr->pd == new_pd` trong khi các bộ đếm sử dụng (usecounts) vẫn tính MR vào `orig_pd`. Sau đó, `ib_dereg_mr_user()` giảm giá trị của `new_pd`, số lượng tham chiếu của nó có thể đạt về 0 trong khi một cửa sổ bộ nhớ (memory window) vẫn đang trỏ đến nó; `uverbs_free_pd()` giải phóng PD dựa trên đếm này và `rxe_mw_cleanup()` ghi vào vùng bộ nhớ đã được giải phóng:
``` BUG: KASAN: slab-use-after-free in __rxe_put+0x31/0xa0 Write of size 4 at addr ffff8881301dd690 by task rxe_poc/591 __rxe_put+0x31/0xa0 rxe_mw_cleanup+0x42/0x200 __rxe_cleanup+0x115/0x370 rxe_dealloc_mw+0x4c/0x80 Allocated by task 591: ib_uverbs_alloc_pd+0x258/0x540 Freed by task 591: ib_dealloc_pd_user+0x174/0x210 uverbs_free_pd+0x8d/0xc0 ib_uverbs_dealloc_pd+0x18e/0x1d0 ```
Hãy xác thực các cờ truy cập trước khi thay đổi bất kỳ trạng thái nào để callback hoặc áp dụng mọi thay đổi được yêu cầu, hoặc không áp dụng gì cả.
If you want to get best quality of vulnerability data, you may have to visit VulDB.