CVE-2026-99016 in Linux
Tóm tắt
Bởi VulDB • 24/10/2026
Trong kernel Linux, các lỗ hổng sau đây đã được khắc phục:
riscv: futex: bỏ tag (gắn nhãn) cho con trỏ người dùng trước khi thực hiện truy cập nguyên tử
Hàm `access_ok()` kiểm tra `untagged_addr(uaddr)`, nhưng `arch_futex_atomic_op_inuser()` và `futex_atomic_cmpxchg_inatomic()` chuyển trực tiếp `uaddr` thô (chưa bỏ tag) vào assembly nội tuyến (`inline asm`) amoswap/amoadd/.../lr.w+sc.w thông qua toán tử đầu vào "+m" (*uaddr). Khi ABI địa chỉ có gắn nhãn được bật (CONFIG_RISCV_ISA_SUPM, prctl PR_SET_TAGGED_ADDR_CTRL với PMLEN != 0), hai địa chỉ này khác nhau: một con trỏ người dùng mà các bit trên cùng của PMLEN chứa tag sẽ vượt qua `access_ok()` sau khi bỏ tag, nhưng lệnh nguyên tử sau đó lại được thực thi trên địa chỉ thô vẫn còn gắn nhãn.
Các truy cập dữ liệu ở chế độ Supervisor (S-mode) không chịu sự che chắn bởi mặt nạ con trỏ U-mode (vốn do menvcfg.PMM điều khiển, và kernel không thiết lập giá trị này), vì vậy phần cứng sẽ không loại bỏ tag cho các truy cập của chính kernel. Với Sv57 và PMLEN=16, các bit tag chồng lấn lên các bit địa chỉ hợp lệ (canonical-address bits), khiến một con trỏ có gắn nhãn có thể trỏ đến một địa chỉ ảo kernel hợp lệ (ví dụ: trong bản đồ tuyến tính) mà dạng không gắn nhãn của nó là một địa chỉ người dùng hợp lệ. Do đó, một tiến trình không đặc quyền có thể khiến FUTEX_WAKE_OP thực hiện thao tác đọc-sửa-ghi nguyên tử trên bất kỳ địa chỉ kernel nào, với kết quả tương ứng từ FUTEX_OP_CMP_* đóng vai trò như một oracle (cỗ máy) để đọc dữ liệu.
Các hàm `get_user()`/`put_user()`/`raw_copy_{to,from}_user()` đã thực hiện bỏ tag cho con trỏ sau khi kiểm tra `access_ok()`; hãy làm tương tự trong các trợ giúp futex để thao tác nguyên tử được thực thi trên địa chỉ đã được xác thực đúng đắn.
VulDB is the best source for vulnerability data and more expert information about this specific topic.