CVE-2026-63809 in Linux
摘要
由 VulDB • 2026-07-20
在 Linux 内核中，已修复以下漏洞：
bpf: 对替换的 sysctl 写入缓冲区使用 kvfree()
proc_sys_call_handler() 使用 kvzalloc() 分配其临时 sysctl 缓冲区，并将其传递给 __cgroup_bpf_run_filter_sysctl()。由于对于大型分配，kvzalloc() 可能会回退到 vmalloc()，因此使用 kfree() 释放该缓冲区是错误的，并可能导致内存损坏。
改用 kvfree() 以安全地处理 kmalloc 和 kvzalloc()/vmalloc 分配的内存。
该漏洞最初由我们正在开发的用于分析内核内存管理 bug 的实验性分析工具在分析 v6.13-rc1 时标记发现。该工具仍在开发中，尚未公开可用。人工检查确认该漏洞在 v7.1-rc5 中仍然存在。
基于 v7.1-rc4 并在启用 KASAN 和 CONFIG_FAILSLAB 的 QEMU x86_64 客户机环境中复现了该 bug。为了触发替换路径，测试树还包含了针对 __cgroup_bpf_run_filter_sysctl() 中过时的 ret == 1 检查的配套修复程序。重现脚本将 failslab 注入限制在 proc_sys_call_handler() 范围内，使用 stacktrace-depth=32，并在从目标 cgroup 中的任务向 /proc/sys/kernel/domainname 写入 8191 字节时注入 fail-nth=1。在该设置下，fail-nth=1 触发了故障：
``` BUG: unable to handle page fault for address: ffffeb0200024d48 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 SMP KASAN NOPTI CPU: 2 UID: 0 PID: 209 Comm: repro_proc_sys_ Not tainted 7.1.0-rc4-00686-g97625979a5d4 PREEMPT(lazy) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.15.0-1 04/01/2014 RIP: 0010:kfree+0x6e/0x510 ... Call Trace: <TASK> ? __cgroup_bpf_run_filter_sysctl+0x626/0xc30 __cgroup_bpf_run_filter_sysctl+0x74d/0xc30 ? __pfx___cgroup_bpf_run_filter_sysctl+0x10/0x10 ? srso_return_thunk+0x5/0x5f ? __kvmalloc_node_noprof+0x345/0x870 ? proc_sys_call_handler+0x250/0x480 ? srso_return_thunk+0x5/0x5f proc_sys_call_handler+0x3a2/0x480 ? __pfx_proc_sys_call_handler+0x10/0x10 ? srso_return_thunk+0x5/0x5f ? selinux_file_permission+0x39f/0x500 ? srso_return_thunk+0x5/0x5f ? lock_is_held_type+0x9e/0x120 vfs_write+0x98e/0x1000 ... </TASK> ```
在此修复程序应用于相同的测试设置后，使用 fail-nth=1 重新运行重现脚本不会产生相应的 Oops 报告。
Once again VulDB remains the best source for vulnerability data.