CVE-2026-72317
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W jądrze Linux w podsystemie SUNRPC wykryto podatność use-after-free w ścieżce połączenia TLS. Nic nie utrzymuje referencji do górnego rpc_clnt podczas opóźnionego connect_worker, co może prowadzić do odwołania do zwolnionej pamięci, gdy połączenie TLS nie powiedzie się (np. błąd mTLS).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wywołania awarii systemu (paniki jądra) lub potencjalnie do eskalacji uprawnień, jeśli uda mu się zainicjować nieudane połączenie TLS (np. przez montowanie z błędnym certyfikatem).
Rekomendacja
Zastosuj oficjalną łatkę z jądra Linux, która dodaje wywołania rpc_hold_client() i rpc_release_client() w celu przypięcia rpc_clnt. Zaktualizuj system do wersji jądra zawierającej poprawkę.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-43603Średnie
W sterowniku GPU jądra Linux występuje dereferencja wskaźnika NULL, która może doprowadzić do awarii jądra. Skutkiem może być odmowa usługi (DoS) na dotkniętym systemie.
- CVE-2026-99270Nieznane
W jądrze Linux występuje podatność use-after-free (UAF) w funkcji reqsk_timer_handler(). Gdy migracja gniazda TCP nie powiedzie się w inet_ehash_insert(), kod przechodzi do etykiety no_ownership i natychmiast zwalnia nowy reqsk przez __reqsk_free(), nie zatrzymując wcześniej jego timera, co może prowadzić do UAF.
- CVE-2026-99269Nieznane
W jądrze Linux w schedulerze sched_ext zadanie może znajdować się w nie-lokalnej kolejce DSQ, podczas gdy CPU, które je wysłało, wciąż wykonuje ops.dequeue() i nie wyczyściło flagi SCX_OPSS_DISPATCHING. Ścieżki konsumpcji i przenoszenia DSQ nie czekają na zakończenie wysyłki i mogą operować na zadaniu równolegle z dispatcherem. Poprawka dodaje wywołanie scx_wait_dispatching() przed operacjami na zadaniu.
- CVE-2026-99268Nieznane
W io_uring z IORING_SETUP_DEFER_TASKRUN ukończenia są kolejkowane jako lokalna praca i stają się CQE dopiero, gdy zgłaszający wejdzie do jądra, aby czekać na zdarzenia. io_uring_poll() zgłasza EPOLLIN, jeśli lokalna praca jest oczekująca, ale tylko jeśli praca istnieje w momencie wywołania; po dodaniu DEFER_TASKRUN budzenie ->poll_wq zostało zastąpione bezpośrednim budzeniem zgłaszającego, przez co poll() może zasnąć mimo pojawienia się pracy. Poprawka budzi ->poll_wq, gdy pierwszy wpis trafia na listę pracy, używając w razie potrzeby callbacku RCU.
- CVE-2026-99267Nieznane
W io_uring NAPI przy dynamicznym śledzeniu identyfikator NAPI, który nie był widziany przez minutę, powinien zostać usunięty z listy odpytywanej przez ring. Limit czasu jest jednak liczony niepoprawnie — użyto SEC_CONVERSION zamiast liczby jiffies w sekundzie, co dla HZ=1000 daje około ośmiu lat, a na 32-bitowych systemach powoduje przepełnienie. W rezultacie wpisy nigdy nie są usuwane i każde odpytywanie sprawdza wszystkie historyczne identyfikatory.
- CVE-2026-99266Nieznane
W io_uring zcrx funkcja io_zcrx_queue_cqe() oblicza przesunięcie bufora w obszarze na podstawie net_iov_idx(), które jest typu unsigned int, więc przesunięcie jest wykonywane w 32 bitach, a dopiero wynik jest rozszerzany do u64 w CQE. Obszar może mieć do 1 TB, więc dla każdego niov powyżej pierwszych 4 GB CQE wskazuje aplikacji bufor o 4 GB (lub wielokrotność) poniżej właściwego. Aplikacja czyta złe dane i zwraca bufor, którego nie posiada, przez kolejkę uzupełnień, podczas gdy prawdziwy nigdy nie jest zwracany.
- CVE-2026-99265Nieznane
W io_uring/openclose funkcja io_pipe_fixed() instaluje oba końce potoku w tabeli stałych plików, zwalnia ->uring_lock i kopiuje numery slotów do aplikacji. Jeśli kopiowanie spowoduje błąd, ponownie bierze blokadę i usuwa to, co znajduje się w tych slotach. Gdy żądanie jest wykonywane przez io-wq, blokada jest naprawdę zwalniana, a sloty są widoczne dla innych; zanim ścieżka błędu do nich dotrze, mogą zostać zamknięte i ponownie użyte (przez IORING_OP_CLOSE, bezpośrednie open/accept lub IORING_REGISTER_FILES_UPDATE), co powoduje usunięcie pliku niezwiązanego z nieudanym żądaniem. Poprawka wykonuje kopiowanie z trzymaną blokadą.
- CVE-2026-99264Nieznane
W jądrze Linux naprawiono błąd w io_uring/net dotyczący ponawiania odbioru (recv) na niezatwierdzonych buforach. Gdy odbiór był ponawiany po częściowym transferze, jądro mogło ponownie udostępnić pamięć bufora, do której ponawiane żądanie wciąż zapisywało, co prowadziło do nadpisania danych. Zamiast ponawiać, żądanie jest teraz kończone z otrzymaną liczbą bajtów, a MSG_WAITALL nie jest już respektowane dla buforów inkrementalnych i wiązek wielu buforów.
- CVE-2026-99263Nieznane
W io_uring/poll jeśli wybudzenie ustawi IO_POLL_RETRY_FLAG pomiędzy momentem, gdy zadanie będące właścicielem skonsumuje istniejącą instancję IO_POLL_RETRY_FLAG, a sprawdzeniem pętli w io_poll_check_events(), przetwarzanie żądania zostaje wstrzymane do czasu nadejścia niezwiązanego wybudzenia. Poprawka używa atomic_cmpxchg zamiast atomic_sub_return, aby zagwarantować, że licznik v i poll_refs wynoszą 0 i żadne wybudzenia nie zostaną pominięte.
- CVE-2026-99262Nieznane
W io_uring/timeout żądanie IORING_OP_TIMEOUT uruchamiane przez io-wq z powodu IOSQE_ASYNC ma ten sam problem co poll, futex i waitid. io_wq_submit_work() sprawdza IO_WQ_WORK_CANCEL tylko raz, przed wydaniem żądania; anulowanie w międzyczasie ustawia flagę, otrzymuje -EALREADY i bezskutecznie szuka w ->timeout_list, podczas gdy worker dodaje żądanie i uruchamia timer. Nikt nie sprawdza flagi ponownie i limit czasu trwa do końca, a przy wyjściu z ringu zadanie może zawiesić się na cały czas trwania limitu. Poprawka sprawdza flagę pod ->timeout_lock i odrzuca żądanie, jeśli jest ustawiona.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: SUNRPC: pin upper rpc_clnt across the TLS connect_worker The TLS connect path has a use-after-free: nothing pins the upper rpc_clnt across the delayed connect_worker. xs_connect() stores task->tk_client in sock_xprt::clnt as a raw pointer and queues the worker; for TLS-secured transports that worker is xs_tcp_tls_setup_socket(), which reads several fields out of the saved pointer (cl_timeout, cl_program, cl_prog, cl_vers, cl_cred, cl_stats) to construct the args for the inner handshake rpc_clnt. The xprt does not reference the rpc_clnt; the rpc_clnt references the xprt. xs_destroy() does cancel the connect_worker, but it runs only when the xprt's refcount drops to zero, which cannot happen until the rpc_clnt releases its cl_xprt reference in rpc_free_client_work(). When a TLS handshake fails fatally (for example, an mTLS mount whose client cert does not match the server), the connecting task is woken with -EACCES and exits, the mount caller invokes rpc_shutdown_client(), and the upper rpc_clnt is freed before the queued connect_worker fires. xs_tcp_tls_setup_socket() then dereferences the freed clnt, producing the refcount_t underflow Michael Nemanov reported. Take a reference on the upper rpc_clnt in xs_connect() for TLS transports via a new rpc_hold_client() helper, and drop it in the connect_worker's exit path with rpc_release_client(). The xprt_lock_connect() / xprt_unlock_connect() pairing already serialises xs_connect() with xs_tcp_tls_setup_socket(), so the take and release are balanced one-for-one. The non-TLS connect worker (xs_tcp_setup_socket) never reads sock_xprt::clnt, so leave that path alone and avoid the clnt-holds-xprt-holds-clnt cycle that would otherwise prevent xprt destruction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS