CVE-2026-64541

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: —
CWE: —
KEV Durumu: Hayır

Yayım tarihi: 27 Temmuz 2026

Linux çekirdeğinde aşağıdaki güvenlik açığı çözülmüştür: net/smc: smc_cdc_rx_handler()'de UAF'ı çözmek için soketi sabitleyin smc_cdc_rx_handler(), bağlantı tokenini bağlantı grubunun conns_lock'u altında arar, kilidi bırakır ve ardından conn ve ondan türetilen smc_sock'i başvurur, sock_hold(&smc->sk) ile smc_cdc_msg_recv()'de sonlanır. Kilidin bırakılması sırasında hiçbir referans tutulmaz. Soketi, bağlantı bağlantı grubunda keşfedilebilirken sabitleyen tek referans, smc_lgr_register_conn()'de (sock_hold) alınır ve __smc_lgr_unregister_conn()'de (sock_put) bırakılır, her ikisi de conns_lock altında yapılır. İşleyici conns_lock'u bıraktığında, eşzamanlı bir close() -> smc_release() -> smc_conn_free() -> smc_lgr_unregister_conn() o referansı bırakabilir ve smc_sock'i serbest bırakabilir, böylece işleyicinin sonraki sock_hold() işlemini serbest bırakılan bellekte çalıştırır: UYARI: lib/refcount.c:25'de refcount_warn_saturate Çalışma kümesi: rxe_wq do_work refcount_warn_saturate (lib/refcount.c:25) smc_cdc_msg_recv (net/smc/smc_cdc.c:430) smc_cdc_rx_handler (net/smc/smc_cdc.c:502) smc_wr_rx_tasklet_fn (net/smc/smc_wr.c:445) tasklet_action_common (kernel/softirq.c:938) handle_softirqs (kernel/softirq.c:622) Çekirdek panik - senkronize değil: panic_on_warn ayarlandı Sadece SMC-R etkilenir. SMC-D alıcı görevcisi, smc_conn_free()'de tasklet_kill(&conn->rx_tsklet) ile durdurulur, bu nedenle bağlantı kaydedilmeden önce görevci eşzamanlı olarak çalışamaz. Soket referansını, conns_lock'u hala tutarken alın, böylece kayıt referansı artık son referans olamaz ve işleyici bittiğinde bırakın.

Orijinal açıklama (İngilizce)

In the Linux kernel, the following vulnerability has been resolved: net/smc: fix UAF in smc_cdc_rx_handler() by pinning the socket smc_cdc_rx_handler() looks up the connection by token under the link group's conns_lock, drops the lock, and then dereferences conn and the smc_sock derived from it, ending in sock_hold(&smc->sk) inside smc_cdc_msg_recv(). No reference is held across the lock release. The only reference pinning the socket while the connection is discoverable in the link group is taken in smc_lgr_register_conn() (sock_hold) and dropped in __smc_lgr_unregister_conn() (sock_put), both under conns_lock. Once the handler drops conns_lock, a concurrent close() -> smc_release() -> smc_conn_free() -> smc_lgr_unregister_conn() can drop that reference and free the smc_sock, so the handler's later sock_hold() runs on freed memory: WARNING: lib/refcount.c:25 at refcount_warn_saturate Workqueue: rxe_wq do_work refcount_warn_saturate (lib/refcount.c:25) smc_cdc_msg_recv (net/smc/smc_cdc.c:430) smc_cdc_rx_handler (net/smc/smc_cdc.c:502) smc_wr_rx_tasklet_fn (net/smc/smc_wr.c:445) tasklet_action_common (kernel/softirq.c:938) handle_softirqs (kernel/softirq.c:622) Kernel panic - not syncing: panic_on_warn set Only SMC-R is affected. The SMC-D receive tasklet is stopped by tasklet_kill(&conn->rx_tsklet) in smc_conn_free() before the connection is unregistered, so it cannot run concurrently with the free. Take the socket reference while still holding conns_lock, so the registration reference can no longer be the last one, and drop it once the handler is done.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.