CVE-2026-63905
Niskie ryzyko· EPSS 11%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto błąd use-after-free w sterowniku USB/IP vudc. Podczas usuwania urządzenia (vudc_remove) może dojść do wyścigu, w którym timer jest nadal aktywny, a struktura vudc zostaje zwolniona, co prowadzi do dostępu do już zwolnionej pamięci.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu lub eskalacji uprawnień w systemie, jeśli uda mu się wywołać odpowiednią sekwencję operacji na interfejsie USB/IP.
Rekomendacja
Należy niezwłocznie zaktualizować jądro Linux do wersji zawierającej poprawkę, która dodaje synchronizację timera przed zwolnieniem struktury vudc. Dla systemów produkcyjnych zaleca się zastosowanie łatki bezpieczeństwa.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-14367Niskie
Podatność w podsystemie I3C IBI w jądrze Linux (drivers/i3c/i3c_ibi_workq.c) wynika z braku synchronizacji na liście wolnych węzłów pracy (sys_slist_t). Funkcje alokujące i zwalniające węzły są wywoływane z kontekstu przerwania (ISR) i wątku workqueue bez użycia blokad, co prowadzi do wyścigu. Atakujący z fizycznym dostępem do magistrali I3C może wygenerować serię przerwań, powodując uszkodzenie listy, podwójne przydzielenie węzła lub zapis poza pamięć.
- CVE-2026-80577Nieznane
W jądrze Linux w sterowniku drm/panthor funkcja panthor_fw_load_section_entry() pomija tworzenie BO dla sekcji firmware o zerowym rozmiarze, ale dodaje je do listy sekcji, co prowadzi do dereferencji NULL w późniejszych ścieżkach. Poprawka polega na pomijaniu dodawania takich sekcji do listy.
- CVE-2026-80571Nieznane
W jądrze Linux w podsystemie powerpc/pseries (papr-phy-attest) brakowało walidacji pola cmd.length, co mogło prowadzić do przepełnienia bufora. Dodano sprawdzanie długości i zwracanie błędu, a także naprawiono wyciek pamięci na ścieżkach błędów.
- CVE-2026-80567Nieznane
W jądrze Linux w sterowniku Synaptics RMI4 (F54) naprawiono błąd, w którym błędy wątku roboczego nie były propagowane do kolejki V4L2. Wcześniej, jeśli wątek roboczy zawiódł, kolejka zwracała sukces, dostarczając nieaktualne lub niezainicjalizowane dane do przestrzeni użytkownika.
- CVE-2026-80566Nieznane
W jądrze Linux w sterowniku hynitron_cstxxx nieprawidłowo sprawdzano liczbę dotknięć i identyfikatory palców. Może to prowadzić do uszkodzenia stanu dotyku lub odczytu poza zakresem bufora.
- CVE-2026-80564Nieznane
W jądrze Linux w sterowniku gve brakuje implementacji funkcji adjfine, co prowadzi do wyłuskania pustego wskaźnika (NULL dereference) podczas wywołania z przestrzeni użytkownika, np. przez testptp.
- CVE-2026-80563Nieznane
W jądrze Linux wykryto podatność use-after-free w sterowniku gpio-sloppy-logic-analyzer. Plik debugfs 'trigger' nie posiadał odpowiedniego zabezpieczenia, co pozwalało na zapis do zwolnionej pamięci podczas odłączania urządzenia. Problem został naprawiony przez użycie debugfs_create_file() zamiast debugfs_create_file_unsafe().
- CVE-2026-80543Nieznane
W jądrze Linux w funkcjach xcrb_msg_to_type6cprb_msgx() i xcrb_msg_to_type6_ep11cprb_msgx() dla s390/zcrypt kopiowana jest wiadomość z przestrzeni użytkownika do bufora jądra na podstawie długości, ale dalsze przetwarzanie zakłada wyrównanie do 4 bajtów. W rezultacie do 3 bajtów niezainicjalizowanej pamięci jądra jest przekazywane do dalszych kroków, co może ujawnić pamięć jądra firmware'owi karty kryptograficznej.
- CVE-2026-80542Nieznane
W jądrze Linux w sterowniku amdgpu dla AMD Display występuje błąd NULL pointer dereference w funkcji amdgpu_dm_crtc_set_vblank(), gdy vblank jest włączany lub odpytywany przed podłączeniem strumienia do acrtc_state->stream. Może to prowadzić do awarii systemu.
- CVE-2026-80535Nieznane
W jądrze Linux w systemie plików XFS podczas naprawy drzewa katalogów (dirtree scrubber) może zostać wykryty katalog odnoszący się do samego siebie. W takim przypadku kod naprawczy próbuje zablokować ten sam inode dwukrotnie (podwójne założenie blokady iolock/ilock), co prowadzi do zakleszczenia. Poprawka polega na wykryciu tego przypadku i odpowiednim jego obsłużeniu.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: usbip: vudc: Fix use after free bug in vudc_remove due to race condition This patch follows up Zheng Wang's 2023 report of a use-after-free in vudc_remove(). The original thread stalled on Shuah Khan's request for runtime testing of the unplug/unbind path. This patch supplies that testing and keeps Zheng's original fix shape. In vudc_probe(), v_init_timer() binds udc->tr_timer.timer to v_timer(). usbip_sockfd_store() starts the timer via v_start_timer()/v_kick_timer(). vudc_remove() can then free the containing struct vudc while the timer is still pending or executing. KASAN confirms the race on an unpatched x86_64 QEMU guest with CONFIG_KASAN=y, CONFIG_USBIP_VUDC=y, CONFIG_USB_ZERO=y, and a tight loop that repeatedly writes a socket fd to usbip_sockfd, closes the socket pair, and unbinds/rebinds usbip-vudc.0: BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x8ba/0x8e0 Write of size 8 at addr ffff888001b80740 by task trigger_and_unb/239 Allocated by task 239: vudc_probe+0x4d/0xaa0 Freed by task 239: kfree+0x18f/0x520 device_release_driver_internal+0x388/0x540 unbind_store+0xd9/0x100 This lands in the timer core rather than v_timer() itself because the embedded timer_list is being walked after its containing struct vudc has already been freed. The underlying lifetime bug is the same one Zheng reported. With v_stop_timer() called from vudc_remove() and the timer deleted synchronously, the same harness completed 5000 bind/unbind iterations with no KASAN report.