CVE-2026-64192

ŚrednieCVSS 5.5

Opublikowano: 20/07/2026(UTC)Zaktualizowano: 23/08/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

W jądrze Linux stwierdzono podatność w mapach BPF typu INODE_STORAGE, gdy BPF LSM nie jest włączony podczas rozruchu. Niezainicjowany offset bloku bezpieczeństwa inode prowadzi do aliasowania wskaźnika callback RCU, co skutkuje paniką jądra przy próbie wykonania kodu z adresu 0x0.

Ocena ryzyka

Uprzywilejowany użytkownik może celowo utworzyć mapę BPF w stanie, w którym jądro ulegnie awarii (kernel panic) podczas czyszczenia elementów mapy lub niszczenia inode, co prowadzi do odmowy usługi (DoS) dla całego systemu.

Rekomendacja

Zastosuj łatkę z jądra Linux w wersji zawierającej fix (commit dodający flagę bpf_lsm_initialized) lub zaktualizuj jądro do wersji, w której podatność została załatana. Upewnij się, że BPF LSM jest włączony w parametrach rozruchu (lsm= zawiera bpf).

Inne podatności w Linux kernel

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

In the Linux kernel, the following vulnerability has been resolved: bpf: Reject BPF_MAP_TYPE_INODE_STORAGE creation if BPF LSM is uninitialized When CONFIG_BPF_LSM=y is set, BPF inode storage maps (BPF_MAP_TYPE_INODE_STORAGE) are compiled into the kernel. However, if the BPF LSM is not explicitly enabled at boot time (e.g. omitted from the "lsm=" boot parameter), lsm_prepare() is never executed for the BPF LSM. Consequently, the BPF inode security blob offset (bpf_lsm_blob_sizes.lbs_inode) is never initialized and remains at its default compiled size of 8 bytes instead of being updated to a valid offset past the reserved struct rcu_head (typically 16 bytes or more). When a privileged user creates and updates a BPF_MAP_TYPE_INODE_STORAGE map, bpf_inode() evaluates inode->i_security + 8. This erroneously aliases the struct rcu_head.func callback pointer at the beginning of the inode->i_security blob. During subsequent map element cleanup or inode destruction, writing NULL to owner_storage clears the queued RCU callback pointer. When rcu_do_batch() later executes the queued callback, it attempts an instruction fetch at address 0x0, triggering an immediate kernel panic. Fix this by introducing a global bpf_lsm_initialized boolean flag marked with __ro_after_init. Set this flag to true inside bpf_lsm_init() when the LSM framework successfully registers the BPF LSM. Gate map allocation in inode_storage_map_alloc() on this flag, returning -EOPNOTSUPP if the BPF LSM is in turn uninitialized. This fail-fast approach prevents userspace from allocating inode storage maps when the supporting BPF LSM infrastructure is absent, avoiding zombie map states.