CVE-2026-72466
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W jądrze Linux w module xprtrdma wykryto podatność powodującą wyciek bufora odbiorczego i wyczerpanie kolejki Receive. Błędna dekodacja krótkich lub uszkodzonych odpowiedzi może prowadzić do błędnej klasyfikacji ramki jako wywołania zwrotnego (backchannel), co skutkuje utratą bufora i brakiem ponownego opublikowania slotu odbiorczego.
Ocena ryzyka
Atakujący może wysyłać specjalnie spreparowane pakiety, powodując wyczerpanie zasobów kolejki Receive, co prowadzi do odmowy usługi (DoS) na poziomie transportu RDMA. W skrajnych przypadkach może to uniemożliwić dalszą komunikację z serwerem NFS.
Rekomendacja
Zaleca się natychmiastowe zastosowanie oficjalnej łatki jądra Linux dla CVE-2026-72466 oraz aktualizację systemu do wersji zawierającej poprawkę. Należy również monitorować komunikaty jądra pod kątem anomalii w działaniu xprtrdma.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-98164Nieznane
W jądrze Linux, w KVM x86/mmu, funkcja kvm_gfn_is_write_tracked() sprawdza tylko dostarczony memslot, ale śledzenie zapisów jest per-przestrzeń adresowa, a strony cienia są współdzielone między przestrzeniami adresowymi. Z SMM, GFN może być śledzony w jednej przestrzeni adresowej, a w drugiej wyglądać na nieśledzony. Poprawka sprawdza najpierw dostarczony slot, a następnie slot dla drugiej przestrzeni adresowej, co zapobiega oznaczaniu górnych stron cienia jako niesynchronizowanych i wyzwalaniu BUG w pte_list_remove().
- CVE-2026-98048Nieznane
W jądrze Linux w podsystemie BPF funkcja mark_fastcall_pattern_for_call() musi zapewnić, że dopasowana sekwencja instrukcji "spill; call; fill" nie jest przerwana przez skok. W przeciwnym razie przepisanie zastosowane przez bpf_remove_fastcall_spills_fills() jest niepoprawne. Poprawka rejestruje instrukcje będące celami skoków w insn_aux_data[*].jump_target i używa tej flagi do zatrzymania rozwijania wzorca.
- CVE-2026-98047Nieznane
W jądrze Linux w podsystemie BPF funkcja in_rbtree_lock_required_cb() sprawdza tylko najgłębszą ramkę weryfikatora, przez co ograniczenia callbacku rbtree znikają w zagnieżdżonej ramce wywołania statycznego podprogramu. Podprogram może odblokować drzewo, usunąć i zwolnić porównywany węzeł, a następnie ponownie zablokować, co prowadzi do wstawienia zwolnionej pamięci do drzewa.
- CVE-2026-98046Nieznane
W jądrze Linux w podsystemie BPF funkcja bpf_btf_find_by_name_kind() zwraca nowy deskryptor pliku obiektu BTF przez __btf_new_fd(), co prowadzi do anon_inode_getfd(), która może spać podczas alokacji lub rozszerzania tablicy deskryptorów. Prototyp helpera nie ustawia might_sleep, więc weryfikator zezwala na jego użycie w kontekstach nieuśpialnych, takich jak callbacki timerów BPF.
- CVE-2026-98045Nieznane
W jądrze Linux podatność w weryfikatorze BPF dotyczy helperów stosu, które mogą blokować na odczytach systemu plików (np. przy rozwiązywaniu build ID), ale nie były oznaczone jako uśpialne. Weryfikator mógł zezwolić na ich wywołanie z regionów nieuśpialnych, takich jak sekcje RCU czy z wyłączonym wywłaszczaniem.
- CVE-2026-98044Nieznane
W jądrze Linux weryfikator BPF błędnie obsługiwał przestarzałe instrukcje ładowania pakietów (BPF_LD_ABS/BPF_LD_IND) wywoływane z callbacków, co prowadziło do błędu weryfikatora i ostrzeżenia oraz błędu -EFAULT przy BPF_PROG_LOAD. Uprawniony ładowacz programów mógł wywołać ten problem.
- CVE-2026-98043Nieznane
W jądrze Linux weryfikator BPF błędnie wnioskował, że wskaźnik z nieograniczonym przesunięciem jest nie-NULL, opierając się tylko na typie. W wyniku tego program BPF mógł przejść weryfikację, a w czasie działania nastąpiło wyłuskanie wskaźnika NULL.
- CVE-2026-98042Nieznane
W jądrze Linux weryfikator BPF mógł przywrócić identyfikator skalara usunięty przez collect_linked_regs(), ponieważ kopie porównywanych rejestrów były wykonywane przed zebraniem powiązanych rejestrów. Mogło to prowadzić do niespójności zakresów i propagacji precyzji.
- CVE-2026-98041Wysokie
W jądrze Linux weryfikator BPF błędnie przewidywał wynik porównania wskaźnika z zerem w instrukcjach JMP32, nie odróżniając porównań BPF_JMP od BPF_JMP32. Prowadziło to do nieprawidłowego wnioskowania o zawsze wykonanym skoku.
- CVE-2026-98040Nieznane
W jądrze Linux weryfikator BPF nie oznaczał rejestru zerowego jako precyzyjnego przy sprawdzaniu NULL w formie porównania rejestrów. W rezultacie jedna ze ścieżek była przycinana, a program mógł wyłuskać wskaźnik o wartości zero w czasie działania.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: xprtrdma: Fix bcall rep leak and unbounded peek rpcrdma_is_bcall() decodes a reply's first words to decide whether the frame is a backchannel call. Two issues in that decode path let a short or malformed reply leak the receive buffer and drain the Receive queue. First, the speculative peek p = xdr_inline_decode(xdr, 0); /* five p++ reads follow */ asks xdr_inline_decode() for zero bytes, which returns xdr->p without consulting xdr->end. The five subsequent __be32 reads can then walk up to 20 bytes past the wire payload into stale regbuf contents and misclassify the reply as a backchannel call. Second, after the post-peek p = xdr_inline_decode(xdr, 3 * sizeof(*p)); if (unlikely(!p)) return true; the short-header arm returns true without calling rpcrdma_bc_receive_call(). The contract with the caller is that a true return transfers ownership of rep to the backchannel path: rpcrdma_reply_handler() if (rpcrdma_is_bcall(r_xprt, rep)) return; /* bare return, skips out_post */ ... out_post: rpcrdma_post_recvs(r_xprt, credits + ...); Because rpcrdma_bc_receive_call() never ran, no one took rep, but rpcrdma_reply_handler still bare-returns past rpcrdma_rep_put() and rpcrdma_post_recvs(). The rep, with its persistently DMA-mapped receive buffer, is orphaned on rb_all_reps and freed only at transport teardown. This completion reposts nothing, so its slot is reclaimed only when a later forward-channel reply reaches out_post and rpcrdma_post_recvs() allocates a fresh rep to backfill; absent that traffic the Receive queue drains and the peer's Sends draw RNR NAKs. Fix by consulting xdr->end after the zero-length peek so the five __be32 reads cannot run unless 20 bytes of wire payload remain. A byte-precise comparison against xdr->end is required because a non-4-aligned receive rounds the stream's word count up past the true payload. Also return false from the short-header arm so the reply falls through the normal out_norqst cleanup chain (rpcrdma_rep_put() plus rpcrdma_post_recvs()).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS