CVE-2026-98216
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto podatność w sterowniku IB/hfi1 dotyczącą mapowania pamięci PIO_CRED. Błędna arytmetyka wskaźników i nieprawidłowe użycie DMA API powodują, że użytkownik otrzymuje złą stronę zwrotu kredytów, co prowadzi do uszkodzenia tablic stron, paniki jądra lub zawieszenia transmisji PIO.
Ocena ryzyka
Organizacja może doświadczyć awarii systemu (Oops/panika) lub całkowitego zatrzymania transmisji PIO, co wpływa na niezawodność infrastruktury korzystającej z technologii Omni-Path. Podatność może być wykorzystana do wywołania odmowy usługi (DoS) w systemach z aktywnym sterownikiem hfi1.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawki z jądra Linux, która naprawia mapowanie PIO_CRED w hfi1_file_mmap(). Należy zaktualizować jądro do wersji zawierającej ten commit oraz sprawdzić, czy systemy z Omni-Path nie wykazują objawów opisanych w podatności.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-99087Nieznane
W jądrze Linux w dm-integrity występuje błąd, który powoduje dereferencję wskaźnika NULL, gdy urządzenie ma ustawioną flagę SB_FLAG_DIRTY_BITMAP i jest aktywowane w trybie 'R'. Funkcja dm_integrity_resume próbuje odczytać dziennik zawierający bitmapę, co prowadzi do awarii. Poprawka pomija zapisy do urządzenia w trybie 'R' podczas wznawiania.
- CVE-2026-99086Nieznane
W jądrze Linux dm-integrity nie waliduje superbloku podczas wznawiania urządzenia, co pozwala użytkownikowi zmodyfikować superblok na nośniku podczas zawieszenia urządzenia. Może to prowadzić do niezgodności rozmiarów struktur w pamięci i zapisu poza dziennik, w tym zapisu 512 bajtów przez wskaźnik NULL. Poprawka zapisuje zwalidowany superblok w konstruktorze i odmawia wznowienia, jeśli geometria na dysku uległa zmianie.
- CVE-2026-99085Nieznane
W jądrze Linux naprawiono błąd w schedulerze sched_ext, który powodował zawieszenie przy wyłączaniu CPU, gdy zadania wygasającego procesora pozostawały w kolejce BPF schedulera. Zadania te były nadal liczone w runqueue, ale nieaktywny CPU nie wywoływał ops.dispatch() i nie mógł ich przejąć, co blokowało wątek hotplug i cpu_down() trzymający cpu_hotplug_lock. Poprawka ponownie kolejkuje zadania z offline'owanego rq na lokalny DSQ, aby balance_push() mógł je przenieść.
- CVE-2026-99084Nieznane
W jądrze Linux naprawiono problem w iterate_dir(), gdzie blokada i_rwsem katalogu była trzymana podczas odczytu katalogu, nawet jeśli katalog jest niezmienny i nigdy nie jest usuwany. Dla katalogu instancji nullfs (współdzielonego przez wiele przestrzeni nazw montowania i wątków jądra) złośliwy czytelnik mógł zablokować tę blokadę na dowolnie długo, blokując operacje mkdir, wyszukiwania i montowania dla innych użytkowników. Dodano flagę FOP_IMMUTABLE, która pozwala pominąć blokadę dla takich katalogów.
- CVE-2026-99083Nieznane
W jądrze Linux serwer ksmbd ma błąd zapisu poza granice sterty w funkcji krb5_authenticate(). Gdy SMB2_SESSION_SETUP jest przetwarzane jako niepierwszy element złożonego żądania SMB2, obliczenie out_len pomija work->next_smb2_rsp_hdr_off, co zawyża dostępne miejsce w buforze i pozwala memcpy() zapisać blob AP-REP poza response_buf. Poprawka odejmuje tę wartość przy obliczaniu out_len.
- CVE-2026-99082Nieznane
W jądrze Linux naprawiono błąd w KVM na architekturze x86 dotyczący pamięci podręcznej MMIO dla poszczególnych vCPU. Cache był oznaczany generacją memslotów, ale zarówno przy wypełnianiu, jak i walidacji używano kvm_memslots() wybierającego bezwarunkowo przestrzeń adresową 0, nawet gdy vCPU działał w trybie SMM i korzystał z przestrzeni adresowej 1. W rezultacie aktualizacja memslotów SMM mogła pozostawić pozornie ważny wpis z dawnej przestrzeni SMM po powrocie vCPU do normalnej przestrzeni adresowej, co pozwalało gościowi wymusić wyjście KVM_EXIT_MMIO dla prawidłowego RAM.
- CVE-2026-99080Nieznane
W jądrze Linux w funkcji clear_inode() występuje wyciek węzłów xarray, który można wywołać m.in. przez madvise. Zamiast naprawiać wycieki w miejscach ich powstawania, poprawka wywołuje xa_destroy(), co dodatkowo cyklicznie zwalnia i pobiera blokadę i_pages.
- CVE-2026-99079Nieznane
W jądrze Linux sterownik net/mlx5e może zwolnić nieaktualny bufor XSK podczas ponownej próby uzupełnienia w legacy cyclic RQ. Gdy uzupełnienie powiedzie się tylko częściowo, WQE bez zamiennika zachowuje stary wskaźnik do bufora, który może zostać przydzielony innemu WQE, co prowadzi do zwolnienia aktywnego bufora i podwójnego opublikowania tej samej ramki UMEM. Poprawka oznacza WQE jako zwolniony natychmiast po zwolnieniu po stronie sterownika.
- CVE-2026-99078Nieznane
W jądrze Linux sterownik net/mlx5e może zwolnić nieaktualny bufor XSK podczas ponownej próby uzupełnienia MPWQE w striding RQ. Gdy alokacja XSK zwróci -ENOMEM, actual_wq_head nie jest przesuwany, a późniejsza próba NAPI może ponownie wywołać xsk_buff_free() przez nieaktualne wskaźniki po zwróceniu ramek do puli XSK. Poprawka ustawia wszystkie bity skip_release_bitmap w ścieżce błędu mlx5e_xsk_alloc_rx_mpwqe().
- CVE-2026-99077Nieznane
W jądrze Linux naprawiono podatność w obsłudze protokołu IPv4/UDP, która pozwalała atakującemu spoza ścieżki na przeprowadzenie ataku side-channel na cache wyjątków FIB (FNHE). Poprzednio wyjątek był tworzony tylko wtedy, gdy pakiet UDP można było dopasować do istniejącego gniazda, co umożliwiało odkrycie efemerycznego portu używanego przez połączone gniazdo UDP. Poprawka polega na zawsze tworzeniu FNHE przed próbą dopasowania gniazda.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: IB/hfi1: Fix the PIO_CRED credit-return mmap hfi1_file_mmap()'s PIO_CRED case must hand user space the single credit-return page that holds this context's entry. That page is the second or third page of the per-node credit-return allocation once the hardware send context index reaches 64 or 128, so the failure below is intermittent: when the entry lands on the first page the offset is zero and everything works. Two things are wrong. First, cr_page_offset is a byte offset but .va is a struct credit_return *, so adding it is pointer arithmetic and scales the offset by sizeof(struct credit_return) == 64. memvirt then lands 256 KiB or 512 KiB past a 10240-byte allocation. With an IOMMU translating, that address is inside the vmalloc range but in no vm_area, so dma_mmap_coherent() -> iommu_dma_mmap() finds no pages, vmalloc_to_pfn() returns page_to_pfn(NULL), and remap_pfn_range() installs a frame above MAXPHYADDR. The first user read then takes: psm2_ep_open_pr: Corrupted page table at address 7a14d007e000 PGD 800000013886a067 P4D 800000013886a067 PUD 13886b067 PMD 13886c067 PTE 800049168e911235 Oops: Bad pagetable: 000d [#1] SMP PTI Second, and still wrong once the arithmetic is corrected, dma_mmap_coherent() describes a whole coherent buffer and selects the page within it with vma->vm_pgoff. Offsetting cpu_addr has no effect: for a vmap'd allocation iommu_dma_mmap() uses cpu_addr only to locate the vm_area and then maps pages[vm_pgoff], which hfi1_file_mmap() has just set to 0. User space therefore always receives the first credit-return page, every credit read is for the wrong context, and send PIO stalls forever. Use the DMA API as intended: pass the base of the allocation with its full length and select the page with vm_pgoff. A separate length is needed because memlen must keep describing the VMA for the existing size check. The dma-direct path stays correct as well, since dma_direct_mmap() adds the same vm_pgoff to the base pfn. Tested on a Dell T7610 (Xeon E5-2650 v2, Intel IOMMU in DMA-FQ mode) against a Threadripper PRO 3995WX peer, both Omni-Path 100. Before this change psm2_ep_open() Oopses the kernel; with only the arithmetic corrected psm2_ep_open() succeeds but any transfer that uses send PIO hangs, PSM2_SDMA=2 (send PIO disabled) completing normally while PSM2_SDMA=0 (send PIO only) hangs every time. With this change send PIO, send DMA and the default mixed mode all work.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS