CVE-2026-98366
NieznaneStreszczenie
W jądrze Linuxa w podsystemie RDMA/rxe wykryto podatność polegającą na tym, że funkcja rxe_rereg_user_mr() najpierw zmienia wskaźnik PD (protection domain), a dopiero potem waliduje flagi dostępu. Jeśli walidacja się nie powiedzie, obiekt MR pozostaje w niespójnym stanie, co prowadzi do użycia po zwolnieniu (use-after-free) pamięci PD.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zapisu do zwolnionej pamięci, co może prowadzić do naruszenia integralności systemu, eskalacji uprawnień lub awarii (paniki) jądra. Podatność dotyczy systemów korzystających z RDMA (Remote Direct Memory Access) z implementacją rxe.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie jądra Linux do wersji zawierającej poprawkę, która waliduje flagi dostępu przed jakąkolwiek modyfikacją stanu MR. Należy również monitorować dostępność łatki bezpieczeństwa od dostawcy dystrybucji.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-98372Nieznane
W jądrze Linux wykryto podatność w module xfrm IP-TFS, gdzie funkcja iptfs_skb_reset_frag_walk() może odczytać pamięć poza stosem z powodu braku kontroli indeksu fragmentów. Specjalnie spreparowany pakiet AGGFRAG może wywołać odczyt poza zakresem, co prowadzi do awarii systemu lub potencjalnego wycieku informacji.
- CVE-2026-98371Nieznane
W jądrze Linux w module xfrm/iptfs występuje błąd w obsłudze fragmentacji pakietów wewnętrznych. Gdy początek pakietu wewnętrznego zostanie podzielony między dwa pakiety zewnętrzne tak, że mniej niż 4 bajty trafią na koniec pierwszego, walidacja długości nagłówka IP jest pomijana, co prowadzi do przepełnienia bufora i paniki jądra (DoS).
- CVE-2026-98370Nieznane
W jądrze Linux naprawiono podatność use-after-free w funkcji xfrm_state_netlink() podczas obsługi żądań ALLOCSPI. Funkcja xfrm_alloc_userspi() wywołuje alloc_compat() ponownie, ale przekazuje oryginalne żądanie skb i jego nagłówek, co dla żądań kompatybilnych powoduje interpretację 228-bajtowej struktury compat xfrm_userspi_info jako natywnego układu 232-bajtowego i odczyt czterech bajtów poza zadeklarowaną zawartością. Klon multicast żądania współdzieli skb_shared_info i może obserwować ten child, a xfrm_user_rcv_msg() zwalnia go po zakończeniu obsługi, co prowadzi do wyścigu i use-after-free.
- CVE-2026-98369Nieznane
W jądrze Linux naprawiono błąd w podsystemie xfrm, gdzie funkcja xfrm_trans_reinject() po konwersji z taskletu na workqueue działała w kontekście procesu bez blokady RCU. Powodowało to ostrzeżenia o nieprawidłowym użyciu RCU oraz potencjalne problemy z ważnością wskaźników dst i urządzeń sieciowych dla pakietów przekazywanych przez kolejkę roboczą.
- CVE-2026-98368Nieznane
W jądrze Linux wykryto podatność w implementacji ESP (IPsec), gdzie na ścieżce wyjściowej poza miejscem (out-of-place) modyfikowano tablicę fragmentów skb bez wcześniejszego obniżenia poziomu zarządzania fragmentami zerocopy (SKBFL_MANAGED_FRAG_REFS). Prowadzi to do naruszenia zasad zarządzania fragmentami, co może skutkować użyciem po zwolnieniu (use-after-free) stron zerocopy oraz wyciekiem pamięci.
- CVE-2026-98367Nieznane
W jądrze Linux naprawiono podatność w sterowniku RDMA/siw w funkcji siw_accept(). Jeśli siw_qp_modify() zakończy się niepowodzeniem, stan QP jest zwalniany przed oczyszczeniem ścieżki błędu, co pozwala współbieżnemu wywołaniu ibv_modify_qp() na przejście QP do stanu ERROR i zwolnienie struktury cep, prowadząc do use-after-free. Poprawka polega na wyczyszczeniu qp->cep i zwolnieniu referencji asocjacji pod trzymanym zamkiem zapisu.
- CVE-2026-98365Nieznane
W jądrze Linux w podsystemie RDMA/rxe funkcja mr_check_range() zawiera podatność na przepełnienie liczb całkowitych, co pozwala zdalnemu nieuwierzytelnionemu klientowi na ominięcie walidacji zakresu pamięci i wywołanie odczytu/zapisu poza granicami, prowadząc do awarii jądra. Poprawka przepisuje sprawdzenie w bezpiecznej formie, zwracając błąd -EINVAL dla spreparowanych żądań.
- CVE-2026-98364Nieznane
W jądrze Linux w podsystemie xfrm podczas tworzenia pakietów (bundle) brakuje trzymania referencji do net_device, co prowadzi do użycia po zwolnieniu (use-after-free) przy równoczesnym usuwaniu interfejsu. Poprawka polega na czytaniu dst->dev przez dst_dev_rcu() i utrzymywaniu sekcji krytycznej RCU do czasu przejęcia referencji przez xfrm_fill_dst().
- CVE-2026-98363Nieznane
W jądrze Linux w podsystemie firmware arm_scpi funkcja scpi_dvfs_get_info() nie sprawdza górnego limitu liczby OPP (operating performance points) odczytywanych z firmware SCP, co może prowadzić do odczytu poza tablicą i błędnego rozmiaru alokowanej tabeli OPP. Poprawka odrzuca zarówno zerową, jak i zbyt dużą liczbę OPP, zwracając -EINVAL.
- CVE-2026-98362Nieznane
W jądrze Linux w podsystemie clk scpi funkcja scpi_dvfs_recalc_rate() nie sprawdza górnego limitu indeksu DVFS zwracanego przez dvfs_get_idx(), co może prowadzić do odczytu poza tablicą i traktowania śmieci jako częstotliwości zegara. Poprawka traktuje indeksy większe lub równe liczbie OPP jako nieprawidłowe i zwraca 0.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: validate access flags before swapping the MR's PD rxe_rereg_user_mr() reassigns mr->ibmr.pd first and only then validates the IB_MR_REREG_ACCESS argument: if (flags & IB_MR_REREG_PD) { rxe_put(old_pd); rxe_get(pd); mr->ibmr.pd = ibpd; } if (flags & IB_MR_REREG_ACCESS) { if (access & ~RXE_ACCESS_SUPPORTED_MR) return ERR_PTR(-EOPNOTSUPP); mr->access = access; } Both flags pass the entry check because RXE_MR_REREG_SUPPORTED is IB_MR_REREG_PD | IB_MR_REREG_ACCESS, so a caller can reach the access check with mr->ibmr.pd already reassigned. mr->ibmr.pd is owned by the core, which adjusts pd->usecnt only on the success path: ib_uverbs_rereg_mr() jumps to put_new_uobj on a driver error without undoing the reassignment, so mr->pd == new_pd while the usecnts still charge the MR to orig_pd. ib_dereg_mr_user() then decrements new_pd, whose count can reach zero while a memory window still references it; uverbs_free_pd() frees the PD on that count alone and rxe_mw_cleanup() writes to freed memory: BUG: KASAN: slab-use-after-free in __rxe_put+0x31/0xa0 Write of size 4 at addr ffff8881301dd690 by task rxe_poc/591 __rxe_put+0x31/0xa0 rxe_mw_cleanup+0x42/0x200 __rxe_cleanup+0x115/0x370 rxe_dealloc_mw+0x4c/0x80 Allocated by task 591: ib_uverbs_alloc_pd+0x258/0x540 Freed by task 591: ib_dealloc_pd_user+0x174/0x210 uverbs_free_pd+0x8d/0xc0 ib_uverbs_dealloc_pd+0x18e/0x1d0 Validate the access flags before mutating any state so the callback either applies every requested change or none.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS