CVE-2026-98613
Niskie ryzyko· EPSS 7%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W jądrze Linux naprawiono podatność w mechanizmie BPF dotyczącą śledzenia własności obiektów lokalnych przez wskaźniki kptr. Samoodwołujące się lub długie łańcuchy typów lokalnych kptr mogły prowadzić do wyczerpania stosu jądra podczas zwalniania obiektu. Wprowadzono ograniczenie głębokości własności do ośmiu typów oraz odrzucanie cykli.
Ocena ryzyka
Podatność może być wykorzystana przez lokalnego użytkownika do wywołania odmowy usługi (panika jądra) poprzez wyczerpanie stosu jądra. W środowiskach wielodostępnych stwarza to ryzyko destabilizacji systemu.
Rekomendacja
Zaktualizuj jądro Linux do wersji zawierającej poprawkę dla CVE-2026-98613. Jeśli aktualizacja nie jest możliwa, ogranicz możliwość ładowania programów BPF do zaufanych użytkowników.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-43603Średnie
W sterowniku GPU jądra Linux występuje dereferencja wskaźnika NULL, która może doprowadzić do awarii jądra. Skutkiem może być odmowa usługi (DoS) na dotkniętym systemie.
- CVE-2026-99270Wysokie
W jądrze Linux występuje podatność use-after-free (UAF) w funkcji reqsk_timer_handler(). Gdy migracja gniazda TCP nie powiedzie się w inet_ehash_insert(), kod przechodzi do etykiety no_ownership i natychmiast zwalnia nowy reqsk przez __reqsk_free(), nie zatrzymując wcześniej jego timera, co może prowadzić do UAF.
- CVE-2026-99269Wysokie
W jądrze Linux w schedulerze sched_ext zadanie może znajdować się w nie-lokalnej kolejce DSQ, podczas gdy CPU, które je wysłało, wciąż wykonuje ops.dequeue() i nie wyczyściło flagi SCX_OPSS_DISPATCHING. Ścieżki konsumpcji i przenoszenia DSQ nie czekają na zakończenie wysyłki i mogą operować na zadaniu równolegle z dispatcherem. Poprawka dodaje wywołanie scx_wait_dispatching() przed operacjami na zadaniu.
- CVE-2026-99268Nieznane
W io_uring z IORING_SETUP_DEFER_TASKRUN ukończenia są kolejkowane jako lokalna praca i stają się CQE dopiero, gdy zgłaszający wejdzie do jądra, aby czekać na zdarzenia. io_uring_poll() zgłasza EPOLLIN, jeśli lokalna praca jest oczekująca, ale tylko jeśli praca istnieje w momencie wywołania; po dodaniu DEFER_TASKRUN budzenie ->poll_wq zostało zastąpione bezpośrednim budzeniem zgłaszającego, przez co poll() może zasnąć mimo pojawienia się pracy. Poprawka budzi ->poll_wq, gdy pierwszy wpis trafia na listę pracy, używając w razie potrzeby callbacku RCU.
- CVE-2026-99267Nieznane
W io_uring NAPI przy dynamicznym śledzeniu identyfikator NAPI, który nie był widziany przez minutę, powinien zostać usunięty z listy odpytywanej przez ring. Limit czasu jest jednak liczony niepoprawnie — użyto SEC_CONVERSION zamiast liczby jiffies w sekundzie, co dla HZ=1000 daje około ośmiu lat, a na 32-bitowych systemach powoduje przepełnienie. W rezultacie wpisy nigdy nie są usuwane i każde odpytywanie sprawdza wszystkie historyczne identyfikatory.
- CVE-2026-99266Nieznane
W io_uring zcrx funkcja io_zcrx_queue_cqe() oblicza przesunięcie bufora w obszarze na podstawie net_iov_idx(), które jest typu unsigned int, więc przesunięcie jest wykonywane w 32 bitach, a dopiero wynik jest rozszerzany do u64 w CQE. Obszar może mieć do 1 TB, więc dla każdego niov powyżej pierwszych 4 GB CQE wskazuje aplikacji bufor o 4 GB (lub wielokrotność) poniżej właściwego. Aplikacja czyta złe dane i zwraca bufor, którego nie posiada, przez kolejkę uzupełnień, podczas gdy prawdziwy nigdy nie jest zwracany.
- CVE-2026-99265Nieznane
W io_uring/openclose funkcja io_pipe_fixed() instaluje oba końce potoku w tabeli stałych plików, zwalnia ->uring_lock i kopiuje numery slotów do aplikacji. Jeśli kopiowanie spowoduje błąd, ponownie bierze blokadę i usuwa to, co znajduje się w tych slotach. Gdy żądanie jest wykonywane przez io-wq, blokada jest naprawdę zwalniana, a sloty są widoczne dla innych; zanim ścieżka błędu do nich dotrze, mogą zostać zamknięte i ponownie użyte (przez IORING_OP_CLOSE, bezpośrednie open/accept lub IORING_REGISTER_FILES_UPDATE), co powoduje usunięcie pliku niezwiązanego z nieudanym żądaniem. Poprawka wykonuje kopiowanie z trzymaną blokadą.
- CVE-2026-99264Wysokie
W jądrze Linux naprawiono błąd w io_uring/net dotyczący ponawiania odbioru (recv) na niezatwierdzonych buforach. Gdy odbiór był ponawiany po częściowym transferze, jądro mogło ponownie udostępnić pamięć bufora, do której ponawiane żądanie wciąż zapisywało, co prowadziło do nadpisania danych. Zamiast ponawiać, żądanie jest teraz kończone z otrzymaną liczbą bajtów, a MSG_WAITALL nie jest już respektowane dla buforów inkrementalnych i wiązek wielu buforów.
- CVE-2026-99263Nieznane
W io_uring/poll jeśli wybudzenie ustawi IO_POLL_RETRY_FLAG pomiędzy momentem, gdy zadanie będące właścicielem skonsumuje istniejącą instancję IO_POLL_RETRY_FLAG, a sprawdzeniem pętli w io_poll_check_events(), przetwarzanie żądania zostaje wstrzymane do czasu nadejścia niezwiązanego wybudzenia. Poprawka używa atomic_cmpxchg zamiast atomic_sub_return, aby zagwarantować, że licznik v i poll_refs wynoszą 0 i żadne wybudzenia nie zostaną pominięte.
- CVE-2026-99262Nieznane
W io_uring/timeout żądanie IORING_OP_TIMEOUT uruchamiane przez io-wq z powodu IOSQE_ASYNC ma ten sam problem co poll, futex i waitid. io_wq_submit_work() sprawdza IO_WQ_WORK_CANCEL tylko raz, przed wydaniem żądania; anulowanie w międzyczasie ustawia flagę, otrzymuje -EALREADY i bezskutecznie szuka w ->timeout_list, podczas gdy worker dodaje żądanie i uruchamia timer. Nikt nie sprawdza flagi ponownie i limit czasu trwa do końca, a przy wyjściu z ringu zadanie może zawiesić się na cały czas trwania limitu. Poprawka sprawdza flagę pod ->timeout_lock i odrzuca żądanie, jeśli jest ustawiona.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: bpf: Bound ownership depth through local kptrs and graph roots Program-allocated objects can own other local objects through referenced kptrs. bpf_obj_free_fields() follows those pointers through __bpf_obj_drop_impl() synchronously, before the object storage is freed through RCU. A self-referential local kptr type therefore permits arbitrarily deep object chains, and dropping the head can exhaust the kernel stack. Long acyclic type chains have the same problem. btf_check_and_fixup_fields() still assumes referenced kptrs only point to kernel types and checks ownership through list and rbtree roots only. Its existing rule is sufficient for graph-only cycles: the target of each graph edge must contain a node, so every type in a cycle has both a root and a node. The rule rejects such a type owning another root, breaking every cycle. It also limits graph-only chains to three types, or two if the first type contains a node, and conservatively rejects longer acyclic chains. The missing local-kptr edges, rather than a missed graph-only cycle, are the bug introduced by support for bpf_kptr_xchg() into local kptrs. Replace that restriction with one bounded ownership walk covering graph roots and local referenced kptrs. Run it after all BTF records have been fixed up, reject cycles and paths deeper than eight record-bearing types, and cache each type's suffix depth while checking it against the remaining budget. This also permits the longer acyclic graph-only layouts rejected by the old rule; update their existing BTF tests accordingly. Keep the bound independent of MAX_CALL_FRAMES because recursive destruction can run below a BPF call chain. A plain local pointee without special-field metadata adds only a final non-recursing drop. Non-owning kptrs and kernel-BTF kptrs do not recurse through local records and remain outside the walk. Include local percpu-kptr edges too, although allocation of percpu objects with special fields is currently forbidden, so that relaxing that restriction cannot bypass the ownership bound. btf_check_and_fixup_fields() continues to initialize graph_root.value_rec, including for separately allocated map records. The ownership relationships belong to immutable program BTF and only need validation at BTF load time.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS