CVE-2026-53264

ملخص

في نواة لينكس، تم حل الثغرة الأمنية التالية: net/sched: act_api: استخدام RCU مع التحرير المؤجل لدورة حياة الإجراءات عند تشغيل NEWTFILTER وDELFILTER بشكل متزامن، من الممكن إنشاء حالة سباق مع إجراء مرتبط. دعنا نوضح مع CPU0 الذي يشغّل NEWTFILTER وCPU1 الذي يشغّل DELFILTER: 0: mutex_lock() <-- يمسك قفل idr 0: rcu_read_lock() 0: p = idr_find(idr, index) <-- الإجراء p صالح (RCU يحمي IDR) 0: mutex_unlock() <-- يحرر قفل idr 1: refcount_dec_and_mutex_lock() <-- refcnt 1->0، القفل ممسوك 1: idr_remove(idr, index) <-- تمت إزالة الإجراء من IDR 1: mutex_unlock() <-- تم تحرير القفل مما يسمح لنا بحذف الإجراء 1: tcf_action_cleanup(p); kfree(p) <-- يحرر p فورًا، دون تأجيل 0: refcount_inc_not_zero(&p->tcfa_refcnt) <-- مشكلة، UAF p يشير إلى ذاكرة محررة يصلح هذا التصحيح حالة السباق بين NEWTFILTER وDELFILTER عن طريق إضافة struct rcu_head إلى tc_action المستخدم في التأجيل وإدخال call_rcu() في مسار الحذف لتأجيل kfree() النهائي. ملاحظة: هذا تراجع عن الالتزام d7fb60b9cafb ("net_sched: get rid of tcfa_rcu") ولكنه أيضًا تحديث/تبسيط لاستخدام kfree_rcu() مباشرة. دعنا نوضح مسار الكود الجديد المستعاد: 0: rcu_read_lock() 1: refcount_dec_and_mutex_lock() <-- refcnt 1->0، القفل ممسوك 1: idr_remove(idr, index) 1: mutex_unlock() 1: call_rcu(&p->tcfa_rcu, tcf_action_rcu_free) <-- تأجيل kfree بعد فترة السماح 0: p = idr_find(idr, index) 0: refcount_inc_not_zero(&p->tcfa_refcnt) <-- يفشل، refcnt بالفعل 0 1: rcu_read_unlock() <-- تحرير حتى يمكن تنفيذ التحرير بعد فترة السماح بعد أن يستدعي CPU1 idr_remove()، لم يعد الكائن قابلًا للوصول عبر IDR. سيعيد idr_find() اللاحق من CPU0 قيمة NULL، وحتى إذا كان لا يزال يحمل مؤشرًا قديمًا، فإن kfree() الفوري أصبح الآن مؤجلًا حتى انتهاء فترة سماح RCU، لذا لا يمكن حدوث UAF.

• CVE-2026-53264PoC

  CVE-2026-53264 - مسودة