CVE-2026-98385

ملخص

في نواة Linux، تم إصلاح الثغرة الأمنية التالية: sched/cache: فصل sched_cache_group عن mm لإصلاح UAF. حاليًا، يتم تجميع ذاكرة sched cache بواسطة mm وإحصاءات الجدولة sched_cache_stat موجودة في بنية mm. هذا يربط دورة حياة إحصاءات الجدولة بـ mm. في account_mm_sched()، يتم الوصول إلى إحصاءات الجدولة عبر task->mm->sc_stat. ومع ذلك، قد يقوم مهمة بتبديل mm على وحدة معالجة مركزية واحدة بينما تقوم وحدة معالجة مركزية أخرى بتشغيل account_mm_sched()، وربما الوصول إلى mm القديم الذي تم تحريره. تم اكتشاف هذه المشكلة عند تشغيل الاختبارات باستخدام KASAN بواسطة Hyunwoo: https://lore.kernel.org/lkml/apPb-Dr4nPYuHQOK@v4bel/ بدلاً من تسلسل الوصول إلى mm عن طريق إدخال حصول إضافي على قفل rq في مسار تحرير mm، يتم استخراج sched_cache_stat من mm_struct، وإعادة تسميته إلى sched_cache_group وإدارة دورة حياته بشكل منفصل عن mm_struct مع عدّ مرجعي خاص به. هذا يسمح لنا في التصحيح التالي بالوصول إلى sched_cache_group مباشرة من المهمة، وإضافة عدّ مرجعي على sched_cache_group عندما ترتبط مهمة به. هذا يمنع مشكلة الاستخدام بعد التحرير عند الوصول إلى mm القديم الذي تم تحريره وإصداره وإحصاء sched cache الخاص به عندما تنتقل مهمة إلى mm جديد بينما يتم تنفيذ account_mm_sched() في مكان آخر. الفائدة الأخرى لهذه إعادة الهيكلة هي أنه في المستقبل، سيكون لتجميع المهام إلى LLC المرونة ليكون مرتبطًا بتجميع محدد من قبل المستخدم، أو cgroup، أو cookie group، أو numa_group أو غيرها بدلاً من مجرد مساحة عنوان mm واحدة. إعادة تسمية sched_cache_stat إلى sched_cache_group وتحويله إلى كائن بعدّ مرجعي مخصص من mm_struct. تحتفظ mm_struct الآن بمؤشر (sched_cache_grp) لهذا الكائن بدلاً من تضمينه.

المصادر

• InfinityCore-Android-CVE-2026-98385PoC

  نسخة ARM64 لأندرويد من إثبات المفهوم الرسمي للثغرة CVE-2026-98385، وهي حالة تسابق في النظام الفرعي لجدولة النواة تتيح تصعيد الامتيازات محليًا مع ثوابت تخطيط كومة مضمّنة بشكل ثابت.