CVE-2026-23416 — PoC

mm/mseal: обновление конца VMA при слиянии исправлено

Уязвимость обнаружена Antonius / Blue Dragon Security

Обзор

Описание уязвимости

Ошибка находится в mseal_apply() внутри mm/mseal.c. При переборе VMA для применения системного вызова mseal(2) функция отслеживает позицию с помощью curr_start и curr_end:

/* Упрощённая логика до исправления */
curr_end = vma->vm_end;
/* ... обработка VMA ... */
curr_start = curr_end;  /* переход к следующей VMA */

Проблема: vma_modify_flags() — вызываемая во время итерации — может сливать VMA, изменяя vma->vm_end на месте. Это делает значение curr_end, которое было захвачено до слияния, устаревшим. На следующей итерации curr_start устанавливается в теперь уже устаревший curr_end, что приводит к некорректному начальному адресу.

В отладочных ядрах (CONFIG_DEBUG_VM) это несогласованное состояние vmg вызывает:

VM_WARN_ON_VMG(middle &&
    ((middle != prev && vmg->start != middle->vm_start) ||
     vmg->end > middle->vm_end))

в mm/vma.c:830, порождая kernel WARNING.

В рабочих ядрах (WARN скомпилирован в no-op) устаревший curr_start продолжает работу без предупреждения — то есть VM_SEALED может быть применён к неправильному диапазону адресов без каких-либо видимых ошибок, подрывая гарантию безопасности, которую должен обеспечивать mseal(2).

Путь вызова

mseal(2)
  └─ do_mseal()              [mm/mseal.c]
       └─ mseal_apply()
            └─ vma_modify_flags()   [mm/vma.c]
                 └─ vma_modify()
                      └─ vma_merge_existing_range()
                           └─ VM_WARN_ON_VMG срабатывает на строке 830

Первопричина

/* ДО исправления — mm/mseal.c mseal_apply() */
curr_end = vma->vm_end;           // захватывается здесь
/* ... vma_modify_flags() может сливать VMA, изменяя vma->vm_end ... */
curr_start = curr_end;            // устаревшее! слияние не отражено

Исправление устанавливает curr_end = vma->vm_end безусловно на каждой итерации после любого потенциального слияния, а также дополнительно фиксирует curr_start/curr_end как const значения, полученные из входного диапазона и границ VMA:

/* ПОСЛЕ исправления */
curr_end = vma->vm_end;           // безусловно, всегда свежее

Расположение VMA во время срабатывания

PoC создаёт следующую структуру перед вторым вызовом mseal():

[0x21da6000 - 0x21de5fff]  VMA-A  (fd2, MAP_SHARED|MAP_FIXED) ← VM_SEALED после шага 1
[0x21de6000 - 0x21e82fff]  VMA-B  (fd2, MAP_SHARED|MAP_FIXED) ← НЕ запечатана
[0x21e83000 - 0x21e84fff]  VMA-C  (остаток)

Второй вызов mseal(m2, 0x70000) нацелен на диапазон [0x21da6000 – 0x21e15fff], охватывающий VMA-A (запечатанную) и VMA-B (не запечатанную). Внутри mseal_apply() устаревший curr_end от VMA-A используется как curr_start при обработке VMA-B, создавая несогласованное состояние vmg.

Влияние на безопасность

1. Достижимо из непривилегированного пользовательского пространства — требуется только memfd_create + mmap + mseal, никаких CAP_* не нужно.
2. mseal(2) — это примитив безопасности — он защищает неизменность VMA. Логическая ошибка в его применении означает, что VM_SEALED может быть незаметно применён неправильно при охвате VMA со смешанным состоянием запечатывания.
3. Незаметно в рабочих системах — на неотладочных ядрах несогласованное состояние продолжается без предупреждения, потенциально оставляя дерево VMA с некорректным состоянием запечатывания.

PoC (доказательство концепции)

Файл: cve-2026-23416-poc.c

Сборка

gcc -o poc cve-2026-23416-poc.c

Запуск

./poc

Ожидаемый вывод (отладочное ядро с CONFIG_DEBUG_VM)

============================================
CVE-2026-23416-POC
Discovered by : Antonius / Blue Dragon Security
  https://bluedragonsec.com
  https://github.com/bluedragonsecurity
============================================
[iter 0]
[iter 1]
...
[+] WARNING triggered N times total

Проверьте dmesg на:

WARNING: CPU: X PID: Y at mm/vma.c:830 vma_merge_existing_range+0x...

Требования

• Linux kernel 6.17 – 7.0-rc5
• CONFIG_DEBUG_VM=y для наблюдения VM_WARN_ON_VMG (на рабочих ядрах ошибка всё ещё присутствует, но незаметна)
• Ни root, ни специальных привилегий не требуется

Исправление

Три патча в основной линии (применены в 7.0-rc6 и стабильных бэкпортах):

Исправленные версии ядра: 7.0-rc6, 6.18.21, 6.19.11

Ссылки

• CVE-2026-23416 — cve.org
• CVE-2026-23416 — NVD
• Техническое описание — Medium (@w1sdom)
• Blue Dragon Security

Хронология раскрытия

Автор

Antonius (@w1sdom)
Blue Dragon Security — Тангеранг, Индонезия
GitHub: bluedragonsecurity

Данный PoC опубликован в образовательных и исследовательских целях.