CVE-2026-53259

Linux kernel (GCP) vulnerabilities

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: ipv6: anycast: Einfügen eines aca in die globale Hash-Tabelle unter idev->lock syzbot meldete einen Fehler [1]: ein slab-use-after-free in ipv6_chk_acast_addr(), das durch das Durchlaufen der globalen inet6_acaddr_lst[]-Hash-Tabelle unter RCU und Dereferenzierung eines struct ifacaddr6, das bereits freigegeben wurde, während es noch in der Hash-Tabelle verlinkt ist, auftritt. Dadurch kann ein späterer Leser auf einen hängenden Knoten stoßen. In __ipv6_dev_ac_inc() wird das aca mit einem Refcount von 1 allokiert, dann erhöht aca_get() den Refcount auf 2, um es über die entriegelte Region hinweg am Leben zu erhalten. Es wird unter idev->lock zur ac_list von idev veröffentlicht, aber ipv6_add_acaddr_hash() läuft nach write_unlock_bh(). Ein gleichzeitiges Abbauen (ipv6_ac_destroy_dev() aus addrconf_ifdown(), unter RTNL) kann in diese Lücke geraten: CPU0 __ipv6_dev_ac_inc CPU1 ipv6_ac_destroy_dev (RTNL) ------------------------------ ------------------------------------ aca_alloc() refcnt 1 aca_get() refcnt 2 write_lock_bh(idev->lock) add aca to ac_list write_unlock_bh(idev->lock) write_lock_bh(idev->lock) pull aca off ac_list write_unlock_bh(idev->lock) ipv6_del_acaddr_hash(aca) hlist_del_init_rcu() ist ein No-Op, da das aca noch nicht in der Hash-Tabelle vorhanden ist aca_put() refcnt 2->1 ipv6_add_acaddr_hash(aca) aca wird jetzt in die Hash-Tabelle eingefügt aca_put() refcnt 1->0 call_rcu(aca_free_rcu) -> kfree(aca) Die Entfernung aus der Hash-Tabelle wird zu einem No-Op, da das Einfügen noch nicht erfolgt ist. Sobald CPU0 einfügt und die letzte Referenz freigibt, wird das aca freigegeben, während es noch in inet6_acaddr_lst[] verlinkt ist, und Leser referenzieren dann freigegebene Speicher nach der Wiederverwendung des Slab-Slots. Diese Lücke öffnete sich, als RTNL den Pfad zum Beitritt gegen das Abbauen von Geräten nicht mehr seriell ausführte. Verschiebe ipv6_add_acaddr_hash() in den Abschnitt unter idev->lock, damit die Einfügungen in ac_list und Hash atomar bezüglich des Abbaus sind: ein konkurrierender Entferner findet das aca entweder gar nicht oder in beiden Listen. acaddr_hash_lock ist nun unter idev->lock verschachtelt, welches im softirq-Kontext erworben wird. Wechsle daher alle acaddr_hash_lock-Stellen zu spin_lock_bh(), um die gemeldete irq-Sperreninversion [2] zu vermeiden. [1] https://syzkaller.appspot.com/bug?extid=a01df04303c131efbf3a [2] https://lore.kernel.org/netdev/6a194ef7.ba3b1513.1890b4.0000.GAE@google.com/

Quelle: UBUNTU_USN UBUNTU_USN UBUNTU_USN CVELISTV5 NVD CVEORG