CVE-2026-64112

Linux kernel (GCP) vulnerabilities

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben:

rbd: Eliminierung eines Rennzustands beim Entleeren von lock_dwork bei unmap

Angesichts der Art und Weise, wie rbd_lock_add_request() und rbd_img_exclusive_lock() geschrieben sind, kann lock_dwork mehr (wieder) eingereiht werden, als tatsächlich benötigt wird. Zum Beispiel tritt dies auf, wenn während einer laufenden rbd_acquire_lock() für eine andere I/O-Anfrage eine neue I/O-Anfrage eingeht. Dies ist erwartet und unter normalen Betriebsbedingungen mit der vorzeitigen Stornierung von lock_dwork durch rbd_release_lock() harmlos.

Ein problematischeres Beispiel könnte maybe_kick_acquire() sein:

if (have_requests || delayed_work_pending(&rbd_dev->lock_dwork)) {
    dout("%s rbd_dev %p kicking lock_dwork\n", __func__, rbd_dev);
    mod_delayed_work(rbd_dev->task_wq, &rbd_dev->lock_dwork, 0);
}

Es ist nicht unrealistisch, dass lock_dwork direkt nachdem delayed_work_pending() wahr zurückgibt storniert wird und mod_delayed_work() es dennoch sofort wieder einreihen könnte. Dies ist ein klassischer TOCTOU-Rennzustand.

Beim Entfernen des Images gibt es eine implizite Annahme, dass keine selbstinitiierte exklusive Sperrenaktivität nach dem Rückkehrpunkt von rbd_dev_image_unlock() erfolgt, das die Sperre freigibt, falls sie gehalten wird. Diese Freigabe gilt als endgültig und es wird nicht erwartet, dass lock_dwork (sowie alle anderen exklusiven Sperrenaufgaben) erneut eingereiht wird. Allerdings wird lock_dwork nur in cancel_tasks_sync() storniert (d.h. später im Entfernungsablauf), und darüber hinaus kann die Stornierung durch maybe_kick_acquire() effektiv aufgehoben werden. Dies könnte dazu führen, dass rbd_acquire_lock() nach dem Ausführen von rbd_dev_device_release() und rdb_dev_image_release(), die eine Vielzahl von Dingen freigeben oder zurücksetzen, ausgeführt wird. Eine mögliche Fehlerart ist dann ein verletztes

rbd_assert(rbd_image_format_valid(rbd_dev->image_format));

in rbd_dev_header_info(), das über rbd_dev_refresh() aus rbd_post_acquire_action() aufgerufen wird.

Die exklusive Sperrenaufgabenentleerung neu gestalten, um sinnvollere Semantik zu bieten und die Annahmen rund um rbd_dev_image_unlock() einzuhalten.

Quelle: UBUNTU_USN BSI BSI_CSAF UBUNTU_USN UBUNTU_USN UBUNTU_USN UBUNTU_USN UBUNTU_USN NVD CVEORG CVELISTV5 MSRC