kernel security update

In der Linux-Kernel-Kern, das Betriebssystem selbst.

Sicherheitskorrekturen:

Im Linux-Kernel wurde folgende Schwachstelle behoben:

bus: fsl-mc: Verwenden der generischen driver_override-Infrastruktur

Wenn ein Treiber über __driver_attach() gescannt wird, wird die match()-Rückruffunktion des Busses ohne das Gerätelock aufgerufen, wodurch auf das driver_override-Feld ohne ein Lock zugegriffen wird, was zu einer Use-After-Free (UAF) führen kann.

Dies wird behoben, indem die driver-core driver_override-Infrastruktur verwendet wird, die für das interne ordnungsgemäße Sperren sorgt.

Es ist zu beachten, dass das Aufrufen von match() von __driver_attach() ohne das Gerätelock auf Absicht beruht. 1

Im Linux-Kernel wurde folgende Schwachstelle behoben:

vdpa: Verwenden der generischen driver_override-Infrastruktur

Wenn ein Treiber über __driver_attach() gescannt wird, wird die match()-Rückruffunktion des Busses ohne das Gerätelock aufgerufen, wodurch auf das driver_override-Feld ohne ein Lock zugegriffen wird, was zu einer Use-After-Free (UAF) führen kann.

Dies wird behoben, indem die driver-core driver_override-Infrastruktur verwendet wird, die für das interne ordnungsgemäße Sperren sorgt.

Es ist zu beachten, dass das Aufrufen von match() von __driver_attach() ohne das Gerätelock auf Absicht beruht. 1

Im Linux-Kernel wurde folgende Schwachstelle behoben:

sched/psi: Schalten Sie rtpoll_timer in psi_cgroup_free() ab

psi_schedule_rtpoll_work() wird locklos vom Scheduler-Hotpath aufgerufen und kann mit psi_trigger_destroy() konkurrieren, das den letzten rtpoll-Trigger unter rtpoll_trigger_lock herunterfährt:

psi_schedule_rtpoll_work() psi_trigger_destroy()

rcu_read_lock(); task = rcu_dereference(rtpoll_task); rcu_assign_pointer(rtpoll_task, NULL); timer_delete(&rtpoll_timer); mod_timer(&rtpoll_timer, ...); rcu_read_unlock(); synchronize_rcu(); kthread_stop(task_to_destroy);

Die Gruppe kann dann mit dem noch anstehenden Timer freigegeben werden, und poll_timer_fn() wird auf freigegebene Speicher ausgeführt.

461daba06bdc ("psi: Eliminieren Sie kthread_worker aus dem psi-Trigger-Scheduling-Mechanismus") hat den Timer synchron nach synchronize_rcu() gelöscht, was dies verhinderte, aber stattdessen mit der Trigger-Erstellung konkurrierte: Die Löschung konnte den Timer abbrechen, den ein neuer Trigger während der Gnadenfrist einstellte, und, da die Erstellung auch den Timer zur gleichen Zeit neu initialisierte, ihn beschädigte. 8f91efd870ea ("psi: Beheben Sie den Rennen zwischen psi_trigger_create/destroy") verschob die Initialisierung in group_init() und die Löschung in den gesperrten Abschnitt, tauschte die Erstellungsrennen gegen die Lücke darüber aus.

Keine Platzierung im Zerstörungspfad funktioniert. Ein anstehender Timer, der während der Lebensdauer der Gruppe ausgelöst wird, ist jedoch harmlos. poll_timer_fn() weckt nur die rtpoll-Warteschlange und armt sich nicht erneut. Binden Sie den Timer an die Lebensdauer der Gruppe und schalten Sie ihn in psi_cgroup_free() ab. Dann kann nichts ihn mehr armieren. Verwenden Sie timer_shutdown_sync(), da der Timer nie wieder armiert wird. (CVE-2026-74594)

Im Linux-Kernel wurde folgende Schwachstelle behoben:

net: gro: Validieren Sie die Kriterien für die große TCP-Aggregation korrekt

Wenn GRO versucht, Pakete über GRO_LEGACY_MAX_SIZE (64KB) zu aggregieren, sollte BIG TCP nur für plain IPv4 TCP und plain IPv6 TCP (mit ausreichendem Platz im MAC-Header, um den temporären HBH-Jumbo-Header einzufügen) erlaubt sein.

Der Commit b1a78b9b9886 ("net: Fügen Sie die Unterstützung für ipv4 big tcp hinzu") hat jedoch die Überprüfung in skb_gro_receive() gelockert, was zu mehreren Problemen führte:

1. skb_gro_receive() überprüfte skb_headroom(p) anstelle des tatsächlichen Platzes vor dem MAC-Header (p->mac_header). Da skb_headroom(p) mac_len einschließt, können gefälschte Frames (z. B. über AF_PACKET injiziert) die Überprüfung mit p->mac_header < 8 Bytes bestehen. Wenn ipv6_gro_complete() den temporären HBH-Jumbo-Header einfügt, beginnt memmove() vor skb->head, was zu einem Schreibzugriff außerhalb der Grenzen führt und skb->mac_header umschreibt.
2. Es erlaubte nicht-IP-Protokolle wie Software-VLAN (ETH_P_8021Q / ETH_P_8021AD), über 64KB zu aggregieren, da p->protocol != ETH_P_IPV6 wahr war.
3. Es überprüfte p->encapsulation anstelle von NAPI_GRO_CB(skb)->encap_mark, was es ermöglichte, eingekapselte Flows (z. B. SIT / IPv6-in-IPv4) über 64KB zu aggregieren.

Behandeln Sie skb_gro_receive() streng, um zu erzwingen:

• NAPI_GRO_CB(skb)->proto == IPPROTO_TCP
• Nicht eingekapselt (!NAPI_GRO_CB(skb)->encap_mark && !p->encapsulation)
• Das Protokoll muss entweder ETH_P_IP oder ETH_P_IPV6 sein
• Wenn ETH_P_IPV6, muss p->mac_header mindestens sizeof(struct hop_jumbo_hdr) betragen

Das Zurückgeben von -E2BIG aus skb_gro_receive() stellt sicher, dass Pakete, die nicht zu BIG TCP werden können, sauber bei <= 64KB abgeflasht und unbeschädigt ohne Verlust geliefert werden.

Dieses Problem existiert nicht in der Hauptlinie (7.0+) weil das Subsystem in Commit 81be30c1f5f2 ("net/ipv6: Drop HBH for BIG TCP on RX side") neu geschrieben wurde, wodurch diese Korrektur nur für ältere stabile Zweige wie 6.18.y relevant ist. (CVE-2026-80725)