CVE-2026-72341

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: net/mlx5e: priv->channel_stats[] üçün yayım yarışı (publication race) düzəldildi mlx5e_channel_stats_alloc() funksiyası priv->channel_stats[] massivinə yeni bir element əlavə edir və sonra yayım tokeni kimi priv->stats_nch dəyişənini artırır, lakin bu yaddaş yazma əməliyyatlarının heç biri yaddaş baryerindən (memory barrier) istifadə etmir: priv->channel_stats[ix] = kvzalloc_node(...); if (!priv->channel_stats[ix]) return -ENOMEM; priv->stats_nch++; Eyni vaxtda oxuma əməliyyatı aparan tərəflər dövrün həddini priv->stats_nch vasitəsilə hesablayır və daha sonra adi girişlərlə priv->channel_stats[i] ünvanına müraciət edirlər, məsələn: for (i = 0; i < priv->stats_nch; i++) { struct mlx5e_channel_stats *cs = priv->channel_stats[i]; ... cs->rq.packets ... } Zəif sıralama (weakly-ordered) arxitekturalarında (ARM, PowerPC, RISC-V) channel_stats[ix] və stats_nch dəyişənlərinə yazma əməliyyatları digər CPU-lara proqram sırasından kənar şəkildə görünə bilər. Oxuyan tərəf hələ də channel_stats[N-1] == NULL olduğu halda stats_nch == N olduğunu görə bilər ki, bu da channel_stats dövründə NULL göstəricisinə müraciətə (NULL pointer dereference) səbəb olur. Bu problem istehsalat mühitində BlueField-3 DPU-larda (arm64) müşahidə edilmişdir; burada NIC aktivləşdirilərkən ovs-vswitchd netlink vasitəsilə netdev statistikasını sorğulayır və digər CPU-da işləyən mlx5e_open_channel() -> mlx5e_channel_stats_alloc() ilə yarışa girir: Unable to handle kernel NULL pointer dereference at virtual address 0x840 Hardware name: BlueField-3 DPU pc : mlx5e_fold_sw_stats64+0x30/0x180 [mlx5_core] Call trace: mlx5e_fold_sw_stats64+0x30/0x180 [mlx5_core] dev_get_stats+0x50/0xc0 ovs_vport_get_stats+0x38/0xac [openvswitch] ovs_vport_cmd_fill_info+0x194/0x290 [openvswitch] ovs_vport_cmd_get+0xbc/0x10c [openvswitch] genl_family_rcv_msg_doit+0xd0/0x160 genl_rcv_msg+0xec/0x1f0 netlink_rcv_skb+0x64/0x130 genl_rcv+0x40/0x60 netlink_unicast+0x2fc/0x370 netlink_sendmsg+0x1dc/0x454 ... __arm64_sys_sendmsg+0x2c/0x40 en.h faylında stats_nch üzərində smp_store_release()/smp_load_acquire() cütlüyünü təmin edən mlx5e_stats_nch_write() və mlx5e_stats_nch_read() köməkçi funksiyaları əlavə edildi. Release/acquire cütlüyü aşağıdakı şərti müəyyən edir: stats_nch == N => channel_stats[0..N-1] görünəndir və NULL deyil. Yazan tərəfdə (mlx5e_channel_stats_alloc()) stats_nch artımı mlx5e_stats_nch_write() vasitəsilə, bütün oxuyan tərəflərdə isə (mlx5e RX/TX növbə statistikası, mlx5e_get_base_stats(), ethtool kanallar statistikası, IPoIB statistikası, sw_stats fold və HV VHCA stats agenti) stats_nch mlx5e_stats_nch_read() vasitəsilə oxunur.