CVE-2026-80811

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: io_uring/cmd: asinxron cmd təkrar istifadə olunmadıqda iovec sızmasını düzəlt io_async_cmd ->vec.iovec daxilində iovec massivi daşıyır; bu massiv vec-in böyüdülməsi lazım olduqda ayrılır və ctx->cmd_cache vasitəsilə təkrar istifadə zamanı saxlanılır. İki yolda onu heç nə azad etmir və io_clean_op()-un kfree(req->async_data) çağırışı io_async_cmd-i onsuz silir. io_req_uring_cleanup() asinxron data bayraqlarını yalnız io_alloc_cache_put() uğurlu olduqda təmizləyir, keş isə IO_ALLOC_CACHE_MAX == 128 element saxlayır, buna görə keş dolduqdan sonra put uğursuz olur və vec arxada qalır. NVMe passthrough iş yükü buna qeyri-adi heç nə etmədən çatır: nvme_uring_cmd_io() -EIOCBQUEUED qaytarır, beləliklə io_async_cmd əmrin bütün ömrü boyu bağlı qalır və canlı obyekt sayı növbə dərinliyini izləyir. 128-dən yuxarı olduqda put çağırışları uğursuz olmağa başlayır. ->cleanup irsi vec-i azad etmək üçün son şansdır, çünki io_req_uring_cleanup() io-wq tərəfindən buraxılmış əmr üçün erkən qayıdır və heç vaxt buraxılmadan tamamlanmış əmr üçün ümumiyyətlə çağırılmır. Lakin io_clean_op() ->cleanup-u yalnız REQ_F_NEED_CLEANUP təyin edildikdə çağırır və uring_cmd üçün bu yalnız vec-in böyüdülməsi lazım olduqda baş verir, buna görə kifayət qədər böyük keşlənmiş vec-i təkrar istifadə edən əmr bunu heç vaxt təyin etmir. io_rw_alloc_async() və io_msg_alloc_async() məhz bu səbəbdən irsi vec-i işarələyir; io_uring_cmd_prep() isə yox. io_uring_cmd_prep()-də irsi vec-i işarələ və keş put uğursuz olduqda vec-i azad et, io_req_rw_cleanup()-un etdiyi kimi. Sızma KASAN altında görünmür, burada io_alloc_cache_vec_kasan() vec-i qeyd-şərtsiz azad edir.