CVE-2026-90003

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: futex: requeue PI zamanı rcuwait use-after-free xətasının qarşısının alınması PREEMPT_RT-də, FUTEX_CMP_REQUEUE_PI funksiyası futex_requeue_pi_complete() daxilindəki rcuwait_wake_up() çağırışı zamanı KASAN hesabatını (slab-out-of-bounds) tetikləyə bilər. futex_wait_requeue_pi() tərəfindən istifadə edilən futex_q gözləyicinin stekində ayrılır. Erkən oyanma, PI requeue ilə aşağıdakı kimi yarışa (race condition) girə bilər: waiter requeue task ------ ------------ futex_wait_requeue_pi() futex_do_wait() schedule() futex_requeue futex_proxy_trylock_atomic() futex_requeue_pi_prepare() Q_REQUEUE_PI_NONE -> Q_REQUEUE_PI_IN_PROGRESS * timeout/ signal wakes waiter * futex_requeue_pi_wakeup_sync() Q_REQUEUE_PI_IN_PROGRESS -> Q_REQUEUE_PI_WAIT requeue_pi_wake_futex futex_requeue_pi_complete() cmpxchg Q_REQUEUE_PI_WAIT -> Q_REQUEUE_PI_LOCKED rcuwait_wait_event() if (atomic_read(&q->requeue_state) != Q_REQUEUE_PI_WAIT) break /* no schedule() */ /* q.pi_state->owner == current */ futex_private_hash_put() /* return from syscall */ rcuwait_wake_up(&q->requeue_wait) /* q is gone */ futex_requeue_pi_complete() funksiyası rcuwait_wake_up() çağırmazdan əvvəl Q_REQUEUE_PI_LOCKED vəziyyətini yayımlayır. Gözləyici, rcuwait_wait_event() daxilində schedule() çağırmazdan əvvəl bu vəziyyəti müşahidə edir. Burada gözləyici, requeue tapşırığı oyanmanı tamamlamazdan əvvəl sistem çağırışından çıxa bilir. Bu yarışı həll etmək üçün Q_REQUEUE_PI_LOCKED halında rcuwait_wake_up() ötürülür. Bu vəziyyət yalnız requeue_pi_wake_futex() tərəfindən yayımlanır ki, o da futex_requeue_pi_complete()-dən əvvəl q->task-ı saxlayır və gözləyicini wake_up_state() vasitəsilə oyadır. Bu oyanma, gözləyicini futex_do_wait() yuxusundan oyatmaq üçün nəzərdə tutulub. Əgər gözləyici hələ də orada yatırsa, o, Q_REQUEUE_PI_WAIT vəziyyətinə keçə bilməz (və silinmiş bu oyanmaya ehtiyac duymaz). Gözləyici digər vasitələrlə (bu nümunədə olduğu kimi) futex_do_wait()-dən oyandırılarsa və futex_requeue_pi_wakeup_sync()-də yatarsa, requeue_pi_wake_futex()-dən gələn wake_up_state() onu da oyadacaqdır. Əgər gözləyici tapşırığı wake_up_state() onu oyada bilməzdən əvvəl sonlandırdısa, tapşırıq göstəricisi (pointer) etibarsızləşmir, çünki futex_hash_bucket::lock saxlanılır və tapşırıq göstəricisi RCU ilə qorunur. [bigeasy: Şərh və commit mesajı yeniləndi]