CVE-2026-90186

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: null_blk: ortaq tag set üçün cihaz başına növbə ölçüsünün dəyişdirilməsi rədd edilir shared_tags aktiv olduqda, null_setup_tagset() funksiyası cihazın driver_data parametri NULL qalan qlobal tag_set-dən istifadə etməsini təmin edir. Buna görə də null_map_queues() hər hansı bir cihaz spesifik dəyəri əvəzinə modul səviyyəli g_submit_queues/g_poll_queues-ə müraciət edir. Belə bir cihazda configfs vasitəsilə submit_queues və ya poll_queues ölçülərinin dəyişdirilməsi ortaq set üzərində blk_mq_update_nr_hw_queues() funksiyasını çağıraraq set->nr_hw_queues parametrini kiçildir. __blk_mq_realloc_hw_ctxs() yalnız q->queue_hw_ctx[] ayırmasını artırdığı üçün, kiçiltmə zamanı sadəcə çıxış edir və artıq olan hctx slotlarını NULL edir. Lakin null_map_queues() CPU-ları dəyişməz qalan g_submit_queues/g_poll_queues ilə xəritələndirməyə davam edir, nəticədə mq_map[] həmin NULL edilmiş hctx slotlarına yönəlir. Daha sonra blk_mq_map_swqueue() NULL hctx-ni (hctx->cpumask) dereference edərək kernel-in çökməsinə (crash) səbəb olur: [ 460.218374] KASAN: null-ptr-deref in range [0x0000000000000098-0x000000000000009f] [ 460.219003] CPU: 24 UID: 0 PID: 1492 Comm: sh Not tainted 7.2.0-rc2+ #67 PREEMPT(full) [ 460.219792] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc41 04/01/2014 [ 460.220452] RIP: 0010:blk_mq_map_swqueue+0x4db/0x1430 ...... [ 460.228977] Call Trace: [ 460.229175] <TASK> [ 460.229354] blk_mq_update_nr_hw_queues+0xd49/0x11c0 [ 460.229779] ? __pfx_blk_mq_update_nr_hw_queues+0x10/0x10 [ 460.230200] nullb_update_nr_hw_queues+0x1a9/0x370 [null_blk] [ 460.230694] nullb_device_submit_queues_store+0xd9/0x170 [null_blk] [ 460.231190] ? __pfx_nullb_device_submit_queues_store+0x10/0x10 [null_blk] [ 460.231776] ? configfs_write_iter+0x35c/0x4e0 [ 460.232122] configfs_write_iter+0x286/0x4e0 [ 460.232460] vfs_write+0x52d/0xd00 [ 460.232779] ? __x64_sys_openat+0x108/0x1d0 [ 460.233106] ? __pfx_vfs_write+0x10/0x10 [ 460.233413] ? fdget_pos+0x1cf/0x4c0 [ 460.233745] ? fput_close+0x133/0x190 [ 460.234038] ? __pfx_expand_files+0x10/0x10 [ 460.234368] ksys_write+0xfc/0x1d0 Yenidən istehsaletmə (Reproducer): modprobe null_blk shared_tags=1 submit_queues=64 poll_queues=1 mkdir /sys/kernel/config/nullb/dev echo 1 > /sys/kernel/config/nullb/dev/power echo 1 > /sys/kernel/config/nullb/dev/submit_queues Ortaq tag set-in cihaz bazlı ölçüsünü dəyişmək onsuz da mənasız olduğu üçün, cihaz qlobal tag_set-ə bağlı olduqda nullb_update_nr_hw_queues() funksiyasında bu əməliyyat -EINVAL ilə rədd edilir.