CVE-2026-90201

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: net: page_pool: xa_cmpxchg yarışında __page_pool_release_netmem_dma funksiyasındakı UAF xətası düzəldildi Bu xəta arm64 platformasında iperf3 trafiki ilə kanal yenidən konfiqurasiyası (`ethtool -L` / `ethtool -G`) zamanı hns3 drayverinin sınaqdan keçirilməsi əsnasında aşkar edilmişdir. Yarış (race), fərqli bir CPU-da page_pool_put_netmem() vasitəsilə səhifənin qaytarılması ilə eyni vaxtda page_pool_destroy() tərəfindən page_pool_scrub() işlədilərkən fasiləli olaraq baş verir. page_pool_clear_pp_info() funksiyasındakı WARN xəbərdarlığı, cmpxchg uduzan tərəfin buraxdığı asılı DMA indeks bitlərini üzə çıxarmış və bu da araşdırmaya səbəb olmuşdur. page_pool_scrub() heç bir səhifə istinadı (page ref) saxlamadan xa_for_each() vasitəsilə pool->dma_mapped elementlərini dövr edir. __page_pool_release_netmem_dma() hazırda xa_cmpxchg() geri döndükdən sonra netmem sahələrini (dma_addr, pp_magic-dəki DMA indeks bitləri) oxuyur və yazır. İstinadın ləğvi yolu, cmpxchg nəticəsindən asılı olmayaraq şərtsiz şəkildə put_page() funksiyasını çağırır; cmpxchg-ni uduzduqda belə, o, scrub qalibi bu netmem girişlərini tamamlamazdan əvvəl səhifəni azad edir, buna görə də scrub azad edilmiş səhifəyə toxunur — bu, Use-After-Free (UAF) xətasıdır. Bunu DMA azad etmə prosesini iki funksiyaya bölməklə düzəldin: 1. __page_pool_unmap_netmem_dma() xa_cmpxchg()-dən əvvəl dma_addr-i keşləyir, DMA xəritələnməsini silmək üçün cmpxchg yerinə yetirir və keşlənmiş ünvan üzrə dma_unmap çağırır. O, cmpxchg-dən sonra netmem sahələrinə heç vaxt toxunmur, bu da onu səhifə istinadı saxlamayan scrub yolu üçün təhlükəsiz edir. 2. __page_pool_release_netmem_dma() yuxarıdakını əhatə edir və əlavə olaraq netmem sahələrində dma_addr və DMA indeks bitlərini təmizləyir. Bu, yalnız çağıran tərəf səhifə istinadı saxladıqda təhlükəsizdir, ona görə də qaytarılma yolu (page_pool_return_netmem) tərəfindən istifadə olunur. Scrub yolu birbaşa __page_pool_unmap_netmem_dma() funksiyasını çağırır; qaytarılma yolu isə __page_pool_release_netmem_dma() funksiyasını çağırır.