CVE-2026-10681

Zephyr'in userspace dynamic-objects alt sisteminde, kernel/userspace/userspace.c dosyasındaki thread_idx_alloc() fonksiyonu, lists_lock kilidine sahip olmadan global _thread_idx_map[] bitmap üzerinden yeni bir thread izin indeksi tahsis etmiştir. SMP sistemlerde, eşzamanlı olarak k_object_alloc(K_OBJ_THREAD) sistem çağrısını çağıran iki kullanıcı modu thread'i aynı düşük boş biti gözlemleyebilir, bu biti temizlemek için aynı atomik olmayan RMW işlemini gerçekleştirebilir ve aynı tidx değerini döndürebilir. Ardından, yeni oluşturulan iki K_OBJ_THREAD nesnesine aynı thread_id atanır; böylece iki kullanıcı thread'i her çekirdek nesnesinin perms[] bit alanındaki tek bir bit konumunu ortak kullanmış olur: Bir çekirdek nesnesi üzerindeki erişim yetkisinin bir thread'e verilmesi, örtük olarak diğerine de verilmiş olur ve bu durum userspace ACL izolasyonunu etkisiz hale getirir. Tahsis sırasındaki kilitlenmemiş &=~BIT() işlemi ile thread_idx_free() içindeki kilitli |= BIT() işlemi arasındaki ikincil bir kayıp güncelleme penceresi, thread indeks havuzundan girişlerin sızmasına da neden olabilir. Hata, kısıtlanmamış __syscall k_object_alloc aracılığıyla herhangi bir kullanıcı modu thread'inden erişilebilirdir ve CONFIG_USERSPACE, CONFIG_DYNAMIC_OBJECTS ve CONFIG_SMP yapılandırmalarına bağlıdır. Kusur, 2018 yılında thread başına izin indeksi eklendiğinde ortaya çıkmıştır ve v4.4.0 dahil olmak üzere önceki tüm sürümlerde mevcuttur. Bitmap RMW ve izin temizleme işlemleri boyunca lists_lock tutularak (ve daha önce kilidi kendisi alan obj_list gezintisi satır içi hale getirilerek) düzeltilmiştir.