CVE-2026-74518

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: mm/hugetlb: allocate_file_region_entries() fonksiyonundaki liste bozulması düzeltildi allocate_file_region_entries(), resv->region_cache kısmını yeni tahsis edilmiş file_region tanımlayıcıları ile tamamlar. Tahsis işlemi GFP_KERNEL kullandığından, resv->lock bu işlem sırasında serbest bırakılır: yeni girişler stack-yerel bir liste başlığı olan allocated_regions üzerinde toplanır ve kilit yeniden alındığında resv->region_cache içine eklenir (splice). Ekleme işlemi için kullanılan list_splice(), girişleri taşır ancak kaynak başlığını yeniden başlatmaz; bu nedenle allocated_regions, artık resv->region_cache içinde bulunan bir girişe işaret etmeye devam eder. Tamamlama işlemi, kilidi yeniden aldıktan sonra önbellek eksikliğini tekrar kontrol eden bir while döngüsü içinde çalışır. Paylaşılan bir eşleme (mapping) için resv_map, hugetlbfs inode'unun her eşleyicisi tarafından paylaşılır; dolayısıyla aynı resv_map üzerinde eşzamanlı olarak gerçekleşen region_chg()/region_add()/region_del() işlemleri, kilidin açık olduğu pencerede önbellek girişlerini tüketebilir ve ikinci bir yinelemeyi zorlayabilir. Bu yineleme, bayatlamış başlık üzerinde list_add() çağrısı yapar ve listeyi bozar; CONFIG_DEBUG_LIST etkin olduğunda __list_add_valid() kontrolü hata verir: list_add corruption. next->prev should be prev (ffffc900011ff7f8), but was ffff88814c281460. (next=ffff88814c545640). kernel BUG at lib/list_debug.c:31! allocate_file_region_entries+0x191/0x420 region_chg+0x267/0x300 hugetlb_reserve_pages+0x387/0xc80 hugetlbfs_file_mmap+0x2ce/0x3f0 mmap_region+0x1348/0x1a80 do_mmap+0x85e/0xb90 vm_mmap_pgoff+0x18c/0x330 ksys_mmap_pgoff+0x2a1/0x3e0 do_syscall_64+0xd7/0x420 CONFIG_DEBUG_LIST olmadan, hatalı list_add() işlemi sessizce bir kernel-stack adresini resv->region_cache içine bağlar ve bu durum daha sonra serbest bırakıldıktan sonra kullanım (use-after-free) hatasına yol açar. Bu durum, bir QEMU guest-RAM hugetlbfs dosyasının hem QEMU hem de ayrı bir SPDK/DPDK vhost-user hedefi tarafından MAP_SHARED ile eşlendiği ve tek bir paylaşılan resv_map üzerinde eşzamanlı region_* trafiğinin oluştuğu yoğun bir KVM ana makinesinde gerçek bir host panic olarak gözlemlenmiştir. Her ekleme işleminden sonra kaynak başlığın boş olarak yeniden başlatılmasını sağlayarak yeniden deneme döngüsünü güvenli hale getirmek için list_splice_init() kullanılmıştır.