CVE-2026-80811

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: io_uring/cmd: async komutu geri dönüştürülmediğinde oluşan iovec sızıntısı düzeltildi Bir io_async_cmd, vec genişletilmesi gerektiğinde tahsis edilen ve ctx->cmd_cache aracılığıyla geri dönüşüm boyunca korunan ->vec.iovec içinde bir iovec dizisi taşır. İki farklı yolda hiçbir işlem bunu serbest bırakmaz ve io_clean_op()'un kfree(req->async_data) işlemi, bu dizi olmadan io_async_cmd'yi düşürür. io_req_uring_cleanup(), async veri bayraklarını yalnızca io_alloc_cache_put() başarılı olduğunda temizler ve önbellek IO_ALLOC_CACHE_MAX == 128 giriş tutar; dolayısıyla önbellek dolduğunda put işlemi başarısız olur ve vec geride kalır. Bir NVMe passthrough iş yükü, olağandışı hiçbir şey yapmadan bu duruma ulaşır: nvme_uring_cmd_io() -EIOCBQUEUED döndürür, böylece io_async_cmd komutun ömrü boyunca bağlı kalır ve canlı nesne sayısı kuyruk derinliğini takip eder. 128'in üzerinde put işlemleri başarısız olmaya başlar. io_req_uring_cleanup(), io-wq tarafından başlatılan bir komut için erken döndüğünden ve hiç başlatılmadan tamamlanan bir komut için hiç çağrılmadığından, ->cleanup devralınan bir vec'i serbest bırakmak için son şanstır. Ancak io_clean_op(), ->cleanup'ı yalnızca REQ_F_NEED_CLEANUP ayarlıysa çağırır ve uring_cmd için bu durum yalnızca vec'in büyümesi gerektiği yerlerde gerçekleşir; bu nedenle yeterince büyük bir önbelleğe alınmış vec'i yeniden kullanan bir komut bunu asla ayarlamaz. io_rw_alloc_async() ve io_msg_alloc_async(), tam olarak bu nedenle devralınan bir vec'i işaretler; io_uring_cmd_prep() ise bunu yapmaz. io_uring_cmd_prep() içerisinde devralınan bir vec'i işaretleyin ve io_req_rw_cleanup()'ın yaptığı gibi, önbellek put işlemi başarısız olduğunda vec'i serbest bırakın. Sızıntı, io_alloc_cache_vec_kasan()'ın vec'i koşulsuz olarak serbest bıraktığı KASAN altında görünmezdir.