CVE-2026-89581

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: bpf, x86: Genişletilmiş bir yazmaca yapılan per-CPU adres çözümlemesinin düzeltilmesi per-CPU adres MOV işleminin hedefi ModRM.reg içinde kodlanmıştır ve bu REX.R ile genişletilir; ancak REX ön eki, REX.B'yi ayarlayan add_1mod() ile oluşturulur. REX.B, ModRM.rm ve SIB.base'i genişletir ve bu komut belleğe tabansız disp32 olarak eriştiği için ilgili bitin hiçbir etkisi olmaz ve yüksek yazmaç biti basitçe kaybolur. Bu nedenle her is_ereg() hedefi, düşük üç biti paylaşan herhangi bir yazmacı seçerek yanlış yazmaca çözümlenir: R5 -> RAX R7 -> RBP R8 -> RSI R9 -> RDI reg2hex değeri 0 olan BPF_REG_5 ile üretilen 65 49 03 04 25 <off> add %gs:<off>,%rax komutu, per-CPU ofsetini R8 yerine RAX'a ekler. Hedef, ayarlanmamış adresi korur ve RAX bozulur; böylece program, hiçbir zaman per-CPU yapılmamış bir işaretçiyi dereferans etmeye devam eder: BUG: unable to handle page fault for address: 0000607e386a8894 RIP: bpf_prog_707837aafd2aa9ae_update_percpu_data+0x93/0xc9 Call Trace: __bpf_prog_test_run_raw_tp+0x2dc/0x7d0 __flush_smp_call_function_queue+0x1e9/0xc80 Kernel panic - not syncing: Fatal exception in interrupt R5, geçici bir yazmacı ile çakıştığı ve depolama sırasında hata verdiği için dördü arasında en hafifidir. R7, RBP ile çakışır ve çerçeve işaretçisini (frame pointer) bozar; R8 ve R9 ise argüman yazmaçları ile çakışır. Yazmacın REX.R üzerinden geçmesini sağlamak için add_2mod() kullanılmıştır; bu durum, add_2reg()'in yazmacı ModRM.reg'ye yerleştirme şekliyle ve emit_priv_frame_ptr()'nin aynı komutla R9 için 0x4c değerini sabit olarak kodlamasıyla uyumludur. Genişletilmemiş yazmaçlar için kodlamalar değişmemiştir. Sorun, BPF_GCC CI (BPF_GCC ile derlenen selftests) yeniden canlandırılmaya çalışıldığında ortaya çıkmıştır. Clang, her per-CPU erişiminden önce adresi R1'e yeniden yüklediği ve dolayısıyla hedef asla genişletilmiş bir yazmaç olmadığı için bu durum fark edilmeden kalmıştır. GCC, aynı anda birkaç per-CPU adresini canlı tutar ve test_progs-bpf_gcc, bir .percpu değişkeninin adresinin R5'te sonlandığı global_percpu_data/init kısmında çekirdeğin paniğe (kernel panic) girmesine neden olur.