CVE-2026-93208

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: kasan: CPU hotplug ile önbellek daraltma yarışı düzeltildi kasan_quarantine_remove_cache() önce tüm çevrimiçi CPU'lar üzerinde per_cpu_remove_cache() fonksiyonunu çağırır. Her geri çağırma, önbelleğe ait nesneleri cpu_quarantine kısmından ilgili CPU'nun shrink_qlist kısmına taşır ve burada daha sonra görev bağlamından serbest bırakılabilirler. kmem_cache_destroy(), cpus_read_lock() kilidini tutarken karantina kaldırma yolunu çağırırken, kmem_cache_shrink() bunu yapmaz. Bu nedenle ikincisi, CPU devre dışı kalma işlemiyle şu şekilde yarışabilir: kmem_cache_shrink() CPU hotplug ------------------- ----------- on_each_cpu() CPU1 nesneleri CPU1'in shrink_qlist'ine taşır on_each_cpu() döner CPU1 devre dışı kalır kasan_cpu_offline() cpu_quarantine boşaltılır shrink_qlist'e dokunulmaz for_each_online_cpu() CPU1'i atlar CPU1'in shrink_qlist'inde kalan nesneler slab ayırıcısına iade edilmez. Bu durum, kmem_cache_shrink()'in aksi takdirde boşalacak olan slab'ları serbest bırakmasını engelleyebilir. Eğer CPU1 devre dışı kalmaya devam ederse, daha sonraki bir kmem_cache_destroy() çağrısı da bu listeyi atlar ve önbelleğin hala nesne içerdiğini raporlayabilir. Bir virtio-9p dosya sistemi ile aralıklı olarak meydana gelen bir durum gözlemlenmiştir. mount ve umount komutlarının her ikisi de 0 döndürmüş ancak çekirdek, kullanıcı alanı tarafından tetiklenen kapatma sırasında şunları kaydetmiştir: [ 2994.380134][ T111] BUG 9p-fcall-cache-1 (Tainted: G B ): Objects remaining on __kmem_cache_shutdown() [ 2994.381140][ T111] Object 0xff11000004361118 @offset=4376 [ 2994.381607][ T111] Allocated in p9_fcall_init+0x201/0x400 age=19564 cpu=1 pid=104 [ 2994.382591][ T111] p9_fcall_init+0x201/0x400 [ 2994.382810][ T111] p9_tag_alloc+0x12f/0x700 [ 2994.382982][ T111] p9_client_prepare_req+0x102/0x3e0 [ 2994.383165][ T111] p9_client_rpc+0x1ab/0xa50 [ 2994.383334][ T111] p9_client_getattr_dotl+0xb0/0x1a0 [ 2994.383515][ T111] v9fs_vfs_getattr_dotl+0x115/0x360 [ 2994.383719][ T111] vfs_getattr_nosec+0x22c/0x3a0 [ 2994.383910][ T111] vfs_statx+0xd7/0x170 [ 2994.384062][ T111] vfs_fstatat+0x45/0x80 [ 2994.384215][ T111] __do_sys_newfstatat+0x84/0xe0 [ 2994.384386][ T111] do_syscall_64+0x115/0x6a0 [ 2994.384566][ T111] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 2994.399720][ T111] WARNING: mm/slub.c:1244 at __kmem_cache_shutdown+0x363/0x500, CPU#0: busybox/111 [ 2994.405655][ T111] Call Trace: [ 2994.406325][ T111] kmem_cache_destroy+0x73/0x1b0 [ 2994.406630][ T111] p9_client_destroy+0x271/0x3c0 [ 2994.407210][ T111] v9fs_session_close+0x3c/0x260 [ 2994.407409][ T111] v9fs_kill_super+0x48/0x90 [ 2994.407584][ T111] deactivate_locked_super+0xa3/0x160 [ 2994.407778][ T111] cleanup_mnt+0x1dd/0x3e0 Bu nedenle, başarılı bir umount işlemi 9p fcall önbelleğinde nesneler bırakmış ve önbelleğin temiz bir şekilde yok edilmesini engellemiştir. Her olası CPU için Per-CPU shrink_qlist depolaması mevcuttur ve her liste kendi raw spinlock'u ile korunmaktadır. Bir CPU devre dışı kalmadan önce doldurulmuş bir listenin de boşaltılması için olası CPU'lar üzerinden yineleme yapılır. for_each_possible_cpu(), for_each_online_cpu()'dan daha fazla iş yükü oluşturabilir ancak bu değişiklik yalnızca CONFIG_KASAN_GENERIC çekirdeklerini etkiler. Ek iş yükü sadece önbellek daraltma ve önbellek yok etme yollarıyla sınırlıdır ve normal tahsis/serbest bırakma hızlı yolunu etkilemez. Her olası CPU'nun daraltma listesinin raw-spinlock korumalı tek bir taramasını ekler. Bu listeler normalde boştur; boş olmayan bir liste, daraltılan veya yok edilen önbelleğe ait nesneleri kaldırmak için taranır.