В ядре Linux устранена следующая уязвимость: io-wq: проверьте, что предшественник хеширован в io_wq_remove_pending() io_wq_remove_Pending()…

В ядре Linux устранена следующая уязвимость: io-wq: проверьте, что предшественник хеширован в io_wq_remove_pending() io_wq_remove_Pending() необходимо исправить wq->hash_tail[[] если отменено Работа была хвостом его хэш-колеса. При этом он проверяет, Предыдущая запись в acct->work_list имеет такое же хеш-значение, но никогда не проверяет, что предшественник вообще хэширован. io_get_work_hash() это просто Atomic_read(&&work->flags) >> IO_WQ_HASH_SHIFT, и хэш биты никогда не устанавливаются для нехэшированных работ, поэтому он возвращает 0. Таким образом, когда работы хешированного ведра 0 отменяются, в то время как работа без хеширования является его списком предшественник, проверка ложным образом проходит и указатель на нехэшированный io_kiocb хранится в wq->hash_tail[0]. Потому что не-хэшированная работа деквируется через быстрый путь в io_get_next_work(), который никогда не касается hash_tail[], устаревший указатель Никогда не очищается. Поэтому после того, как не-хэшированный io_kiocb завершит и освобождается обратно в req_cachep, wq->hash_tail[0] - болтающееся указатель. io_wq на задание (tctx->io_wq) и выживает кольцо открыто/закрыто, так что болтающаяся указатель сохраняется в течение всего срока выполнения задачи; следующий хеш. qucket-0 enquee desre ссылки на него в io_wq_insert_work() и wq_list_add_after() пишет через освобожденную память. Добавьте отсутствующий io_wq_is_hashed() проверить, чтобы не-хэшированный предшественник никогда не наследует слот hhh_tail[].