原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf: open-coded task_vma イテレータにおける mm ライフサイクルの修正です。open-coded task_vma イテレータは task-＞mm をロックせずに読み取り、mmap_read_trylock() を取得しますが、mmget() を呼び出しません。タスクが同時に終了した場合、mm_struct は SLAB_TYPESAFE_BY_RCU ではないため解放される可能性があり、これにより use-after-free が発生します。alloc_lock の trylock を使用して task-＞mm を安全に読み取り、mm の参照を取得します。参照は _destroy() およびエラー経路内の bpf_iter_mmput_async() を通じて解放されます。bpf_iter_mmput_async() は mmput_async() のローカルラッパーであり、!CONFIG_MMU の場合は mmput() にフォールバックします。IRQ無効化コンテキスト（NMIを含む）を事前に拒否します。_next() および _destroy() で使用される操作（mmap_read_unlock、bpf_iter_mmput_async）は、IRQを無効化した状態でスピンロック（pool-＞lock、pi_lock）を取得します。これらのロックが保持された状態で NMI またはトレースポイントから実行されるとデッドロックが発生する可能性があります。softirq の BPF プログラムが同じ CPU 上で既に自身の alloc_lock を保持しているタスクをイテレートする際のデッドロックを回避するために、blocking な task_lock()（get_task_mm）ではなく alloc_lock の trylock を使用しています。