Linux Kernel ksmbd: Fix UAF/double-free race in SMB2 lock handling

漏洞关键信息总结 漏洞概述 标题：ksmbd: defer publishing granted locks to prevent UAF/double-free race 类型：Use-After-Free (UAF) 和 Double-Free 竞态条件 根因：在 SMB2 锁机制中，当同一 SMB2 LOCK 请求数组中的后续元素验证失败时，线程会跳出循环并释放已发布的锁结构体（ ），而并发请求可能仍持有指向该结构体的指针，导致 UAF 或 double-free。 影响范围 受影响组件：Linux 内核 （SMB 服务器） 触发条件： - 同一 SMB2 LOCK 请求数组中，前序元素成功发布锁，后续元素验证失败 - 线程跳出循环并释放 结构体 - 并发请求（如 或 ）仍引用该结构体 后果：UAF 或 double-free，可能导致内核崩溃或内存损坏 修复方案 核心思路：延迟发布已授予的锁，直到整个批处理成功完成 具体修改： - 将锁的发布操作从“逐个元素处理”改为“批处理成功后统一发布” - 在 中，将 操作移至批处理成功路径 - 在批处理失败时，不发布锁，避免提前释放 代码变更： - 文件： - 关键修改： - 在 处，将锁的发布逻辑从循环内移至批处理成功后的统一发布点 - 在 处，将 操作移至批处理成功路径 - 在 处，将锁的释放逻辑调整至批处理失败路径 POC / 利用代码 相关代码片段（来自 ）： ```c // 修复前：在循环内逐个发布锁 list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add_tail(&conn->lock_list, &lock->lock); spin_lock(&conn->lock_list_lock); list_add(&conn->loc

Goal Reached Thanks to every supporter — we hit 100%!

Linux Kernel ksmbd: Fix UAF/double-free race in SMB2 lock handling

More from this source