Vulnerabilidad en Linux (CVE-2026-46274)

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> io-wq: verificar que el predecesor esté hasheado en io_wq_remove_pending()<br /> <br /> io_wq_remove_pending() necesita corregir wq-&gt;hash_tail[] si el trabajo cancelado era la cola de su cubo hash. Al hacer esto, verifica si la entrada precedente en acct-&gt;work_list tiene el mismo valor hash, pero nunca verifica que el predecesor esté hasheado en absoluto. io_get_work_hash() es simplemente atomic_read(&amp;work-&gt;flags) &gt;&gt; IO_WQ_HASH_SHIFT, y los bits hash nunca se establecen para trabajos no hasheados, por lo que devuelve 0. Así, cuando un trabajo hasheado del cubo 0 es cancelado mientras que un trabajo no hasheado es su predecesor en la lista, la verificación pasa de forma espuria y un puntero al io_kiocb no hasheado se almacena en wq-&gt;hash_tail[0].<br /> <br /> Debido a que el trabajo no hasheado se desencola a través de la ruta rápida en io_get_next_work(), que nunca toca hash_tail[], el puntero obsoleto nunca se borra. Por lo tanto, después de que el io_kiocb no hasheado se completa y se libera de nuevo a req_cachep, wq-&gt;hash_tail[0] es un puntero colgante. El io_wq es por tarea (tctx-&gt;io_wq) y sobrevive a la apertura/cierre del anillo, por lo que el puntero colgante persiste durante la vida útil de la tarea; la siguiente encolación hasheada del cubo 0 lo desreferencia en io_wq_insert_work() y wq_list_add_after() escribe a través de memoria liberada.<br /> <br /> Añadir la verificación io_wq_is_hashed() faltante para que un predecesor no hasheado nunca herede una ranura hash_tail[].