No kernel Linux, a seguinte vulnerabilidade foi resolvida. xfrm: mover a sincronização de policy_bydst RCU de por-netns.exit para.pre_exit O docstring struct pernet_operations in include/net/net_namespace.h adverte explicitamente contra o bloqueio dos primitivos RCU em manipuladores. exit: Os métodos de saída usando o bloqueio de primitivos RCU, como synchrony_rcu(), devem ser implementados via output_batch. [...] Por favor, evite o sincrony_rcu() em tudo, onde for possível.
Note que uma combinação de pre_ exit() e exit() pode ser usada, uma vez que um synchrony_ rcu() está garantido entre as chamadas. xfrm_policy_fini() viola isso: chama synchrony_rcu() antes de libertar as tabelas de hash policy_bydst (por isso nenhum leitor RCU é meio- atravessado em tempo livre), mas corre a partir do xfrm_net_ops. exit -- uma vez por espaço de nome -- por isso, um cleanup_net() de N namespaces paga N períodos de graça completos da RCU em série. Use a divisão documentada de pré- saída/ saída. Mova a política flush (e a workqueue drena de que depende) para um novo handler.pre_ exit; xfrm_policy_fini() em seguida, executa em. exit e liberta as tabelas de hash após o synchrony_ rcu_ expedited() que cleanup_net() garante entre as duas fases. Fornecendo O( 1 ) Períodos de graça RCU por lote em vez de O( N).
Observado no Linux 6.18 com uma carga de trabalho fazendo descompartilhar(CLONE_NEWNET) em ~ 13 /sec sustentado: cleanup_net() e o kthread do resgate netns_wq, ambos presos no synchrony_rcu() do xfrm_policy_fini(), > 300 Rede de estruturas de k acumulada na fila de limpeza, o Percpu no /proc/meminfo subiu para 130 + GB em 256 - Hosts do CPU, e os OOMs do memcg seguiram. os contagens setup_net e __put_net foram equilibrados, excluindo um vazamento de refcount. Registro de aconselhamento: GHSA-phmc- 55 j 6 - 972 r. Identificadores relacionados: CVE- 2026 - 64525. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 25 T 12: 31: 39.000 Z e lista a sua última modificação como 2026 - 07 - 25 T 12: 31: 39.000 Z.
Severidade: não classificado. Nenhum vetor de pontuação está listado no registro. Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: nenhum identificador CWE está listado. O registro contém 5 suporte de referências nestes tipos: AVISO, WEB.