CVE Intelligence
Desconhecida

CVE-2026-74672 — mm/vmalloc: acquire init_mm lock on huge vmap to avoid ptdump UAF

In the Linux kernel, the following vulnerability has been resolved: mm/vmalloc: acquire init_mm lock on huge vmap to avoid ptdump UAF Patch series "mm: fix UAF caused by race between ptdump and vmap pgtable freeing", v6. Kernel page table walkers fall into two broad categories - those ranges where no exclusion is required via walk_kernel_page_table_range_lockless() and those where exclusion is required via walk_kernel_page_table_range() or walk_page_range_debug(). The former category is used only by arm64 arch code operating on ranges it both wholly owns and does not concurrently write. The latter category consists of kernel page table walkers operating on ranges that are wholly owned (but which need exclusion against concurrent writers). The lock used for exclusion is the mmap lock, and for kernel ranges this is the mmap lock on init_mm. ptdump is a special case being both the only user of walk_page_range_debug(), and the only case in which it walks ranges it does not own. This presents a problem, as page tables may be freed under ptdump. And indeed there is a use-after-free bug in the kernel as a result, which this series addresses. vmap promotes page tables to huge leaf entries where possible, freeing the lower page table when it does. It does this with no meaningful locks held against concurrent ptdump walks. As a result, use-after-free can currently occur. This series addresses the issue by having the vmap huge promotion logic acquire the mmap read lock while both setting the huge page table entry and freeing the prior leaf page table. The ptdump code already acquires the mmap write lock, so by doing so we ensure that the ptdump walker only ever observes either the huge page table entry or the existing page table entry, and nothing is freed underneath it. A mitigation for this issue was already applied for arm64 in commit fa93b45fd397 ("arm64: Enable vmalloc-huge with ptdump"), which this series has to deal with carefully. This mitigation resolves the issue by acquiring the mmap read lock on init_mm on vmap page table free if a ptdump is in progress. However the fix in this series would cause a deadlock if we were to simply apply it for arm64 without also reverting the change. This is because vmap may acquire the read lock before ptdump attempts to acquire the write lock, which then gets queued, and rwsem starvation rules mean that the (unacknowledged) nested mmap read lock in the arm64 code would also block, meaning the original read lock is never released and thus deadlock. This series works around this by #ifndef CONFIG_ARM64'ing the mmap read lock in vmap logic, then partially reverting commit fa93b45fd397 ("arm64: Enable vmalloc-huge with ptdump"), keeping the enablement of huge vmap support, and removing the ifdeffery with the partial revert patch. There are related issues that are also addressed in this series: * x86 page attribute logic, specifically Change Page Attributes (CPA), implements a feature whereby huge ranges can be collapsed into huge leaf entries. This can similarly cause a UAF when done in parallel with a ptdump walk, so similarly acquire the init_mm mmap lock to avoid this. * The CPA logic allows concurrent page table manipulation and CPA collapse, meaning the former risks accessing a page table the latter frees. Fix this by acquiring mmap write lock on init_mm across the whole CPA collapse operation and read lock on the page table manipulation. * x86 and arm64 permit walks of non-kernel mm's (both allowing efi mm walks, and in x86's case arbitrary mm's), so we ensure kernel mappings remain stable by locking the init_mm as well as the mm being walked. The ordering of patches is established for both strict dependencies (the arm64 partial revert in particular has to be done after the vmap changes) and logical ones (the non-kernel mm fix only makes sense once the vmap/CPA fixes are in place). This patch (of 3): Currently there is a nasty ra ---truncated---

Descrição oficial em inglês (tradução ainda não revisada).

Publicada em 22/08/2026 · Atualizada em 23/10/2026 · Fontes: NIST National Vulnerability Database, CVE Program (cve.org) e CISA ADP, GitHub Security Advisories · CNA: Linux

Quem explora e qual a prioridade

Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.

Nenhum sinal de exploração nas fontes consultadas até agora.
Como a nota foi calculada
  • EPSS 0.2% (probabilidade de exploração em 30 dias)+1

A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).

Triagem

Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.

Exploração
Não confirmada
Fora da CISA KEV — ausência de registro, não prova de que não é explorada.
EPSS FIRST
0,17%
à frente de 7% das CVEs pontuadas · 26/10/2026
Afeta
Linux
Linux
CVSS base
—
Pontuação ainda não publicada.

Remediação

Correções e mitigações documentadas pelas fontes — com link para o aviso original.

Nenhuma correção documentada pelas fontes consultadas. Isso não significa que não exista: verifique o aviso do fabricante.

Primeiras 24 horas

Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.

  1. Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (Linux Linux).
  2. Nenhuma correção documentada nas fontes: reduza a exposição e monitore o aviso do fabricante.
  3. Procure nos logs disponíveis sinais de tentativa de exploração, erros e anomalias de autenticação.

Escopo afetado

Fabricante, produto e versões como as fontes os descrevem.

FabricanteProdutoVersõesStatusFonte
Linux Linux ≥ b6bdb7517c3d3f41f20e5c2948d6bc3f8897394e e < 39c6772b56a6bbdd62794833f74232971d94d7c9≥ b6bdb7517c3d3f41f20e5c2948d6bc3f8897394e e < 8d7f560f4b0482d469de962fbe4b59c37561052e≥ b6bdb7517c3d3f41f20e5c2948d6bc3f8897394e e < 7ac8a333dd41ba5e1b4e8c6edbc48b15446c5468≥ b6bdb7517c3d3f41f20e5c2948d6bc3f8897394e e < c5bf8cd148cfea948cfa3db71da427294b20db0f≥ b6bdb7517c3d3f41f20e5c2948d6bc3f8897394e e < 3cc26c8907db0f5d1ff8043b5851ee572e9b3c98≥ b6bdb7517c3d3f41f20e5c2948d6bc3f8897394e e < 26444eb71465c9934d9d418ef69c43f61185329bversão 31895cfd79564111cdd5a9f48c5d491ae26a238eversão 9c7f7bdb1932f8c1e5f80d32c717184701afe701
e mais 7 versão acdb4981644c8e31ccee294bdefff475c0cf587bversão 0454e2fad9306961540ee7e84da47a8e345b7d22≥ 4.4.125 e < 4.5≥ 4.9.91 e < 4.10≥ 4.14.31 e < 4.15≥ 4.15.14 e < 4.16versão 4.16
Vulnerável CVE Program (cve.org) e CISA ADP

EPSS ao longo do tempo FIRST

15/10/2026 → 26/10/2026 · 11 leitura(s) · máximo 0.17%

Detecção

Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.

  • Sem vetor ou classe de fraqueza suficientes: use os logs da aplicação afetada como ponto de partida.
logs da aplicação

Linha do tempo

O que aconteceu com esta CVE, do mais recente ao mais antigo.

  • 2026
  • Ficha publicada
    15/10/2026
  • Produtos afetados adicionados · linux/linux
    15/10/2026 · CVE Program (cve.org) e CISA ADP
  • Status na fonte alterado · → Received
    15/10/2026 · NIST National Vulnerability Database
  • Registro criado nesta base
    15/10/2026 · NIST National Vulnerability Database
  • CVE publicada
    22/08/2026 · Linux

Atividade das fontes

Leituras que se repetem foram contadas em vez de listadas.

  • 1× Referências adicionadas · 23/10/2026 – 23/10/2026
  • 1× Descrição oficial atualizada · 15/10/2026 – 15/10/2026

Referências

8 no registro

Em outras páginas do site

Linux
todas as CVEs deste fabricante

CVEs relacionadas (mesmos produtos)

  • CVE-2026-99092 riscv: patch: fix handling of bpf-jit execmem addresses 1 d
  • CVE-2026-99093 mm: don't schedule deferred kernel page table freeing while booting 1 d
  • CVE-2026-99095 drm/vc4: drain the hangcheck timer and works on V3D unbind 1 d
  • CVE-2026-99096 io_uring/register: don't exempt disabled rings from task restrictions 1 d
  • CVE-2026-99097 tee: shm: reject zero-sized allocations in tee_dyn_shm_alloc_helper() 1 d
  • CVE-2026-99098 dm-integrity: fix buffer overflow in inline mode with large tag size 1 d

Não consta em nenhuma fonte consultada

Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.

  • Nenhuma pontuação CVSS publicada por NVD, CNA, CISA ou GitHub até agora.
  • Nenhuma versão corrigida, patch ou mitigação documentada.
  • Sem avaliação SSVC da CISA.
  • Sem classificação CWE.
  • Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
  • Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
  • Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.

Respondido a partir deste registro

Texto montado apenas com os campos acima — sem afirmações adicionais.

O que os defensores devem saber primeiro?

CVE-2026-74672 é "mm/vmalloc: acquire init_mm lock on huge vmap to avoid ptdump UAF", de severidade Desconhecida. Afeta Linux (Linux); as versões estão na tabela de escopo. Não está na CISA KEV, o que não exclui exploração. EPSS 0.17% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.

Comentários

Discussão técnica moderada. Leia as regras da comunidade.

Nenhum comentário ainda.

Entre ou crie uma conta para comentar e sugerir correções.