Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - mm/rmap：修复 anon_vma init 与 vma->anon_vma发布之间缺少的屏障 在 arm64 服务器上，我们发现尝试获取anon_vma锁定的任务触发了挂起任务。INFO：任务 main：2354726 被阻断超过 120 秒。受感染：G E 5.10.0-0021.aarch64 #1 echo 0 > /proc/sys/kernel/hung_task_timeout_secs 禁用此消息。task：main state：D stack：0 pid：2354726 ppid：2350673 flags：0x00000a01 调用跟踪：
    __switch_to+0x7c/0xbc __schedule+0x3b4/0x8a0 schedule+0x50/0xe0 rwsem_down_write_slowpath+0x3cc/0x6cc down_write+0x60/0x260 __anon_vma_prepare+0x6c/0x210 do_anonymous_page+0x258/0x660 handle_pte_fault+0x188/0x214 __handle_mm_fault+0x1b0/0x380 handle_mm_fault+0xf4/0x284 do_page_fault+0x19c/0x494 do_translation_fault+0xcc/0xf8 do_mem_abort+0x48/0xac el0_da+0x44/0x80 el0_sync_handler+0x88/0xb4 el0_sync+0x160/0x180 分析后vmcore，我们发现 anon_vma->root->rwsem.count 为 -1。还有另一个anon_vma，其 anon_vma->root->rwsem.count 为 1，anon_vma->root->rwsem.owner 显示已保留锁，但任务堆栈显示该任务未保留anon_vma锁。添加更多调试信息后，我们发现由于缺少内存屏障，__anon_vma_prepare（） 重用anon_vma并触发 anon_vma->root 的 UAF，导致锁定和解锁两个不同的 anon_vma->root，从而导致一个anon_vma永远不会解锁，另一个anon_vma无法再锁定。此争用需要两个相邻的 VMA，它们未合并但 anon_vma 兼容（例如，它们的VMA_ACCESS_FLAGS不同，可由 mprotect（） 更改）。每个 VMA 上同时发生两个线程错误，这两个线程都调用 __anon_vma_prepare（），仅保留mmap_lock进行读取。线程 A 线程 B __anon_vma_prepare __anon_vma_prepare find_mergeable_anon_vma（） -> NULL anon_vma = anon_vma_alloc（）;anon_vma->root = anon_vma;两个存储可以重新排序 vma->anon_vma = anon_vma;
    找到 A 的 anon_vma anon_vma = find_mergeable_anon_vma（vma）;anon_vma_lock_write（anon_vma）;可能仍会看到旧根 down_write（&anon_vma->root->rwsem）;anon_vma_unlock_write（anon_vma）;查看新的根，永远不要解锁旧的 up_write（&anon_vma->root->rwsem）;线程 A 触发页面错误并调用
    __anon_vma_prepare（） 为错误 vma 准备anon_vma。__anon_vma_prepare（） 分配并初始化一个新anon_vma，然后将其发布到具有普通存储的 vma。anon_vma_prepare（） 仅要求保留 mmap_lock 进行读取，因此两个线程可同时在相邻 VMA 上发生错误。
    线程 A 发布新anon_vma时，线程 B 可通过 find_mergeable_anon_vma（） 找到anon_vma，然后锁定 anon_vma->root->rwsem。可以重新排序 anon_vma_alloc 中 anon_vma->root 的存储和 vma->anon_vma 的存储。anon_vma_lock_write（） 和 spin_lock（） 仅提供获取语义，这不会阻止之前的存储在其之后重新排序。相应 spin_unlock（） 和 anon_vma_unlock_write（） 的发布语义来得太晚，在它们生效之前已发布对 vma->anon_vma 的存储。因此，线程 B 可以观察到以下顺序：
    vma->anon_vma = anon_vma;anon_vma->root = anon_vma;anon_vma slab 已SLAB_TYPESAFE_BY_RCU，因此新分配的anon_vma可重用之前释放的内存。构造函数 （anon_vma_ctor） 不会重置 anon_vma->root，__put_anon_vma（） 也不会清除它，因此旧根值会一直存在，直到 anon_vma_alloc（） 覆盖它为止。如果那个商店不是 v ---truncated--- (CVE-2026-98507)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-98507

high Nessus 插件 ID 367014

版本 1.3