CVE-2026-99024
Beschrijving NL
In de Linux-kernel is de volgende kwetsbaarheid verholpen:
optee: registreer TEE-apparaten pas nadat ze volledig zijn geïnitialiseerd
optee_probe() riep tee_device_register() aan op zowel de client als de
supplicant device voordat de rest van struct optee was geïnitialiseerd. tee_device_register() roept cdev_device_add() aan, die twee dingen doet bij
eenmalig: het maakt /dev/tee0 en /dev/teepriv0 aan en koppelt het apparaat.
in de tee-klasse zodat class_find_device() het kan vinden. Vanaf dat
moment is het apparaat zowel vanuit de gebruikersruimte bereikbaar via tee_open()
en vanuit kernelruimte via tee_client_open_context(). De enige poort in
teedev_open() is tee_device_get(), dat alleen controleert of
teedev->DESC is niet-NULL, dat al was ingesteld door tee_device_alloc(). Daarom is er in feite helemaal geen poort. Een context die in dat venster is geopend, kan worden uitgevoerd op een struct optee waar
- optee->call_queue.mutex wordt niet geïnitialiseerd door optee_cq_init()
- optee->supp mutex en voltooiingen worden niet geïnitialiseerd door
optee_supp_init()
- optee->rpmb_dev_mutex is nog niet geïnitialiseerd,
- de cache voor berichtargumenten is niet geïnitialiseerd door
optee_shm_arg_cache_init()
- optee->ctx is nog steeds NULL
Elke geopende sessie of aanroep gedurende dit venster gebruikt niet-geïnitialiseerde gegevens.
mutexen en dereferen geeft een NULL-pointer terug. Los het op door beide tee_device_register() -oproepen naar beneden te verplaatsen
waar alle struct optee is opgezet. [JW: fixes en cc toevoegen]
Origineel (Engels) tonen
In the Linux kernel, the following vulnerability has been resolved:
optee: register TEE devices only once fully initialized
optee_probe() called tee_device_register() on both the client and the
supplicant device before the rest of struct optee had been initialized.
tee_device_register() calls cdev_device_add(), which does two things at
once: it creates /dev/tee0 and /dev/teepriv0, and it links the device
into the tee class so that class_find_device() can find it. From that
moment on the device is reachable both from user space via tee_open()
and from kernel space via tee_client_open_context(). The only gate in
teedev_open() is tee_device_get(), which merely checks that
teedev->desc is non-NULL, which was already set by tee_device_alloc().
Therefore, there is effectively no gate at all.
A context opened in that window can run against a struct optee where
- optee->call_queue.mutex is not initialized by optee_cq_init()
- optee->supp mutex and completions is not initialized by
optee_supp_init()
- optee->rpmb_dev_mutex is not initialized yet,
- the message argument cache is not initialized by
optee_shm_arg_cache_init()
- optee->ctx is still NULL
Any open session or invoke during this window takes uninitialized
mutexes and dereferences a NULL pointer.
Fix it by moving both tee_device_register() calls down to the point
where all of struct optee is set up.
[JW: adding fixes and cc]