В ядре Linux устранена следующая уязвимость:
wifi: ath11k: отменить рабочие элементы SSR во время отключения PCI
Перезагрузка может привести к сбою ядра, если она совпадает с сбоем прошивки WLAN.
восстановление (ССР). Сбой представляет собой разыменование NULL-указателя при демонтаже MHI.
path при освобождении контекстов MHI, поддерживаемых DMA. Упрощенная трассировка:
dma_free_attrs
mhi_deinit_dev_ctxt [мхи]
ath11k_pci_power_down [ath11k_pci]
ath11k_pci_shutdown [ath11k_pci]
устройство_shutdown
kernel_restart
На стороне хоста SSR управляется обратным вызовом MHI RDDM, который ставит в очередь
reset_work для восстановления устройства. reset_work выключает и включает устройство
вызвав ath11k_hif_power_down(), а затем ath11k_hif_power_up().
Фаза отключения питания деинициализирует MHI и освобождает ресурсы DMA. Выключение/перезагрузка выполняется полностью асинхронно с помощью этого SSR, управляемого RDDM.
восстановительный поток. В результате путь отключения
(ath11k_pci_shutdown() -> ath11k_pci_power_down()) может участвовать в гонке с SSR
последовательность восстановления.
Исправьте это, отменив рабочие элементы, связанные с SSR, во время выключения PCI, отметив
устройство отменяет регистрацию и сериализует путь обратного вызова RDDM, который
проверяет и ставит в очередь reset_work. Это гарантирует отсутствие новых работ по восстановлению SSR.
может быть поставлен в очередь после начала демонтажа, и что любое восстановление во время полета
работа полностью синхронизируется перед выключением устройства, что предотвращает MHI
демонтаж и освобождение ресурса DMA от повторного запуска. Примечание.
Эта проблема затрагивает только устройства на базе PCI/MHI. ath11k на базе AHB
устройства не ставят в очередь reset_work в обычных потоках SSR. Протестировано: WCN6855 hw2.1 PCI WLAN.HSP.1.1-04866.5-QCAHSPSWPL_V1_V2_SILICONZ_IOE-1
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: cancel SSR work items during PCI shutdown A reboot can crash the kernel if it overlaps with WLAN firmware crash recovery (SSR). The crash is a NULL pointer dereference in the MHI teardown path while freeing DMA-backed MHI contexts. Simplified trace: dma_free_attrs mhi_deinit_dev_ctxt [mhi] ath11k_pci_power_down [ath11k_pci] ath11k_pci_shutdown [ath11k_pci] device_shutdown kernel_restart On the host side, SSR is driven by the MHI RDDM callback, which queues reset_work to perform device recovery. reset_work power-cycles the device by calling ath11k_hif_power_down() followed by ath11k_hif_power_up(). The power-down phase deinitializes MHI and frees DMA resources. Shutdown/reboot runs fully asynchronously with this RDDM-driven SSR recovery flow. As a result, the shutdown path (ath11k_pci_shutdown() -> ath11k_pci_power_down()) can race with the SSR recovery sequence. Fix this by canceling SSR-related work items during PCI shutdown, marking the device as unregistering, and serializing the RDDM callback path that checks and queues reset_work. This ensures that no new SSR recovery work can be queued once teardown has started, and that any in-flight recovery work is fully synchronized before device power-down, preventing MHI teardown and DMA resource freeing from running more than once. Note: This issue only affects PCI/MHI-based devices. AHB-based ath11k devices do not queue reset_work in normal SSR flows. Tested-on: WCN6855 hw2.1 PCI WLAN.HSP.1.1-04866.5-QCAHSPSWPL_V1_V2_SILICONZ_IOE-1
Характеристики атаки
Последствия
Строка CVSS v3.1