# TencentOS 3.3 iSCSI logout 触发内核崩溃问题
 
## 一、问题概述
 
在 TencentOS Server 3.3 上执行：
 
```bash
iscsiadm -m node --logout
```
 
会话退出有概率触发内核 NULL pointer dereference，随后系统 panic 并自动重启。相同命令可以连续成功多次，因此问题表现为概率性崩溃，而不是每次 logout 必现。
 
已确认的故障现场如下：
 
```text
内核：5.4.241-24.0017.32.2
进程：iscsid
故障函数：iscsi_tcp_r2tpool_free+0x2a
故障地址：0x90
RAX：0
```
 
对应内核日志：
 
```text
BUG: kernel NULL pointer dereference, address: 0000000000000090
RIP: iscsi_tcp_r2tpool_free+0x2a/0x60 [libiscsi_tcp]
Call Trace:
  iscsi_sw_tcp_session_destroy
  iscsi_if_rx
  netlink_unicast
```
 
这表明 `iscsid` 通过 netlink 请求内核销毁 iSCSI 会话时，在会话清理路径中发生了释放后使用（use-after-free，UAF）。
 
## 二、异常版本范围
 
### 1. 已确认存在问题的版本
 
以下版本均已通过 TencentOS 官方签名 RPM、模块提取和反汇编确认存在相同的错误释放顺序：
 
- `5.4.241-24.0017.23`
- `5.4.241-24.0017.29`
- `5.4.241-24.0017.32.2`
- `5.4.241-24.0017.44.3`
 
当前受影响环境为：
 
```text
kernel-core-5.4.241-24.0017.44.3.tl3.x86_64
```
 
### 2. 已确认没有本问题错误顺序的版本
 
以下版本已核验为旧的、不会触发本案 R2T 释放顺序 UAF 的实现：
 
- `5.4.241-24.0017.8`
- `5.4.241-24.0017.14`
- `5.4.241-24.0017.18`
- `5.4.241-24.0017.19`
 
这些版本仍可能存在其他 iSCSI 并发问题，不能理解为“所有 iSCSI 问题都已解决”。
 
### 3. 已定位的引入版本范围
 
目前能够用官方 RPM 直接确认的边界为：
 
```text
已知正常：5.4.241-24.0017.19
已知异常：5.4.241-24.0017.23
```
 
因此，可以确认问题是在 **`.19` 与 `.23` 之间的 TencentOS 内核适配/合入过程中引入的**。
 
## 三、具体问题内容
 
### 1. 有问题的调用逻辑
 
受影响版本的会话销毁流程为：
 
```text
iscsi_sw_tcp_session_destroy()
  -> iscsi_session_remove()
       -> iscsi_pool_free(&session->cmdpool)
          释放 task 对象和 session->cmds 指针数组
       -> iscsi_remove_session()
       -> iscsi_host_dec_session_cnt()
  -> iscsi_host_remove()
  -> iscsi_tcp_r2tpool_free()
       -> task = session->cmds[i]
       -> tcp_task = task->dd_data
       -> kfifo_free(&tcp_task->r2tqueue)
       -> iscsi_pool_free(&tcp_task->r2tpool)
  -> iscsi_session_free()
  -> iscsi_host_free()
```
 
问题在于：
 
1. `iscsi_session_remove()` 已经释放了 `session->cmdpool`。
2. `session->cmdpool` 中包含 task 对象以及 `session->cmds` 指针数组。
3. 后续 `iscsi_tcp_r2tpool_free()` 仍然访问 `session->cmds[i]` 和 `task->dd_data`。
4. 这形成典型的 UAF。
 
已保存 vmcore 中，R2T 清理函数实际执行到：
 
```text
iscsi_tcp_r2tpool_free+0x26: mov (%rax,%rdx,8),%rax
iscsi_tcp_r2tpool_free+0x2a: mov 0x90(%rax),%rbx
```
 
当 `session->cmds[0]` 已被释放后，读取结果为 `NULL`，第二条指令实际访问 `0x90`，触发：
 
```text
BUG: kernel NULL pointer dereference, address: 0x90
```
 
这与 vmcore 中的 `RAX=0`、`RIP=iscsi_tcp_r2tpool_free+0x2a` 完全一致。
 
### 2. 正常的旧版本调用逻辑
 
已确认正常的 `.19` 版本流程为：
 
```text
iscsi_sw_tcp_session_destroy()
  -> iscsi_tcp_r2tpool_free()
       先使用仍然有效的 task / cmds
       清理每个 task 的 R2T 资源
  -> iscsi_session_teardown()
       -> iscsi_pool_free(&session->cmdpool)
       -> iscsi_remove_session()
       -> 释放 session 字段
       -> iscsi_free_session()
       -> iscsi_host_dec_session_cnt()
  -> iscsi_host_remove()
  -> iscsi_host_free()
```
 
该实现中，R2T 清理完成后才释放 command pool，因此不存在本案所见的“先释放 task，再访问 task”的顺序错误。
 
### 3. 与社区正确修复的差异
 
社区修复 `6f1d64b13097e85abda0f91b5638000afc5f9a06` 将 session 的“移除可见性”和“释放资源”拆开，正确流程为：
 
```text
iscsi_sw_tcp_session_destroy()
  -> iscsi_session_remove()
       只移除 session 可见性并递减 host 会话计数
       不释放 command pool
  -> iscsi_host_remove()
       等待 host 的 sysfs 访问结束
  -> iscsi_tcp_r2tpool_free()
       此时 task / cmds 仍有效
  -> iscsi_session_free()
       -> iscsi_pool_free(&session->cmdpool)
       -> 释放 session 其他字段
       -> iscsi_free_session()
       -> module_put()
  -> iscsi_host_free()
```
 
本机受影响版本虽然采用了类似的外层拆分形式，但把 `iscsi_pool_free(&session->cmdpool)` 错误地留在了 `iscsi_session_remove()` 中，导致内部资源生命周期与社区实现不一致。
 
## 四、建议的修复方式
 
### 1. 内核代码修复
 
需要保证 command pool 只在 `iscsi_session_free()` 中释放，不能在 `iscsi_session_remove()` 中提前释放：
 
```diff
 void iscsi_session_remove(...)
 {
-    iscsi_pool_free(&session->cmdpool);
     iscsi_remove_session(cls_session);
     iscsi_host_dec_session_cnt(shost);
 }
 
 void iscsi_session_free(...)
 {
+    iscsi_pool_free(&session->cmdpool);
     /* 继续释放 session 其他资源 */
 }
```
 
修复后的关键约束是：
 
```text
session remove
  -> host remove
  -> R2T cleanup
  -> command pool free
  -> session free
```
 
command pool 必须在 R2T 清理完成后再释放，并且整个销毁流程中只能释放一次。
 
### 2. 相关社区修复
 
- `6f1d64b13097e85abda0f91b5638000afc5f9a06`
  - 修复 logout 期间访问 host `ipaddress` 引发的 UAF。
  - 将 `iscsi_session_remove()` 与 `iscsi_session_free()` 拆分。
  - 正确实现中，command pool 在 `iscsi_session_free()` 中释放。
  - 本案应以该提交的生命周期设计为修复基准。
 
- `a1f3486b3b095ed2259d7a1fc021a8b6e72a5365`
  - 上游较早的 `Move pool freeing` 调整，为后续生命周期拆分提供了代码布局背景。
  - 该提交本身不能替代完整的 logout 修复，回移时仍必须重新核对跨函数释放顺序。
 
- `f484a794e4ee2a9ce61f52a78e810ac45f3fe3b3`
  - 修复 login 阶段的另一条 UAF。
  - 与本案 logout 的 command pool 提前释放问题不同，不能单独作为本问题的修复。
 
### 3. 建议 TencentOS 提供的正式修复
 
建议 TencentOS 开发团队：
 
1. 在对应 `5.4.241-24.0017` 内核分支中回移 `6f1d64b…` 的完整生命周期修复，或提供等价实现。
2. 对 `drivers/scsi/iscsi_tcp.c`、`drivers/scsi/libiscsi.c` 和 `include/scsi/libiscsi.h` 做完整三文件核对，避免只回移外层函数拆分而遗漏 command pool 释放位置。
3. 发布修复后的 `kernel-core` RPM，并在变更说明中明确包含 iSCSI logout UAF 修复。
4. 使用实际模块反汇编或源码确认以下验收条件：
   - `iscsi_session_remove()` 不调用 `iscsi_pool_free(&session->cmdpool)`；
   - `iscsi_tcp_r2tpool_free()` 执行时 task / cmds 仍有效；
   - `iscsi_session_free()` 恰好调用一次 command pool free；
   - `iscsi_sw_tcp_session_destroy()` 的顺序为 remove → host remove → R2T free → session free。

会话退出有概率触发内核 NULL pointer dereference，随后系统 panic 并自动重启。相同命令可以连续成功多次，因此问题表现为概率性崩溃，而不是每次 logout 必现。 已确认的故障现场如下：

TencentOS 3.3 iSCSI logout 触发内核崩溃问题

TencentOS 3.3 iSCSI logout 触发内核崩溃问题原因及建议修复方式。

编程语言

TencentOS 3.3内核5.4.241-24.0017.23及以上版本存在iSCSI logout触发UAF导致内核崩溃的严重缺陷。iscsi_session_remove()提前释放cmdpool，导致iscsi_tcp_r2tpool_free()访问已释放内存，引发NULL指针解引用。受影响版本执行iscsiadm logout命令可概率性触发系统panic。修复方案是将commandpool释放移至iscsi_session_free()中，确保R2T清理完成后才释放资源，参考社区提交6f1d64b的完整生命周期拆分实现。

代码解释

Kernel

让每一个 Agent，都跑在云上

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

TencentOS 3.3内核5.4.241-24.0017.23及以上版本存在iSCSI logout触发UAF导致内核崩溃的严重缺陷。iscsi_session_remove()提前释放cmdpool，导致iscsi_tcp_r2tpool_free()访问已释放内存，引发NULL指针解引用。受影响版本执行iscs...

TencentOS 3.3 iSCSI logout 触发内核崩溃问题-腾讯云开发者社区-腾讯云

TencentOS 3.3 iSCSI logout 触发内核崩溃问题

TencentOS 3.3 iSCSI logout 触发内核崩溃问题

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐