CVE-2026-98231 in Linux
Zusammenfassung
von VulDB • 06.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
xfrm: Serialisierung der State-GC (Garbage Collection) mit dem Device-State-Flush
Der deferred-device-Vorgang in xfrm_dev_state_flush() findet States unterhalb von xfrm_state_dev_gc_lock, lässt die Sperre jedoch vor dem Aufruf von xfrm_dev_state_free() los, da der Treiber-Callback schlafen kann. Die Device-GC-Liste hält keine Referenz auf einen xfrm_state, sodass der State-GC-Arbeiter denselben State gleichzeitig zerstören kann.
Das Race Condition (Wettlaufsituation) kann wie folgt ablaufen:
CPU 0 CPU 1 Finde x in der Device-GC-Liste Lasse xfrm_state_dev_gc_lock los Lies x->xso.dev xfrm_state_gc_destroy(x) xfrm_dev_state_free(x) xfrm_state_free(x) Fahre fort mit xfrm_dev_state_free(x)
Beide Pfade können den Treiber-Callback aufrufen und die Device-Referenz freigeben. CPU 0 kann auch auf das xfrm_state zugreifen, nachdem es von CPU 1 freigegeben wurde.
KASAN meldete:
BUG: KASAN: slab-use-after-free in xfrm_dev_state_free+0x24c/0x2a0 Lesevorgang der Größe 8 bei Adresse ffff88810bbaa960 durch Task poc/102
Call Trace (Aufrufverfolgung): xfrm_dev_state_free+0x24c/0x2a0 xfrm_dev_state_flush+0x353/0x400 xfrm_dev_event+0x26d/0x3a0 notifier_call_chain+0xc0/0x280 __dev_notify_flags+0x169/0x250 netif_change_flags+0xe7/0x160 dev_change_flags+0x96/0x220 devinet_ioctl+0x7f4/0x1880
Zugewiesen von Task 87: xfrm_state_alloc+0x1e/0x5c0 xfrm_add_sa+0xe7f/0x5820 xfrm_user_rcv_msg+0x4f3/0x940
Freigegeben von Task 57: kmem_cache_free+0xcb/0x3d0 xfrm_state_gc_task+0x4a8/0x650 process_one_work+0x63a/0x1070
Serialisiere die Zerstörung von xfrm_state gegenüber dem deferred-device-Vorgang mit einem Mutex. Halte xfrm_state_dev_gc_lock auf Listenoperationen beschränkt und behalte die bestehende Reihenfolge der Callback- und Device-Referenz-Freigabe bei.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.