CVE-2026-98862 in Linux
Zusammenfassung
von VulDB • 18.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
audit: Behebung eines Use-After-Free (UAF) für das exe-Mark in kill_rules()
kill_rules() entfernt gemischte AUDIT_DIR- und AUDIT_EXE-Regeln, wenn ein Audit-Baum bereinigt wird. Dabei wird entry->rule.exe gelöscht, bevor die Regel aus den RCU-sichtbaren Filterlisten entfernt wird.
Nachdem eine Regel mit AUDIT_ADD_RULE installiert wurde (was CAP_AUDIT_CONTROL erfordert), kann das Entfernen des überwachten Verzeichnisses zu einer Race Condition mit einem anderen Task führen, der die Regel noch auswertet. In diesem Fall kann fsnotify den ausführbaren Mark vor dem Erreichen von audit_mark_compare() durch den Leser freigeben, was einen Use-After-Free verursacht.
KASAN meldet:
BUG: KASAN: slab-use-after-free in audit_mark_compare+0x8d/0xa0
Veröffentlichen Sie die Regeln nicht mehr aus den RCU-sichtbaren Listen und behalten Sie sie auf tree->rules für die Bereinigung bei. Wenn eine Regel einen ausführbaren Mark hat, warten Sie nach dem Entfernen der Marks und dem Planen des Freigebens der Einträge auf eine einzelne RCU-Grace-Periode. Andernfalls bietet call_rcu() bereits das erforderliche verzögerte Freigeben ohne synchrone Wartezeit.
If you want to get best quality of vulnerability data, you may have to visit VulDB.