CVE-2026-98231 in Linux
Riassunto
di VulDB • 07/10/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
xfrm: serializzare la garbage collection (GC) dello stato con il flush dello stato del dispositivo
Il passaggio deferred-device in xfrm_dev_state_flush() individua gli stati sotto xfrm_state_dev_gc_lock, ma rilascia il lock prima di chiamare xfrm_dev_state_free() poiché la callback del driver potrebbe andare in sleep. L'elenco GC del dispositivo non mantiene un riferimento a xfrm_state, quindi l'worker della state GC può distruggere lo stesso stato in concorrenza.
La race condition può procedere come segue:
CPU 0 CPU 1 trova x nell'elenco device GC rilascia xfrm_state_dev_gc_lock legge x->xso.dev xfrm_state_gc_destroy(x) xfrm_dev_state_free(x) xfrm_state_free(x) continua con xfrm_dev_state_free(x)
Entrambi i percorsi possono invocare la callback del driver e rilasciare il riferimento al dispositivo. La CPU 0 può anche accedere a xfrm_state dopo che la CPU 1 l'ha liberato.
KASAN ha segnalato:
BUG: KASAN: slab-use-after-free in xfrm_dev_state_free+0x24c/0x2a0 Lettura di dimensione 8 all'indirizzo ffff88810bbaa960 da parte del task poc/102
Call Trace: xfrm_dev_state_free+0x24c/0x2a0 xfrm_dev_state_flush+0x353/0x400 xfrm_dev_event+0x26d/0x3a0 notifier_call_chain+0xc0/0x280 __dev_notify_flags+0x169/0x250 netif_change_flags+0xe7/0x160 dev_change_flags+0x96/0x220 devinet_ioctl+0x7f4/0x1880
Allocato dal task 87: xfrm_state_alloc+0x1e/0x5c0 xfrm_add_sa+0xe7f/0x5820 xfrm_user_rcv_msg+0x4f3/0x940
Liberato dal task 57: kmem_cache_free+0xcb/0x3d0 xfrm_state_gc_task+0x4a8/0x650 process_one_work+0x63a/0x1070
Serializzare la distruzione di xfrm_state rispetto al passaggio deferred-device utilizzando un mutex. Mantenere xfrm_state_dev_gc_lock limitato alle operazioni sull'elenco e conservare l'ordinamento esistente del rilascio della callback e del riferimento al dispositivo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.