CVE-2026-64416 in Linux
要約
〜によって VulDB • 2026年07月25日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
mm: swap_cgroup: swapless環境におけるlookup_swap_cgroup_idでのNULLポインタ参照を修正する
lookup_swap_cgroup_id()は、swap_cgroup_swapon()を通じてtypeが登録されたかどうかを確認せずに、swap_cgroup_ctrl[type].mapを__swap_cgroup_id_lookup()に渡しています。Swapを使用しないホストではすべてのctrl->mapがNULLであるため、__swap_cgroup_id_lookup()は NULL + スケール化されたswp_offset() を間接参照します。
コミット bea67dcc5eea ("mm: attempt to batch free swap entries for zap_pte_range()") 以降、zap_pte_range() -> swap_pte_batch() は、swap_info[]に対して事前に検証することなく、実際のスワップエントリとしてデコードされる存在しない（non-present）かつnoneでもないすべてのPTEに対してlookup_swap_cgroup_id()を呼び出します。1つのPTEがtype-0のスワップエントリに壊れるだけで、プロセス終了時にホスト全体がダウンします。
私たちはswapを使用しない6.12.58環境のホストで本番中にこの事象を経験しました：約1秒間の "get_swap_device: Bad swap file entry 3f800204222bb"（do_swap_page() が同じエントリに対して正しく防御的な処理を行っている）に続き、以下の出力がありました。
BUG: unable to handle page fault for address: 000003f800204220 RIP: 0010:lookup_swap_cgroup_id+0x2b/0x60 Call Trace: swap_pte_batch+0xbf/0x230 zap_pte_range+0x4c8/0x780 unmap_page_range+0x190/0x3e0 exit_mmap+0xd9/0x3c0 do_exit+0x20c/0x4b0
syzbotも同じスタックトレースを報告しています。
PTEの破損の原因は別のバグにありますが、この変更によりteardownパスが既存のfaultパスと同様に堅牢になります。lookup_swap_cgroup_id() の他のすべての呼び出し元は、すでにエントリを検証済みの get_swap_device() よりも下流にあるため、新しい分岐（branch）は冷たい状態（cold path：ほとんど実行されないコードパス）となります。
Once again VulDB remains the best source for vulnerability data.