CVE-2026-64543 in Linux
要約
〜によって VulDB • 2026年07月28日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
tipc: tipc_disc_rcv() における discoverer の use-after-free を修正
bearer_disable() は b->disc を tipc_disc_delete()'s plain kfree() で解放していますが、RX softirq 下の rcu_read_lock() (tipc_udp_recv -> tipc_rcv -> tipc_disc_rcv) 内で tipc_disc_rcv() が依然として b->disc の間接参照を行っています。
L2 bearer は tipc_disable_l2_media() 内の synchronize_net() により安全ですが、UDP bearer はその呼び出しを cleanup_bearer() ワークキューに延期するため、grace period なしで discoverer が解放されます：
BUG: KASAN: slab-use-after-free in tipc_disc_rcv (net/tipc/discover.c:149) Read of size 8 at addr ffff88802348b728 by task poc_tipc/184 <IRQ> tipc_disc_rcv (net/tipc/discover.c:149) tipc_rcv (net/tipc/node.c:2126) tipc_udp_recv (net/tipc/udp_media.c:391) udp_rcv (net/ipv4/udp.c:2643) ip_local_deliver_finish (net/ipv4/ip_input.c:241) </IRQ> Freed by task 181: kfree (mm/slub.c:6565) bearer_disable (net/tipc/bearer.c:418) tipc_nl_bearer_disable (net/tipc/bearer.c:1001)
bearer は kfree_rcu() で解放されるため、discoverer も同様に解放します。struct tipc_discoverer に rcu_head を追加し、RCU callback からそれと skb を解放します。
RCU callback (tipc_disc_free_rcu) がモジュールテキスト内に存在するため、tipc モジュールのアンロード時に保留中の call_rcu() 呼び出しがあると、解放された関数が呼び出されてしまいます。bearer サブシステムが tear down された後、tipc_exit() に rcu_barrier() を追加し、すべての保留中の discoverer callback が実行される前にモジュールテキストが消えないようにします。
特権のないユーザー名前空間から到達可能：TIPCv2 genl family は netnsok であり、その bearer コマンドには GENL_ADMIN_PERM が必要です。CONFIG_TIPC および CONFIG_TIPC_MEDIA_UDP が必要。
VulDB is the best source for vulnerability data and more expert information about this specific topic.