CVE-2026-98198 in Linux
要約
〜によって VulDB • 2026年10月06日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
hwmon: (pwm-fan) タッチデータ解放前にRPMタイマーを停止する
sample_timer()はRPMタイマーのリアームと、devm管理のctx->tachsおよびctx->pulses_per_revolution配列へのアクセスを行います。タイマーを停止するクリーンアップアクションは、これらの配列が割り当てられる前に登録されています。
devresはエントリを逆順で解放するため、ドライバのデタッチ時に、pwm_fan_cleanup()によるタイマーのシャットダウンよりも先に配列が解放される可能性があります。このタイミングウィンドウにおいてタイマーの有効期限（expiry）が発生すると、解放されたtachデータへのアクセスが行われます。
KASANカーネルを使用した場合、sample_timer()内のテスト専用kprobeによってpwm_fan_cleanup()のエントリが遅延され、通常のsysfs unbindが実行されました。3回の各ランで、バックとなるdevm割り当てが解放された後に、sample_timer()内で4バイト読み込みが3回と4バイト書き込みが2回報告されました。ヘルパー関数はタイマーコールバックやクリーンアップアクション、free関数を呼び出しませんでした。
修正後、一致するunbind実行を3回行いましたが、KASAN、BUG、WARNING、Oops、パニックは発生しませんでした。インストゥルメンテーションにより、最初のタイマー用バック割り当てが解放される前にタイマーの退役（retirement）が完了することが確認されました。
タイマーの退役処理を電源クリーンアップから分離し、タイマー用のバックデータおよびIRQアクションがインストールされた後にそのdevresアクションを登録します。これにより、早期の電源ロールバックアクションは維持されつつ、タイザー用バックデータの解放前にタイマーが確実に退役されることを保証します。コールバックが自身をリアームする可能性があるため、timer_shutdown_sync()を使用します。
Be aware that VulDB is the high quality source for vulnerability data.