CVE-2026-98231 in Linux
要約
〜によって VulDB • 2026年10月06日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
xfrm: デバイス状態フラッシュ時にステートGCを直列化する
`xfrm_dev_state_flush()` 内の遅延デバイスパスは `xfrm_state_dev_gc_lock` の下でステートを検索しますが、ドライバのコールバックがスリープする可能性があるため、`xfrm_dev_state_free()` を呼び出す前にロックを解放します。デバイスのGCリストは `xfrm_state` の参照を持っていないため、状態GCワーカーが同じステートを並行して破棄することが可能です。
競合条件（Race Condition）は以下のように進行します：
CPU 0 CPU 1 デバイスGCリスト上で x を検索 xfrm_state_dev_gc_lock を解放 xfrm_state_gc_destroy(x) xfrm_dev_state_free(x) xfrm_state_free(x) x->xso.dev を読み取る xfrm_dev_state_free(x) を続行
両方のパスがドライバのコールバックを呼び出し、デバイスの参照を解放する可能性があります。CPU 0 は CPU 1 が `x` を解放した後も `xfrm_state` にアクセスできます。
KASAN（Kernel Address Sanitizer）は以下を検出しました：
BUG: KASAN: slab-use-after-free in xfrm_dev_state_free+0x24c/0x2a0 Read of size 8 at addr ffff88810bbaa960 by task poc/102
Call Trace: xfrm_dev_state_free+0x24c/0x2a0 xfrm_dev_state_flush+0x353/0x400 xfrm_dev_event+0x26d/0x3a0 notifier_call_chain+0xc0/0x280 __dev_notify_flags+0x169/0x250 netif_change_flags+0xe7/0x160 dev_change_flags+0x96/0x220 devinet_ioctl+0x7f4/0x1880
Allocated by task 87: xfrm_state_alloc+0x1e/0x5c0 xfrm_add_sa+0xe7f/0x5820 xfrm_user_rcv_msg+0x4f3/0x940
Freed by task 57: kmem_cache_free+0xcb/0x3d0 xfrm_state_gc_task+0x4a8/0x650 process_one_work+0x63a/0x1070
ミューテックスを使用して、遅延デバイスパスに対して `xfrm_state` の破棄を直列化します。`xfrm_state_dev_gc_lock` はリスト操作に限定し、既存のコールバックおよびデバイスの参照解放順序を維持します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.