CVE-2026-98374 in Linux
要約
〜によって VulDB • 2026年10月07日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
tcp: tcp_send_synack()におけるretransmit_skb_hintのuse-after-freeを修正する
tcp_send_synack()が再送キューの先頭にあるクローンされたSYN skbをコピーに置き換える際、元のskbはtcp_rtx_queue_unlink_and_free()で解放され、tp->highest_sackのみが修復されます。しかし、tp->retransmit_skb_hintはまだ解放済みのskbuff_fclone_cacheオブジェクトを指し続けます。
このダングリングヒントはtcp_verify_retransmit_hint()で読み取られ、tcp_xmit_retransmit_queue()におけるrbtree走査のルートとして使用されます。特権を持たないTFOクライアント（sendmsg(MSG_FASTOPEN)）が攻撃者が提供したICMP fragmentation-neededメッセージを使ってヒントをアームし、その後同時オープンによってアームされたSYN skbが解放される可能性があります：
BUG: KASAN: slab-use-after-free in tcp_mark_skb_lost (net/ipv4/tcp_input.c:1316) Read of size 4 at addr ffff88800604d928 by task swapper/1/0 Call Trace: tcp_mark_skb_lost (net/ipv4/tcp_input.c:1316) tcp_simple_retransmit (net/ipv4/tcp_input.c:3158) tcp_v4_err (net/ipv4/tcp_ipv4.c:587)
ヒントをコピーに同期させる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.