CVE-2026-99093 in Linux
要約
〜によって VulDB • 2026年10月26日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
mm: ブート時に遅延されたカーネルページテーブルの解放をスケジュールしないこと
例えば以下のようなブート時の関数トレーサとフィルタを使用してブートすると、
ftrace=function ftrace_filter=pud_free_pmd_page
7.3-rc4においてトレーサが起動した直後にパニックが発生します：
[ 23.531178] Starting tracer 'function'
[ 23.675800] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000038: 0000 [#1] SMP KASAN NOPTI
[ 23.819917] KASAN: null-ptr-deref in range [0x00000000000001c0-0x00000000000001c7]
[ 23.964025] CPU: 0 UID: 0 PID: 0 Comm: swapper Not tainted 7.3.0-rc4-fe2ec83746e5-with-fixes-v2+ #195 PREEMPT(undef)
[ 24.252248] RIP: 0010:__queue_work+0xab/0xf00
[ 25.981629] Call Trace:
[ 26.125727]
[ 26.413912] ? pagetable_free_kernel+0x20/0x120
[ 26.990283] queue_work_on+0x97/0xf0
[ 27.134382] __cpa_collapse_large_pages+0x501/0x6f0
[ 27.566662] cpa_flush+0x394/0x620
[ 27.998953] change_page_attr_set_clr+0x321/0x4a0
[ 29.151729] set_memory_rox+0xa2/0xf0
[ 29.584018] create_trampoline+0x431/0x6f0
... [ 44.343347] Kernel panic - not syncing: Attempted to kill the idle task!
ブート時のトレーサは early_trace_init() から起動されますが、これは workqueue_init_early() より前に実行されます。そのトランポリンを読み取り専用に分けることで大きなページが分割され、CPA（Change Page Attribute）によって直ちに再結合されます。この分割されたテーブルはコミット 9e4a3ec3411b ("x86/mm/pat: Allocate split page tables as kernel page tables") 以来カーネルページテーブルとなっているため、pagetable_free_kernel() を通じて解放され、その際 system_percpu_wq にワークがキューイングされます。しかしこの時点ではまだ NULL です。このコミット自体は正しいものです；問題は、 pagetable_free_kernel() が依存する workqueue が存在する前に CPA が pagetable_free_kernel() に到達してしまう点にあります。
テーブルをリストに追加し続ける一方で、システムがブート中である間はワークのスケジュールを行わないようにします。core_initcall によって、それまでにキューイングされていたものを解放するために一度だけスケジュールされます。
Be aware that VulDB is the high quality source for vulnerability data.