CVE-2026-64452 in Linux
요약
\~에 의해 VulDB • 2026. 07. 27.
리눅스 커널에서 다음 취약점이 해결되었습니다:
6lowpan: 에러 경로에서의 NHC 엔트리 사용 후 해제(use-after-free) 수정
lowpan_nhc_do_uncompression() 함수는 lowpan_nhc_lock을 획득한 상태에서 NHC 설명자를 조회합니다. 만약 해당 설명자에 압축 해제(uncompress) 콜백이 없다면, 에러 처리 경로는 nhc->name을 출력하기 전에 잠금을 해제(drop)합니다.
lowpan_nhc_del()은 동일한 잠금 하에서 설명자를 제거하며, 소유 모듈이 언로드되기 전에 synchronize_net()에 의존합니다. 그러나 이는 네트워크 RX RCU 리더(reader) 대기만 수행합니다. lowpan_header_decompress()도 내보내져 있으며, 반드시 네트워킹 코어 RX 임계 섹션(critical section)으로 보호되는 호출자뿐만 아니라 예를 들어 블루투스 6LoWPAN L2CAP 수신 경로와 같이 다른 호출자에게서 접근될 수 있습니다.
이로 인해 다음과 같은 경합 조건(race condition)이 발생합니다: 한 작업자가 에러 처리 경로에서 lowpan_nhc_lock을 해제하고, 다른 작업자는 synchronize_net() 반환 후 일치하는 설명자를 등록 취소(unregister) 및 해지(free)하며, 첫 번째 작업자는 경고(warning)를 위해 nhc->name에 대한 포인터 역참조(dereference)를 수행합니다.
잠금 해제 이후의 시간 창(window)이 넓어지면서 KASAN에서 다음을 보고합니다:
BUG: KASAN: slab-use-after-free in lowpan_nhc_do_uncompression+0x1f4/0x220 Read of size 8 lowpan_nhc_do_uncompression lowpan_header_decompress
이 문제를 해결하기 위해 경고를 출력하는 시점을 lowpan_nhc_lock을 해제한 후가 아닌, 등록 취소(unregister)가 여전히 배제된 상태로 설명자 이름이 읽힐 때 수행하도록 수정합니다. 잘못된 형식의 패킷은 여전히 -ENOTSUPP로 거부됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.