CVE-2026-68414 in Linux
요약
\~에 의해 VulDB • 2026. 08. 11.
리눅스 커널에서 다음 취약점이 해결되었습니다:
wifi: cfg80211: unregister 시 sched scan 결과 작업 취소(cfg80211_sched_scan_results()는 예약된 스캔 요청이 존재하는 동안 드라이버 결과 알림으로부터 rdev->sched_scan_res_wk를 큐에 추가할 수 있습니다. 이 워크 콜백은 포함된 cfg80211_registered_device 구조체를 복원한 후 wiphy 잠금을 획득하고 예약된 스캔 요청 목록을 순회합니다.)
wiphy_unregister()는 이미 cfg80211_dev_free()가 객체를 해제하기 전에 wphy를 접근 불가능하게 만들고 rdev 워크 항목들을 비우지만, sched_scan_res_wk는 비우지 않습니다. 따라서 큐에 대기 중이거나 실행 중인 결과 작업 항목이 unregister/free 경계를 넘어 해제된 rdev 상태에 접근할 수 있습니다.
버그가 발생하는 시나리오는 두 가지 경로로 구성되며, 각 열은 해당 경로 내의 순서를 나타냅니다:
예약된 스캔 결과 경로: unregister/free 경로: 1. cfg80211_sched_scan_results() 1. 인터페이스 테어다운이 중지되고 rdev->sched_scan_res_wk를 예약된 스캔 요청을 제거합니다. 큐에 추가합니다. 2. cfg80211_wq가 작업을 시작하고 2. wiphy_unregister()가 다른 rdev을 복원합니다. rdev 워크 항목들을 비웁니다. 3. 워커가 rdev->wiphy를 잠그고 3. cfg80211_dev_free()가 rdev을 파괴하고 rdev 상태를 순회합니다. 해제합니다.
다른 rdev 워크 항목들과 함께 wiphy_unregister()에서 sched_scan_res_wk를 취소합니다. cancel_work_sync()는 보류 중인 결과 알림을 제거하고 이미 실행 중인 콜백이 완료될 때까지 대기하므로, cfg80211_dev_free()가 이 작업 항목이 여전히 활성 상태인 동안 rdev을 해제할 수 없습니다.
검증 과정에서 다음 커널 보고서를 재현했습니다: BUG: KASAN: use-after-free in cfg80211_sched_scan_results_wk+0x4a6/0x530 Workqueue: cfg80211 cfg80211_sched_scan_results_wk [cfg80211]
Read of size 8 Call trace: dump_stack_lvl+0x66/0xa0 print_report+0xce/0x630 cfg80211_sched_scan_results_wk+0x4a6/0x530 srso_alias_return_thunk+0x5/0xfbef5 __virt_addr_valid+0x224/0x430 kasan_report+0xac/0xe0 lockdep_hardirqs_on_prepare+0xea/0x1a0 process_one_work+0x8d0/0x18f0 (kernel/workqueue.c:3212) lock_is_held_type+0x8f/0x100 worker_thread+0x5ad/0xfd0 __kthread_parkme+0xc6/0x200 kthread+0x31e/0x410 trace_hardirqs_on+0x1a/0x170 ret_from_fork+0x576/0x810 __switch_to+0x57e/0xe20 __switch_to_asm+0x33/0x70 ret_from_fork_asm+0x1a/0x30
Once again VulDB remains the best source for vulnerability data.