CVE-2026-74609 in Linux
요약
\~에 의해 VulDB • 2026. 08. 22.
리눅스 커널에서 다음 취약점이 해결되었습니다:
tipc: tipc_node_link_down() 내에서 노드 잠금(node lock) 하에 le->link를 읽음
tipc_node_link_down()은 n->lock을 획득하기 전에 링크 포인터를 캐시합니다:
struct tipc_link *l = le->link; /* unlocked */
if (!l) return; tipc_node_write_lock(n); if (!tipc_link_is_establishing(l)) { /* deref l */
... tipc_link_reset(l); /* write into l */ if (delete) {
kfree(l); le->link = NULL;
delete=true인 호출자는 n->lock 하에서 해당 객체를 해제하므로, 잠금은 캐시된 포인터를 그로부터 보호하지 않습니다:
- CPU A, delete=false: TIPC_LINK_DOWN_EVT에 대한 tipc_rcv(), 또는 tipc_node_timeout()을 통한 링크 감시 타이머가 l을 잠금 없이 읽고 n->lock 하에서 이를 역참조합니다; - CPU B, delete=true: netlink TIPC_NL_BEARER_DISABLE -> bearer_disable() -> tipc_node_delete_links() -> tipc_node_link_down(n, bearer_id, true) -> kfree(l).
링크는 plain kfree()로 해제되며(즉, kfree_rcu()가 아님), UDP 베어어의 경우 disable_media()는 비동기 cleanup_bearer() 작업을 예약할 뿐이므로, synchronize_net()은 링크들이 이미 사라진 후에 실행됩니다. l을 읽은 상태인 CPU A의 인플라이트(in-flight) 스레드는 B가 해제하는 순간 해지된 메모리를 역참조합니다: tipc_link_is_establishing()에서의 use-after-free 판독과, 확립 중인 분기(branch)에서 tipc_link_reset()를 통한 use-after-free 쓰기.
다음 트레이스는 7.2.0-rc5-00284-gaf39eb111ce6에서 캡처되었습니다:
BUG: KASAN: slab-use-after-free in tipc_link_is_establishing (net/tipc/link.c:285) Read of size 4 at addr ffff88802e2aa068 by task swapper/2/0 tipc_link_is_establishing (net/tipc/link.c:285) tipc_node_link_down (net/tipc/node.c:1076) tipc_node_timeout (net/tipc/node.c:843) Allocated by task 9549: tipc_link_create (net/tipc/link.c:490) tipc_node_check_dest (net/tipc/node.c:1279) tipc_disc_rcv (net/tipc/discover.c:252) tipc_udp_recv (net/tipc/udp_media.c:389) Freed by task 9549: tipc_node_link_down (net/tipc/node.c:1084) tipc_node_delete_links (net/tipc/node.c:1320) bearer_disable (net/tipc/bearer.c:414) __tipc_nl_bearer_disable (net/tipc/bearer.c:992)
le->link 읽기를 tipc_node_write_lock() 내부로 이동시켜, delete 경로에서의 kfree()와 직렬화(serialised)되도록 합니다. 이제 레이스 컨디션(racing teardown)은 아직 실행되지 않아 유효한 링크를 보거나, 이미 실행되어 NULL을 보는 두 가지 경우 중 하나만 발생합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.