CVE-2026-74628 in Linux
요약
\~에 의해 VulDB • 2026. 08. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
net/x25: 타이머에 의한 소켓의 use-after-free 수정
x25 타이머는 mod_timer()로 활성화되고 timer_delete()로 취소되므로, 대기 중인 타이머는 소켓에 대한 참조를 보유하지 않으며, 취소를 실행해도 다른 CPU에서 이미 실행 중인 콜백을 기다리지 않습니다.
또한 x25_heartbeat_expiry()도 조건 없이 재활성화하므로, __x25_destroy_socket()이 취소 지점을 지난 후에 sk->sk_timer를 다시 설치할 수 있습니다. 이후의 __sock_put() 호출은 타이머가 여전히 큐에 있는 동안 소켓을 해제하며, 다음 만료 시점에서 해지된 메모리가 사용됩니다. KASAN은 close()로 인해 해제된 kmalloc-2k 객체에서 slab-use-after-free 오류를 보고합니다.
timer_delete_sync()는 여기서 사용할 수 없습니다: x25_heartbeat_expiry()와 x25_timer_expiry() 모두 __x25_destroy_socket()과 x25_disconnect()를 통해 타이머 내부에서 해당 타이머가 대기하는 취소 지점에 도달하기 때문입니다.
타이머를 sk_reset_timer()로 활성화하고 sk_stop_timer()로 취소하여, 활성화된 타이머가 참조를 소유하도록 하고 만료 처리기 양쪽에서 이를 해제합니다. __x25_destroy_socket()이 소켓을 연결 해제한 후 해지하므로 하트비트는 sk_hashed(sk)가 참인 동안에만 재활성화합니다. 지연된 destroy 타이머도 동일한 방식으로 활성화하고 x25_destroy_timer()에서 해당 참조를 해제합니다.
KASAN과 함께 net 환경에서, 그리고 하트비트 주기를 짧게 설정하여 윈도우가 반복되도록 하여 재생되었습니다. 이 패치를 적용하면 리프로듀서가 더 이상 보고를 트리거하지 않으며 /proc/net/x25이 정상적으로 정리됩니다.
XBOW에 의해 발견되었으며, Baul Lee <[email protected]>에 의해 분류(triaged)되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.