CVE-2026-98231 in Linux
Sumário
de VulDB • 06/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
xfrm: serializar a limpeza (GC) de estado com o flush de estado do dispositivo
A passagem deferred-device em xfrm_dev_state_flush() encontra estados sob xfrm_state_dev_gc_lock, mas solta o lock antes de chamar xfrm_dev_state_free(), pois o callback do driver pode dormir. A lista GC do dispositivo não mantém uma referência a xfrm_state, portanto, o worker de state GC pode destruir o mesmo estado concorrentemente.
A race condition pode prosseguir da seguinte forma:
CPU 0 CPU 1 encontra x na lista device GC solta xfrm_state_dev_gc_lock lê x->xso.dev xfrm_state_gc_destroy(x) xfrm_dev_state_free(x) xfrm_state_free(x) continua com xfrm_dev_state_free(x)
Ambas as rotinas podem invocar o callback do driver e soltar a referência ao dispositivo. A CPU 0 também pode acessar o xfrm_state após a CPU 1 tê-lo liberado.
O KASAN relatou:
BUG: KASAN: slab-use-after-free em xfrm_dev_state_free+0x24c/0x2a0 Leitura de tamanho 8 no endereço ffff88810bbaa960 pela tarefa poc/102
Call Trace: xfrm_dev_state_free+0x24c/0x2a0 xfrm_dev_state_flush+0x353/0x400 xfrm_dev_event+0x26d/0x3a0 notifier_call_chain+0xc0/0x280 __dev_notify_flags+0x169/0x250 netif_change_flags+0xe7/0x160 dev_change_flags+0x96/0x220 devinet_ioctl+0x7f4/0x1880
Alocado pela tarefa 87: xfrm_state_alloc+0x1e/0x5c0 xfrm_add_sa+0xe7f/0x5820 xfrm_user_rcv_msg+0x4f3/0x940
Liberado pela tarefa 57: kmem_cache_free+0xcb/0x3d0 xfrm_state_gc_task+0x4a8/0x650 process_one_work+0x63a/0x1070
Serializar a destruição de xfrm_state contra a passagem deferred-device com um mutex. Manter o xfrm_state_dev_gc_lock limitado às operações de lista e manter a ordem existente de liberação do callback e da referência ao dispositivo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.