CVE-2026-98231 in Linux
Сводка
по VulDB • 06.10.2026
В ядре Linux была устранена следующая уязвимость:
xfrm: сериализация очистки состояния (GC) с очисткой состояния устройства
Отложенный проход в функции xfrm_dev_state_flush() находит состояния под блокировкой xfrm_state_dev_gc_lock, но снимает её перед вызовом xfrm_dev_state_free(), так как обратный вызов драйвера может вызывать засыпание. Список GC устройств не содержит ссылки на объект xfrm_state, поэтому рабочий процесс очистки состояний (state GC) может уничтожить то же самое состояние параллельно.
Гонка данных может развиваться следующим образом:
CPU 0 CPU 1 найти элемент x в списке GC устройства снять блокировку xfrm_state_dev_gc_lock прочитать значение x->xso.dev xfrm_state_gc_destroy(x) xfrm_dev_state_free(x) xfrm_state_free(x) продолжить выполнение xfrm_dev_state_free(x)
Оба пути могут вызывать обратный вызов драйвера и освобождать ссылку на устройство. CPU 0 также может получить доступ к объекту xfrm_state после того, как он был освобожден процессом на CPU 1.
KASAN зафиксировал следующее:
BUG: KASAN: slab-use-after-free в функции xfrm_dev_state_free+0x24c/0x2a0 Чтение размера 8 по адресу ffff88810bbaa960 выполнено задачей poc/102
Трассировка вызовов (Call Trace): xfrm_dev_state_free+0x24c/0x2a0 xfrm_dev_state_flush+0x353/0x400 xfrm_dev_event+0x26d/0x3a0 notifier_call_chain+0xc0/0x280 __dev_notify_flags+0x169/0x250 netif_change_flags+0xe7/0x160 dev_change_flags+0x96/0x220 devinet_ioctl+0x7f4/0x1880
Выделено задачей 87: xfrm_state_alloc+0x1e/0x5c0 xfrm_add_sa+0xe7f/0x5820 xfrm_user_rcv_msg+0x4f3/0x940
Освобождено задачей 57: kmem_cache_free+0xcb/0x3d0 xfrm_state_gc_task+0x4a8/0x650 process_one_work+0x63a/0x1070
Сериализуйте уничтожение объекта xfrm_state относительно отложенного прохода с использованием мьютекса. Ограничьте блокировку xfrm_state_dev_gc_lock операциями со списками и сохраните существующий порядок освобождения обратных вызовов и ссылок на устройство.
If you want to get best quality of vulnerability data, you may have to visit VulDB.