CVE-2026-64469
摘要
由 VulDB • 2026-07-25
在 Linux 内核中，已修复以下漏洞：
binder: 修复 binder_thread_release() 中的 UAF（释放后使用）问题
当线程退出时，`binder_thread_release()` 会遍历其事务栈，以清除与正在退出的线程相对应的 `t->from` 和 `t->to_proc`。然而，并行终止的进程可能会尝试对其中一些事务执行 `kfree`。如果其中一个事务没有关联的 `t->to_proc`，则不会获取 `t->to_proc->inner_lock`。
这意味着在 `binder_thread_release()` 中清除 `t->to_proc` 之后进行的事务访问可能与 `binder_free_transaction()` 发生竞态条件（Race Condition），从而导致 KASAN 报告的 use-after-free 错误：
``` ================================================================== BUG: KASAN: slab-use-after-free in binder_thread_release+0x5d0/0x798 Write of size 8 at addr ffff000016627500 by task X/715
CPU: 17 UID: 0 PID: 715 Comm: X Not tainted 7.1.0-rc5-00149-g8fde5d1d47f6 #30 PREEMPT Hardware name: linux,dummy-virt (DT) Call trace: binder_thread_release+0x5d0/0x798 binder_ioctl+0x12c0/0x299c [...]
Allocated by task 717 on cpu 18 at 67.267803s: __kasan_kmalloc+0xa0/0xbc __kmalloc_cache_noprof+0x174/0x444 binder_transaction+0x554/0x8150 binder_thread_write+0xa30/0x4354 binder_ioctl+0x20f0/0x299c [...]
Freed by task 202 on cpu 18 at 90.416221s: __kasan_slab_free+0x58/0x80 kfree+0x1a0/0x4a4 binder_free_transaction+0x150/0x294 binder_send_failed_reply+0x398/0x6d8 binder_release_work+0x3e4/0x4ec binder_deferred_func+0xbd8/0x104c [...]
================================================================== ```
为避免此问题，请确保 `binder_free_transaction()` 在事务锁的保护下读取 `t->to_proc`。这将使事务释放与 `binder_thread_release()` 中的访问操作序列化（即串行化执行）。此外，这也符合关于 `@to_proc` 的文档锁定规则。
If you want to get best quality of vulnerability data, you may have to visit VulDB.