JVNDB-2026-014754

LinuxのLinux Kernelにおける有効なライフタイム後のリソースの解放の欠如に関する脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。scsi: target: tcm_loop: target_resetハンドラーでのコマンド排出問題です。tcm_loop_target_reset()はSCSI EHの契約に違反しており、実際にはコマンドを排出せずにSUCCESSを返しています。SCSI EHのドキュメント(scsi_eh.rst)によると、リセットハンドラーがSUCCESSを返す場合、ドライバーは下位層の「タイムアウトしたscmdを忘れておらず」、新しいコマンドの準備ができている必要があると規定されています。他のすべてのSCSI LLD（virtio_scsi、mpt3sas、ipr、scsi_debug、mpi3mr）は、SUCCESSを返す前に保留中のコマンドを排出または完了させることでこれを保証しています。tcm_loop_target_reset()がコマンドを排出しないため、SCSI EHはターゲットコアがまだ古いse_cmdの非同期完了作業を保持している間に回復コマンド（例:TUR）に対してin-flightのscsi_cmnd構造を再利用してしまいます。queuecommand内のmemsetがse_lunとlun_ref_activeをゼロクリアし、transport_lun_remove_cmd()がpercpu_ref_put()の呼び出しをスキップします。このリークしたLUN参照によりtransport_clear_lun_ref()が完了せず、configfsのLUN解除はD状態で永久にハングします。INFO: task rm:264 が122秒以上ブロックされています。rm D 0 264 258 0x00004000 Call Trace: __schedule+0x3d0/0x8e0、schedule+0x36/0xf0、transport_clear_lun_ref+0x78/0x90 [target_core_mod]、core_tpg_remove_lun+0x28/0xb0 [target_core_mod]、target_fabric_port_unlink+0x50/0x60 [target_core_mod]、configfs_unlink+0x156/0x1f0 [configfs]、vfs_unlink+0x109/0x290、do_unlinkat+0x1d5/0x2d0。修正内容は、tcm_loop_target_reset()で実際にコマンドを排出することです。1. tcm_loop_issue_tmr()を介してTMR_LUN_RESETを発行し、ターゲットコアが知っているすべてのコマンド（まだCMD_T_COMPLETEでないもの）を排出します。2. blk_mq_tagset_busy_iter()を用いて開始されたすべてのリクエストを反復処理し、各se_cmdに対してflush_work()を行います。これはTMRの前にすでにCMD_T_COMPLETEがセットされていたコマンドの保留中完了作業を排出するためのものであり（TMRは__target_check_io_state()でこれらをスキップします）、mpi3mr、scsi_debug、libsasがリセット時に未完了コマンドを排出するために使用しているパターンと同様です。

Linux

• Linux Kernel 5.13 以上 5.15.203 未満
• Linux Kernel 5.16 以上 6.1.168 未満
• Linux Kernel 6.13 以上 6.18.22 未満
• Linux Kernel 6.19 以上 6.19.12 未満
• Linux Kernel 6.2 以上 6.6.134 未満
• Linux Kernel 6.7 以上 6.12.81 未満
• Linux Kernel 7.0

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 有効なライフタイム後のリソースの解放の欠如(CWE-772) [NVD評価]

1. CVE-2026-43054

1. National Vulnerability Database (NVD) : CVE-2026-43054
2. 関連文書 : scsi: target: tcm_loop: Drain commands in target_reset handler - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/103f79e4949513247d763c6e7f3cbbf62017afdf)
3. 関連文書 : scsi: target: tcm_loop: Drain commands in target_reset handler - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/757c43c692294cdfad31390accc0e90429b2ef8a)
4. 関連文書 : scsi: target: tcm_loop: Drain commands in target_reset handler - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/1333eee56cdf3f0cf67c6ab4114c2c9e0a952026)
5. 関連文書 : scsi: target: tcm_loop: Drain commands in target_reset handler - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/15f5241d5a52364a7e7867b49128b0442dbcad9d)
6. 関連文書 : scsi: target: tcm_loop: Drain commands in target_reset handler - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/05ac3754467363558a0a54ae4bb7c89b2c9574cf)
7. 関連文書 : scsi: target: tcm_loop: Drain commands in target_reset handler - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/7cbd69aaa507b1245240a28022bf5da0f07c68d9)
8. 関連文書 : scsi: target: tcm_loop: Drain commands in target_reset handler - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/a836054ea81014117ec6b73529a21626a9e1f829)

• [2026年05月11日]
    掲載