JVNDB-2026-015234

LinuxのLinux Kernelにおける解放済みメモリの使用に関する脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。gpibのIO ioctlハンドラに存在したuse-after-freeの問題です。IBRD、IBWRT、IBCMD、およびIBWAIT ioctlハンドラは、board-big_gpib_mutexが解放された後にgpib_descriptorポインタを使用していました。この間に、IBCLOSEDEV ioctlがclose_dev_ioctl()を通じてディスクリプタを解放する可能性があり、use-after-freeが発生していました。IOハンドラ（read_ioctl、write_ioctl、command_ioctl）は、ハンドラを呼び出す前に明示的にbig_gpib_mutexを解放します。wait_ioctl()はbig_gpib_mutexを保持したまま呼び出されますが、ibwait()はwait_maskが0以外の場合に内部でmutexを解放します。これら四つのケースすべてで、handle_to_descriptor()から得たディスクリプタポインタは保護されていませんでした。これを修正するために、struct gpib_descriptorにカーネル専用のdescriptor_busy参照カウントを導入しました。各ハンドラはfile_priv-descriptors_mutexの下でatomicにdescriptor_busyをインクリメントし、ロックを解放した後に処理を行い、処理完了後にそれをデクリメントします。close_dev_ioctl()は同じロック下でdescriptor_busyをチェックし、参照カウントが0でない場合は-EBUSYでクローズを拒否します。複数のハンドラが同じディスクリプタに同時に操作する可能性があるため（例：異なるスレッドからの同一ハンドルに対するIBRDとIBWAIT）、単純なフラグではなく参照カウントが必要です。io_in_progressはIBWAIT ioctl（set_maskにCMPLを含むgeneral_ibstatus()経由）で特権のないユーザースペースからクリア可能であるため、これに基づくチェックだけでは回避される可能性があります。新しいdescriptor_busyカウンタはカーネルIOパスのみで操作されます。ロックの順序は一貫しており（big_gpib_mutex - descriptors_mutex）、ハンドラは検索時のみ短時間descriptors_mutexを保持するため、デッドロックのリスクはなく、IOスループットに影響を与えません。

Linux

• Linux Kernel 6.13 以上 6.18.22 未満
• Linux Kernel 6.19 以上 6.19.12 未満
• Linux Kernel 7.0

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 解放済みメモリの使用(CWE-416) [NVD評価]

1. CVE-2026-31769

1. National Vulnerability Database (NVD) : CVE-2026-31769
2. 関連文書 : gpib: fix use-after-free in IO ioctl handlers - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/cae26eff1b56d78bed7873cf3e60a2b1bdd4da6c)
3. 関連文書 : gpib: fix use-after-free in IO ioctl handlers - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/d1857f8296dceb75d00ab857fc3c61bc00c7f5c6)
4. 関連文書 : gpib: fix use-after-free in IO ioctl handlers - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/28c75dd143ead62e0dfac564c79d251e21d5d74b)

• [2026年05月13日]
    掲載