JVNDB-2026-023980

LinuxのLinux KernelにおけるNULL ポインタデリファレンスに関する脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。bpf、sockmap：proto更新時のaf_unixにおけるNULLポインタ参照の修正。unix_stream_connect()は、ピアを割り当てる前にsk_stateを（WRITE_ONCE(sk-＞sk_state, TCP_ESTABLISHED)に）設定します（unix_peer(sk) = newsk）。sk_stateがTCP_ESTABLISHEDであることで、sock_map_sk_state_allowed()はソケットが正しく設定されていると判断します。これはピアが定義されていることも含みます。つまり、unix_stream_bpf_update_proto()がまだunix_peer(sk)がNULLであるソケットに対して呼び出される可能性がある時間帯（ウィンドウ）が存在していました。 CPU0 bpf CPU1 connect-------- ------------WRITE_ONCE(sk-＞sk_state, TCP_ESTABLISHED)sock_map_sk_state_allowed(sk)...sk_pair = unix_peer(sk)sock_hold(sk_pair) sock_hold(newsk) smp_mb__after_atomic() unix_peer(sk) = newskBUG: kernel NULL pointer dereference, address: 0000000000000080RIP: 0010:unix_stream_bpf_update_proto+0xa0/0x1b0Call Trace: sock_map_link+0x564/0x8b0 sock_map_update_common+0x6e/0x340 sock_map_update_elem_sys+0x17d/0x240 __sys_bpf+0x26db/0x3250 __x64_sys_bpf+0x21/0x30 do_syscall_64+0x6b/0x3a0 entry_SYSCALL_64_after_hwframe+0x76/0x7e当初の案は、ピアの割り当てをsk_stateの更新前に移動することでしたが、これは追加のメモリバリアを伴いホットパスの変更となるため却下されました。その後、unix_stream_bpf_update_proto()内のproto更新時にNULLチェックを入れる案が検討されました。しかし、続く議論では根本原因、すなわちsockmapの更新に不適切なロックが使用されている問題に焦点が当てられました。具体的にはunix_state_lock()の欠如が問題でした。最終的に、sockmapにaf_unixのロック機構を導入することは不必要に複雑になると結論付けられました。複雑さはさておき、BPF_PROG_TYPE_SCHED_CLSおよびBPF_PROG_TYPE_SCHED_ACTがsockmapの更新を許可されているため、sock_map_update_elem()が現在unix_state_lock()で行われているようにspin_lock(&unix_sk(s)-＞lock)によるunixロックを取得すると問題が生じます。具体的には、プロセスコンテキストでunix_state_lock()を取得し、その後softirqコンテキストのTC BPFプログラムが同じスピンロックを取得しようとするとデッドロックが発生します。このため、再びピアチェック案に戻りました。af_unix/stream connect()がsockmapの更新とレースコンディションになるシナリオをまとめます。1. connect()対bpf(BPF_MAP_UPDATE_ELEM)、つまりsock_map_update_elem_sys()については、実装されているNULLチェックが十分です。一度割り当てられたソケットのピアは、ソケットFDが解放されるまで解放されません。また、sock_map_update_elem_sys()はFDの参照カウントを上げるため、問題にはなりません。2. connect()対BPFプログラムによる更新については、verifier.cのmay_update_sockmap()により更新は以下のプログラムタイプに制限されています。 - BPF_PROG_TYPE_TRACING/BPF_TRACE_ITER - BPF_PROG_TYPE_SOCK_OPS (bpf_sock_map_update()のみ) - BPF_PROG_TYPE_SOCKET_FILTER - BPF_PROG_TYPE_SCHED_CLS - BPF_PROG_TYPE_SCHED_ACT - BPF_PROG_TYPE_XDP - BPF_PROG_TYPE_SK_REUSEPORT - BPF_PROG_TYPE_FLOW_DISSECTOR - BPF_PROG_TYPE_SK_LOOKUPさらに考慮すべきもう一つのレースがあります。 CPU0 bpf CPU1 connect -------- ------------WRITE_ONCE(sk-＞sk_state, TCP_ESTABLISHED)sock_map_sk_state_allowed(sk)sock_hold(newsk)smp_mb__after_atomic()---省略---

Linux

• Linux Kernel 5.15 以上 6.1.175 未満
• Linux Kernel 6.13 以上 6.18.33 未満
• Linux Kernel 6.19 以上 7.0.10 未満
• Linux Kernel 6.2 以上 6.6.141 未満
• Linux Kernel 6.7 以上 6.12.91 未満

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. NULL ポインタデリファレンス(CWE-476) [NVD評価]

1. CVE-2026-53034

1. National Vulnerability Database (NVD) : CVE-2026-53034
2. 関連文書 : bpf, sockmap: Fix af_unix null-ptr-deref in proto update - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/37bfcd164161b47d00b1c3bd20adc816a6977ce0)
3. 関連文書 : bpf, sockmap: Fix af_unix null-ptr-deref in proto update - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/a94d3dd78ee8b63e6b8ad629081c952c93ee5a10)
4. 関連文書 : bpf, sockmap: Fix af_unix null-ptr-deref in proto update - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/4913c94a3adcdbb64c552110c0c243cb1fdbb317)
5. 関連文書 : bpf, sockmap: Fix af_unix null-ptr-deref in proto update - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/75b7d3b3f8bd4e59eb3af1b11a43c64c0c2db6f4)
6. 関連文書 : bpf, sockmap: Fix af_unix null-ptr-deref in proto update - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/041eb6348d73ee5e15fc8161f1eac5a6e8289ca0)
7. 関連文書 : bpf, sockmap: Fix af_unix null-ptr-deref in proto update - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/dca38b7734d2ea00af4818ff3ae836fab33d5d5a)

• [2026年07月17日]
    掲載