JVNDB-2026-025914 | |
LinuxのLinux Kernelにおける解放済みメモリの使用に関する脆弱性 | |
| 概要 | |
Linuxカーネルにおいて、以下の脆弱性が修正されました。hdlc_pppでは、hdlc状態を解放する前にプロトコルごとのタイマーを同期する問題がありました。struct pppに埋め込まれた各PPP制御プロトコル（LCP、IPCP、IPv6CP）は、timer_setup()を介してタイマーを登録しています。そのstruct pppはhdlc-＞stateに割り当てられており、detach_hdlc_protocol()はteardownの両パス（unregister_hdlc_device()およびattach_hdlc_protocol()内の再アタッチ）でkfree()によってこれを解放します。pppプロトコルは.detachコールバックを登録していないため、detach_hdlc_protocol()はkfree()の前にタイマーの同期を行いませんでした。唯一のキャンセルであるppp_cp_event()内のtimer_delete(&proto-＞timer)は不完全で（実行中のコールバックを待ちません）、-＞CLOSED状態遷移時にのみ実行されます。また、ppp_stop()やppp_close()も同期を行っていません。もしppp_timerコールバックがすでに実行中（ppp-＞lockでブロックされている）であった場合、kfree()後もコールバックが存続し、その後解放済みメモリのproto-＞stateおよびppp-＞lockを参照するため、use-after-freeが発生します。この問題は、すべてのプロトコルタイマーに対してtimer_shutdown_sync()を呼び出す.detachヘルパーを追加することで修正しました。detach_hdlc_protocol()はkfree(hdlc-＞state)の前にproto-＞detach(dev)を実行するため、timer_shutdown_sync()は両方の解放パスで確実に実行されるようになりました。timer_shutdown_sync()をtimer_delete_sync()の代わりに使用した理由は、キープアライブパスがadd_timer()やmod_timer()を通じてタイマーを再設定し、シャットダウンがテアダウン中の再活性化をブロックするためです。さらに、ppp_ioctl()内でプロトコルがアタッチされる際にプロトコルごとのタイマーを初期化し、ppp_start()から冗長となっていたtimer_setup()を除去しました。これにより、タイマーはアタッチ時に一度だけ初期化され、ppp_timer_release()は初期化されていないtimer_list構造に対して動作しなくなりました。attach_hdlc_protocol()はkmalloc()を使用しているため（kzallocではありません）、struct pppのprotos[i].timerは最初のtimer_setup()までは未初期化のままです。もしアタッチ時の初期化が行われなければ、デバイスを一度も起動せずにPPPプロトコルをアタッチした場合、.detachでtimer_shutdown_sync()が未初期化メモリに対して動作してしまいます。ppp_start()（NETDEV_UP時にのみ実行）から初期化を外してアタッチパスに移すことで、初期化を確実に行い、同じtimer_listを二重に初期化することを防いでいます。このバグは静的解析によって発見されました。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 7.8 (重要) [その他]
| |
| 影響を受けるシステム | |
|
| |
Linux | |
|
| |
| 想定される影響 | |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 | |
| 対策 | |
リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
|
| |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/07/19 |
| 登録日 | 2026/07/30 |
| 最終更新日 | 2026/07/30 |
