JVNDB-2026-032001

LinuxのLinux KernelにおけるNULL ポインタデリファレンスに関する脆弱性

Linuxカーネルにおいて、以下の脆弱性が修正されました。tracing: func_set_flag()におけるNULLポインター逆参照の修正です。func_set_flag()は現在のトレーサーが実際に関数トレーサーであるかを検証する前にtr-＞current_trace_flagsを逆参照していました。アクティブなトレーサーが「function」から別のトレーサー（例: 「wakeup_rt」）に切り替えられた場合、tr-＞current_trace_flagsがNULLになることがあり、NULLポインター逆参照によるカーネルクラッシュが発生していました。この問題を引き起こす呼び出し連鎖は以下の通りです。trace_options_write() → __set_tracer_option() → trace-＞set_flag() （func_set_flag）です。func_set_flag()内で最初の操作は以下の通りです。if (!!set == !!(tr-＞current_trace_flags-＞val & bit))。この時点でtr-＞current_trace_flagsを無条件に逆参照しています。非関数トレーサーに対する安全チェックは以下のように記述されていました。if (tr-＞current_trace != &function_trace) return 0; しかし、このチェックは逆参照の後に置かれており、遅すぎました。以下のクラッシュダンプで本問題が観測されています。BUG: unable to handle page fault at 0000000000000000 RIP: func_set_flag+0xd Call Trace: __set_tracer_option+0x27 trace_options_write+0x75 vfs_write+0x12a ksys_write+0x66 do_syscall_64+0x5b RIP: ffffffff914c973d RSP: ff67ec88b01dfdf0 RFLAGS: 00010202 RAX: 0000000000000000 RBX: ff3a826e80354580 RCX: 0000000000000001 RDX: 0000000000000001 RSI: 0000000000000000 RDI: ffffffff93918080。ディスアセンブルは以下のとおりで、フォルトを裏付けています。func_set_flag+0: mov 0x1f08(%rdi), %rax （RAX = tr-＞current_trace_flags = NULL）、func_set_flag+13: mov (%rax), %eax （ページフォルト：NULL逆参照）。クラッシュ時の状況は以下の通りです。tr-＞current_trace_flags = 0x0 (NULL)、tr-＞current_trace = wakeup_rt_tracer （function_traceではありません）。シナリオとしては、プロセスがfunction tracerのオプションファイル（例: "func_stack_trace"）を開き、その後現在のトレーサーが別のトレーサー（例: "wakeup_rt"）に切り替わり、current_trace_flagsがNULLに設定されます。その後、プロセスがオプションファイルへ書き込みを行うとfunc_set_flag()が呼ばれ、NULL逆参照によってクラッシュします。この問題はcurrent_trace_flagsの逆参照前にcurrent_traceのチェックを移動することで修正されており、function tracerがアクティブでない場合はfunc_set_flag()が早期にリターンするよう改善されています。

Linux

• Linux Kernel 6.19 以上 7.1.4 未満
• Linux Kernel 7.2

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. NULL ポインタデリファレンス(CWE-476) [NVD評価]

1. CVE-2026-64451

1. National Vulnerability Database (NVD) : CVE-2026-64451
2. 関連文書 : tracing: Fix NULL pointer dereference in func_set_flag() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/c3e94604675e3db186111b8942650d86577df9b0)
3. 関連文書 : tracing: Fix NULL pointer dereference in func_set_flag() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/69f17ac132a38974cf1defb480cef6b79d1ab768)

• [2026年09月04日]
    掲載