Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - eventpoll:構造体 eventpoll / 構造体ファイル UAF ep_remove()(ep_remove_file() により)ep_removeを修正します。file->f_lock 下の file->f_ep を消去しましたが、その後、クリティカルセクション内で @file を使い続けました(is_file_epoll()、hlist_del_rcu() through the head、spin_unlock)。そのウィンドウで eventpoll_release() ファストパスを利用している同時 __fput() が、一時的な NULL を観察し、eventpoll_release_file() をスキップし、f_op->release / file_free() に実行しました。epoll-watches-epoll の場合、f_op->release は ep_eventpoll_release() -> ep_clear_and_put() -> ep_free() であり、これは監視された構造体 eventpoll を kfree() します。埋め込まれた ->refs hlist_headは、epi->fllink.pprev が指す場所と正確に一致するため、後続の hlist_del_rcu() の *pprev = next は、解放された kmalloc-192 メモリに無用な書き込みを行います。さらに、struct ファイルがSLAB_TYPESAFE_BY_RCUであるため、ep_remove() が名目上はまだそのロック内にある間に、スロットバッキング@fileが alloc_empty_file() によってリサイクルされる可能性があります -- f_lock と f_ep を再初期化します。その結果、誤ったスラブキャッシュに対して攻撃者が制御可能なkmem_cache_free()が発生します。ep_remove()の上部にあるepi_fget()を介してピンを@fileし、成功したピンのクリティカルセクションをゲートします。ピンを保持すると、refcount 0 に到達できない@file __fput() をオフにし、hlist_del_rcu() と f_lock の使用にわたって監視された構造体 eventpoll を推移的に維持し、両方の UAF を閉じます。ピンが失敗する場合、@fileはすでにrefcountゼロに達しており、その__fput()が実行中です。f_epをクリアする前にベイルしたため、そのパスは eventpoll_release() スローパスを eventpoll_release_file() に進み、ウェイター側の ep_clear_and_put() がドロップするまで ep->mtx 上でブロックします。ベイルされた epi の ep->refcount のシェアはそのまま残るため、ep_clear_and_put() の末尾の ep_refcount_dec_and_test() は eventpoll を eventpoll_release_file() の下から解放できません。その後、孤立した EPI はそこでクリーンアップされます。ピンの成功は、このエピでeventpoll_release_file()を競っていないことも証明しているので、f_lockの下でエピ>ダイイングの冗長な再チェックはやめてください。安価なロックレスREAD_ONCE(epi->dying)のファストパス救済は残ります。(CVE-2026-46242)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-46242

medium Nessus プラグイン ID 318062

バージョン 1.1