Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - net/sched:act_ct:ct_ft後にのみ RCU 読み取りロックを解放します tcf_ct_flow_table_get() の act_ct でフローテーブルを検索する際、rhashtable_lookup_fast() は RCU 読み取りクリティカルセクションを内部的に開いたり閉じたりしてから、ct_ft を返します。返されたct_ftでrefcount_inc_not_zero()が呼び出される前にtcf_ct_flow_table_cleanup_work()が完了し、既に解放されたct_ftオブジェクトでUAFが発生する可能性があります。この脆弱性により、権限昇格が引き起こされる可能性があります。zdi-disclosures@trendmicro.com からの分析:act_ctの初期化時にtcf_ct_init()が呼び出され、内部でtcf_ct_flow_table_get()がトリガーされます。static int tcf_ct_flow_table_get(struct net *net, struct tcf_ct_params *params) { struct zones_ht_key key = { .net = net, .zone = params->zone }; struct tcf_ct_flow_table *ct_ft; int err = -ENOMEM; mutex_lock(&zones_mutex);
    ct_ft = rhashtable_lookup_fast(&zones_ht、&キー、zones_params);[1] if (ct_ft &; refcount_inc_not_zero(&ct_ft->ref)) // [2] goto out_unlock;... }静的__always_inline無効
    *rhashtable_lookup_fast( struct rhashtable *ht, const void *key, const struct rhashtable_params params) {void *obj; rcu_read_lock(); obj = rhashtable_lookup(ht, key, params); rcu_read_unlock(); return obj; }[1]で、rhashtable_lookup_fast()はzones_htから対応するct_ftを検索して返します。検索は rcu_read_lock() / rcu_read_unlock() を介して RCU 読み取りクリティカルセクション内で実行され、オブジェクトの解放が防止されます。ただし、関数リターンの時点では、rcu_read_unlock()はすでに呼び出されており、[2]でrefcount_inc_not_zero(&ct_ft->ref)に到達する前にct_ftが解放されることを妨げるものは何もありません。この間隔が競合ウィンドウとなり、その間にct_ftを解放できます。Free Process: tcf_ct_flow_table_put() はパス tcf_ct_cleanup() call_rcu() tcf_ct_params_free_rcu() tcf_ct_params_free() tcf_ct_flow_table_put() を通じて実行されます。静的無効 tcf_ct_flow_table_put(struct tcf_ct_flow_table *ct_ft) { if (refcount_dec_and_test(&ct_ft->ref)) {rhashtable_remove_fast(&zones_ht, &ct_ft->node, zones_params);INIT_RCU_WORK(&ct_ft->rwork、tcf_ct_flow_table_cleanup_work);[3] queue_rcu_work(act_ct_wq、&ct_ft->rwork);} } [3] で、tcf_ct_flow_table_cleanup_work() は RCU としてスケジュールされます work static void tcf_ct_flow_table_cleanup_work(struct work_struct *work) { struct tcf_ct_flow_table *ct_ft; struct flow_block *block; ct_ft = container_of(to_rcu_work(work), struct tcf_ct_flow_table, rwork);
    nf_flow_table_free(&ct_ft->nf_ft);ブロック = &ct_ft->nf_ft.flow_block;
    down_write(&ct_ft->nf_ft.flow_block_lock);WARN_ON(!list_empty(&block->cb_list));
    up_write(&ct_ft->nf_ft.flow_block_lock);kfree(ct_ft);[4] module_put(THIS_MODULE);} tcf_ct_flow_table_cleanup_work() は [4] でct_ftを解放します。この関数が [1] と [2] の間に実行されると、UAF が発生します。この競合状態の競合ウィンドウは非常に短いため、一般的にトリガーするのは困難です。
    このため、この脆弱性を発生させるために msleep(100) が [1] (CVE-2026-46319)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-46319

high Nessus プラグイン ID 320155

バージョン 1.28