Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ipv6:anycast:idev->lock のグローバルハッシュに aca を挿入します syzbot が splat [1] を報告しました:ipv6_chk_acast_addr() の slab-use-after-free は、RCU のグローバルな inet6_acaddr_lst[] ハッシュをウォークし、ハッシュ内でリンクされたまますでに解放されている ifacaddr6 構造体を逆参照するため、後のリーダーはダングリングノードに足を踏み入れることになります。__ipv6_dev_ac_inc() では、aca に refcount 1 が割り当てられ、aca_get() が 2 に更新して、ロック解除された領域全体で維持します。idev->lock 状態で idev->ac_list に公開されますが、write_unlock_bh() の後に ipv6_add_acaddr_hash() が実行されます。RTNL での同時ティアダウン (addrconf_ifdown() からの ipv6_ac_destroy_dev()) がそのウィンドウに滑り込む可能性があります: CPU0 __ipv6_dev_ac_inc CPU1 ipv6_ac_destroy_dev(RTNL) ------------------------------ ------------------------------------ aca_alloc() refcnt 1 aca_get() refcnt 2 write_lock_bh(idev->lock) に aca を追加 ac_list write_unlock_bh(idev->lock) write_lock_bh(idev->lock) aca をプルオフ ac_list write_unlock_bh(idev->lock) ipv6_del_acaddr_hash(aca) hlist_del_init_rcu()は no-op、aca はまだハッシュに含まれていません aca_put() refcnt 2->1 ipv6_add_acaddr_hash(aca) aca がハッシュに挿入されるようになりました aca_put() refcnt 1->0 call_rcu(aca_free_rcu) -> kfree(aca) 挿入がまだ行われていないため、ハッシュ削除は no-op になります。CPU0 が最後の参照を挿入およびドロップすると、 ACA は、 inet6_acaddr_lst[] 内でリンクされたまま解放され、スラブスロットが再使用された後、リーダーは解放したメモリを逆参照します。RTNLがデバイスの破棄に対する参加パスのシリアル化を停止すると、このウィンドウが開きました。ac_listとハッシュの挿入がティアダウンに関してアトミックになるように、idev->lock セクション内で ipv6_add_acaddr_hash() を移動させます:現在、レーシングリムーバーは aca を完全に見逃すか、両方のリストでそれを検出します。acaddr_hash_lock は現在、softirq コンテキストで取得される idev->lock の下にネスト化されるため、[2] で報告されている irq ロックの反転を回避するために、すべてのacaddr_hash_lockサイトを spin_lock_bh() に切り替えます。[1] https://syzkaller.appspot.com/bug?extid=a01df04303c131efbf3a [2] https://lore.kernel.org/netdev/6a194ef7.ba3b1513.1890b4.0000.GAE@google.com/ (CVE-2026-53259)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-53259

high Nessus プラグイン ID 323347

バージョン 1.5