Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Bluetooth:l2cap_sock_cleanup_listen() と l2cap_conn_del() の UAF を修正しますbt_accept_dequeue() は、親承認キューからまだ承認されていない子のリンクを解除し、戻る前に release_sock() します。したがって、返された sk は呼び出し元参照を持たず、ロック解除されます。l2cap_sock_cleanup_listen() はこれらの子をリスニングソケットクローズでウォークします。同時 HCI 切断は、l2cap_chan_del() + l2cap_sock_kill() を実行する hci_rx_work -> l2cap_conn_del() を駆動し、子 sk とそのl2cap_chanを解放します。cleanup_listen() はその後、次の両方を使用します: バグ:KASAN:l2cap_sock_kill l2cap_sock_kill/l2cap_sock_cleanup_listen/における slab-use-after-free
    __x64_sys_close 解放者:l2cap_conn_del -> l2cap_sock_close_cb -> l2cap_sock_kill これは、この領域ですでに行われている 2 つの修正とは異なります:コミット e83f5e24da741(Bluetooth:accept_q アクセスのシリアル化)は、accept_q リスト/ポーリングをシリアル化し、bt_accept_dequeue() 内部の一時参照を取得します。 CVE-2025-39860 は、l2cap_sock_release() の lock_sock() で cleanup_listen() を呼び出すことで、ユーザー空間の close()/accept() 競合をシリアル化します。どちらも hci_rx_work から実行される l2cap_conn_del() をカバーしていないため、この UAF は現在の bluetooth/マスターでまだ再現されます。ソースの参照を取ります:bt_accept_dequeue()は、skがまだロックされている間、release_sock()の前にsock_hold()を実行します。呼び出し元sock_put()。cleanup_listen() は短い子 sk ロック下で l2cap_chan_hold_unless_zero() で chan をピン留めし(l2cap_sock_teardown_cb() に対してシリアル化)、それを l2cap_chan_lock() の前にドロップし、SOCK_DEAD上の重複する l2cap_sock_kill() をスキップします。conn->lock はここでは取得されません:親 sk ロックの下で cleanup_listen() が実行され、conn->lock -> chan->lock -> sk_lock(lockdep)が反転されます。KASAN/SMP:権限のない listen/close と HCI-disconnect の競合により、この変更以前は、実行ごとに 12 の use-after-free レポートが生成されました。0、lockdep レポートはありませんが、その後 bluetooth/master で 1600+ を超える競合反復が発生しました。(CVE-2026-53357)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-53357

high Nessus プラグイン ID 324896

バージョン 1.38