Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - hdlc_ppp:hdlc 状態を解放する前にプロトごとのタイマーを同期します。struct ppp に埋め込まれた各 PPP コントロールプロトコル(LCP/IPCP/IPV6CP)は、timer_setup() を介してタイマーを登録します。その struct ppp は hdlc->state 割り当てであり、detach_hdlc_protocol() は unregister_hdlc_device() と re-attach inside attach_hdlc_protocol() の両方のティアダウンパスで kfree() で解放します。ppp proto は .detach コールバックを登録しなかったため、detach_hdlc_protocol() は kfree() の前にタイマー同期を実行しません。ppp_cp_event() の唯一のキャンセル timer_delete(&proto->timer) は部分的 (コールバックの実行を待たない)、->CLOSED 遷移でのみ実行されます。ppp_stop()/ppp_close() も同期しません。すでに実行されている ppp_timer コールバック(ppp->lock でブロック)が kfree を生き残り、解放されたメモリで proto->state / ppp->lock を逆参照し、use-after-free につながります。プロトごとのタイマーごとに timer_shutdown_sync() を呼び出す .detach ヘルパーを追加することで、この問題を修正します。detach_hdlc_protocol() は kfree(hdlc->state) の前に proto->detach(dev) を呼び出すため、timer_shutdown_sync() は両方のフリーパスで実行されるようになります。キープアライブパスが add_timer()/mod_timer() を通じてタイマーを再武装し、シャットダウンがティアダウン中に再アクティブ化をブロックするため、timer_delete_sync() の代わりに timer_shutdown_sync() が使用されています。プロトコルがアタッチされている場合は、ppp_ioctl() の中のプロトコルごとのタイマーを初期化し、現在冗長になっている timer_setup() を ppp_start() から削除すると、タイマーはアタッチ時に一度だけ初期化され、ppp_timer_release() は初期化されていないtimer_list構造に対して動作することはありません。attach_hdlc_protocol() は kmalloc()(kzalloc ではなく)を使用するため、struct ppp の protos[i].timer は最初の timer_setup() まで初期化されていないガベージです。この init-at-attach なしで、デバイスを起動せずに PPP プロトコルをアタッチすると、.detach の中の初期化されていないメモリ上で timer_shutdown_sync() が動作したままになります。init を ppp_start() から(NETDEV_UP でのみ実行される)アタッチパスに移動すると、初期化が無条件になり、同じtimer_listが二度にわたり初期化されることがなくなります。このバグは静的分析により見つかりました。(CVE-2026-63803)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-63803

high Nessus プラグイン ID 327893

バージョン 1.22