Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - posix-cpu-timers:非リーダー exec() 競合によって引き起こされる UAF を防ぎます Wongi 氏と Jungwoo 氏は、非リーダー exec() 関連の競合をデコードして報告しました。これは UAF を引き起こす可能性があります: sys_timer_delete() exec() posix_cpu_timer_del() // 古いリーダーを観察します p = pid_task(pid, pid_type);de_thread() switch_leader();release_task(old_leader)
    __exit_signal(old_leader) sighand = lock(old_leader, sighand);posix_cpu_timers*_exit();シガンド = lock_task_sighand(p) unhash_task(old_leader);sh = lock(p, sighand) old_leader->sighand = NULL;
    ロック解除(シガンド);(p->sighand == NULL) unlock(sh) NULL を返します。(!sighand)が0を返す場合、アクションなしで返します。free_posix_timer();exec() で TGID ターゲットタイマーが継承されるため、削除されたタイマーが武装して p->signal のキューに入れられない限り、これは無害です。sys_timer_delete() が解放されると、下層の posix タイマーオブジェクト run_posix_cpu_timers() または他のタイマーでのタイマーキュー関連の追加/削除操作が、解放されたオブジェクトのタイマーキューノードにアクセスし、その結果 UAF が発生します。同様の問題があります。
    posix_cpu_timer_set()。通常の posix タイマーでは、ユーザー空間に一時的に -ESRCH を返すだけですが、do_cpu_nanosleep() の使用例では、スタックに k_itimer が割り当てられているだけで同じ UAF になります。
    また、posix_cpu_timer_rearm() はタイマーの再起動に失敗するため、期限切れで停止します。解決策を議論している間、フレデリックは別の問題を指摘しました:posix_cpu_timer_del(tmr)__exit_signal(p)posix_cpu_timers*_exit(p);unhash_task(p);p->sighand = NULL;sh = lock_task_sighand(p) シガンド = p->シガンド;if (!sighand) が NULL を返します。ロック(シグハンド);if (!sh) WARN_ON_ONCE(timer_queued(tmr));弱い順序のアーキテクチャでは、p->sighand が NULL として観察された場合に、posix_cpu_timer_del() が posix_cpu_timers*_exit() 内のストアを観察することは保証されません。これは、WARN() が偽陽性である可能性があることを意味します。これらの問題を以下の方法で解決します:1) __exit_signal() のストアを smp_store_release() に変更します。2) smp_acquire__after_ctrl_dep() を lock_task_sighand() の !sighand パスに追加します。3)タスクを検索し、sighand == NULL の場合に戻らない sighand をロックするためのヘルパー関数を作成します。代わりに、タスク検索を再試行し、失敗した場合にのみ諦めます。4)影響を受ける 3 つの関数でそのヘルパーを使用する。#1/#2 は、sighand == NULL を観察するリーダー側が、先行するすべてのストア、つまり posix_cpu_timers*_exit() のストアと unhash_task() のストアも必ず観察するようにします。 #3 上述の非リーダー exec() の状況が適切に処理されるようにします。タスク検索で古いリーダーが返されるが、sighand == NULL の場合、再試行します。非リーダー exec() の場合、後続のタスク検索では、#1/#2 のため、新しいリーダーが観察されます。通常の exit() シナリオでは、後続の検索は失敗します。タスク検索が失敗すると、この関数はタイマーがまだキューに入っているかどうかもチェックし、その場合は警告を発します。残念ながら、これについてできることは何もありませんが、タスクはすでに表示されないため、タイマーにはもうアクセスできないはずです。このチェックではメモリの順序付けも必要ですが、最初の検索が失敗した場合には提供されません。これを実現するには、チェックの前に、__exit_signal() の write_seqlock() にある smp_wmb() とペアになる smp_rmb() が続きます。これにより、posix_cpu_timers*_exit() 内のストアが確実に表示されます。非リーダー exec() の問題の歴史は、グループリーダータスクへのポインターをタイマーに保存していた posix CPU タイマーの初期の頃にまでさかのぼります。非リーダーの exec() がリーダーを切り替えると、これは明らかに失敗します。コミット e0a70217107e(posix-cpu-timers:mt exec の問題を抑制する回避策)が 2010 年に、この問題に対する一時的な回避策を追加しました。
    ---truncated--- (CVE-2026-64560)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-64560

high Nessus プラグイン ID 330706

バージョン 1.4