Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - usb:gadget:udc:bdc:IRQ を解放し、ティアダウン前に func_wake_notify をドレインします Broadcom BDC UDC ドライバーは、IRQ ハンドラーを bdc_udc_init() の devm_request_irq() に登録するため、IRQ は bdc_remove() が戻った後にのみ devm によって解放されます。devm は逆 LIFO 順番でリソースをリリースしますが、bdc_remove() は bdc_udc_exit() と bdc_hw_exit() -> bdc_mem_free() を手動で実行してから返します。bdc_udc_exit() は bdc_free_ep() を介して個々のエンドポイントオブジェクトをティアダウンしますが、bdc_hw_exit() -> bdc_mem_free() は DMA 一貫したステータスレポートリング(bdc->srr.sr_bds) と kfree() の bdc->bdc_ep_array を解放し、NULL にします。どちらも、IRQ ハンドラー(bdc_udc_interrupt、IRQF_SHARED でリクエスト)が post-remove devm free_irq() までウィンドウで配信可能なままである間に発生します。そのウィンドウで共有割り込みを受信すると、bdc_udc_interrupt()はbdc->srr.sr_bds[bdc->srr.dqp_index](NULLまたは解放されたDMA)を逆参照し、インデックスをbdc_ep_arrayにするsr_handlerコールバックをディスパッチするため、NULLデリファレンスまたはuse-after-freeが発生します。同じウィンドウが bdc->func_wake_notify delayed_workに影響を与えます。bdc-は bdc_sr_uspc() -> handle_link_state_change() -> schedule_delayed_work() を介して IRQ ハンドラーから武装し、独自のコールバック bdc_func_wake_timer() からセルフリアームを行う可能性があります。ドライバーのどこにもキャンセルが存在しないため、bdc_remove()が返され、bdc構造がdevm解放された後に起動するキューに入れられた作業項目は、解放されたメモリを逆参照します。devm_request_irq() を request_irq() に置き換え、bdc_remove() に明示的な free_irq(bdc->irq, bdc) を追加します。free_irq() の前にBDC_GIEをクリアして、デバイスが割り込みをアサートしないように停止します。続いて free_irq() がインフライトハンドラーをドレインし、続いて cancel_delayed_work_sync() がfunc_wake_notify遅延作業をドレインします。この順序により、IRQ ハンドラーと遅延作業が、後続のエンドポイントや bdc_udc_exit() と bdc_hw_exit() の DMA 分解を妨げないようにします。一致する free_irq() を bdc_udc_init() エラーパスにつなげて、IRQ がプローブ失敗時に解放されるようにし、bdc_init_ep() 失敗を直接戻すのではなく err0 を通してルーティングします。この問題は、社内の静的解析ツールにより見つかりました。(CVE-2026-64583)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-64583

high Nessus プラグイン ID 333068

バージョン 1.17