Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - net:page_pool:xa_cmpxchg競合の __page_pool_release_netmem_dma で UAF を修正します このバグは、arm64 上の iperf3 トラフィックによるチャネル再構成(「ethtool -L」/「ethtool -G」)で hns3 ドライバーをテスト中に発見されました。page_pool_destroy() が異なる CPU 上の page_pool_put_netmem() によるページリターンと同時に page_pool_scrub() を実行すると、競合は断続的に発生します。page_pool_clear_pp_info() の WARN により、cmpxchg 敗者が残したダングリング DMA インデックスビットが表面化し、これが調査につながりました。
    page_pool_scrub() は、ページ参照を保持せずに xa_for_each() を介してプール>dma_mappedを反復します。
    __page_pool_release_netmem_dma() は現在、xa_cmpxchg() が戻った後に netmem フィールド(dma_addr、pp_magic の DMA インデックスビット)を読み書きします。unref パスは、cmpxchg の結果に関係なく無条件に put_page() を呼び出します。cmpxchg を失った場合でも、スクラブの勝者がこれらの netmem アクセスを完了する前にページを解放するため、スクラブは解放されたページにタッチします -- Use-after-Free です。DMA リリースを次の 2 つの関数に分割することで、これを修正します。1. __page_pool_unmap_netmem_dma() は xa_cmpxchg() の前にdma_addrをキャッシュし、cmpxchg を実行して DMA マッピングを削除し、キャッシュされたアドレスで dma_unmap を呼び出します。cmpxchg の後の netmem フィールドには決して触れないため、ページ参照 2 を保持しないスクラブパスにとって安全です。
    __page_pool_release_netmem_dma()は上記をラップし、netmemフィールドのdma_addrとDMAインデックスビットを追加でクリアします。これは、呼び出し側がページ参照を保持しているときのみ安全であり、リターンパス(page_pool_return_netmem)によって使用されます。スクラブパスは__page_pool_unmap_netmem_dma()を直接呼び出します。リターンパスは __page_pool_release_netmem_dma() を呼び出します。(CVE-2026-90201)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-90201

high Nessus プラグイン ID 347680

バージョン 1.5