Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - tracing/probes:複数のプローブを持つイベントのフィールド名/タイプで use-after-free を修正します。プローブベースの動的イベント(kprobe、uprobe、eprobe、fprobe イベント)のフィールドは、probe_arg名/タイプの文字列を trace_define_field() に渡すことにより traceprobe_define_arg_fields() に作成されます。() は、コピーせずにポインターだけを保存します。これらの文字列はtrace_probeによって所有され、そのプローブが削除されると解放されます。イベントには、複数のプローブをアタッチすることができます。フィールド・リストは、イベントを登録する最初のプローブによって一度だけ定義されますが、生き残っている兄弟プローブによって維持されます。シンボルで最初のプローブだけを削除 - # プライマリ A:フィールドは A の引数から定義されます echo 'p:kprobes/ev vfs_read a1=$arg1' > kprobe_events # 追加 B: A のイベント呼び出しを共有します echo 'p:kprobes/ev vfs_write a1=$arg1' >> kprobe_events # (記号と一致する)A のみを削除します、B は echo '-:kprobes/ev vfs_read' を乗り切ります >> kprobe_events A の引数を解放します (trace_probe_cleanup() -> traceprobe_free_probe_arg())、 しかし、プローブリストが空ではないため、trace_probe_unlink() はtrace_probe_eventを保持します。イベント呼び出しは B を介して登録されたままになりますが、そのフィールドは解放されたメモリを参照するようになりました。次に、任意のフィールド検索によって、それが読み取られます(例:events/kprobes/ev/filter > echo「a1 == 1」 バグ: KASAN: strcmp+0xa7/0xb0 の slab-use-after-free コールトレース:
    strcmp trace_find_event_field parse_pred process_preds create_filter apply_event_filter event_filter_write field->name 参照 parg->name(kstrdup'd、プローブで解放)、配列引数のために field->type 参照 parg->fmt(kmalloc'd、プローブで解放)。それ以外の場合、スカラー型は静的 fmttype rodata をポイントします。これは安全です。traceprobe_define_arg_fields() に名前と型の文字列を複製させ、イベント呼び出しを埋め込み、個々のプローブよりも長持ちするtrace_probe_eventにコピーを固定します。trace_probe_event_free() がそれらを解放します。上記のリプリケーターは確実にトリガーされます。フィールドルックアップと削除はどちらもevent_mutexで実行されるため、これは競合ではなく削除後のダングリング参照です。この問題は、Tencent Yunding Labのautokbug動的カーネルファザーによって発見されました。(CVE-2026-98076)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-98076

high Nessus プラグイン ID 350402

バージョン 1.4