Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - mac802154:キューに入れられた RX フレームを通じた sdata の use-after-free を修正します RX softirq プロデューサー ieee802154_subif_frame() は、受信したビーコンと MAC コマンドフレームを local->rx_beacon_list/rx_mac_cmd_list にキューイングし、プロセスコンテキストワーカーをスケジュールします。生の mac_pkt->data(および skb->dev == sdata->dev)を参照もロックも持たずに保存します: - リストにはロックがありません: softirq プロデューサーは list_add_tail()s、mac_wq worker は list_del()s、したがって、同じ phy 上の兄弟インターフェイスはリストを破損します。- ワーカーは、インターフェイスが解放された後に、インターフェイスを逆参照します。mac802154_rx_mac_cmd_worker() は mac_pkt->sdata を直接タッチし、mac802154_rx_beacon_worker() -> mac802154_process_beacon() は skb->dev(== sdata->dev)を逆参照します。インターフェイスを削除すると、キューに入れられたフレームがまだその sdata (netdev_priv) を指している間にその sdata () が解放されるため、その後のワーカー実行は use-after-free となります。被害者のインターフェイスを MAC コマンドフレームでフラッディングさせ、それを削除することにより、KASAN 下で再現しました(ビーコンパスは skb->dev を通して同じクラスです):
    バグ:KASAN:mac802154_rx_mac_cmd_worker+0x463/0x630 における slab-use-after-free [mac802154] タスク kworker/u8:1/31 ワークキューによる、addr ffff888002f9ea18 でのサイズ 4 の読み取り:phy0-mac-cmds mac802154_rx_mac_cmd_worker[mac802154] コールトレース:mac802154_rx_mac_cmd_worker+0x463/0x630[mac802154] process_one_work+0x611/0xe80 worker_thread+0x52e/0xdc0 kthread+0x30c/0x630 ret_from_fork+0x2fd/0x3e0 両方のリストをまとめて修正: - ローカル>rx_lockを追加し、すべてのリストアクセスで利用します:softirq プロデューサー(プレーンspin_lock、softirq コンテキスト)およびワーカーおよびフラッシュ(spin_lock_bh、プロセスコンテキスト)。- キュー状態にあるフレームの有効期間にわたってインターフェイスを netdev_hold()/netdev_put() で固定します。これにより、インターフェイスが削除されている間でも、ワーカーは sdata/skb->dev を安全に逆参照できます。- ヘッドのロックの下のキューを解除し、ワーカーのリスト全体をループドレインします (以前は、実行ごとに 1 フレームを処理し、残りをドレインするために後のキューに入れに依存していました)。- 未登録になる前に、(RCU 猶予期間の後)ieee802154_if_remove() から、および ieee802154_remove_interfaces() ループから、インターフェイスのまだ開始されていないフレームをドロップします。後者は、ieee802154_if_remove() を通過しない whole-phy ティアダウンパスです。既にフレームを dequeue したインフライトワーカーは、独自の netdev 参照を保持します。その後、unregister_netdevice() は、rtnl_unlock()(rtnl がリリースされた)ときにインターフェイスが閉じられた後に実行される netdev_run_todo() で待機するため、rtnl はピンされません。関連付け TX でブロックされたワーカーは、1 つのインターフェイスの登録解除を遅らせるだけで(%s が解放されるのを通常待機します)、rtnl を保持しません。この理由のために、rtnl の下での cancel_work_sync() の代わりに netdev_hold() が使用されます。これは、ieee802154_sync_queue() を介してワーカーの無制限の MLME TX 待機をブロックします。さらに、mac-command ワーカーは停止されたインターフェイス(ieee802154_sdata_running())の処理をスキップし、ティアダウン中の不要な関連付け応答を回避します。
    (CVE-2026-97595)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-97595

high Nessus プラグイン ID 350631

バージョン 1.18