CVE-2026-53259
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto podatność w implementacji anycast IPv6, polegającą na użyciu pamięci po zwolnieniu (use-after-free) podczas wstawiania adresu anycast do globalnej tablicy mieszającej. Problem wynika z braku synchronizacji między dodawaniem wpisu do listy interfejsu a globalnej tablicy, co umożliwia równoczesne usunięcie urządzenia i zwolnienie pamięci przed jej pełnym opublikowaniem.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu lub wywołania odmowy usługi (DoS) poprzez manipulację adresami anycast IPv6, prowadząc do naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować jądro Linux do wersji zawierającej poprawkę, która przenosi wstawianie do globalnej tablicy mieszającej wewnątrz sekcji chronionej blokadą idev->lock.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-99284Nieznane
W jądrze Linux rozwiązano podatność w funkcji skb_zerocopy() w podsystemie sieciowym skbuff. Funkcja nie propaguje znacznika shared-frag do docelowego skb, co łamie niezmiennik używany przez późniejsze zapisy w miejscu. W wyniku tego nieuprzywilejowany użytkownik może zapisywać do pamięci podręcznej stron pliku tylko do odczytu należącego do roota.
- CVE-2026-99283Nieznane
W jądrze Linux w module netfilter conntrack dla TCP wykryto błąd wyboru timeoutu dla pakietów RST. Gdy pakiet RST nie pasuje dokładnie do oczekiwanego numeru sekwencji, wpis conntrack pozostaje w stanie ESTABLISHED, ale mimo to stosowany jest krótki timeout CLOSE (10 sekund). Drugi niedokładny RST może obniżyć timeout, zanim wygaśnie limit challenge ACK, co pozwala wpisowi conntrack wygasnąć, podczas gdy oba punkty końcowe TCP pozostają w stanie established.
- CVE-2026-99282Nieznane
W jądrze Linux w module net/sched: sch_teql występuje podatność use-after-free. Funkcja teql_master_xmit() błędnie interpretuje kod zwrotny NET_XMIT_DROP jako niezużyty pakiet i wykonuje na nim operacje po zwolnieniu pamięci. Problem dotyczy konfiguracji z interfejsem VLAN i qdisc pfifo z limitem 0.
- CVE-2026-99281Nieznane
W jądrze Linux naprawiono lukę w mechanizmie tun/tap, która pozwalała procesom bez uprawnień CAP_NET_ADMIN dołączać się do trwałych urządzeń tun, które nie miały ustawionego właściciela ani grupy. Wystarczał dostęp do węzła /dev/net/tun, aby przechwycić lub wstrzykiwać ruch sieciowy. Poprawka wymaga teraz CAP_NET_ADMIN do dołączenia do urządzenia bez właściciela i grupy.
- CVE-2026-99280Nieznane
W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że niepowodzenie rejestracji sesji i czyszczenie połączenia mogą zwolnić referencję tabeli, gdy wpis procfs sesji jest nadal dostępny. Może to prowadzić do użycia po zwolnieniu (use-after-free) i problemów z współbieżnością.
- CVE-2026-99278Nieznane
W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że limit oczekujących sesji uwzględnia tylko sesje InProgress. Klient może wielokrotnie kończyć uwierzytelnianie i utrzymywać nieograniczoną liczbę sesji Valid na jednym połączeniu.
- CVE-2026-99259Nieznane
W jądrze Linux w sterowniku soc/tegra: pmc występuje problem z niezainicjalizowaną zmienną early_pmc->rate dla starszych 32-bitowych urządzeń Tegra. Zmienna nigdy nie jest ustawiana i pozostaje równa 0, co powoduje wyzwalanie ostrzeżenia w funkcji tegra_pmc_enter_suspend_mode(). Błąd pojawił się po zmianie sterownika PMC na dynamiczne tworzenie kontekstu, gdzie zaktualizowano rate tylko w nowym kontekście.
- CVE-2026-99258Nieznane
W jądrze Linux funkcja hv_apicid_to_vp_index() używa per-CPU stron wejściowych i wyjściowych hiperwywołań. W maszynie wirtualnej SEV-SNP CoCo bez paravisora strona wyjściowa nie jest alokowana, więc hipervisor zapisuje wynikowy indeks VP do niezaalokowanej pamięci gościa. Poprawka polega na użyciu tej samej strony wejściowej również jako wyjściowej.
- CVE-2026-99257Nieznane
W jądrze Linux mechanizm współdzielonych GPIO oparty na tablicach wyszukiwania platformy wymaga powiązanego struct device. Wywołanie wyszukiwania oparte na fwnode bez powiązanego urządzenia powoduje dereferencję wskaźnika NULL. Poprawka dodaje sprawdzenie, które pozwala jąderu łagodnie obsłużyć tę sytuację błędem.
- CVE-2026-99256Nieznane
W jądrze Linux moduł dm cache używał rw_semaphore do blokady background_work_lock, mimo że blokady zapisu rw_semaphore mają ścisłą semantykę właściciela. Proces blokujący nie zawsze był tym samym, który zwalniał blokadę, co przy CONFIG_DEBUG_RWSEMS wyzwalało ostrzeżenie podczas suspend/resume urządzenia cache. Poprawka zastępuje rw_semaphore spinlockiem i kolejką oczekujących.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: ipv6: anycast: insert aca into global hash under idev->lock syzbot reported a splat [1]: a slab-use-after-free in ipv6_chk_acast_addr(), which walks the global inet6_acaddr_lst[] hash under RCU and dereferences a struct ifacaddr6 that has already been freed while still linked in the hash, so a later reader walks into a dangling node. In __ipv6_dev_ac_inc() the aca is allocated with refcount 1, then aca_get() bumps it to 2 to keep it alive across the unlocked region. It is published to idev->ac_list under idev->lock, but ipv6_add_acaddr_hash() runs after write_unlock_bh(). A concurrent teardown (ipv6_ac_destroy_dev() from addrconf_ifdown(), under RTNL) can slip into that window: CPU0 __ipv6_dev_ac_inc CPU1 ipv6_ac_destroy_dev (RTNL) ------------------------------ ------------------------------------ aca_alloc() refcnt 1 aca_get() refcnt 2 write_lock_bh(idev->lock) add aca to ac_list write_unlock_bh(idev->lock) write_lock_bh(idev->lock) pull aca off ac_list write_unlock_bh(idev->lock) ipv6_del_acaddr_hash(aca) hlist_del_init_rcu() is a no-op, aca is not in the hash yet aca_put() refcnt 2->1 ipv6_add_acaddr_hash(aca) aca now inserted into the hash aca_put() refcnt 1->0 call_rcu(aca_free_rcu) -> kfree(aca) The hash removal becomes a no-op because the insertion has not happened yet, so once CPU0 inserts and drops the last reference, the aca is freed while still linked in inet6_acaddr_lst[], and readers dereference freed memory after the slab slot is reused. This window opened once RTNL stopped serializing the join path against device teardown. Move ipv6_add_acaddr_hash() inside the idev->lock section so the ac_list and hash insertions are atomic with respect to teardown: a racing remover now either misses the aca entirely or finds it in both lists. acaddr_hash_lock is now nested under idev->lock, which is acquired in softirq context, so switch all acaddr_hash_lock sites to spin_lock_bh() to avoid the irq lock inversion reported in [2]. [1] https://syzkaller.appspot.com/bug?extid=a01df04303c131efbf3a [2] https://lore.kernel.org/netdev/[email protected]/
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS