CVE-2026-53262
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto podatność Use-After-Free (UAF) w sterowniku L2TP dla protokołu PPPoL2TP. Funkcja pppol2tp_ioctl() odczytywała wskaźnik do sesji bez odpowiedniego blokowania i zliczania referencji, co umożliwiało wyścig podczas operacji kopiowania z przestrzeni użytkownika. Poprawka polega na bezpiecznym pobraniu referencji do sesji za pomocą funkcji RCU-safe z inkrementacją licznika referencji.
Ocena ryzyka
Atakujący może doprowadzić do zdalnego wykonania kodu lub wycieku informacji poprzez wywołanie wyścigu między operacją ioctl a zamknięciem gniazda. Podatność umożliwia naruszenie integralności i poufności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować jądro Linux do wersji zawierającej poprawkę (commit z rozwiązaniem problemu). W przypadku systemów produkcyjnych zaleca się zastosowanie łatki bezpieczeństwa po przeprowadzeniu testów.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-99284Nieznane
W jądrze Linux rozwiązano podatność w funkcji skb_zerocopy() w podsystemie sieciowym skbuff. Funkcja nie propaguje znacznika shared-frag do docelowego skb, co łamie niezmiennik używany przez późniejsze zapisy w miejscu. W wyniku tego nieuprzywilejowany użytkownik może zapisywać do pamięci podręcznej stron pliku tylko do odczytu należącego do roota.
- CVE-2026-99283Nieznane
W jądrze Linux w module netfilter conntrack dla TCP wykryto błąd wyboru timeoutu dla pakietów RST. Gdy pakiet RST nie pasuje dokładnie do oczekiwanego numeru sekwencji, wpis conntrack pozostaje w stanie ESTABLISHED, ale mimo to stosowany jest krótki timeout CLOSE (10 sekund). Drugi niedokładny RST może obniżyć timeout, zanim wygaśnie limit challenge ACK, co pozwala wpisowi conntrack wygasnąć, podczas gdy oba punkty końcowe TCP pozostają w stanie established.
- CVE-2026-99282Nieznane
W jądrze Linux w module net/sched: sch_teql występuje podatność use-after-free. Funkcja teql_master_xmit() błędnie interpretuje kod zwrotny NET_XMIT_DROP jako niezużyty pakiet i wykonuje na nim operacje po zwolnieniu pamięci. Problem dotyczy konfiguracji z interfejsem VLAN i qdisc pfifo z limitem 0.
- CVE-2026-99281Nieznane
W jądrze Linux naprawiono lukę w mechanizmie tun/tap, która pozwalała procesom bez uprawnień CAP_NET_ADMIN dołączać się do trwałych urządzeń tun, które nie miały ustawionego właściciela ani grupy. Wystarczał dostęp do węzła /dev/net/tun, aby przechwycić lub wstrzykiwać ruch sieciowy. Poprawka wymaga teraz CAP_NET_ADMIN do dołączenia do urządzenia bez właściciela i grupy.
- CVE-2026-99280Nieznane
W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że niepowodzenie rejestracji sesji i czyszczenie połączenia mogą zwolnić referencję tabeli, gdy wpis procfs sesji jest nadal dostępny. Może to prowadzić do użycia po zwolnieniu (use-after-free) i problemów z współbieżnością.
- CVE-2026-99278Nieznane
W jądrze Linux w module ksmbd rozwiązano podatność polegającą na tym, że limit oczekujących sesji uwzględnia tylko sesje InProgress. Klient może wielokrotnie kończyć uwierzytelnianie i utrzymywać nieograniczoną liczbę sesji Valid na jednym połączeniu.
- CVE-2026-99259Nieznane
W jądrze Linux w sterowniku soc/tegra: pmc występuje problem z niezainicjalizowaną zmienną early_pmc->rate dla starszych 32-bitowych urządzeń Tegra. Zmienna nigdy nie jest ustawiana i pozostaje równa 0, co powoduje wyzwalanie ostrzeżenia w funkcji tegra_pmc_enter_suspend_mode(). Błąd pojawił się po zmianie sterownika PMC na dynamiczne tworzenie kontekstu, gdzie zaktualizowano rate tylko w nowym kontekście.
- CVE-2026-99258Nieznane
W jądrze Linux funkcja hv_apicid_to_vp_index() używa per-CPU stron wejściowych i wyjściowych hiperwywołań. W maszynie wirtualnej SEV-SNP CoCo bez paravisora strona wyjściowa nie jest alokowana, więc hipervisor zapisuje wynikowy indeks VP do niezaalokowanej pamięci gościa. Poprawka polega na użyciu tej samej strony wejściowej również jako wyjściowej.
- CVE-2026-99257Nieznane
W jądrze Linux mechanizm współdzielonych GPIO oparty na tablicach wyszukiwania platformy wymaga powiązanego struct device. Wywołanie wyszukiwania oparte na fwnode bez powiązanego urządzenia powoduje dereferencję wskaźnika NULL. Poprawka dodaje sprawdzenie, które pozwala jąderu łagodnie obsłużyć tę sytuację błędem.
- CVE-2026-99256Nieznane
W jądrze Linux moduł dm cache używał rw_semaphore do blokady background_work_lock, mimo że blokady zapisu rw_semaphore mają ścisłą semantykę właściciela. Proces blokujący nie zawsze był tym samym, który zwalniał blokadę, co przy CONFIG_DEBUG_RWSEMS wyzwalało ostrzeżenie podczas suspend/resume urządzenia cache. Poprawka zastępuje rw_semaphore spinlockiem i kolejką oczekujących.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: l2tp: pppol2tp: hold reference to session in pppol2tp_ioctl() pppol2tp_ioctl() read sock->sk->sk_user_data directly without any locks or reference counting. If a controllable sleep was induced during copy_from_user() (e.g. via a userfaultfd page fault sleep), a concurrent socket close could trigger pppol2tp_session_close() asynchronously. This frees the l2tp_session structure via the l2tp_session_del_work workqueue. Upon resuming, the ioctl thread dereferences the stale session pointer, resulting in a Use-After-Free (UAF). Fix this by securely fetching the session reference using the RCU-safe, refcounted helper pppol2tp_sock_to_session(sk) on entry. This locks the session's refcount across the sleep. We structured the function to exit via standard err breaks, guaranteeing that l2tp_session_put() is cleanly called on all return paths to drop the reference. To preserve existing behavior we validate the session and its magic signature only for the specific L2TP commands that require it. This ensures that generic/unknown ioctls called on an unconnected socket still return -ENOIOCTLCMD and correctly fall back to generic handlers (e.g. in sock_do_ioctl()).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS