CVE-2026-74512
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W jądrze Linux w module audit wykryto potencjalną podatność use-after-free w funkcji audit_del_rule(). Funkcja ta niszczy e->rule.exe przez audit_remove_mark_rule() przed odłączeniem reguły z list filtrów widocznych dla RCU i oczekiwaniem na okres przejściowy. Równocześni czytelnicy w audit_filter() i audit_filter_rules() nadal dereferencjonują e->rule.exe, podczas gdy znacznik fsnotify może być zwolniony na niezależnej ścieżce życia. Poprawka polega na odłączeniu reguły z list RCU i wywołaniu synchronize_rcu() przed wywołaniem audit_remove_mark_rule() i innych pomocników usuwania reguł.
Ocena ryzyka
Podatność może prowadzić do użycia po zwolnieniu pamięci, co może skutkować awarią systemu, eskalacją uprawnień lub wyciekiem informacji.
Rekomendacja
Zastosuj aktualizację jądra Linux zawierającą poprawkę dla CVE-2026-74512. Ogranicz dostęp do funkcji audytu dla nieufnych użytkowników.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: audit: fix potential use-after-free in audit_del_rule() `audit_del_rule()` destroys `e->rule.exe` via `audit_remove_mark_rule()` before unlinking the rule from RCU-visible filter lists and waiting for a grace period. Concurrent readers in `audit_filter()` and `audit_filter_rules()` still dereference `e->rule.exe`, while the fsnotify mark can be freed on an independent lifetime path. This creates a use-after-free window during rule deletion. Fix this by unlinking the rule from the RCU-visible lists and invoking `synchronize_rcu()` before calling `audit_remove_mark_rule()` (and other rule removal helpers). This ensures that all existing RCU readers have exited the critical section before any underlying resources are destroyed.