BAD_GARBAGE.c

CVE-2026-53361 — une use-after-free non privilégiée, exploitable pour s'échapper d'un conteneur, dans le ramasse-miettes des sockets AF_UNIX. Il s'agit de la version à vecteur unique (MSG_PEEK uniquement).

Le bug

Le GC AF_UNIX récupère les sockets « in-flight » qui forment des cycles de références inaccessibles. Un MSG_PEEK concurrent sur un fd in-flight prend une référence que le recensement du GC ne compte jamais, si bien que le ramasse-miettes peut libérer une socket encore vivante et laisser un sk_buff pendant. Le peek est censé se mettre en retrait pendant qu'une collecte s'exécute, mais le drapeau gc_in_progress qu'il vérifie peut être lu à faux en plein déroulement, donc le peek passe à travers et la course est ouverte.

Même interaction, corrigée trois fois :

• CVE-2021-0920 — cbcf01128d0a « af_unix: fix garbage collect vs MSG_PEEK »
• CVE-2026-23394 — e5b31d988a41 « af_unix: Give up GC if MSG_PEEK intervened »
• CVE-2026-53361 — d82ba05263c6 « af_unix: Set gc_in_progress to true in unix_gc() »

Cibles

Vulnérable = affecté par le bug. Ciblé = couvert par cet exploit (vecteur MSG_PEEK unique). Les noyaux 7.x et le noyau Ubuntu 6.8 GA sont vulnérables mais hors du périmètre ici.

Quelques noyaux testés

Notes

• Nombre de CPU — conçu pour moins de 8 CPU (2–7). Un choix, pas un caprice de fiabilité : la stratégie propre d'ordre N est délibérément omise, pas la peine de l'exposer pour un bug de -1 jour.
• Blindage du cache SLUB — la majeure partie du code de blindage/ombrage du cache a été retirée du PoC. La phase de fuite du SID peut occasionnellement entrer en collision avec un kmalloc() parasite de bas ordre ou une réutilisation PCP spécifique à un cache (anon_vma, kmalloc-64, et autres) ; les buckets supérieurs sont sûrs, les caches dédiés et les buckets inférieurs ne le sont pas. Ajoutez votre propre blindage pour approcher ~100 %.