BAD_GARBAGE.c

CVE-2026-53361 — AF_UNIX सॉकेट गार्बेज कलेक्टर में एक अनप्रिविलेज्ड, कंटेनर-एस्केप करने योग्य use-after-free। यह सिंगल-वेक्टर (केवल MSG_PEEK) संस्करण है।

बग

AF_UNIX GC उन "in-flight" सॉकेट्स को reclaim करता है जो अप्राप्य संदर्भ चक्र (unreachable reference cycles) बनाते हैं। किसी in-flight fd पर एक समवर्ती MSG_PEEK एक संदर्भ लेता है जिसे GC की जनगणना (census) कभी नहीं गिनती, इसलिए कलेक्टर किसी ऐसे सॉकेट को मुक्त कर सकता है जो अभी भी जीवित है और एक dangling sk_buff छोड़ देता है। पीक को कलेक्शन चलने के दौरान पीछे हटना (back off) होता है, लेकिन gc_in_progress फ्लैग जिसे यह जाँचता है वह मध्य-चालन में false पढ़ सकता है, जिससे पीक फिसल जाता है और रेस खुल जाती है।

वही इंटरैक्शन, तीन बार ठीक किया गया:

• CVE-2021-0920 — cbcf01128d0a "af_unix: fix garbage collect vs MSG_PEEK"
• CVE-2026-23394 — e5b31d988a41 "af_unix: Give up GC if MSG_PEEK intervened"
• CVE-2026-53361 — d82ba05263c6 "af_unix: Set gc_in_progress to true in unix_gc()"

लक्ष्य

Vulnerable = बग से प्रभावित। Targeted = इस एक्सप्लॉइट द्वारा कवर (सिंगल MSG_PEEK वेक्टर)। 7.x कर्नेल और Ubuntu 6.8 GA कर्नेल असुरक्षित हैं लेकिन यहाँ दायरे से बाहर हैं।

कुछ परीक्षित कर्नेल

नोट्स

• CPU संख्या — 8 से कम CPUs (2–7) के लिए डिज़ाइन किया गया। यह एक विकल्प है, कोई विश्वसनीयता विचित्रता नहीं: स्वच्छ order-N रणनीति जानबूझकर छोड़ दी गई है, इसे -1 दिन के बग के लिए उजागर करना उचित नहीं है।
• SLUB कैश आर्मरिंग — अधिकांश कैश-आर्मरिंग/शैडोइंग कोड PoC से हटा दिया गया। SID-लीक चरण कभी-कभी किसी स्प्यूरियस लो-ऑर्डर kmalloc() या किसी विशेष प्रति-कैश PCP पुन:उपयोग (anon_vma, kmalloc-64, और अन्य) से टकरा सकता है; उच्च बकेट सुरक्षित हैं, समर्पित कैश और निचली बकेट सुरक्षित नहीं हैं। इसे ~100% की ओर ले जाने के लिए अपनी खुद की आर्मरिंग जोड़ें।