CVE-2026-23231

概要

Linux カーネルにおいて、以下の脆弱性が解決されました: netfilter: nf_tables: nf_tables_addchain() の use-after-free を修正。nf_tables_addchain() は、フックを登録する前に、nft_chain_add() 内の list_add_tail_rcu() を介してチェーンを table->chains に公開します。その後 nf_tables_register_hook() が失敗すると、エラーパスは nft_chain_del() (list_del_rcu()) を呼び出し、その後に nf_tables_chain_destroy() を呼び出しますが、その間に RCU グレース期間がありません。これにより、次の 2 つの use-after-free 状態が発生します: 1) コントロールプレーン: nf_tables_dump_chains() は rcu_read_lock() の下で table->chains を走査します。エラーパスがチェーンを解放するとき、並行するダンプが依然としてチェーンを辿っている可能性があります。2) パケットパス: NFPROTO_INET の場合、nf_register_net_hook() は IPv6 の登録が失敗する前に IPv4 フックを一時的にインストールします。一時的な IPv4 フックを介して nft_do_chain() に入るパケットは、エラーパスがチェーンを解放するときにも chain->blob_gen_X を逆参照している可能性があります。チェーンの解放前にすべての RCU リーダー (ダンプスレッドと処理中のパケット評価の両方) が完了するように、nft_chain_del() とチェーン破棄の間に synchronize_rcu() を追加します。

• Linux nf_tables 6.19.3 - Local Privilege Escalationエクスプロイト

  aviralyash27 · linux · 2026/05/04