CVE-2026-98258

概要

Linuxカーネルにおいて、以下の脆弱性が修正されました: posix-cpu-timers: 有効期限リストにキューイングされているタイマーの解放を防止する。KijoはPOSIX CPUタイマーコードにおける別の競合状態を分析した: コミットbf635681c906はcpu_timer::firingを三状態値からブール値に変換した。これにより「発火リストに所有されていない」状態と「まだ所有されているが、配信がキャンセルされた」状態の区別が失われた。結果として生じる競合状態は以下の通りである: 有効期限ハンドラ timer_settime() timer_delete() -------------- --------------- -------------- タイマーをプライベートな発火リストに収集 firing = true firing = trueを観測 firing = false TIMER_RETRYを返す ハンドラを待機 firing = falseを観測 削除を完了 タイマーのハッシュ解除と解放 リスト走査を再開 解放済みのelist.nextを読み取り -> UAF そのコミット以降、firingビットが明らかに誤った指標である。代わりに、タイマーが有効期限リストにキューイングされているかどうかを確認する。キューイングされている場合は、以前と同様にシグナル配信を防ぐためにfiringビットをクリアし、TIMER_RETRYを返すことで、呼び出し元がタイマーのロックを解除し、有効期限コードが処理を進めてリストからタイマーを削除できるようにする。

ソース

• poc-CVE-2026-98258PoC

  CVE-2026-98258 を実証する概念実証。これは Linux カーネルの posix-cpu-timers の欠陥で、キューに入れられたタイマーが有効期限リスト上で解放される問題であり、動作するデモを伴う。