CVE-2026-98260

概要

Linuxカーネルにおいて、以下の脆弱性が修正されました: exec: de_thread() 直後に POSIX タイマーをクリーンアップする。スレッドごとの CPU タイマーは、それがアタッチされているスレッドの PID への参照を保持しており、アームされている間、そのノードはそのスレッドの posix_cputimers にキューイングされる。タスクはその PID によって検索される。非リーダースレッドが exec() すると、de_thread() はその PID を所有するタスクを変更する。pid_task(timer->it.cpu.pid, PIDTYPE_PID) はその後 NULL を返すが、ノードは依然として生存している tsk 上にキューイングされたままである。timer_lock_sighand() は検索の失敗をノードが既にデキュー済みであることを意味すると解釈するため、取り消すべきものは何もない。begin_new_exec() は exec_task_namespaces() の直後に posix_cpu_timers_exit(me) を呼び出し、これが残ったノードを削除するため、通常はこの状態は表面化しない。しかし bprm->point_of_no_return は de_thread() より前に設定されるため、unshare_files()、set_mm_exe_file()、exec_mmap() または exec_task_namespaces() が失敗すると、タスクはそこに到達する前に終了する。その後 exit_itimers() はノードが依然としてキューイングされたままの k_itimer を解放し、後で tsk を回収する際にその解放済みノードが rbtree から消去される。要するに: 非リーダースレッド B 親 timer_create(CLOCK_THREAD_CPUTIME_ID) timer_settime() arm_timer() // ノードは B 上にキューイングされる execve() de_thread(B) exchange_tids(B, leader) // B の PID は今やリーダーに属する release_task(leader) __exit_signal(leader) posix_cpu_timers_exit(leader) // リーダーのキューをクリーンアップし、B のものではない __unhash_process(leader) // その PID にはもうタスクがない exec_mmap() mmap_read_lock_killable(old_mm) kill(B, SIGKILL) // -EINTR get_signal() do_exit() exit_itimers() posix_timer_delete() posix_cpu_timer_del() posix_timer_unhash_and_free() // キューイングされたまま解放される wait4() release_task(B) posix_cpu_timers_exit(B) cleanup_timerqueue() timerqueue_del() // use-after-free POSIX タイマーのクリーンアップを de_thread() の直後に移動し、以降の失敗条件のいずれかによってタスクが do_exit() に至る前に実行されるようにする。 [ tglx: クリーンアップを de_thread() の直後に移動 ]

ソース

• CVE-2026-98260エクスプロイト

  CVE-2026-98260（posix-cpu-timers の UAF）に関する Android カーネル LPE 研究：トリガー PoC、偽クレデンシャルおよび実クレデンシャルによる uid-0 シェルチェーン、さらに Shizuku/KernelSU ブートストラップアプリ。

• cve-2026-98260-nezha