BAD_GARBAGE.c

CVE-2026-53361 — 非特権ユーザーが利用でき、コンテナエスケープが可能な、AF_UNIX ソケットガベージコレクタにおける use-after-free です。これはシングルベクター（MSG_PEEK のみ）版です。

バグ

AF_UNIX GC は、到達不能な参照サイクルを形成する「インフライト」（in-flight）ソケットを回収します。インフライトの fd に対する並行する MSG_PEEK は、GC の調査（census）が決して数えない参照を取得するため、コレクタはまだ生存しているソケットを解放し、ダングリングな sk_buff を残す可能性があります。peek はコレクションの実行中はバックオフすることになっていますが、チェックする gc_in_progress フラグが実行途中で false と読めるため、peek がすり抜けてレースが成立します。

同じインタラクションは3回修正されています：

• CVE-2021-0920 — cbcf01128d0a "af_unix: fix garbage collect vs MSG_PEEK"
• CVE-2026-23394 — e5b31d988a41 "af_unix: Give up GC if MSG_PEEK intervened"
• CVE-2026-53361 — d82ba05263c6 "af_unix: Set gc_in_progress to true in unix_gc()"

対象

Vulnerable = このバグの影響を受ける。Targeted = このエクスプロイトがカバーする（単一 MSG_PEEK ベクター）。7.x カーネルと Ubuntu 6.8 GA カーネルは脆弱ですが、ここでは対象外です。

テスト済みカーネルの一部

注記

• CPU 数 — CPU が8個未満（2〜7個）の環境向けに設計されています。これは信頼性の問題ではなく意図的な選択です。クリーンな order-N 戦略は意図的に除外されており、-1 day バグのために公開する価値はありません。
• SLUB キャッシュのアーマリング — キャッシュのアーマリング/シャドウイングコードのほとんどは PoC から削除されています。SID 漏洩フェーズは、偶発的な低次 kmalloc() や特定のキャッシュごとの PCP 再利用（anon_vma、kmalloc-64 など）と衝突することがあります。上位バケットは安全ですが、専用キャッシュと下位バケットは安全ではありません。独自のアーマリングを追加して、100% に近づけてください。