CVE-2026-64563

요약

리눅스 커널에서 다음 취약점이 해결되었습니다: rhashtable: 테이블 재시작 시 오래된 iter->p 정리 rhashtable_walk_start_check()는 워크를 재개할 때 두 개의 재시작 경로가 있습니다. iter->walker.tbl이 유효하면 테이블에 대해 iter->p를 다시 검증하고 객체가 사라진 경우 iter->p = NULL로 설정합니다. iter->walker.tbl이 NULL(리사이즈 중 테이블이 해제됨)이면 slot과 skip을 재설정하지만 iter->p를 정리하는 것을 잊습니다. 그러면 rhashtable_walk_next()가 오래된 iter->p를 역참조하여 해제된 메모리를 읽습니다. 이는 use-after-free입니다. walk_stop/walk_start 경계를 넘어 다중 조각 rhashtable 워크를 수행하는 모든 호출자가 영향을 받습니다. 구체적인 사례로는 netlink_diag(net/netlink/diag.c의 __netlink_diag_dump)와 TIPC(net/tipc/socket.c의 tipc_nl_sk_walk)가 있습니다. 크래시 스택(netlink_diag): BUG: KASAN: slab-use-after-free in rhashtable_walk_next+0x365/0x3c0 Read of size 8 at addr ffff88801a9d2438 (freed kmalloc-2k, offset 1080) Call Trace: rhashtable_walk_next+0x365/0x3c0 (lib/rhashtable.c:1016) __netlink_diag_dump+0x160/0x760 (net/netlink/diag.c:122) netlink_diag_dump+0xc2/0x240 netlink_dump+0x5bc/0x1270 netlink_recvmsg+0x7a3/0x980 sock_recvmsg+0x1bc/0x200 __sys_recvfrom+0x1d4/0x2c0

소스

• CVE-2026-64563_EXPPoC

  검증되지 않은 Linux 커널 권한 상승 PoC로, msg_msgseg 교차 캐시 재사용을 통해 skb와 pipe_buffer를 겹치게 하여 pipe 플래그를 변경해 /etc/passwd를 읽습니다.