CVE-2026-98258

요약

Linux 커널에서 다음과 같은 취약점이 해결되었습니다: posix-cpu-timers: 만료 목록에 대기 중인 타이머가 해제되는 것을 방지합니다. Kijo는 POSIX CPU 타이머 코드에서 또 다른 경쟁 상태를 분석했습니다: 커밋 bf635681c906은 cpu_timer::firing을 삼상태 값에서 불리언으로 변환했습니다. 이로 인해 "발생 목록에 의해 소유되지 않음"과 "여전히 소유 중이지만 전달이 취소됨" 사이의 구분이 사라졌습니다. 그 결과 발생하는 경쟁 상태는 다음과 같습니다: 만료 핸들러 timer_settime() timer_delete() -------------- --------------- -------------- 타이머를 개인 발생 목록으로 수집 firing = true firing = true 관찰 firing = false 반환 TIMER_RETRY 핸들러 대기 firing = false 관찰 삭제 완료 타이머 해시 해제 및 해제 목록 순회 재개 해제된 elist.next 읽기 -> UAF 해당 커밋 이후 firing 비트는 명백히 잘못된 지표입니다. 대신 타이머가 만료 목록에 대기 중인지 여부를 확인하십시오. 대기 중인 경우 이전과 같이 신호 전달을 방지하기 위해 firing 비트를 지우고 TIMER_RETRY를 반환하여 호출자가 타이머의 잠금을 해제하도록 하면 만료 코드가 진행하여 목록에서 타이머를 제거할 수 있습니다.

소스

• poc-CVE-2026-98258PoC

  CVE-2026-98258을 시연하는 개념 증명으로, 만료 목록에서 대기 중인 타이머가 해제되는 Linux 커널 posix-cpu-timers 결함이며, 동작하는 데모를 포함합니다.