CVE-2026-98385

요약

Linux 커널에서 다음과 같은 취약점이 해결되었습니다: sched/cache: UAF를 수정하기 위해 sched_cache_group을 mm으로부터 분리 현재 sched 캐시 그룹화는 mm 단위로 이루어지며, 스케줄링 통계인 sched_cache_stat은 mm 구조체에 존재합니다. 이는 스케줄링 통계의 수명 주기를 mm과 묶어버립니다. account_mm_sched()에서 스케줄링 통계는 task->mm->sc_stat을 통해 접근됩니다. 그러나 한 CPU에서 태스크가 mm을 전환하는 동안 다른 CPU에서 account_mm_sched()가 실행 중일 수 있으며, 해제된 이전 mm에 접근할 가능성이 있습니다. 이 문제는 Hyunwoo가 KASAN으로 테스트를 실행하던 중 발견했습니다: https://lore.kernel.org/lkml/apPb-Dr4nPYuHQOK@v4bel/ mm 해제 경로에서 rq 락을 추가로 획득하여 mm 접근을 직렬화하는 대신, sched_cache_stat을 mm_struct에서 추출하여 sched_cache_group으로 이름을 변경하고, 자체 참조 카운팅을 통해 mm_struct와 별도로 수명 주기를 관리합니다. 이를 통해 다음 패치에서 태스크로부터 sched_cache_group에 직접 접근할 수 있게 되며, 태스크가 sched_cache_group에 연결될 때 참조 카운트를 추가할 수 있습니다. 이는 태스크가 새로운 mm으로 전환하는 동안 account_mm_sched()가 다른 곳에서 수행될 때, 오래되어 해제된 이전 mm 및 그 sched 캐시 통계에 접근함으로써 발생하는 use after free 문제를 방지합니다. 이 재구성의 또 다른 이점은 향후 태스크를 LLC에 그룹화할 때 단일 mm 주소 공간뿐만 아니라 사용자 정의 그룹화, cgroup, 쿠키 그룹, numa_group 등과 연관시킬 수 있는 유연성을 갖게 된다는 점입니다. sched_cache_stat을 sched_cache_group으로 이름을 변경하고, mm_struct에서 할당되는 참조 카운트 객체로 전환합니다. 이제 mm_struct는 이 객체를 내장하는 대신 포인터(sched_cache_grp)를 보유합니다.

소스

• InfinityCore-Android-CVE-2026-98385PoC

  CVE-2026-98385의 공식 PoC를 ARM64 Android로 이식한 것으로, 하드코딩된 힙 레이아웃 상수를 사용하는 커널 Scheduler 하위 시스템의 경쟁 조건 기반 로컬 권한 상승 취약점입니다.