BAD_GARBAGE.c

CVE-2026-53361 — AF_UNIX 소켓 가비지 컬렉터에서 발생하는 비특권·컨테이너 탈출 가능한 use-after-free 취약점. 단일 벡터(MSG_PEEK 전용) 버전이다.

버그

AF_UNIX GC는 도달할 수 없는 참조 순환을 형성하는 "in-flight" 소켓을 재확보한다. in-flight fd에 대한 동시 MSG_PEEK는 GC의 집계가 절대 세지 않는 참조를 가져가므로, 수집기가 여전히 살아있는 소켓을 해제하고 댕글링 sk_buff를 남길 수 있다. peek는 수집이 실행되는 동안 백오프하도록 되어 있지만, peek가 검사하는 gc_in_progress 플래그는 실행 중간에 false로 읽힐 수 있어 peek가 통과하고 레이스가 열린다.

동일한 상호작용, 세 번 수정됨:

• CVE-2021-0920 — cbcf01128d0a "af_unix: fix garbage collect vs MSG_PEEK"
• CVE-2026-23394 — e5b31d988a41 "af_unix: Give up GC if MSG_PEEK intervened"
• CVE-2026-53361 — d82ba05263c6 "af_unix: Set gc_in_progress to true in unix_gc()"

대상

Vulnerable = 버그의 영향을 받는 것. Targeted = 이 익스플로잇이 다루는 것(단일 MSG_PEEK 벡터). 7.x 커널과 Ubuntu 6.8 GA 커널은 취약하지만 이번 범위에서는 제외된다.

테스트된 몇 가지 커널

참고

• CPU 수 — 8개 미만(2–7개)의 CPU용으로 설계됨. 신뢰성 결함이 아니라 의도된 선택이다: 깔끔한 order-N 전략은 일부러 제외했으며, -1 day 버그를 위해 노출할 가치가 없다.
• SLUB 캐시 아머링 — 대부분의 캐시 아머링/섀도잉 코드는 PoC에서 제거되었다. SID 누출 단계는 가끔 우발적인 저차수 kmalloc() 또는 특정 per-cache PCP 재사용(anon_vma, kmalloc-64 등)과 충돌할 수 있다. 상위 버킷은 안전하지만, 전용 캐시와 하위 버킷은 안전하지 않다. 자체 아머링을 추가해 ~100%에 가깝게 끌어올릴 수 있다.