原文

Linuxカーネルにおいて、以下の脆弱性が修正されました：fbdev: omap2: omapfb_mmapにおけるuse-after-freeの修正です。omapfb_mmap()はOMAPFB_SETUP_PLANE ioctlと競合状態が発生し、use-after-freeを引き起こす可能性があります。fb_mmap()のエントリーポイントはmm_lockを保持しますが、lock（fb_info-＞lock）は保持しません。一方で、OMAPFB_SETUP_PLANEのようなioctlハンドラはlockを保持しますが、mm_lockは保持していません。これにより同時実行が可能となっています。omapfb_mmap()内の処理フローは以下の通りです。1. rg = omapfb_get_mem_region(ofbi-＞region); // 古い領域の参照を取得します。2. start = omapfb_get_region_paddr(ofbi); // 新しい領域から読み取ります。3. len = fix-＞smem_len; // 新しい領域から読み取ります。4. vm_iomap_memory(vma, start, len); // 新しい領域のメモリをマッピングします。5. atomic_inc(&rg-＞map_count); // 古い領域のmap_countをインクリメントします。なお、同時にOMAPFB_SETUP_PLANEは以下の操作を行う可能性があります。- ofbi-＞regionをnew_rgに再割り当てします。- fix-＞smem_lenを更新します。- OMAPFB_SETUP_MEMが新しい領域のmap_countを（0のまま）確認し、それを解放します。これにより、ユーザースペースは解放された物理メモリにマッピングされた状態となります。修正内容は、必要なすべての値（start、len）をmap_countがインクリメントされる同じ領域参照（rg）から読み取り、マッピング中に領域が解放されるのを防ぐことです。